Irish Workplaces의 데이터 보호 문화를 만드는 방법

"Data Protection Culture"는 연습에서 의미합니까?

데이터 보호 문화는 폴더에 저장된 개인 정보 보호 정책을 가지고 넘어갑니다. 개인 데이터 보호는 일상적인 운영의 직물로 짠 것을 의미합니다. 고객 정보는 판매 시점에서 수집되는 방식에서 HR 핸들 직원 기록, 마케팅 팀이 이메일 목록을 관리하는 방법에 이르기까지. 강력한 문화에서 직원은 개인 데이터를 포함하는 모든 행동을 취하기 전에 데이터 개인 정보 보호 응용 프로그램을 고려하고 무언가가 꺼질 때 문제를 제기 할 수 있습니다.

이러한 문화를 구축하기 위해서는 여러 차원에서 지속적인 노력이 필요합니다. 리더십은 톤을 설정해야 하며, 정책은 명확하고 접근할 수 있어야 하며, 훈련은 지속적이고 참여해야 하며, 책임 메커니즘은 위반으로 인해 오류를 잡기 위해해야 합니다.

1단계: 보안 정품 리더십 약속

상단의 음색

데이터 보호는 데이터 보호 책임자 (DPO) 또는 IT 부서에 단독으로 위임 할 수 없습니다. 그것은 수석 관리 및 이사회에 의해 챔피언이어야합니다. 임원이 가능한 전염 데이터 보호에 대해 부합 할 때 - 개인 정보 보호 이니셔티브에 대한 예산을 할당하고 모든 핸즈 회의에서 데이터 윤리에 대해 논의하고, 정책에 대한 개인적으로 주장 - 직원은이 심각한 조직 우선 순위가 아닌 상자 틱 운동이 아닌 것을 인식합니다.

데이터 보호 책임자의 역할

GDPR에 따라 특정 조직은 DPO를 임명해야 합니다. 필수하지 않을 경우 데이터 보호 감독에 대한 지정 된 개인이 매우 권장됩니다. DPO는 최고 수준의 관리에 직접 액세스해야하며, 역할에 독립적으로 있어야하며, 데이터 보호 영향 평가 (DPIAs), 교육 직원 및 데이터 주제 및 DPC에 대한 접촉으로 수행되는 작업을 수행하기 위해 적절한 리소스를받습니다.

예로 납땜

리더는 좋은 데이터 습관을 입증해야합니다 : 암호화 된 장치를 사용하여 이메일과 존경하는 동료의 고객 개인 정보를 공유하고 개인 데이터를 최소화합니다. 관리자가 직원에서 기대하는 동일한 규칙을 준수 할 때, 신뢰와 모델이 원하는 행동을 구축합니다.

2 단계 : 지속 투자, 고용 직원 교육

GDPR 퀴즈를 넘어

기존의 연례 교육 세션은 종종 지속 인식을 만들 수 없습니다. 데이터 보호 문화를 진정으로 수용하려면 교육은 interactive, 역할 별, 반복적으로이어야합니다. 새로운 고용은 첫 주 이내에 데이터 보호 유도를 받고, 상쾌한 세션은 적어도 매 6 개월을 예정해야합니다.

Scenario ‐ 기반 학습

초기 법률 항만의 대신, 다른 역할에 직원이 발생할 가능성이있는 실제 시나리오를 사용합니다. 예를 들어:

• 고객 서비스 담당자는 고객의 요청 계정 변경에 대해 청구하는 사람의 통화를받습니다. 데이터 수집없이 ID를 확인해야합니까?
• HR 관리자는 이메일을 통해 선 관리자와 직원 성능 데이터를 공유하도록 요청합니다. 안전한 방법은 무엇입니까?
• 마케팅 인턴은 공유 드라이브에 고객 이메일의 암호화 스프레드 시트를 찾습니다. - 어떤 단계가 즉시 수행되어야합니까?

그룹 세션에서 이러한 시나리오에 대해 논의하는 것은 직원들이 원칙을 내부화하고 실제 상황을 처리하는 신뢰를 구축하는 데 도움이됩니다.

High-Risk 역할에 대한 맞춤형 교육

HR, 금융, 법률, IT와 같은 민감한 데이터의 큰 볼륨을 처리하는 역할은 더 깊은, 전문 교육이 필요합니다. 그들은 데이터 보유 일정을 이해해야하며, 특별한 범주 데이터 처리에 대한 올바른 절차 (예를 들어, 건강 정보, 무역 조합 회원), 그리고 한 달에 걸쳐 데이터 주제 액세스 요청 (DSARs)에 응답하는 방법.

단계 3: 명확한, 접근 가능한 정책 및 절차 개발

정책 문서 그 사람 실제로 읽음

정책은 법적 서류가 부과되지 않습니다. 그들은 적절한 짧은 문장과 총알점을 사용하여 일반 언어로 작성되어야합니다. 모든 정책은 목적의 명확한 진술을 포함해야하며, 도의 목록과 도의문 및 DPO 또는 개인 정보 보호 팀에 대한 연락처 정보.

Irish 직장의 필수 정책은 다음과 같습니다.

• 데이터 보호 정책 - 약속과 원칙을 감독.
• Data Retention and Disposal Policy - 데이터의 긴 다른 범주가 유지되고 어떻게 안전하게 파괴되는지.
• Breach Response Plan - 내부 에스컬레이션 및 외부 알림을 포함한 침해가 발생했을 때 단계별 행동 (72 시간 이내).
• 데이터 제목 권리 절차 - 접근, 정정, 지우기 및 포용성 요청을 처리하는 명확한 지침.
• IT Systems - 작업용 장비, 클라우드 서비스 및 파일 공유를 위한 규칙.

Policies를 효과적으로 활용

정책은 쉽게 접근 할 수 있어야한다 — 예를 들어, 회사 인트라넷 또는 직원 핸드북의 전용 개인 정보 보호 섹션. 정책이 업데이트되면, 변경 강조 표시 간단한 이메일 요약을 보내고 직원을 확인하고 업데이트에 대해 이해해야합니다.

4단계: Foster Open Communication 및 Speak‐Up 문화

질문과 답변

직원은 질문을 묻을 때 데이터 보호 문화를 위협합니다. 누군가가 데이터의 조각을 공유 할 수 있는지 여부를 알 수 없다면 전용 이메일 주소 또는 티켓 시스템과 같은 명확한 채널이 있어야합니다. 비판주의를 두려워하지 않고 DPO 또는 개인 정보 보호 팀을 요청하십시오. 조직은 신속하게 반응하고 판단없이 응답해야합니다.

잠재적 인 Breaches에 대한 메커니즘을보고

직원은 의심스러운 데이터 침해를보고 정확히 알고 있어야합니다. 이것은 주요 위반 (예 : 해킹 된 데이터베이스)뿐만 아니라 미성년자 사건 (예 : 잘못된 수신자 또는 분실 된 USB 드라이브로 보내진 이메일)뿐만 아니라 주요 위반 (예 : 해킹 된 데이터베이스)도 포함. 간단하고 비 ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐ ‐

민감한 보고서에 대한 익명의 속눈썹 도구를 구현 고려하십시오. 그러나 대부분의 효과적인 문화는 직원이 경영이 조직적으로 punitively보다 구성적으로 반응하기 때문에 개방적으로 편안한보고 사건이있을 것입니다.

5단계: 정기 감사 및 평가

내부 데이터 보호 감사

일반 내부 감사는 문화가 미끄러지는 곳의 준수 및 지역에 격차를 식별하는 데 도움이됩니다. 감사는 검토해야합니다.

• 데이터 보유 일정은 다음과 같습니다.
• 접근 제한이 제대로 구성되는지 여부 (예, 전 직원 계정이 비활성화됩니다).
• 훈련 기록이 현재까지 어느 곳에 있는지.
• 제3자 공급업체가 계약 및 GDPR 요구 사항을 준수하는 라인에서 데이터를 처리하는지 여부.

데이터 보호 영향 평가 (DPIAs)

GDPR은 개인의 권리와 자유에 대한 높은 위험에 발생할 가능성이있는 처리를위한 DPIAs를 요구합니다. 이것은 대규모 프로파일링, 공공 지역의 체계적인 모니터링, 또는 대규모에 특별한 범주 데이터를 처리하는 활동이 포함되어 있습니다. DPIAs는 법적 의무뿐만 아니라 문화적 실습 - 새로운 프로젝트 또는 기술을 시작하기 전에 개인 정보 보호 위험에 대해 깊이 생각하기 위해 팀에 의존합니다.

테이블탑 운동과 Breach Simulations

1년 또는 2년 동안, breach 시뮬레이션 연습을 실행합니다. 관련 부서(IT, 법률, 통신, HR)을 가지고 있으며, 저하학적 데이터 사고를 통해 걸어갑니다. 이 시험은 위반 응답 계획을 테스트하고, 공동의 격차를 밝혀, 조직 전체에 걸쳐 유능하고 준비된 마음 세트를 구현하는 데 도움이 됩니다.

Practical Technical Measures 구현

문화는 사람들이 다르지만 강력한 기술 통제에 의해 지원되어야 합니다. 다음 조치는 데이터 보안의 중요성을 강화하고 위반에 대한 인간 오류의 likelihood를 감소시킵니다.

나머지 및 Transit에서 암호화

모든 개인 데이터는 암호화되어야하며 서버 또는 장치 (휴식)에 저장하고 네트워크 (전송)에 전송 될 때 모두 암호화되어야합니다. 예를 들어 웹 사이트, 민감한 통신을위한 암호화 된 이메일 솔루션 및 노트북에 전체 디스크 암호화를 사용합니다.

액세스 제어 및 효모 Privilege 원리

직원은 특정 업무 기능을 수행하는 데 필요한 개인 데이터에 접근해야합니다. 역할 기반 액세스 제어를 구현하고 강력한 암호와 멀티 요인 인증을 필요로하며 역할 또는 조직을 변경하는 직원에 대한 액세스를 수정하는 일반 리뷰를 실시합니다.

Data Minimisation by 기본 정보

디자인 시스템 및 프로세스는 필요한 최소 개인 데이터 만 수집합니다. 예를 들어, 고객이 구매를 할 때, 트랜잭션에 엄격히 요구되는 경우 출생 또는 홈 전화 번호의 날짜와 같은 불필요한 정보를 요청하지 마십시오. 이것은 breach의 위험과 준수 비용의 감소를 나타냅니다.

강력한 데이터 보호 문화의 이점

Breaches 및 Fines의 위험 감소

데이터 보호 위험의 인식은 피싱 사기를 위해 떨어지는 가능성이 적으며 잘못된 수신자 또는 잘못 된 민감한 정보에 이메일을 보내야합니다. Fewer breaches는 DPC, 적은 평판 손상 및 GDPR의 글로벌 연간 매출액의 20 백만 또는 4 %까지 도달 할 수있는 잠재적 인 벌금 (DPC, 적은 평판 손상에 대한 몇 가지 알림을 의미합니다).

고객 신뢰와 충성도 향상

고객이 조직이 데이터 보호가 심각하게 수행 할 때, 그들은 그들의 정보를 공유하고 서비스와 참여 할 가능성이 더 높습니다. 경쟁력있는 시장에서 강력한 개인 정보 보호 관행의 명성은 중요한 차별화 될 수 있습니다.

직원 모랄레 및 책임

데이터 보호의 문화는 공유 책임감을 촉진합니다. 직원은 데이터 처리에 적합한 신뢰할 수 있고 위험에 대해 최대로 말할 수 있도록 권한을 부여합니다. 이것은 전체적인 직장 도덕을 개선하고 매출을 줄일 수 있습니다.

Easier 규정 준수

데이터 보호가 일상 습관에 내장되면 DSARs, breach 보고 준수 및 기록 유지 요구 사항은 두 번째 성격이됩니다. 이것은 DPC 스무더 및 더 적은 스트레스를받습니다.

피하기 위해 일반적인 Pitfalls

잘 관리 된 조직은 데이터 보호 문화를 구축 할 때 맹세 할 수 있습니다. 이러한 빈번한 실수를 조심하십시오.

• 1회 이벤트로 훈련을 진행 - 강화없이 빠르게 인식을 밝히는.
• Inconsistentforcement - 그 결과 없는 수석 직원 우회 정책이 있다면, 문화 붕괴.
• ]기술에 대한 ‐거의 ‐거의 ‐] - 기술 제어는 혼자가 왜 그들이 왜 이해하지 않는 인력에 대 한 보상할 수 없습니다.
• 소형 사건 - 소형 오류에서 조사 및 학습에 실패하면 개발하는 더 큰 문제를 해결할 수 있습니다.

관련 기사

아일랜드 직장의 데이터 보호 문화를 구축하는 것은 고정 된 최종 날짜와 프로젝트가 아닙니다. 리더십, 교육 및 실용적인 보호가 필요한 지속적인 노력입니다. GDPR 및 Data Protection Act 2018의 법적 프레임 워크를 이해함으로써, 지속적인 교육, 명확한 정책, 개방적 커뮤니케이션을 개발하고 정기적 감사를 수행하고, 조직은 핵심 조직적 강점으로 규정 된 부담으로부터 데이터 보호를 변환 할 수 있습니다.

데이터가 조직의 가장 가치있는 자산 중 하나 인 나이에 모두 책임입니다. 정품 데이터 보호 문화가 뿌리를 취하면 개인의 권리를 보호하고 신뢰, 탄력 및 장기적인 성공을 거두는 것은 아닙니다.