Introducció: Per què la seguretat i la matèria de privadesa més que mai

Les organitzacions de confiança de caràcter o violència, no només donen diners, sinó també els seus noms d'informació personal, adreces, contactes de correu electrònic, números de telèfon i detalls financers com ara dades de targetes de crèdit o de compte bancari. Un pas de dades o una passa de privacitat pot trencar la confiança en segons, el que dóna a donant als donant abús, la cobertura dels mitjans negatius i fins i tot els reguladors que amenacen l' estabilitat financera de l' organització.

En els últims anys, el regulador de la protecció de dades ha crescut molt estrictes. Les lleis com ara la Convenció de Protecció general de la Unió Europea (GDPR), la Llei de privacitat de California (CCPA), i similars els estatuts en altres jurisdiccions imposaven obligacions sobre com les entitats sense ànim de lucre, desen procés i comparteix dades personals. Nod' aquesta manera pot resultar en penes arribant a milions de dòlars. Més enllà del risc legal, els donants s' adonen cada vegada més que els problemes de privacitat; un 2023 per l'enquesta de la 79 de recerca que es troben a les empreses% dels adults, les seves dades personals. Els caràcters no poden demostrar un compromís de la privacitat i la seguretat actual.

Aquest article proporciona una guia completa a les millors pràctiques per a la seguretat de les dades dels donants i la privacitat en organitzacions caritatius. cobreix la importància crítica de la protecció d' informació sensible, passos d' acció detallats per a la gestió de seguretat i de privacitat, el paisatge legal i ètic, i recomanacions que qualsevol organització sense ànim de lucre no pot modificar la mida o l' implementació del pressupost.

Comprendrà la importància de la seguretat de dades per sense ànim de lucre

Els tipus de dades del Donor al risc

Les dades del Donor van molt més enllà d' un nom simple i adreça de correu electrònic. Les organitzacions Charibles normalment tenen múltiples categories d' informació idendentifible personalment (PI):

  • [[FLT: 0]Contact Information: [[[FLT: 1] Nom complet, adreça d' usuari, número de telèfon, adreça de correu electrònic.
  • [[FLT: 0]Fi Dades financeres: [[FLT: 1] números de targeta de crèdit, informació del compte bancari, històries de transaccions, detalls de regal repetides.
  • [[FLT: 0] Demogràfic i Dades de comportament: [[[[FLT: 1] edat, interval d'ingressos, història de donació, fons d' assistència, preferències de comunicació, resultats de compromís, i fins i tot a les atribucions polítiques o religioses que poden ser referenciades des de patrons d' interès.
  • [[FLT: 0] Health o Informació sensible: [[[FLT]] En casos de recaptació mèdica o de fons d'assistència per desastres, les organitzacions poden tenir dades de salut o altres categories especials de dades que requereixen protecció profunda.

Aquesta col· lecció de dades és un tresor de les col· linedes cibercriples. Els registres dels donants es poden utilitzar per a robatori d'identitat, frau de crèdit, atacs de plàstic, o venuts en mercats foscos de la xarxa. Segons el Col·laboració de Dades Verizon , Report (DBIR), el sector sense ànim de lucre no és immune; encara que no sigui gaire sovint el que té el seu objectiu com a finançament o sanitat, l'impacte d' una bretxa en una petita reducció de la caritat pot ser devastadora degut a recursos limitats per a la recuperació.

Consulsions de dades Breches i Violació de privadesa

Les innegudes de la protecció inadequada de dades poden prendre diversos formularis:

  • [FLT: 0] [FECCIÓ d'una presa de fons: [[[FLT:] News d'una bretxa de dades en els donants instantàniament. Un estudi de 2022 de la millor empresa que ha descobert que el 60% dels donants han deixat de donar a una organització que ha patit una bretxa de dades que inclouen la seva informació personal.
  • [[FLT: 0] Lolgal i les Penalies reguladors: [[[FLT: 1]] sota el PIB R, les fis poden arribar al 4% de l' aportació global anual o 20 milions d' € (que sigui més gran). Les violacions CCPA porten sancions de fins a $7, per violació de intenció. Fins i tot si no estan imposades, el cost d' investigació, la notificació i la il· lació poden ser substancials.
  • [[FLT: 0]] Disupció operacional: [[[FLT:] Ranomware atacs o comprometre els sistemes poden bloquejar organitzacions de les seves pròpies bases de dades, campanyes de recaptació de fons de l' aturada, i requereixen setmanes de temps baix per restaurar els sistemes.
  • [[FLT: 0] Don Chunnn i va reduir el lliurament: [[[FLT:]] Una bretxa sovint porta a cancel·lar la cancel· lació immediata de donacions repetitives, pèrdua de major dons, i dificultat per adquirir nous seguidors.

Donades aquestes esta accions, la inversió proactiva en la seguretat dels donants no és un requisit de la competència del luxe per a cap organització caritativa que espera mantenir relacions a llarg termini amb la seva comunitat.

Millors exercicis per a la Seguretat de Donor

La seguretat es centra en la protecció de dades d'accés no autoritzat, alteració, destrucció o revelació, les següents pràctiques formen un punt de partida que totes les caritates haurien d'adoptar, independentment de la experiència tècnica.

1. Implementa una potent autenticació per contrasenya i multi-Factor

Les contrasenyes dèbils segueixen sent un dels vectors d' atac més comuns. Requereix empleats i voluntaris per a usar contrasenyes complexes, úniques per a tots els sistemes que accedeixen a les dades dels donants. Les contrasenyes han de ser com a mínim 12 caràcters de gràcia16, inclouen una barreja de majúscules i minúscules, números i símbols, i mai es reutilitzaran en plataformes. En força els canvis de contrasenya periòdica, encara que l' Institut Nacional de dades estàndard i tecnologies (NIST) recomana ara la rotació arbitrària a menys que hi hagi proves de comprometre; en comptes de centrar- se en la força i el control de la bretxa.

[[FLT: 0] S' autenticació de codi numèric (FA) [[[[[FLT: 1] afegeix una capa addicional de seguretat demanant una segona forma de la verificació de gourbourbisme com a codi d' una vegada enviats a un telèfon, una exploració biomètrica, o una fitxa de maquinari. Habilita l' MFA en tots els comptes de correu, sistemes de gestió de donants (CRM), entrades de pagament i plataformes d' emmagatzematge. Eines Do Seguretat, Microsoft Auticator, o Google Ausetic- e- e- e- i fàcil d' desplegar.

[[FLT: 0] El recurs extern: [[[FLT: 1] Per a una orientació detallada sobre les polítiques de contrasenya, mireu l' entorn [[FLT: 2] [NIST [/ security]]] i les recomanacions de contrasenya que acompanya a la pública especial NIST 800- 6B.

2. Xifra les dades a la resta i en trànsit

El xifrat assegura que fins i tot si un partit no autoritzat té accés a l' emmagatzematge de dades o intercepta dades en moviment, la informació continua illegible sense la clau de desencriptatge apropiada. Les regles haurien d' implementar:

  • [[FLT: 0] En pausa: [[[FLT: 1] Totes les bases de dades dels donants, fitxers de còpia de seguretat, fulls de càlcul i registres d' arciv s' han d' encriptar usant algorismes forts com AES- 256. La majoria dels sistemes de bases de dades moderns (p. e., MySQL, PostgreSQL) i serveis de núvol (AWS, Azure, Google Cloud) ofereix característiques de xifrat que es poden activar amb la configuració mínima.
  • [[FLT: 0] Encryption en trànsit: [[[FLT: 1] usa SSL/TLS (Transport Security) per a tots els tràfic web que inclouen formularis de donació, portals o interfícies administratives. Assegureu- vos que el certificat del vostre lloc web és vàlid i actualitzat. Per a comunicacions internes, considereu usar el VPN/ SSH o els túnels SSH en accedir a les bases de dades de donants remotament.

L' encriptatge final a final és especialment crític per a les dades de pagament. Fins i tot si la vostra organització utilitza un processador de pagament de tercers tipus, qualsevol informació del donant que passi pels vostres sistemes hauria de ser transmesa sobre els canals encriptats.

3. Conserva programari i sistemes actualitzats

Els criminals del cibernal sovint coneguts amb dificultats en programari desactualitzat. Establiu un horari de gestió d' un pedaç normal per al vostre sistema de gestió de donants, sistema de gestió de continguts, sistemes operatius, tallafocs i totes les integració de tercers parts. Habilita les actualitzacions automàtiques on sigui possible i monitoritza els anuncis dels proveïdors de seguretat per a pedaços crítics.

Els sistemes heretats, especialment, el que es construeix a base de dades personalitzades o versions antigues de CRM populars rwupre particularment arriscats. Si la vostra organització encara depèn del programari que ja no rep actualitzacions de seguretat, prioritzin cap a una plataforma suportada. Hi ha disponibles moltes alternatives segures, incloent- hi les solucions basades en núvol que gestionen el pedaç automàticament.

4. Limita l' accés a Donor Dades usant el principi del mínim PrivilE

No tots els empleats o voluntaris necessiten accés a totes les dades dels donants. No obstant això, el control d' accés basat en paper (RBAC) per restringir l' accés de dades a només aquells individus que requereixen que ho requereixen per a realitzar les seves funcions de treball específiques. Per exemple:

  • Els empleats de fons poden haver de veure informació de contacte donant i donar història, però no tots els números de targetes de crèdit.
  • El personal de Finances pot necessitar accés als registres d' assentaments, però no adreces personals o notes de compromís.
  • Els interns o el personal temporal haurien de tenir accés de només lectura o permisos limitats per temps.

La revisió d' accés regular als registres per a detectar activitat inusual, com ara un empleat descarrega grans volums de dades fora d' hores normals de treball. Els processos provisionals i deprovisió de l' usuari haurien de ser automatitzats: quan un membre deixa l' organització o els seus funcions, els seus drets d' accés s' han de recuperar o ajustar immediatament.

5. Useu les cartes de pagament segura i complaent amb PCI DSS

Si la vostra organització accepta donacions de targetes de crèdit que es troben en línia, per telèfon o en persona NOPUBLE heu de respectar amb la POLI Security (PPI DSS). Aquest conjunt de 12 requeriments governa com es gestionen les dades dels implicats, emmagatzemades i transmesa. Les obligacions de clau inclouen:

  • Mai desant els números de targeta de crèdit, codis CV, o dades magnètics després d' una transacció està autoritzada.
  • Usant la fitxa o l' encriptatge per a substituir dades de cartes sensibles amb equivalents no sensibles.
  • Contrringar amb un processador de pagament compatible amb PCI (p. ex., Stripe, PayPal, Brathie, o processadors de sense ànim de lucre especialitzat com Donorbox o GeinWP).
  • Conductar a l'hora d'autoassasament o escàners de vulnerabilitat com cal pel seu banc d'adquisició.

Moltes organitzacions de lucre poden reduir la seva càrrega PCI de compliment usant una porta de pagament de tercers que gestiona directament les dades de targeta, de manera que la caritat no toqui ni emmagatzema números de cartes completes. Tot i això, fins i tot amb aquest model, l'organització ha de garantir la seva pàgina web i xarxa.

[[FLT: 0] recurs extern: [[[FLT]]] Apreneu més quant a requeriments PCI de petites empreses i sense ànims a la pàgina web oficial del Consell [[FLT:]].

Millors exercicis per a la gestió de privadesa

Mentre que la seguretat es centra en els controls tècnics, l'adreça de la privacitat com es recullen les dades dels donants, s'utilitza, compartides i retenint a la font de policia i com s'informaran els donants i donats el control sobre la seva informació. La gestió de la privacitat efectiva crea transparència i confiança.

1. Desenvolupeu una política de privadesa Clear, accessible

Cada organització caritativa hauria de tenir una política de privacitat escrita que explica:

  • Quins tipus de dades es recullen (p. ex., nom, detalls de contacte, informació del pagament, comportament de navegació si s' usen galetes).
  • Com es recullen les dades (com es recullen les formes de la xarxa, esdeveniments fora de línia, fonts de tercers).
  • Els objectius per a quines dades s' usen (es processar donacions, enviar rebuts, comunicacions de màrqueting, anàlisis de màrqueting).
  • Si les dades es comparteixen amb tercers partits (p. ex., processadors de pagament, plataformes de màrqueting de correu electrònic, dades dels serveis absclusius) i sota quines condicions.
  • Quant de temps es poden retenir i com els donants poden demanar supressió.
  • Els drets dels Donors sota lleis aplicables (p. ex., dret a accedir, correcte, esborrar o obtenir el seu permís de dades; just per a desaprofitar la venda/ compartir).
  • Informació de contacte per a les investigacions de la privacitat.

La política s'ha de publicar prominentment al vostre lloc web (normalment al peu de pàgina), escrita en un llenguatge senzill i es manté a dia i evolucionant com a pràctiques de dades. Algunes jurisdiccions requereixen que la política es revisi i s' actualitzen com a mínim anualment.

2. Obtén la coincidència per a la col· lecció de dades i el procés

Amb moltes regles de privacitat, el consentiment ha de ser donat lliurement, específic i poc ambigua. Això vol dir que les caixes pre- comprovades o el consentiment implícita d' una transacció de donació ja no són suficients per a propòsits de màrqueting. Les millors pràctiques inclouen:

  • Usar les caixes de selecció opt- in (no opt- out) per als comentaris de correu electrònic, actualitzacions dels SMS, o compartir dades amb organitzacions socis.
  • Per exemple, el consum d'opcions a granular, permet escollir els donants quins tipus de comunicacions volen rebre.
  • De manera evident que al punt de captura de dades (p. ex., weWPKEM usem el vostre correu electrònic per enviar el vostre rebut d'impostos i actualitzacions ocasionals sobre la nostra feina, que podeu donar de baixa en qualsevol moment de Pyrcybiran).
  • Gravació i desa la prova del consentiment (p. ex., marques de temps, adreces IP, i el text consentiment mostrat) de manera que pugueu demostrar l' compliment si s' audia.

Per a donants existents que estaven a bord abans que la seva organització va adoptar pràctiques robustes de consentiment, considerin una campanya reconsives per a portar la vostra base de dades en el compliment.

3. 3 Dades d' exercici Minimització

Tan sols es necessari recollir la informació que és realment necessària per als propòsits que heu identificat. Si no necessiteu una data de naixement del donant, número de telèfon o ocupació per processar un regal, no li demanis. Les dades minimitzacions redueix el dany potencial d' una bretxa i simplifica la realització d' una restricció i les obligacions de supressió.

Reviseu les vostres formes de donació, pàgines de registre d' esdeveniments i aplicacions voluntaris periòdicament per a separar camps innecessaris. Useu la lògica condicional per a mostrar només els camps opcionals quan sigui rellevant. Per exemple, pregunteu per a la informació de l' empresa només si el donant indica que estan interessats en els dons coincidents.

4. Establiu polítiques de conservació de dades i seguraes

No s' han de mantenir les dades indefinidament. Desenvolupeu una planificació de retenció que defineix quant de temps es manté cada categoria de dades basant- se en les necessitats operatives i els requeriments legals. Per exemple:

  • Els registres de transaccions poden ser reservats durant 7 anys (per propòsits d'impostos).
  • Les dades de compromís de mercat (p. ex., les taxes d' obertura de correu electrònic) es poden retenir durant 3 anys.
  • Perfils de donant inactiu (no activitat per 5+ anys) es poden arxivar o esborrar.

Quan les dades abasten el final del seu període de re- mitjana, s' han de desfer de forma segura. L' eliminació simple no és suficient quotes i còpies de seguretat encara es poden recuperar. Useu eines de fitxers de conversió per fitxers digitals (p. ex., programari que sobreescriu les dades múltiples vegades) i els serveis físics de preparació per a registres de paper. Considereu treballar amb un venedor de dades certificat.

5. Entrena a tot Staf i voluntaris sobre privadesa i Seguretat

Els controls de la tecnologia només són tan efectius com les persones que les utilitzen. Els errors humans com clicar als enllaços de Fishing, deixant visible els registres dels donants a les pantalles desbloquejades, o compartir contrasenyes gangranmains la causa principal dels incidents de dades. Implementa programes d' entrenament obligatoris que cobreixen:

  • Com reconèixer els intents de fer-ho servir, enginyeria social i correus sospitosos.
  • Gestió dels donants: no debatre informació del donant en llocs públics, ni enviar fulls de càlcul sense xifrar mitjançant correu electrònic, bloquejar estacions quan no s' abandonin.
  • Procediments per informar d'influències d'informació o incidents de privacitat.
  • Entendre les lleis de privacitat rellevants per a la seva jurisdicció.

L' entrenament hauria de tenir lloc a contractar i al menys anualment després. Proporciona exemples del món real i qüestionaris per reforçar l' aprenentatge. Encauar una cultura on el personal se sent errors còmodes sense por a la retribució de la pèrdua de temps pot limitar danys a una bretxa.

Les lleis de Protecció de les dades de les claus afecten les associacions de caràcters

Depenent d' on la vostra organització funciona o on resideixen els donants, es poden aplicar múltiples lleis. Aquí teniu el més significatiu:

  • [FLT: 0] GDPR (La Unió Europea): [[[[FLT] Appas a qualsevol organització processant les dades personals dels individus a la UE, independentment de la localització de l' organització. Requereix bases de legal per a processar, la notificació d' interrupció en 72 hores, l' impacte de la protecció de dades per a activitats d' alt risc, i de l' hora d' un oficial de Protecció de dades (DPO) en certs casos.
  • [[FLT: 0]CCPA/CPRA (Clifornia, EUA): [[[FLT:]] [els drets dels residents de Califòrnia han estat recollits, per eliminar- lo, per a optar per la seva venda, i a la no discriminació per a aquests drets d' exercici. Mentre que les organitzacions no tenen ànims d' ànim de lucre estan exempts de parts de CCPA, el fiscal general ha senyalat que les organitzacions de caritat que tenen dades del donant encara haurien d' adoptar estàndards similars com a màxim.
  • [FLT: 0] PIPEDA (Canadà): [[[FLT: 1] necessita un consentiment significatiu, la minimització de dades i la responsabilitat de la protecció de dades. Apps a les subtitucions en activitats comercials o aquelles que recullen dades a través de províncies.
  • [[FLT: 0] ANANA Les Lleis estatals: [[FLT: 1] Virginia's CDPA, el PCPA de Colorado, el CTDPA de Connecticut, i altres estan expandint els treballs de control de les lleis de privacitat dels EUA. Les referències globals també poden necessitar respectar amb el PCPD del Brasil o el funcionament de l' APPPPPPPI del Japó.

Entendre quines lleis s'apliquen a la seva organització és complexa. És aconsellable consultar amb l'assessorament legal especialitzar- se en la privacitat o la llei sense ànim de lucre per dur a terme una auditoria.

[[FLT: 0] El recurs extern: [[FLT: 1] Per a una visió detallada de les lleis de privacitat de l' estat dels EUA, visitar la [[FLT:] PEULAFICU DEL body [[FLT: 3].

Dades ètiques StewardOverprovention

Compliança amb la lletra de la llei és la companyia mínima. El programa de dades etical vol dir anar més enllà a respectar l'autonomia del donant i construir relacions a llarg termini. Considereu aquestes pràctiques addicionals:

  • [[FLT: 0] Tranparència per omissió: [[[[FLT: 1] [activement informar dels donants sobre com s' usaran les seves dades, encara que no sigui legalment requerit. Per exemple, si comparteixeu llistes de donants amb altres entitats de ànim de lucre, reveleu- ho clarament i ofereix clarament i s' ofereix clarament una opt- out.
  • [[FLT: 0] [Opirments del donant: [[[FLT: 1] La comunicació d'honor s' usa ràpidament (amb 10 dies de negoci és un estàndard comú). Entre la implementació d' un sistema de gestió descentralitzada per evitar enviar correu als donants que han demanat que s' elimini.
  • [[FLT: 0] Privació impactes: [[[FLT: 1]] Abans d' iniciar una nova campanya de recaptació, plataforma tecnològica, o associació de dades, que condueixi una avaluació de la privacitat dels riscos potencials per identificar la privacitat dels donants i els transmeti en l' Abans.
  • [[FLT: 0] ] portbilitat: [[FLT: 1] Permet als donants descarregar una còpia de les seves dades a petició. Això augmenta bona voluntat i alinear- se amb l' esperit de propietat de dades.

La gestió etical de les dades dels donants no és només per evitar els béns treballs, sinó que la teva organització valora la gent que serveix com a socis en missió, no només fonts d'ingressos.

• En construir una cultura de Seguretat i privadesa

Els compromisos en desenvolupament de la seguretat i la privacitat no són projectes d'una sola vegada, són compromisos que requereixen atenció contínua, inversió i adaptació a nous canvis i controladors. Les organitzacions que incorporen aquestes pràctiques en els seus controls tècnics, polítiques transparents, entrenament normal, i presa de decisions no només es protegiran de mal, sinó també per enfortir la confiança que és vital per a la seva missió.

Comencem on sou. Col· loqueu un inventari de dades per entendre quina informació doneu i on viu el donant. Creeu una avaluació de risc per identificar les vostres vilibitats més crítiques. Entre la implementació de les pràctiques es basades en aquesta guia, prioritzen les àrees més elevades de processament de pagament i accés remot). Document les vostres polítiques i procediments en escriptura i reviseu- les com a mínim anualment.

No hi ha organització pot eliminar tots els riscos, però mitjançant la presa de passos informats, es pot reduir significativament la probabilitat i l' impacte d' un incident de dades. L' esforç en la qual inverteixeu les dades dels donants pagaran una divisió de confiança per a donant, regulador i la salut a llarg termini de la vostra organització caritativa.

[[FLT: 0] recurs extern: [[FLT: 1] Per a una orientació addicional sobre la creació d' un pla de seguretat sense ànim de lucre, es refereix a la [[FLT: 2] Cyber security and Agència de Seguretat d' estructuració (CISA) per a petites organitzacions [[FLT: 3].