Άρθρο του κ. Χρήστου Βιδάκη που δημοσιεύτηκε στο Broker’s Time 49*
* Ο κ. Βιδάκης είναι Principal, Risk Advisory, Deloitte Certified Public Accountants SA
Ο κυβερνοχώρος αποτελεί διαχρονικά σημαντικό πεδίο κινδύνου για την ασφάλεια των οργανισμών.
Αυτό που θα διαφοροποιηθεί στο προσεχές μέλλον είναι:
α) ο βαθμός της ψηφιακής έκθεσης των οργανισμών στον κυβερνοχώρο, με συνέπεια την αύξηση του πεδίου δράσης των επιτιθέμενων, και β) οι δράσεις ασφάλειας θα επηρεάζονται σε μεγάλο βαθμό από τις κανονιστικές απαιτήσεις για την ασφάλεια των πληροφοριών. Οι απαιτήσεις είναι σε μεγάλο βαθμό γνωστές στην κοινότητα της τεχνολογίας και της κυβερνοασφάλειας, αυτό όμως που θα συμβάλει δραστικά στην εφαρμογή τους είναι τα επαπειλούμενα υψηλά διοικητικά πρόστιμα.
Η πλειοψηφία των οργανισμών δεν κατανοούν πλήρως το προφίλ κινδύνου τους και δεν είναι σε θέση να εφαρμόσουν ολιστικά και αποτελεσματικά οργανωτικά και τεχνολογικά μέτρα ασφάλειας. Επιπροσθέτως, η στρατηγική ασφάλειας πληροφοριών και οι επιμέρους δράσεις της περιορίζονται στην τεχνολογική διάσταση για την αντιμετώπιση μεμονωμένων περιστατικών ασφάλειας και δεν αποβλέπουν στη συνολική αντιμετώπιση των ζητημάτων ασφάλειας πληροφοριών.
O Γενικός Κανονισμός (EE) 2016/679 για την προστασία των δεδομένων (εφεξής «Κανονισμός»), αυξάνει ουσιωδώς τις υποχρεώσεις συμμόρφωσης για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών. Τα νέα ζητήματα που επιτακτικά θέτει ο Κανονισμός, περιλαμβανομένων και των υψηλών προστίμων, έχουν δημιουργήσει έντονους προβληματισμούς σε επιχειρήσεις και οργανισμούς.
Το πανευρωπαϊκό δίκτυο διασφάλισης της ιδιωτικότητας των δεδομένων ”Data Protection PowerHouse” της Deloitte, αξιοποιώντας τη συσσωρευμένη και εις βάθος εμπειρία του σε έργα προετοιμασίας και συμμόρφωσης με τον Κανονισμό, έχει αναγνωρίσει τις παρακάτω υποχρεώσεις του Κανονισμού, που, κατά κανόνα, θα επιφέρουν σημαντικές αλλαγές στο πλαίσιο διακυβέρνησης, καθώς και στα οργανωτικά και τεχνολογικά μέτρα ασφάλειας των οργανισμών:
1) Κανονιστική συμμόρφωση και νομικές υποχρεώσεις: Στο πεδίο αυτό εντάσσονται: α) η λογοδοσία, που έχει την έννοια ότι οι επιχειρήσεις και οι οργανισμοί θα πρέπει να είναι σε θέση να τεκμηριώνουν το επίπεδο συμμόρφωσής τους, β) ο -υπό προϋποθέσεις- υποχρεωτικός ορισμός υπεύθυνου προστασίας δεδομένων, ο οποίος, με βάση τις ειδικές γνώσεις και την εμπειρία του στο δίκαιο και στις πρακτικές προστασίας των προσωπικών δεδομένων, παρέχει συνδρομή στον υπεύθυνο επεξεργασίας ή τον εκτελούντα κατά την παρακολούθηση της εσωτερικής συμμόρφωσής του προς τις διατάξεις του Κανονισμού, και γ) η αναθεώρηση των γνωστοποιήσεων και των συγκαταθέσεων.
2) Τεχνολογία: Στο πεδίο αυτό εντάσσονται: α) η προστασία προσωπικών δεδομένων από τον σχεδιασμό -η τεχνολογία θα πρέπει να σχεδιάζεται εξ αρχής, κατά τέτοιο τρόπο ώστε να πληροί τις απαιτήσεις του Κανονισμού, β) η προστασία προσωπικών δεδομένων εξ ορισμού, που έχει την έννοια ότι θα πρέπει εξ ορισμού να υιοθετούνται κατάλληλοι μηχανισμοί για να διασφαλίζεται ότι μόνο τα δεδομένα που απαιτούνται για συγκεκριμένους σκοπούς θα συλλέγονται και θα χρησιμοποιούνται, καθώς και ότι τα δεδομένα θα αποθηκεύονται μόνο για το χρονικό διάστημα που απαιτείται για την ικανοποίηση του σκοπού τους, και γ) η εφαρμογή προγράμματος για την έγκαιρη διαχείριση των περιστατικών διαρροής δεδομένων.
3) «Διακυβέρνηση Δεδομένων»: Στο πεδίο αυτό εντάσσονται: α) η χαρτογράφηση του περιβάλλοντος επεξεργασίας προσωπικών δεδομένων με σκοπό την καταγραφή του αρχείου δραστηριοτήτων και β) η υλοποίηση ειδικών τεχνολογικών μέτρων, προκειμένου να διασφαλιστεί η άσκηση των δικαιωμάτων των υποκείμενων των δεδομένων, όπως τα δικαιώματα διαγραφής, φορητότητας, πρόσβασης και διαφάνειας.
Το πλαίσιο προστασίας δεδομένων της Deloitte υιοθετεί την εκτέλεση των παρακάτω διακριτών δράσεων για την εφαρμογή του Κανονισμού:
1. Ανάπτυξη σχεδίου σε σχέση με τη στελέχωση και τις αρμοδιότητες του υπευθύνου προστασίας δεδομένων, εφόσον απαιτείται.
2. Ανάπτυξη προγράμματος ενημέρωσης των στελεχών του οργανισμού για την ασφαλή συλλογή, χρήση, επεξεργασία, αποθήκευση και καταστροφή των προσωπικών δεδομένων.
3. Χαρτογράφηση του περιβάλλοντος επεξεργασίας προσωπικών δεδομένων και καταγραφή των καταλόγων δραστηριοτήτων και πόρων επεξεργασίας, σύμφωνα με το άρθρο 30 του Κανονισμού.
4. Εκτέλεση μελέτης αποκλίσεων και κατάρτισης σχεδίων δράσεων για την αντιμετώπιση των πιθανών αποκλίσεων.
5. Εκτέλεση μελέτης επιπτώσεων για τις υψηλού κινδύνου περιοχές επεξεργασίας δεδομένων, σύμφωνα με το άρθρο 35 του Κανονισμού.
6. Ανάπτυξη διαδικασιών για την έγκαιρη ικανοποίηση των δικαιωμάτων των φυσικών προσώπων.
7. Ανάπτυξη διαδικασίας για την έγκαιρη διαχείριση των περιστατικών διαρροής δεδομένων.
8. Υλοποίηση τεχνολογικών λύσεων (privacy enhancing technologies) για την ενίσχυση της ασφάλειας των δεδομένων.
9. Ανάπτυξη διαρκούς ελεγκτικού προγράμματος, με σκοπό τη συνεχή αξιολόγηση του επιπέδου συμμόρφωσης με τις απαιτήσεις του Κανονισμού.
Από τα παραπάνω προκύπτει εμφανώς ότι η συμμόρφωση με τις απαιτήσεις του Κανονισμού δεν είναι αποκλειστικά ζήτημα κανονιστικής συμμόρφωσης. Αντιθέτως, οι απαιτήσεις που αφορούν τη διαχείριση των δεδομένων μπορεί να επηρεάσουν, από τη φύση τους, το σύνολο του προγράμματος διακυβέρνησης των δεδομένων μιας επιχείρησης ή ενός οργανισμού. Για αυτόν τον λόγο, επιχειρήσεις και οργανισμοί θα πρέπει να εφαρμόσουν ένα εταιρικό πλαίσιο προστασίας δεδομένων υιοθετώντας ολιστική προσέγγιση, συνενώνοντας όλα τα επιμέρους συστατικά του οργανισμού, που συμπράττουν στον καθορισμό του σκοπού και των μέσων επεξεργασίας προσωπικών δεδομένων, στον σχεδιασμό, στην υλοποίηση, στην παρακολούθηση και στον έλεγχο των οργανωτικών και τεχνολογικών μέτρων.
Ο Κανονισμός παρουσιάζει μια σημαντική ευκαιρία ανάπτυξης για τους οργανισμούς, καθώς απαιτεί την υλοποίηση στρατηγικής και ολιστικής προσέγγισης αναφορικά με τα δεδομένα των πελατών. Οι οργανισμοί, ως εκ τούτου, μπορούν να αξιοποιήσουν τον Κανονισμό για να αποκτήσουν ανταγωνιστικό πλεονέκτημα στη διαχείριση προσωπικών δεδομένων, και να χρησιμοποιήσουν τις πρακτικές προστασίας της ασφάλειας των πληροφοριών, ως μοναδικό σημείο υπεροχής.
Ειδικότερα, για τους ασφαλιστικούς οργανισμούς, ο Κανονισμός θα συμβάλει στην περαιτέρω διείσδυση των προϊόντων κυβερνοασφάλισης και μπορεί να αξιοποιηθεί ως σημείο αναφοράς κατά τη διαδικασία ανάληψης κινδύνου και της αξιολόγησης του επιπέδου ωρίμανσης του πλαισίου διακυβέρνησης ασφάλειας των πελατών τους.