7 czerwca 2023
2 minuty czytania
Polityka bezpieczeństwa danych – dlaczego mała firma powinna ją mieć?
Polityka bezpieczeństwa danych nie jest zarezerwowana tylko dla dużych organizacji. Wręcz przeciwnie! Małym i średnim przedsiębiorstwom pozwoli zabezpieczyć się przed atakami i zwykłymi, ludzkimi błędami.
Rośnie liczba cyberataków na polskie firmy. Jak wynika z raportu ESET Digital Security Sentiment, w 2022 roku aż 59 proc. firm z sektora małych i średnich przedsiębiorstw doświadczyło cyberataku, którego skutkiem mogły być wyciek lub utrata danych. Jednak to nie tylko przestępcy są zagrożeniem dla bezpieczeństwa firmy. Stanowi je też brak procedur i wiedzy samych pracowników w zakresie ochrony danych.
Czemu służy polityka bezpieczeństwa?
Polityka bezpieczeństwa danych to dokument, który pozwala kompleksowo zarządzać bezpieczeństwem informacji w przedsiębiorstwie, określa obowiązujące w firmie procedury i porządkuje wiedzę. Posiadanie takiego dokumentu nie jest w Polsce obowiązkowe, warto jednak opracować go nawet na potrzeby niewielkiego zespołu.
Polityka bezpieczeństwa zbiera wszystkie istotne w tym temacie informacje, podnosi świadomość pracowników i zapobiega szkodliwym działaniom. Do wycieku danych może bowiem dojść poprzez nieuwagę osób pracujących w firmie lub brak świadomości, że ich zachowania czy przyzwyczajenia stanowią zagrożenie. Do wycieku danych dochodzi też czasem przez celowe działanie zatrudnionych osób.
Opracowanie polityki bezpieczeństwa danych jest także sygnałem dla pracowników i kontrahentów, że w danej firmie dba się o bezpieczeństwo i je kontroluje.
Dokument wzmacnia nie tylko stabilność i bezpieczeństwo firmy, ale także jej wizerunek. Polityka bezpieczeństwa danych pozwala również dostosować firmowe procedury do przepisów i standardów obowiązujących w Polsce, zwłaszcza tych związanych z ochroną danych osobowych. Minimalizuje ryzyko naruszenia przepisów RODO. Dodatkowo dzięki dokumentowi firma jest w stanie lepiej się przygotować na możliwe incydenty.
Właściciele niewielkich przedsiębiorstw często decydują się na spisanie jednego dokumentu, który bierze pod uwagę wszystkie aspekty dotyczące bezpieczeństwa.
Co powinna zawierać polityka bezpieczeństwa danych – wskazówki dla przedsiębiorcy
Polityka bezpieczeństwa danych niech będzie przejrzystym dokumentem napisanym zrozumiałym i przystępnym językiem, który będą w stanie zrozumieć wszyscy pracownicy firmy. Nie ma konkretnych wymogów co do zawartości dokumentu, ale aby spełniał on swoje funkcje, powinien:
- określać podział firmowych danych na publiczne i poufne,
- regulować dostęp pracowników do poszczególnych danych,
- regulować sposób ochrony i przetwarzania danych osobowych zgodny z dyrektywą RODO,
- określać politykę haseł: metody autoryzacji dostępu i konta uprzywilejowane, długość i złożoność haseł oraz częstotliwość ich zmiany,
- wprowadzać zasady postępowania z plikami i szyfrowania poufnych danych,
- określać zasady ochrony danych prywatnych pracowników, w tym ich numerów PESEL,
- definiować zakres i sposób wykonywania backupu danych,
- brać pod uwagę nie tylko dane elektroniczne, ale też i te przechowywane w segregatorach oraz regulować ich bezpieczeństwo,
- określać procedury, co robić, jeżeli dojdzie już do wycieku lub utraty informacji.
Jak budować świadomość pracowników dotyczącą cyberzagrożeń?
Z polityką bezpieczeństwa danych dobrze zaznajamiać pracowników zaraz po ich zatrudnieniu. Lecz aby nie był to martwy dokument, który podpisze się i o nim zapomni, warto do niego wracać, przypominać mailem lub na spotkaniach najważniejsze zasady, wciąż testować wybrane rozwiązania i je aktualizować. W cyberbezpieczeństwie wciąż pojawiają się nowe zagrożenia, a hakerzy prześcigają się w nowych sposobach na ataki. Dlatego każdy pracownik firmy powinien stale aktualizować i poszerzać wiedzę.
W sieci można znaleźć profesjonalne kursy online, które przedstawiają m.in. rodzaje cyberataków i stosowane przez hakerów socjotechniki, uczą tworzenia silnych haseł i pokazują metody szyfrowania danych.
Ważne jest też, aby nie bagatelizować zgłoszeń pracowników dotyczących bezpieczeństwa. Aby nie zniechęcali się oni do stosowania procedur i chcieli poszerzać wiedzę, powinni zawsze uzyskiwać odpowiedzi na zgłoszenia czy pytania o bezpieczeństwo.
Z zagrożeniami nie trzeba też mierzyć się samemu. Warto nawiązać współpracę ze sprawdzonym partnerem w zakresie bezpieczeństwa i skorzystać z takich usług jak na przykład CyberTarcza od Orange.
