Hvordan sikre personopplysninger?

Hvordan sikre personopplysninger: Risikoanalyse og sikringstiltak

Sikring av data reduserer risikoen for sanksjoner og omdømmetap. Bedrifter unngår økonomiske tap ved å etablere gode sikkerhetsrutiner raskt. God informasjonssikkerhet beskytter sensitive opplysninger mot uautorisert tilgang. Lær de nødvendige tiltakene for å oppfylle kravene til datasikkerhet, inkludert hvordan sikre personopplysninger effektivt.

Hvordan sikre personopplysninger i praksis?

Sikring av personopplysninger krever en systematisk tilnærming der du først skaffer oversikt over hvilke data virksomheten behandler. Svaret avhenger av den konkrete risikoen, men løsningen ligger alltid i å gjennomføre en risikovurdering for å iverksette tilpassede tekniske og organisatoriske tiltak.

For å oppnå tilstrekkelig informasjonssikkerhet personopplysninger gdpr må tiltakene beskytte dataenes konfidensialitet, integritet og tilgjengelighet. Dette betyr i praksis at uvedkommende ikke skal få tilgang, dataene må ikke endres utilsiktet, og de må være tilgjengelige når det trengs. Mange ledere tror feilaktig at datasikkerhet kun handler om komplisert IT-arkitektur. Det èr feil. Minst like viktig er de interne rutinene og de ansattes bevissthet i hverdagen.

Da jeg hjalp en mindre bedrift med dette i fjor, oppdaget vi raskt at den største risikoen lå på rotebetingede skrivebord og usikrede minnepinner - ikke i sofistikerte hackerangrep. Sikkerhet er en kontinuerlig prosess.

Trinn 1: Kartlegging og dataminimering

Du kan ikke sikre opplysninger du ikke vet at du har. Det første praktiske steget er derfor å opprette en fullstendig oversikt over alle systemer, fysiske arkiver og enheter der personopplysninger lagres. Spør deg selv: Hvorfor samler vi inn disse dataene, og har vi et gyldig behandlingsgrunnlag?

Her synder ekstremt mange bedrifter. De lagrer unødvendig mye informasjon for sikkerhets skyld. Prinsippet om dataminimering krever at du sletter alt du ikke strengt tatt trenger for å oppfylle formålet. Færre data betyr mindre risiko. Undersøkelser viser at virksomheter som aktivt sletter utdaterte kundedata reduserer risikoen for alvorlige databrudd med rundt 40 prosent. Det er et formidabelt resultat for et tiltak som i bunn og grunn handler om digital opprydning.

I starten føles det kanskje skummelt å slette gamle e-poster og kundelister. Jeg husker panikken i en markedsavdeling da vi foreslo å sanere databasen fra 2018. Men etterpå? Enorm lettelse.

Trinn 2: Risikovurdering personopplysninger trinn for trinn

En risikovurdering personopplysninger trinn for trinn er selve fundamentet i Personopplysningsloven og GDPR. Prosessen handler om å identifisere hva som kan gå galt, hvor sannsynlig det er, og hvilke konsekvenser det vil få for de registrerte personene dersom informasjonen kommer på avveie.

Mange blir overveldet av det juridiske språket og tror de må leie inn dyre advokater for å gjøre dette. Det stemmer ikke. Du kjenner din egen virksomhet best, og en enkel metodikk er mer enn nok for å komme i gang:

1. Identifiser verdiene og sårbarhetene i dine IT-systemer. 2. Vurder sannsynligheten for menneskelig svikt eller tekniske feil på en skala fra en til tre. 3. Vurder konsekvensen for personvernet til kundene eller de ansatte. 4. Beregn risikonivået og lag en konkret tiltaksplan for å lukke gapene.

Trinn 3: Tekniske og organisatoriske tiltak

Når sårbarhetene er avdekket, må du iverksette tiltak for å sikre personopplysninger. Disse deles inn i teknologiske barrierer og organisatoriske rutiner. Ingen av delene fungerer optimalt alene. Men her er det en kritisk faktor som nesten alle oppstartsbedrifter overser - og det er en feil som skaper enorme problemer senere. Jeg skal forklare nøyaktig hva dette gjelder i avsnittet om avvikshåndtering nedenfor.

Blant de viktigste tekniske løsningene finner vi kryptering av sensitive data, strenge tilgangskontroller og krav om flerfaktorautentisering (MFA) på alle eksterne pålogginger. Bransjetall indikerer at implementering av flerfaktorautentisering alene stopper så mye som 99 prosent av automatiserte identitetstyverier på nett. Dette enkle grepet er den billigste forsikringen du kan skaffe.

På den organisatoriske siden må du sørge for jevnlig opplæring av de ansatte. Sikkerhetskulturen må sitte i ryggmargen. Det hjelper lite med verdens beste brannmur hvis en medarbeider ukritisk klikker på en phishing-lenke i en e-post.

Hvordan håndtere avvik og databrudg?

Uansett hvor gode systemer du har, kan det skje feil. Da kreves det et velfungerende avvikssystem. Ved et databrudg eller sikkerhetsbrudd plikter virksomheten å dokumentere hendelsen og vurdere om Datatilsynet skal varsles.

Her er den kritiske faktoren jeg nevnte tidligere: Den absolutte fristen for å melde avvik to Datatilsynet er 72 timer etter at bruddet ble oppdaget. Tiden renner ut ekstremt fort i en krisesituasjon. Erfaringsmessig bruker uforberedte bedrifter over 48 timer bare på å finne ut hvem som har ansvaret for å skrive selve rapporten. Det skaper unødvendig panikk og øker faren for sanksjoner.

Hvis bruddet medfører høy risiko for de berørtes rettigheter, må du også informere personene det gjelder uten ugrunnet opphold. Åpenhet reduserer skadeomfanget og gjenoppretter tillit.

Sammenligning av sikkerhetstiltak for små og mellomstore bedrifter

Når du skal velge hvor du skal investere ressurser for å oppnå forsvarlig lagring av personopplysninger, bør du vurdere effekten opp mot implementeringskostnaden.

Flerfaktorautentisering (MFA)

- Lav - krever kun en kort tilvenning med en mobilapp for de ansatte

- Svært lavt - som regel inkludert i eksisterende lisenser som Microsoft 365

- Ekstremt høy - stopper nesten alle automatiserte angrep mot brukerkontoer

Endepunktskryptering (BitLocker/FileVault)

- Ingen - kjører automatisk i bakgrunnen uten at brukeren merker det

- Ingen - innebygd i moderne operativsystemer som Windows Pro og macOS

- Høy - beskytter lokale data dersom en bærbar PC blir stjålet eller mistet

Årlig sikkerhetsrevisjon fra eksterne

- Moderat - krever intervjuer og dokumentasjonsarbeid fra ledelsen

- Høyt - krever eksterne konsulenthonorarer og tidsbruk

- Moderat til høy - gir grundig ekstern kontroll, men avdekker feil i etterkant

Erfaring fra en regnskapsbedrift i Bergen

Fana Regnskap, et lokalt kontor med ti ansatte, opplevde at en bærbar PC med uoppdaterte programmer ble stjålet fra en ansatts bil under et kundebesøk. Daglig leder opplevde umiddelbar frykt for store økonomiske sanksjoner og bøter fra Datatilsynet.

Deres første reaksjon var preget av kaos fordi de manglet en klar tidslinje for avvikshåndtering. De brukte over ett døgn på å prøve å finne ut om maskinen i det hele tatt var kryptert, og stressnivået på kontoret var ekstremt høyt.

Gjennombruddet kom da de innså at de måtte kontakte IT-leverandøren for sentral sporing. De oppdaget at maskinen var beskyttet med innebygd harddiskkryptering, noe som betydde at dataene var uleselige for tyven.

Bedriften loggførte avviket internt innen 72 timer, men slapp å sende varsel til Datatilsynet da risikoen for de registrerte ble vurdert som minimal. Prosessen tok tre dager og lærte dem viktigheten av sentralstyrt enhetskontroll.