საუკეთესო პრაქტიკა დონორების მონაცემთა უსაფრთხოების და კონფიდენციალურობისათვის საქველმოქმედო ორგანიზაციებში.

შესავალი: რატომ უფრო მეტად მნიშვნელოვანია დონორების მონაცემთა უსაფრთხოება და კონფიდენციალურობა, ვიდრე ოდესმე.

საქველმოქმედო ორგანიზაციები მოქმედებენ ნდობის საფუძველზე. მხარდამჭერები აძლევენ არა მხოლოდ თავიანთ ფულს, არამედ პირად საინფორმაციო სახელებს, მისამართებს, ელექტრონული ფოსტის კონტაქტებს, სატელეფონო ნომრებს და ფინანსურ დეტალებს, როგორიცაა საკრედიტო ბარათის ნომრები ან საბანკო ანგარიშების მონაცემები. ერთი მონაცემთა დარღვევა ან კონფიდენციალურობის დარღვევა შეიძლება გაანადგუროს ეს ნდობა წამებში, რაც იწვევს დონორების ატრიბუტირებას, ნეგატიურ მედია დაფარვას და თუნდაც რეგულატორულ ჯარიმებს, რომლებიც საფრთხეს უქმნიან ორგანიზაციის ფინანსურ სტაბილურობას.

ბოლო წლებში მონაცემთა დაცვის რეგულატორული გარემო მნიშვნელოვნად გამკაცრდა. კანონები, როგორიცაა ევროპის კავშირის ზოგადი მონაცემთა დაცვის რეგულაცია (GDPR), კალიფორნიის მომხმარებელთა კონფიდენციალურობის აქტი (CCPA) და სხვა იურისდიქციებში მსგავსი წესდები, მკაფიო ვალდებულებებს აწესებენ იმაზე, თუ როგორ ვერ ახერხებენ მოგების შეგროვებას, შენახვას და ვერ იზიარებენ მიმდინარე მონაცემთა მონაცემების დეტალურ მონაცემებს, რომლებიც არ გააჩნიათ და არ გააჩნიათ პირადი მონაცემების დაცვის დაცვის სისტემა, რომელიც მილიონობით დოლარის მიერ.

ეს მუხლი უზრუნველყოფს საუკეთესო პრაქტიკის სახელმძღვანელოს დონორების მონაცემთა უსაფრთხოებისა და კონფიდენციალურობის უზრუნველსაყოფად საქველმოქმედო ორგანიზაციებში. ის მოიცავს კრიტიკულ მნიშვნელობას მგრძნობიარე ინფორმაციის დაცვის, დეტალური ქმედებების ნაბიჯების როგორც უსაფრთხოების და კონფიდენციალურობის მართვისთვის, სამართლებრივი და ეთიკური ლანდშაფტისთვის და მოქმედების რეკომენდაციებისთვის, რომლებიც ნებისმიერი არამომგებიანი ზომა ან ბიუჯეტიანი განხორციელებაა.

გაიგეთ მონაცემთა უსაფრთხოების მნიშვნელობა არამომგებიანი მოგებისთვის.

დონორების ტიპის მონაცემები რისკის ქვეშ არის.

დონორთა მონაცემები ბევრად სცილდება მარტივი სახელისა და ელექტრონული ფოსტის მისამართს. საქველმოქმედო ორგანიზაციებს ჩვეულებრივ აქვთ მრავალი კატეგორია პირადად იდენტიფიცირებული ინფორმაციის (PII):

FLT:0 საკონტაქტო ინფორმაცია: FLT:1 სრული სახელი, სახლის მისამართი, ტელეფონის ნომერი, ელფოსტის მისამართი.
FLT:0 ფინანსური მონაცემები: FLT:1 საკრედიტო ბარათის ნომრები, საბანკო ანგარიშის ინფორმაცია, ტრანზაქციის ისტორიები, განმეორებითი საჩუქრების დეტალები.
FLT:0 დემოგრაფიული და ქცევითი მონაცემები: FLT:1 ასაკი, შემოსავლის დიაპაზონი, დონაციის ისტორია, ღონისძიების დასწრება, კომუნიკაციის პრეფერენციები, ჩართულობის მაჩვენებლები და თუნდაც პოლიტიკური ან რელიგიური კავშირები, რომლებიც შეიძლება დაინიშნოს ნიმუშების მიცემით.
FLT:0 ჯანმრთელობა ან მგრძნობიარე ინფორმაცია: FLT:1 სამედიცინო ფონდების მოპოვების ან კატასტროფების შემსუბუქების შემთხვევებში, ორგანიზაციებს შეუძლიათ ჰქონდეთ ჯანმრთელობის მონაცემები ან სხვა სპეციალური კატეგორიების მონაცემები, რომლებიც საჭიროებენ გაძლიერებულ დაცვას.

ეს მონაცემების შეგროვება კიბერდანაშაულებისთვის საგანძურია. მოპარული დონორების ჩანაწერები შეიძლება გამოყენებულ იქნას იდენტობის ქურდობაში, საკრედიტო ბარათის თაღლითობაში, ფიშინგის თავდასხმებში ან ბნელ ვებ ბაზრებზე. ვერიზონის მონაცემთა დარღვევების გამოძიების ანგარიშის (DBIR) მიხედვით, არამომგებიანი სექტორი არ არის იმუნური; მიუხედავად იმისა, რომ ხშირად შეზღუდული რესურსები, როგორც ფინანსები ან ჯანდაცვა, არ არის შეზღუდული, რაც გამოწვეულია მცირე განაყოფიერებით, შეიძლება იყოს, მცირე გაჯერებით, მაგრამ მცირე ზიანის მიტაცებით.

მონაცემთა დარღვევებისა და კონფიდენციალურობის დარღვევების შედეგები.

არასაკმარისი მონაცემთა დაცვის შედეგი შეიძლება რამდენიმე ფორმით იყოს:

FLT:0 რეპუტაციის დაზიანება: FLT:1 მონაცემთა დარღვევის შესახებ მყისიერად არღვევს დონორების ნდობას. 2022 წლის კვლევა უკეთესი ბიზნეს ბიუროს ბრძენი ალიანსიდან დაადგინა, რომ დონორების 60% წყვეტდა ორგანიზაციისთვის, რომელიც პირადი ინფორმაციის ჩართულობით მონაცემთა დარღვევას განიცდიდა.
FLT:0 სამართლებრივი და რეგულატორული სანქციები: FLT:1 მშპ-ის ფარგლებში, ჯარიმები შეიძლება მიაღწიოს წლიური გლობალური ბრუნვის 4%-მდე ან 20 მილიონამდე (რაც უფრო დიდია). CCPA-ს დარღვევები შეიცავს ჯარიმებს 7,500-მდე თითო განზრახ დარღვევაზე. თუნდაც ჯარიმები არ დაწესდეს, გამოძიების, შეტყობინების და სამართლებრივი ხარჯები შეიძლება იყოს მნიშვნელოვანი.
FLT:0 ოპერაციული დარღვევა: FLT:1 ტრანსსომერიის შეტევები ან სისტემის კომპრომისები შეიძლება გააჩერონ ორგანიზაციები საკუთარი მონაცემთა ბაზებიდან, შეწყვიტონ დაფინანსების კამპანიები და მოითხოვონ კვირების დროის შემცირება სისტემების აღსადგენად.
FLT:0 დონორთა შარნმა და შემცირებულმა მიცემამ: FLT:1 დარღვევამ ხშირად გამოიწვია განმეორებითი შემოწირულობების, დიდი საჩუქრების დაკარგვის და ახალი მხარდამჭერების მოპოვების სირთულეების დაუყოვნებლივი გაუქმება.

ამ ფსონების გათვალისწინებით, დონორების მონაცემთა უსაფრთხოების პროაქტიული ინვესტიცია არ არის ფუფუნების ძირითადი ოპერატიული მოთხოვნა ნებისმიერი საქველმოქმედო ორგანიზაციისთვის, რომელიც იმედოვნებს, რომ შეინარჩუნებს გრძელვადიან ურთიერთობებს თავის საზოგადოებასთან.

საუკეთესო პრაქტიკა დონორების მონაცემთა უსაფრთხოებისთვის.

უსაფრთხოება ფოკუსირებულია მონაცემების დაცვაზე არაუფლებამოსილი წვდომისგან, ცვლილებისგან, განადგურებისგან ან გამჟღავნებისგან. შემდეგი პრაქტიკა წარმოადგენს საფუძველს, რომელიც ყველა საქველმოქმედომმა უნდა მიიღოს, ტექნიკური ექსპერტიზის მიუხედავად.

1. განახორციელოს ძლიერი პასტორული პოლიტიკა და მრავალფაქტორული ავთენტიფიკაცია.

სუსტი სიტყვები რჩება ერთ-ერთ ყველაზე გავრცელებულ თავდასხმის ვექტორად. მოითხოვს თანამშრომლებისა და მოხალისეებისგან, გამოიყენონ რთული, უნიკალური სიტყვები ყველა სისტემისთვის, რომელიც იღებს დონორულ მონაცემებს. პასოგრაფები უნდა იყოს მინიმუმ 12-16 ხასიათი, მოიცავდეს ზედაპირის და ქვედა ასოების, ნომრების და სიმბოლოების, და არასდროს გამოყენებულ იქნას შემთხვევითი მტკიცებულების გარეშე, თუმცა შემთხვევითი ცვლილებები არ არის შემთხვევითი, თუ არამცავტორინგის მექანიზმები, არამედ ეროვნული ინსტიტუტი ახლა (NTS);

FLT:0 მრავალფაქტორული ავთენტალიზაცია (MFA):1 დამატებით უსაფრთხოების ფენას ამატებს, რადგან მოითხოვს მეორე სახის გადამოწმებას, როგორიცაა ტელეფონისთვის გაგზავნილი ერთდროიანი კოდი, ბიომეტრიული სკანერი ან ტექნიკის ტორტი.

FLT:0 გარე რესურსი: FLT:1 დეტალური სახელმძღვანელოსთვის სიტყვების პოლიტიკის შესახებ, იხილეთ FLT:2 NIST კიბერუსაფრთხოების ჩარჩო FLT:3 და თანმხლები სიტყვიერი რეკომენდაციები NIST-ის სპეციალურ გამოცემაში 800-63B.

2. დაშიფრული მონაცემები დასვენებისა და ტრანზიტის დროს.

დაშიფვრა უზრუნველყოფს, რომ თუნდაც არაუფლებამოსილი მხარე მიიღოს მონაცემთა შენახვის წვდომა ან დაიწყოს მონაცემების გადაცემა, ინფორმაცია დარჩეს წაუკითხავი სათანადო დისკრიფციის გასაღების გარეშე.

FES-256. თანამედროვე მონაცემთა ბაზების უმეტესობა (მაგ. Mys-ის, P/1-ის, ყველა დონორის მონაცემთა ბაზა, მხარდამჭერი ფაილი და არქივის ჩანაწერები უნდა დაიბეჭდოს ძლიერი ალგორითმებით, როგორიცაა AES-256. თანამედროვე მონაცემთა ბაზები (მაგ. M-Ml, MIMS-ის I-ის -ის I-ის -ის -ის -ის -ის -ის IIII-ის -ის მიხედვით, AWUddIII-ის მიხედვით, AWudercercercercIIIIdId. -ის -ის IIdIIII-ის, BI-ის, B-ის მიხედვით, BI-ის, B-ის, B-ის, B-ის მიხედვით, B-ის, B-ის, Bb-ის, B
FLT:0 შიფრაცია ტრანზიტში: FLT:1 გამოიყენოს SSL/TLS (ტრანსპორტის ადვოკატების უსაფრთხოება) ყველა ვებ-ტრანსპორტისთვის, რომელიც მოიცავს დონაციის ფორმებს, დონორულ პორტალებს ან ადმინისტრაციულ ინტერფეისებს.

ბოლო-ბოლოში დაშიფვრა განსაკუთრებით კრიტიკულია გადახდის მონაცემებისთვის. თუნდაც თქვენი ორგანიზაცია მესამე მხარის გადახდის პროცესორად გამოიყენოს, ნებისმიერი დონორი ინფორმაცია, რომელიც თქვენს სისტემებს გადის, უნდა გადაეცეს დაშიფრულ არხებზე.

3. შეინარჩუნოს პროგრამული უზრუნველყოფისა და სისტემების განახლება.

კიბერდანაშაულები ხშირად იყენებენ ცნობილ მოწყვლადობებს მოძველებული პროგრამული უზრუნველყოფის სფეროში. ადგენს რეგულარულ პაკეტის მართვის განრიგს თქვენი დონორების მართვის სისტემისთვის, კონტენტის მართვის სისტემისთვის, ოპერაციული სისტემებისთვის, ფეიერვერკებისთვის და ყველა ჭერის ან მესამე მხარის ინტეგრაციისთვის. საშუალებას აძლევს ავტომატურ განახლებებს, სადაც შესაძლებელია, და აკონტროლებს გამყიდველების განცხადებებს კრიტიკული უსაფრთხოების პაქტებისთვის.

მემკვიდრეობის სისტემები განსაკუთრებით საბაჟო მონაცემთა ბაზები ან პოპულარული CRM-ის ძველი ვერსიები განსაკუთრებით სარისკოა. თუ თქვენი ორგანიზაცია კვლავ ეყრდნობა პროგრამულ უზრუნველყოფას, რომელიც აღარ იღებს უსაფრთხოების განახლებებს, პრიორიტეტი ენიჭება მხარდაჭერილ პლატფორმაზე მიგრაციას. ხელმისაწვდომია მრავალი ხელმისაწვდომი, უსაფრთხო ალტერნატივა, მათ შორის ღრუბლებზე დაფუძნებული გადაწყვეტილებები, რომლებიც ავტომატურად მართავენ პაჩინგს.

4. დონორის მონაცემებზე შეზღუდული წვდომა ყველაზე ნაკლებად პრივილეგირებული პრინციპის გამოყენებით.

ყველა თანამშრომელს ან მოხალისეს არ სჭირდება წვდომა ყველა დონორის მონაცემზე. როლის საფუძველზე წვდომის კონტროლი (RBAC), რათა შეზღუდოს მონაცემთა წვდომა მხოლოდ იმ პირებზე, რომლებიც მოითხოვენ მას კონკრეტული სამუშაო ფუნქციების შესასრულებლად.

ფონდების შეგროვება შესაძლოა საჭირო იყოს დონორების საკონტაქტო ინფორმაციის და ისტორიის მიცემის, მაგრამ არა სრული საკრედიტო ბარათის ნომრების.
ფინანსურ პერსონალს შეიძლება დასჭირდეს ტრანზაქციის ჩანაწერებზე წვდომა, მაგრამ არა პირადი მისამართები ან ჩართულობის ჩანაწერები.
სტაჟიორებს ან დროებით პერსონალს უნდა ჰქონდეთ მხოლოდ კითხვა-პასუხისმგებლო წვდომა ან შეზღუდული დროითი ნებართვები.

რეგულარულად გადახედავენ წვდომის ლოგების საკითხს უჩვეულო აქტივობის გამოსავლენად, როგორიცაა თანამშრომლების მიერ დიდი მოცულობის მონაცემების ჩამოტვირთვა ჩვეულებრივი სამუშაო საათების გარეთ. მომხმარებლის მიწოდებისა და დე-პროვიზირების პროცესები უნდა იყოს ავტომატიზებული: როდესაც თანამშრომელი ტოვებს ორგანიზაციის ან ცვლის როლებს, მათი წვდომის უფლებები უნდა გაუქმდეს ან დაუყოვნებლივ შეიცვალოს.

5. გამოიყენეთ უსაფრთხო გადახდის გეითვეი და დაემორჩილეთ PCI DSS-ს.

თუ თქვენი ორგანიზაცია მიიღებს საკრედიტო ბარათების დონაციებს ონლაინ, ტელეფონით, ან პირადად უნდა შეასრულოთ გადახდის ბარათის ინდუსტრიის მონაცემთა უსაფრთხოების სტანდარტი (PCI DSS). ეს 12 მოთხოვნათა ნაკრები არეგულირებს, როგორ იმართება, ინახება და გადაეცემა ბარათის მფლობელთა მონაცემები.

არასოდეს არ უნდა იყოს სრული საკრედიტო ბარათის ნომრები, C კოდები, ან მაგნიტური ზოლის მონაცემები ტრანზაქციის ავტორიზაციის შემდეგ.
ტოკენიზაციის ან დაშიფვრის გამოყენება მგრძნობიარე ბარათის მონაცემების არასენსიტიური ეკვივალენტებით ჩანაცვლებისთვის.
PCI-თან შესაბამისი გადახდის პროცესორთან (მაგ., სექტორული, ანაზღაურების, ტვინის ან სპეციალიზებული არამომგებიანი გადამამუშავებლების, როგორიცაა დონორი ან გივპ), კონტრაქტები.
ყოველწლიური თვითშეფასების ან მოწყვლადობის სკანერების ჩატარება, როგორც ეს თქვენი ბანკის მიერ მოთხოვნილია.

ბევრი არამომგებიანი შეუძლია შეამციროს მათი PCI შესაბამისობის ტვირთი მესამე მხარის გადახდის კარიბჭეს გამოყენებით, რომელიც პირდაპირ მართავს ბარათების მონაცემებს, რათა საქველმოქმედო ორგანიზაციამ არასოდეს შეეხოს ან შეინახოს სრული ბარათის ნომრები. თუმცა, ამ მოდელითაც კი, ორგანიზაციამ მაინც უნდა უზრუნველყოს თავისი ვებსაიტი და ქსელი.

FLT:0 გარე რესურსი: FLT:1 უფრო მეტს სწავლობს PCIDS მოთხოვნების შესახებ მცირე ბიზნესებისთვის და არამოგებაზე FLT:2PCI-ის უსაფრთხოების სტანდარტების საბჭოს ოფიციალურ ადგილზე FLT:3.

საუკეთესო პრაქტიკები კონფიდენციალურობის მართვისთვის.

მიუხედავად იმისა, რომ უსაფრთხოება ტექნიკურ კონტროლზეა ორიენტირებული, კონფიდენციალურობა ეხება დონორის მონაცემების შეგროვების, გამოყენების, გაზიარების და შენახვის გზებს და დონორების ინფორმირებას და ინფორმაციის კონტროლს. ეფექტური კონფიდენციალურობის მართვა ქმნის გამჭვირვალობას და ნდობას.

1. განავითარეთ მკაფიო, ხელმისაწვდომი კონფიდენციალურობის პოლიტიკა.

ყველა საორგანიზაციო ორგანიზაციას უნდა ჰქონდეს წერილობითი კონფიდენციალურობის პოლიტიკა, რომელიც განმარტავს:

რა ტიპის დონორი მონაცემები იკრიბება (მაგ., სახელი, საკონტაქტო დეტალები, გადახდის ინფორმაცია, ქცევითი პირის დაწერა თუ მზარეულები გამოიყენება).
როგორ იკრიბება მონაცემები (ონლაინ ფორმები, ოფლაინ მოვლენები, მესამე მხარის წყაროები).
მონაცემების გამოყენების მიზნები (გადამუშავების დონაციები, შემოსავლების გაგზავნა, მარკეტინგული კომუნიკაციები, ანალიტიკა).
იქნება თუ არა მონაცემები გაზიარებული მესამე მხარეებთან (მაგ., გადახდის პროცესორებთან, ელექტრონული ფოსტის მარკეტინგულ პლატფორმებთან, მონაცემთა ანალიტიკის სერვისებთან) და რა პირობებში.
რამდენ ხანს ინახება მონაცემები და რამდენ ხანს შეუძლიათ დონორებს მოითხოვონ წაშლა.
დონორების უფლებები მოქმედი კანონების მიხედვით (მაგ., წვდომის უფლება, სწორი, წაშლილი ან პორტული მათი მონაცემები; გაყიდვის/გაზიარების უფლების გარეშე).
კონტაქტი ინფორმაცია კონფიდენციალურობის გამოძიებებისთვის.

პოლიტიკა უნდა განთავსდეს თქვენს ვებგვერდზე (ტიპიურად პირველ ადგილზე), დაწერილი მარტივი ენით და განახლებული უნდა იყოს, რადგან მონაცემთა პრაქტიკა ვითარდება. ზოგიერთი იურისდიქცია მოითხოვს, რომ პოლიტიკა გადაიხედოს და განახლდეს მინიმუმ ყოველწლიურად.

2. მონაცემთა შეგროვებისა და დამუშავებისთვის ექსპლიციტური თანხმობის მიღება.

მრავალი კონფიდენციალურობის რეგულაციის მიხედვით, თანხმობა უნდა იყოს თავისუფლად გაცემული, კონკრეტული, ინფორმირებული და ერთმნიშვნელოვანი. ეს ნიშნავს წინასწარ შემოწმებულ ყუთებს ან წინასწარ შეკვეთილ თანხმობას დონაციის ტრანზაქციიდან აღარ არის საკმარისი მარკეტინგული მიზნებისთვის.

ელექტრონული ფოსტის საინფორმაციო ბიულეტენებისთვის, SMS განახლებებისთვის ან მონაცემთა გაზიარებისთვის პარტნიორ ორგანიზაციებთან.
მაგალითად, უზრუნველყოს განსაკუთრებული არჩევანი, მისცეს დონორებს არჩევანი, რომელ ტიპის კომუნიკაციების მიღება სურთ.
აშკარად მონაცემთა შეგროვების მიზნის მითითება დაჭერის წერტილში (მაგალითად, ჩვენ ვიყენებთ თქვენს ელფოსტას, რათა გაგზავნოთ თქვენი საგადასახადო მიღება და პერიოდული განახლებები ჩვენს სამუშაოზე ნებისმიერ დროს შეგიძლიათ არ მიიღოთ).
თანხმობის მტკიცებულების ჩაწერა და შენახვა (მაგ., ვადები, IP მისამართები და თანხმობის ტექსტი), რათა თქვენ შეძლოთ შესაბამისობის დემონსტრირება აუდიტის შემთხვევაში.

არსებული დონორებისთვის, რომლებიც თქვენს ორგანიზაციამდე იყვნენ ჩაბმული, მტკიცე თანხმობის პრაქტიკები მიიღეს, განიხილეთ ხელახლა თანხმობის კამპანია თქვენი მონაცემთა ბაზის შესაბამისობისთვის.

3. პრაქტიკის მონაცემთა მინიმიზაცია.

თუ არ გჭირდებათ დონორის დაბადების თარიღი, ტელეფონის ნომერი ან პროფესია საჩუქრის დასამუშავებლად, ნუ მოითხოვთ მას. მონაცემთა მინიმიზაცია ამცირებს დარღვევის პოტენციურ ზიანს და ამარტივებს შენარჩუნებისა და გაუქმების ვალდებულებების შესრულებას.

გადახედეთ თქვენს დონაციის ფორმებს, ღონისძიების რეგისტრაციის გვერდებს და მოხალისეთა განაცხადებს პერიოდულად, რათა გამორიცხონ არასაჭირო სფეროები. გამოიყენოთ პირობითი ლოგიკა, რათა გამოიჩინოთ არჩევითი სფეროები მხოლოდ მაშინ, როდესაც ეს რელევანტურია. მაგალითად, მოითხოვეთ დამსაქმებლის ინფორმაცია მხოლოდ იმ შემთხვევაში, თუ დონორი მიუთითებს, რომ დაინტერესებულია დამსაქმებლის მიერ საჩუქრების შესატყვისი საჩუქრებით.

4. დააარსეთ მონაცემთა შენახვის და უსაფრთხო განთავსების პოლიტიკა.

დონორის მონაცემები არ უნდა დარჩეს განუსაზღვრელი ვადით. განავითარეთ შენახვის გრაფიკი, რომელიც განსაზღვრავს რამდენ ხანს ინახება თითოეული მონაცემთა კატეგორია ოპერაციული საჭიროებებისა და სამართლებრივი მოთხოვნების საფუძველზე.

ტრანზაქციის ჩანაწერები შესაძლოა 7 წლის განმავლობაში (საგადასახადო მიზნებისთვის) უნდა შენარჩუნდეს.
ჩართულობის მონაცემების მარკეტინგი (მაგ., ელექტრონული ფოსტის ღია ტარიფები) შეიძლება შენარჩუნდეს 3 წლის განმავლობაში.
არააქტიური დონორის პროფილები (არ არსებობს აქტივობა 5 წლის განმავლობაში) შეიძლება არქივირებული ან წაშლილი იყოს.

როდესაც მონაცემები აღწევს მისი შენახვის პერიოდის დასასრულს, ის უნდა განთავსდეს უსაფრთხოდ. მარტივი წაშლა არ არის საკმარისი, მაგრამ მხარდაჭერა კვლავ შეიძლება აღდგეს. გამოიყენეთ ფაილების დაგროვების ინსტრუმენტები ციფრული ფაილებისთვის (მაგალითად, პროგრამული უზრუნველყოფა, რომელიც მრავალჯერ გადაწერს მონაცემებს) და ფიზიკური დამამცირებელი სერვისები ქაღალდის ჩანაწერებისთვის.

5. ყველა პერსონალისა და მოხალისეების მომზადება კონფიდენციალურობასა და უსაფრთხოებაზე.

ადამიანის შეცდომების, როგორიცაა ფიშინგის კავშირების ჩაკეტვა, დონორების ჩანაწერების უნაკლოდ დატოვება, ან პასორმეს გაზიარება რჩება მონაცემთა ინციდენტების წამყვან მიზეზად.

როგორ უნდა ვაღიაროთ ფიშინგის მცდელობები, სოციალური ინჟინერია და საეჭვო ელფოსტები.
დონორების მონაცემების სათანადო დამუშავება: არ განვიხილოთ დონორების ინფორმაცია საჯარო ადგილებში, არ გავაგზავნოთ დაშიფრული გაზეთები ელფოსტით, არ ჩავკეტოთ სამუშაოები, როდესაც არ არიან დასწრებული.
მონაცემთა დარღვევების ან კონფიდენციალურობის ინციდენტების შესახებ ინფორმაციის გაცემის პროცედურები.
კონფიდენციალურობის კანონების გაგება, რომლებიც თქვენს იურისდიქციასთან არის დაკავშირებული.

ტრენინგი უნდა ჩატარდეს დაქირავებაზე და მინიმუმ ყოველწლიურად შემდეგ. რეალური სამყაროს მაგალითები და ეჭვების მიწოდება სწავლის გასაძლიერებლად. წახალისება კულტურა, სადაც თანამშრომლები თავს კომფორტულად გრძნობენ, ანგარიშგების შეცდომების შიშის გარეშე, შეიძლება შეზღუდოს ზიანი დარღვევისგან.

იურიდიული და ეთიკური მოსაზრებები.

ძირითადი მონაცემთა დაცვის კანონები, რომლებიც გავლენას ახდენენ საქველმოქმედო ორგანიზაციებზე.

იმის მიხედვით, სად მუშაობს თქვენი ორგანიზაცია ან სად იმყოფებიან თქვენი დონორები, შეიძლება მრავალი კანონი მოქმედებდეს.

FLT:0DPR (ევროპის კავშირი): FLT:1 ვრცელდება ნებისმიერ ორგანიზაციაზე, რომელიც ამუშავებს ინდივიდების პირად მონაცემებს ევროკავშირში, ორგანიზაციის ადგილმდებარეობის მიუხედავად. მოითხოვს სამართლებრივ საფუძველს დამუშავებისთვის, სავალდებულო დარღვევის შეტყობინებას 72 საათის განმავლობაში, მონაცემთა დაცვის ზემოქმედების შეფასებებს მაღალი რისკის აქტივობებისთვის და მონაცემთა დაცვის ოფიცერის (DPO) დანიშვნას გარკვეულ შემთხვევებში.
FLT:0CPA/CPRA (კალიფორნია, აშშ): FLT:1 ანიჭებს კალიფორნიის რეზიდენტებს უფლებას იცოდნენ, რა პირადი მონაცემები გროვდება, წაშალოს იგი, და არ მოხდეს ამ უფლებების განხორციელებისთვის დისკრიმინაციისთვის. მაშინ, როდესაც CCPA-ის ნაწილებიდან ამჟამად არ არის გათავისუფლებული, კალიფორნიის გენერალური ადვოკატი ჯერ კიდევ საუკეთესო მონაცემებს აძლევს დონორებს.
FLT:0PIPEDA (კანადა): FLT:1 მოითხოვს მნიშვნელოვან თანხმობას, მონაცემთა მინიმიზაციას და მონაცემთა დაცვის პასუხისმგებლობას.
FLT:0 სხვა სახელმწიფო კანონები: FLT:1 IRIndiia-ს, Colorado-ს CPA-ს, Connectote-ის CTDPA-ს და სხვები აფართოებენ აშშ-ის კონფიდენციალურობის რეგულაციების ნაჭრებს. გლობალურ საქველმოქმედო ორგანიზაციებს ასევე შეიძლება დასჭირდეთ ბრაზილიის LGPD-ის ან იაპონიის APPI-ის მოთხოვნებით.

გაგება, რომელი კანონები ვრცელდება თქვენს ორგანიზაციაზე, რთულია. მიზანშეწონილია კონსულტაცია ჩატარდეს იურიდიულ კონსულტანტთან, რომელიც სპეციალიზდება კონფიდენციალურობის ან არამომგებიანი სამართლის ფარგლებში, რათა ჩატარდეს შესაბამისობის აუდიტი.

FLT:0 გარე რესურსი: FLT:1 აშშ-ის სახელმწიფო კონფიდენციალურობის კანონების დეტალური მიმოხილვისთვის, ეწვიეთ FLT:2 აშშ-ის კონფიდენციალურობის კანონმდებლობის ტრეკტერი FFLT:3.

ეთიკური მონაცემთა მართვა შესაბამისობის მიღმა.

ეთიკური მონაცემთა მართვა ნიშნავს, რომ უფრო შორს უნდა წავიდეთ დონორის ავტონომიის პატივისცემისთვის და გრძელვადიანი ურთიერთობების ასაშენებლად.

FLT:0 გამჭვირვალობა დეფოლტით: FLT:1 პრაქტიკულად აცნობებს დონორებს, როგორ იქნება გამოყენებული მათი მონაცემები, თუნდაც იურიდიულად საჭირო არ იყოს. მაგალითად, თუ დონორების სიებს სხვა არამომგებიანიებთან გააზიარებთ, ეს მკაფიოდ გამოავლინებთ და სთავაზობთ გამონაკლისს.
FLT:0 პატივს სცემს დონორთა პრეფერენციებს: FLT:1 დონორის კომუნიკაციის გამონაკლისები სწრაფად (10 ბიზნეს დღეში საერთო სტანდარტია).
FLT:0 კონფიდენციალურობის გავლენის შეფასებები: FLT:1 ახალი დაფინანსების ამაღლების კამპანიის დაწყებამდე, ტექნოლოგიური პლატფორმა ან მონაცემთა გაზიარების პარტნიორობა, ატარებს კონფიდენციალურობის გავლენის შეფასებას, რათა გამოავლინოს პოტენციური რისკები დონორების კონფიდენციალურობისთვის და წინასწარ შეამციროს ისინი.
FLT:0 მონაცემთა პორტაბელურობა: FLT:1 საშუალებას აძლევს დონორებს, რომ მათი მონაცემების ასლი მოთხოვნის საფუძველზე ჩამოტვირთონ. ეს ხელს უწყობს კეთილ ნებას და შეესაბამება მონაცემთა საკუთრების სულისკვეთებას.

დონორების მონაცემების ეთიკური მართვა არა მხოლოდ ჯარიმების თავიდან აცილებაზეა, არამედ იმის ჩვენება, რომ თქვენი ორგანიზაცია აფასებს იმ ადამიანებს, რომლებიც მას მისიაში პარტნიორებად ემსახურება, არა მხოლოდ შემოსავლის წყაროებად.

დასკვნა: უსაფრთხოებისა და კონფიდენციალურობის კულტურის აშენება.

დონორების მონაცემთა უსაფრთხოება და კონფიდენციალურობა არ არის ერთჯერადი პროექტები; ისინი მუდმივი ვალდებულებებია, რომლებიც მოითხოვს მუდმივ ყურადღებას, ინვესტიციას და ადაპტაციას ახალ საფრთხეებზე და რეგულატორულ ცვლილებებზე. საქველმოქმედო ორგანიზაციები, რომლებიც ამ პრაქტიკებს თავიანთ ყოველდღიურ ოპერაციებში ჩადეს, ძლიერი ტექნიკური კონტროლის, გამჭვირვალე პოლიტიკის, რეგულარული სწავლების და ეთიკური გადაწყვეტილებების მიღების გზით, არა მხოლოდ თავს დაიცავენ ზიანისგან, არამედ გააძლიერებენ იმ ნდობას, რომელიც მნიშვნელოვანია მათი მისიისთვის.

იქ, სადაც ხართ, მონაცემთა ინვენტარი ჩაატარეთ, რათა გაიგოთ, რა დონორის ინფორმაცია გაქვთ და სად ცხოვრობს. შეასრულეთ რისკის შეფასება, რათა გამოავლინოთ თქვენი ყველაზე კრიტიკული მოწყვლადობები. განახორციელეთ ამ სახელმძღვანელოში აღწერილი პრაქტიკა, რომელიც პრიორიტეტს ანიჭებს ყველაზე მაღალი რისკის მქონე ტერიტორიებს (როგორიცაა გადახდის დამუშავება და დისტანციური წვდომა).

არცერთი ორგანიზაცია ვერ აღმოფხვრის ყველა რისკს, მაგრამ გააზრებული, ინფორმირებული ნაბიჯების გადადგმით, თქვენ შეგიძლიათ მნიშვნელოვნად შეამციროთ მონაცემთა ინციდენტის ალბათობა და გავლენა. დღეს თქვენ მიერ ჩადებული ძალისხმევა დონორების მონაცემების უზრუნველყოფაში დივიდენდებს გადაუხდით მდგრადი დონორების ნდობაში, რეგულატორულ შესაბამისობაში და თქვენი საორგანიზაციო ორგანიზაციის გრძელვადიან ჯანმრთელობაში.

FLT:0 გარე რესურსი: FLT:1 დამატებითი სახელმძღვანელოსთვის, რომელიც ეხება არამომგებიანი მონაცემთა უსაფრთხოების გეგმის შექმნას, ეხება FLT:2 უსაფრთხოების და ინფრასტრუქტურის უსაფრთხოების სააგენტოს (CISA) რესურსებს მცირე ორგანიზაციებისთვისFLT:3.