GFI Software: Ako v súlade s GDPR zaistiť povinnosť ohlásenia incidentu do 72 hodín od zistenia?
Nové nariadenie zvyšuje nároky na bezpečnostný monitoring a dokumentáciu incidento
Spoločnosť GFI Software, dodávateľ riešení bezpečnosti v podnikových sieťach, upozorňuje, že medzi sprísnenými požiadavkami vyplývajúcimi z GDPR je povinnosť oznámiť príslušným orgánom dozoru narušenie bezpečnosti osobných údajov a viesť záznamy o vykonávanom spracovávaní. To zvyšuje nároky na IT infraštruktúru podnikov a organizácií v oblasti bezpečnostného monitoringu a dokumentácie incidentov.
Okrem z toho vyplývajúcej nutnosti upozorniť na narušenie do 72 hodín od prvého zistenia, ukladá povinnosť GDPR správcom a spracovateľom udržiavať detailnú dokumentáciu (audit trail) o incidente, časové lehoty na vymazanie rôznych kategórií údajov a popisuje implementované technické a organizačné bezpečnostné opatrenia. Pre organizácie zamestnávajúce menej než 250 osôb síce existuje obmedzená výnimka, na pridelenie ktorej je potrebné spĺňať pridané kritériá, ale mnoho organizácií na ňu nedosiahne.
„Zatiaľ čo prevencia a minimalizácia škôd z narušenia osobných údajov sú najvyššou prioritou, ale ak ide o súlad s GDPR, zásadná je tiež dokumentácia; zákazníci musia byť nielen schopní reagovať, ale tiež neskôr presne preukázať, kedy a ako reagovali,“ povedal Zdeněk Bínek zodpovedný za predaj riešení GFI Software v Českej republike a na Slovensku. „Hoci rad organizácií sa domnieva, že ich súčasná bezpečnostná infraštruktúra požiadavky GDPR pokrýva, v skutočnosti nerieši niektoré nové povinnosti vrátane práve ohlasovania a dokumentácie incidentov. Čo zodpovedá našim aktuálnym zisteniam, keď je na GDPR plne pripravená menej než pätina českých a slovenských podnikov.
Na trhu je dostupný rad riešení. Operačný systém Windows Server síce poskytuje záznamy o bezpečnostných udalostiach, ale bez dedikovaného riešenia, ktoré by dokázalo jednoducho rozpoznať podozrivú aktivitu v reálnom čase pre čo najrýchlejšiu reakciu, môže byť hľadanie v záznamoch zložité. S monitoringom bezpečnostných udalostí a s nastavením upozornení na detekciu hrozieb v cloude môže pomôcť Microsoft Azure Security Center.
Najefektívnejší prehľad o bezpečnosti – vrátane zásad, mechanizmov, činností a aplikácií – dodávajú špecializované riešenia, ako je napríklad softvér na správu udalostí GFI EventsManager umožňujúci rýchlejšiu reakciu na incidenty. Tento softvér poskytuje trojvrstvovú konsolidáciu dát zo záznamov, ktorá je takto pripravená oznamovať potrebné informácie nadriadeným autoritám v súlade s GDPR a navyše je chránená dvojfaktorovou autentizáciou. Tieto informácie môžu byť nápomocné už vo fáze posudzovania vplyvu implementovaných opatrení na ochranu osobných údajov (DPIA). K zákazníkom riešenia sa na lokálnom trhu radí napríklad spoločnosť Panasonic Industrial Devices Slovakia, ktorej GFI EventsManager poskytol jednoducho ovládateľný a efektívny nástroj, ktorý okrem iného vyhovuje aj zákonným požiadavkám.
