A mai digitális világban mindenhol személyes adatok vesznek körbe minket, így ha egy cég vagy szervezet életében ezek védelme nem kap kiemelt szerepet, komoly veszélyek fenyegethetik nemcsak az ügyfeleket, de magát a céget is. Éppen ezért vezetik be május 25-től a GDPR-t, vagyis az Egységes Európai Adatvédelmi Rendeletet, amely a nemzeti jogszabályokat felülírva egységesíti az uniós tagállamok adatkezelési szabályait. Az új határozatra nem mindenki áll készen: becslések szerint a hazai cégek és szervezetek 30 százaléka soha nem hallott még a szabályozásról, a maradék 70 százalék több mint fele pedig halott ugyan róla, de fogalmuk sincs, mihez kellene kezdeniük vele.
A GDPR-ral kapcsolatban az a rossz hír, hogy soha senki nem fogja tudni kijelenteni azt, hogy márpedig a szervezet 100 százalékig felkészült és a jogszabály minden pontjának megfelel. Ez azért van, mert a személyes adatok védelme – hasonlóan az információvédelemhez – egy kockázatalapú megközelítésen nyugszik: ahogy a szervezet, úgy a fenyegető tényezők is változnak. Mindössze annyi várható el, hogy a szervezet elfogadható kockázati szinten működjön. Ahogy nincs 100 százalékos biztonság, úgy nincs 100 százalékos GDPR megfelelés sem – véli Solymos Ákos, a QUADRON Kibervédelmi Kft. szakértője.
Ez nem az informatikusok feladata - de akkor kié?
Szintén rossz hír, hogy a maradék közel egy hónap már nem sok mindenre elég. Azok a cégek, akik eddig is úgy gondolták, hogy a rendszergazda megoldja az adatok és információk védelmét, nagyon rossz úton járnak. A személyes adatok védelme, hasonlóan a szervezet egyéb információs vagyonának védelméhez nem az IT feladata, bár sokan úgy gondolják – ők azzal érvelnek, hogy hozzájuk áll legközelebb. Ez csak abból a szempontból igaz, hogy az adattárolókhoz és szerverekhez az informatikusok vannak a legközelebb, hiszen ezek fizikailag a gépteremben vagy a szerverszobában vannak.
A szervereken lévő adatokat, információkat és fájlokat azonban nem az informatikusok teszik oda és használják, hanem üzleti, szervezeti folyamatokon keresztül a teljes cég. Éppen ezért van a GDPR-ben is megfogalmazva az adatkezelő és az adatfeldolgozó közötti különbség: elsősorban az adatkezelő felel az adatokért, mivel ő dönt, ő határozza meg a kezelés módját. Az informatikus vagy programozó csupán adatfeldolgozó: nem ő mondja meg, hogy egy üzleti folyamatot támogató rendszer milyen funkciókkal és adatokkal működjön.
Nem az informatikusok dolga – és nem is a jogászoké – annak eldöntése, hogy egy-egy személyes adat, vagy az azt kezelő rendszer mennyire fontos a szervezetnek és hogyan kell megvédeni azokat. Sok helyen az informatikára van ez a szerep kényszerítve, ám ez problémás: az IT saját működése mellett, a saját biztonsági szakértelme és kockázatérzékenysége szintjén fogja ezt a témát kezelni. Az adatok és információk védelme a teljes szervezetet át kell, hogy járja. Mi akkor a megoldás?
Az információvédelem egy külön szakma, ami tanulható, viszont egy szervezet nem tud egy tollvonással a megfelelő információ- és személyes adat védelmi szintre eljutni. Ez egy hosszú folyamat, amelynek komoly hatása kell, hogy legyen a szervezet egészére, sőt a cégkultúrára is. Hasonlóan a DPO, vagyis adatvédelmi tisztviselő szerepköre mellett a vállalatoknak ki kell alakítaniuk egy információvédelmi felelősi szerepkört is. Ha ezt komolyan veszik, – és muszáj lesz nekik – ez előbb utóbb egy szervezetté fogja kinőni magát. A jövőben ezt mindenkinek szem előtt kell tartania, mert adatvédelmi incidens vagy a jogszabály megszegése esetén komoly büntetés várható – emelte ki a QUADRON szakértője.
A GDPR miatt tűnik el a magyar kkv-k harmada?
Szakérők korábban úgy értékelték a GDPR-t: a multinacionális, nagy cégeknek eddig is keményen fizetniük kellett az adatpolitikájuk miatt. A mostani rendeleten elsősorban a kis- és középvállalkozói piac hasalhat el - a cégek 30-40 százaléka is eltűnhet a rendelet életbe lépését követően. Korábbi összeállításunk >>
