Giriş: Donor Data Security and Privacy Matter More Than Ever

Charitable organizasyonlar sadece paralarını değil aynı zamanda kişisel bilgilerini de verir - kuruluş finansal istikrarını tehdit eden düzenleyiciler, telefon numaraları ve finansal ayrıntılar.

Son yıllarda, veri koruma konusundaki düzenleyici çevre, Avrupa Birliği'nin Genel Veri Koruma Yönetmeliği (GDPR), Kaliforniya Tüketici Gizlilik Yasası (CCPA) ve diğer yargılarda benzer kurallar, şirketlerin ve kuruluşların kişisel verileri nasıl topladığı konusunda önemli ölçüde katılaşmaktadır.

Bu makale, bağışçı veri güvenliği ve nakit para birimlerinde mahremiyet için en iyi uygulamalara kapsamlı bir kılavuz sunmaktadır. Hassas bilgi, hem güvenlik hem de mahremiyet yönetimi için ayrıntılı eylem adımları, herhangi bir kârın - boyut veya bütçeye uygun olmayan öneriler - uygulanabilir.

kârsızlar için Veri Güvenliğinin önemini anlamak

Donor Data'nın Riskleri Riskte

Donor verileri basit bir isim ve e-posta adresinin çok ötesine geçer. Charitable organizasyonlar genellikle kişisel olarak tanımlanabilir bilgi kategorisine sahiptir (PII):

  • [[Düzg:0)İletişim Bilgileri:[Dönetici:[Dönetici: · 1] Tam adı, ev adresi, telefon numarası, e-posta adresi.
  • [FONT:0] ⁇ Data:[[Dönetici:0) Kredi kartı numaraları, banka hesabı bilgileri, işlem tarihleri, tekrarlanan hediye detayları.
  • [FONT:0]Demografik ve Davranışsal Veriler: Yaş, gelir aralığı, bağış tarihi, etkinlik katılımı, iletişim tercihleri, katılım puanları ve hatta örüntülerden gelen siyasi veya dini bağlar.
  • [FONT:0)Sağlık veya Hassas Bilgi: [Dönetici: [Dönetici: 1) Tıbbi fonlama veya felaket yardımı durumunda, organizasyonlar, daha yüksek koruma gerektiren diğer özel veri kategorileri tutabilir.

Bu veri toplama siber suçlular için bir hazinedir. Stolen bağışçı kayıtları, kimlik hırsızlığı, kredi kartı dolandırıcılık, phishing saldırıları veya Verizon Data Breach Araştırma Raporuna göre (DBIR), kar amacı gütmeyen sektör bağışıklık değildir; sık sık sık finans veya sağlık olarak hedef alınamazken, orta ölçekli bir cömertlik, kurtarma saldırıları nedeniyle yıkıcı olabilir.

Data Breaches ve Privacy Violations'ın Sonuçları

Yetersiz veri korumasından düşme birkaç form alabilir:

  • [FONT:0)Reputasyonal Hasar:[Dönetici: 0D:0] Bir veri ihlalinin haberleri anında yanlışlığa güvenmektedir. Daha İyi İşletme Bürosu'nun Bilge Bağışlama İttifakı tarafından yapılan bir çalışma, bağışçıların% 60'ının kişisel bilgileri içeren bir organizasyona son vereceğini söyledi.
  • [FONT:0) Hukuk ve Düzenleme Cezaları: [Düzük Altında, İyiler yıllık küresel cironun% 4'üne veya € 20 milyona kadar (daha büyük) CCPA ihlalleri, cezaların uygulanmadığı 7,500 dolar cezaya kadar cezalar taşır, hatta soruşturma maliyeti, bildirim ve litigation önemli olabilir.
  • [FONT:0)Operasyonel Disruption: [Dönetici: [Dönetici:0]Prof.Döneticileri veya sistem uzlaşmaları, kampanyalarını durdurma, kampanyalarını geri yüklemeleri için haftalar gerektirir.
  • [FONT:0)Donor Churn ve Azalt:) Bir ihlal genellikle tekrarlanan bağışların iptaline yol açar ve büyük hediyeler kaybı ve yeni destekçileri satın alma zorluğuna neden olur.

Bu hisse senetleri göz önüne alındığında, bağışçı veri güvenliğindeki proaktif yatırım lüks değildir - topluluğunla uzun vadeli ilişkileri sürdürmek için umut eden herhangi bir karitable organizasyon için temel bir operasyonel zorunluluktur.

Donor Data Security için en iyi uygulamalar

Güvenlik, veriyi yetkisiz erişim, değişiklik, yıkım veya açıklamadan korumaya odaklanır. Aşağıdaki uygulamalar, teknik uzmanlıktan bağımsız olarak her bir hayır kurumun kabul edilmesi gereken bir temel oluşturur.

1. Güçlü şifre Politikaları ve Çok-Factor Authentication

Weak şifreleri en yaygın saldırı vektörlerinden biri olarak kalır. Çalışanlar ve gönüllülerin karmaşık, donör verilerine erişen her sistem için eşsiz şifreler gerekir. Şifreler, uzun süre boyunca en az 12-16 karaktere karşı olmalıdır; bunun yerine, üst köşe ve alt harflere, sayılara ve sembollerin bir karışımını ve platformlarda hiçbir zaman yeniden kullanılmamalıdır.

[FONT:0) Çok faktörlü kimlik doğrulama (MFA)), ikinci bir doğrulama biçimi gerektiren bir güvenlik katmanı ekliyor - bir telefona, bir biyometrik taramaya veya tüm e-posta hesaplarında bir donanıma, bağışçı yönetim sistemleri (CRM), ödemelere ve bulut depolama platformlarına göre. Duo Security, Microsoft Authenticator veya Google Authenticator gibi araçlar maliyetli ve kolay dağıtılıyor.

[FONT:0)Dönem kaynağı:[[Dönemli: · 1] Şifre politikalarına ayrıntılı rehberlik için, [[Üye Olmayan Siber Güvenlik Çerçeve[DÜye Olmayanlar İçin[DÜye Olmayanlar İçindekiler) ve NIST Özel Yayınlama 800-63B.

2. Geri ve Transitta Şifre Data

Şifreleme, yetkisiz bir partinin veri depolamasına veya hareket halindeki verileri engellemeye olanak sağlarsa, bilgi doğru şifreli anahtar olmadan geri alınabilir. Charities uygulanmalıdır:

  • [[Dönetici:0) Geri bildirim:[Dönetici: [Dönetici:0) Tüm bağışçı veritabanı, yedekleme dosyaları, tablolar ve arşiv kayıtları AES-256 gibi güçlü algoritmaları kullanarak şifrelenmelidir. Çoğu modern veritabanı sistemleri (örneğin, Natasha, PostgreSQL) ve bulut hizmetleri (AWS, Azure, Google Cloud) minimum konfigürasyon ile etkinleştirilebilecek şifreleme özellikleri sunar.
  • [FONT=0) Geçişte şifreleme:[Dönetici:[Dönetici:0) Tüm web trafiği için bağış formları, bağışçı portalları veya idari arayüzler içeren şifreler için SSL/TLS (Transport Katman Security) kullanın.You that your web sitesinin sertifikası geçerli ve güncellenir.In internal ağ iletişim için, consider using VPNs or SSH tünelleri uzaktan erişimli olarak düşünün.

End-to-end şifreleme özellikle ödeme verileri için kritiktir. Organizasyonunuz üçüncü taraf ödeme işlemcisi kullanıyorsa, sistem üzerinden geçen herhangi bir bağışçı bilgisi şifreli kanallar üzerinden aktarılmalıdır.

3. Yazılım ve Sistemleri Güncellemeler

Cybercriminals, eski yazılımlarda sıkça bilinen açıkları kullanır. bağışçı yönetim sistemi, içerik yönetim sistemi, işletim sistemleri, güvenlik duvarları ve tüm eklentiler veya üçüncü taraf entegrasyonları için düzenli bir yama yönetimi programı oluşturun.

Miras sistemleri - özellikle popüler CRM'lerin özel olarak oluşturulmuş veritabanı veya eski versiyonları – özellikle riskli. Organizasyonunuz artık güvenlik güncellemelerini almadığı yazılımlara dayanıyorsa, desteklenen bir platforma öncelik veriyor.Birçok uygun fiyatlı, güvenli alternatifler de kullanılabilir, bulut tabanlı çözümleri otomatik olarak ele alıyor.

4. Least Privilege Prensibini kullanarak Donor Data Access to Donor Data Using the Principles of Least Privilege

Her çalışan veya gönüllü tüm bağışçı verilere erişime ihtiyaç duymaz. Implement rol tabanlı erişim kontrolü (RBAC) belirli iş işlevlerini yerine getirmek için gerekli olan kişilere erişim kısıtlaması gerekir. Örneğin:

  • Fonlama personeli, bağışçı iletişim bilgilerini görüntülemek ve tarih vermek için ihtiyaç duyabilir, ancak kredi kartı numaralarıyla ilgili değildir.
  • Finans personeli işlem kayıtlarına erişmek olabilir, ancak kişisel adreslere veya nişan notlarına değil.
  • Interns veya geçici personel sadece erişim veya sınırlı zaman izinleri okumalıdır.

Düzenli olarak, normal çalışma saatleri dışında büyük miktarda veri indirgeyen bir çalışan gibi olağandışı aktivite tespit etmek için erişim günlüklerini gözden geçirmek gerekir. Kullanıcı teslim edilmesi ve de-provisioning processes should be otomatik: when a personel member leave the organization or changes, their access rights should be revoked or right.

5. Güvenli Ödeme Gatewaylerini kullanın ve PCI DSS ile Tamamlayın

Organizasyonunuz kredi kartı bağışlarını kabul ederse – telefonla veya şahsen - Ödeme Kartı Endüstri Data Security Standard (PCI DSS) ile uyumlu olmalısınız. Bu 12 gereksinimlerinin seti kart sahibi verilerinin nasıl ele alındığını ve aktarıldığını belirtir.

  • Tam kredi kartı numaralarını asla depolamaz, CVV kodları veya bir işlemden sonra manyetik şerit verileri yetkilidir.
  • Hassas kart verilerini hassas olmayan eşdeğerlerle değiştirmek veya şifreleme kullanmak.
  • Bir PCI-compliant ödeme işlemcisi ile sözleşme yapmak (örneğin, Stripe, PayPal, Braintree veya Donorbox veya GiveWP gibi özel kar işlemciler).
  • yıllık kendini değerlendirme veya kırılgan taramaları satın aldığınız banka tarafından gerekli olarak yapın.

Birçok kâr aracı, kart verilerini doğrudan ele alan üçüncü taraf ödeme ağ geçidi kullanarak PCI uyum yükünü azaltabilir, böylece hayır asla tam kart numaralarına dokunmaz veya depolar. Ancak, bu modelle bile, organizasyon web sitesini ve ağı güvenli bir şekilde sağlamalıdır.

[FONT:0)Dön kaynağı:[Dönetici:0) [Dönetici:0)Dönemli kaynaklar:[Dönetici:0)[Dönetici:0)))))))))))) Yerel yönetimler için daha fazla bilgi edinin.

Gizlilik Yönetimi için En İyi Uygulamalar

Güvenlik teknik kontrollere odaklanırken, bağışçı verileri nasıl toplanır, paylaşılan ve muhafaza edilir - ve bağışçıların bilgi üzerinde nasıl bilgilendirilir ve kontrol edilir. Etkili gizlilik yönetimi şeffaflık ve güven yaratır.

1. Clear, Accessible Privacy Policy geliştirmek

Her karitable organizasyonunun, açıklayan yazılı bir gizlilik politikası olması gerekir:

  • Bağışlama verilerinin hangi türleri toplanmaktadır (örneğin, iletişim detayları, ödeme bilgileri, kurabiyeler kullanılıyorsa tarama davranışı).
  • Veriler nasıl toplanır (online formlar, çevrimdışı olaylar, üçüncü taraf kaynaklar).
  • Hangi verilerin kullanıldığına dair amaçlar (projektif bağışlar, makbuzlar, pazarlama iletişimi, analitik gönderme).
  • Veriler üçüncü taraflarla paylaşılır (örneğin, ödeme işlemcileri, e-posta pazarlama platformları, veri analiz hizmetleri) ve hangi koşullarda.
  • Ne kadar uzun veri tutulur ve bağışçıların nasıl talep edilebilir.
  • Donors'un geçerli yasalar altında hakları (örneğin, erişim, doğru, silinme veya verilerini limana alma hakkı).
  • Gizlilik soruşturmaları için bilgi.

Politika web siteniz üzerinde (tipik olarak ayak basıcı) belirgin bir şekilde yayınlanmalı ve veri uygulamaları geliştikçe tarihe kadar devam etmeli. Bazı yetkiler politikanın en az yıllık olarak gözden geçirilmesi ve güncelleştirilmesi gerektiğini gerektirir.

Birçok mahremiyet düzenlemesinde, onay özgürce verilmelidir, özel, bilgilendirilmiş ve belirsiz. Bu, önceden kontrol edilen kutular veya bir bağış işleminden onaylanmasının artık pazarlama amaçları için yeterli olmadığı anlamına gelir.En iyi uygulamalar şunları içerir:

  • E-posta haber bülteni için opt-in checkboxes (not opt-out) kullanarak, SMS güncelleştirmeleri veya ortak organizasyonlarla verileri paylaşma.
  • Örneğin, donörlerin almak istedikleri iletişim türlerini seçmelerine izin vermek.
  • Açıkça, veri toplama amacının yakalama noktasında (örneğin, “İşimiz hakkında vergi makbulunuzu ve fırsat güncellemelerinizi göndermek için e-postanızı kullanırız – herhangi bir zamanda sızdırabilirsiniz).
  • Kayıt ve onay kanıtı (örneğin, zamantamps, IP adresleri ve gösterilen onay metni) depolamak, böylece denetimli olup olmadığını gösterebilirsiniz.

Kuruluşunuzdan önce gemide bulunan mevcut bağışçılar sağlam onay uygulamaları kabul etti, veritabanınızı uyumlu hale getirmek için yeniden ikna edici bir kampanya düşünün.

3. Uygulama Data Minimization

Tanımladığınız amaçlar için gerçekten gerekli olan bilgileri toplayın. Bir bağışçının doğum tarihine, telefon numarasına veya bir hediyeyi işlemeye çalışmak için işgale ihtiyacınız yoksa, veri minimizasyonunu ihlal etme ve silme yükümlülüklerine uygunluğunu azaltır.

Bağış formlarınızı gözden geçirin, etkinlik kayıt sayfaları ve gönüllü uygulamalar periyodik olarak gereksiz alanları şeritlemek için kullanılır. Sadece ilgili olarak, ilgili olarak, işveren bilgi isteyin sadece bağışçının eşleşen hediyelerle ilgilendiğini gösterir.

4. Veri Yenidenleme ve Güvenli Engelli Politikalar Oluşturun

Donor verileri süresiz olarak tutulmamalıdır. Her veri kategorisinin operasyonel ihtiyaçlara ve yasal gereksinimlere dayanarak ne kadar süre kaldığını tanımlayan bir saklama programı geliştirir. Örneğin:

  • İşlem kayıtları 7 yıl boyunca tutulması gerekebilir ( vergi amaçlı).
  • Pazarlama etkileşimi verileri (örneğin, e-posta açık oranları) 3 yıl boyunca muhafaza edilebilir.
  • Aktif bağışçı profilleri ( 5+ yıl boyunca aktivite yok) arşivlenmiş veya silinebilir.

Veriler saklama süresinin sonuna ulaştığında, kağıt kayıtları için güvenli bir şekilde elden çıkarılmalıdır. Basit kesintiler yeterli değildir -hard sürücüler ve yedeklemeler hala kurtarılabilir. dijital dosyalar için dosya yükleme araçları kullanın (örneğin, çok fazla kez yazmalı yazılım) ve fiziksel bir parçalama hizmetleri için kağıt kayıtları için.

5. Tüm Personel ve Gönüllüler Gizlilik ve Güvenlik Üzerine

Teknoloji kontrolleri sadece onları kullanan insanlar kadar etkilidir. İnsan hatası - phishing bağlantılarına tıklayarak, açıklanmış ekranlarda görünür veya şifre paylaşımında görünür hale gelir - veri olaylarının önde gelen nedenini korur.

  • Kaçak denemeleri, sosyal mühendislik ve şüpheli e-postaları nasıl tanınacağını nasıl bilebilirim.
  • Bağışlayıcı verilerin işlenmesi: kamu yerlerde bağışçı bilgileri tartışma, şifrelenmemiş yayılma tabloları e-posta yoluyla gönderme, gözetimsiz iş istasyonlarına engel olmayan bir şekilde kilitlenme.
  • Raporlara göre, şüpheli veri ihlalleri veya mahremiyet olayları hakkında raporlar.
  • Hükümlerinize ilişkin gizlilik yasaları anlamak.

Eğitim, kira ve en azından bir yıl sonra gerçekleşmeli. Öğrenmeyi güçlendirmek için gerçek dünya örnekleri ve sınavlar sağlayacaktır. Personelin cezadan korkmadan rahat raporlama hataları hissettiği bir kültüre sahip olun - raporlama ihlalden zarar verebilir.

Yasal ve Etik Bakışlar

Charitable Organizasyonları Etkileyen Temel Veri Koruma Yasaları

Organizasyonunuzun nerede çalıştığına veya bağışçılarınızın nerede yaşadığına bağlı olarak, birden fazla yasa uygulanabilir. İşte en önemli:

  • [FONTPR:0)GDPR (Avrupa Birliği): ), AB'deki herhangi bir organizasyona uygun olarak, organizasyonun konumuna bakılmaksızın, 72 saat içinde yasal olarak, veri koruma değerlendirmeleri ve belirli durumlarda bir veri koruma görevlisi (DPO) ataması için yasal olarak gerekli olan durumlarda, yasal olarak gerekli olan bir ihlal bildirim gerektirir.
  • [FONT=0)CCPA/CPRA (California, ABD): ) Grants California sakinleri, kişisel verilerin toplandığını, satışını silmek ve bu hakların kullanılması için ayrımcılık yapmak için hakların ne kadar iyi olduğunu bilmek için haklarından vazgeçmiştir.
  • [FONT:0)PIPEDA (Kanada):) anlamlı bir onay gerektirir, veri koruma için veri koruma için veri azaltma ve hesap verebilir. Ticari faaliyetlerde veya illerdeki verileri toplamak için karitelere uygundur.
  • [FONT=0]Diğer Devlet yasaları:[Dönetici:[Dönetici:0) Virginia'nın CDPA, Colorado'nın CPA, Connecticut'ın CTDPA'sı ve diğerleri ABD gizlilik düzenlemelerinin yarı çalışmasını genişletiyor. Küresel kariteleri de Brezilya'nın LGPD veya Japonya'nın APPI'sine uymaya ihtiyaç duyuyor.

Organizasyonunuza hangi yasaları uygulamak karmaşıktır. Bir uyum denetimi yapmak için gizlilik veya kar amacında özelleştirilmesi yasal danışmanlık ile danışmak tavsiye edilir.

[FONT:0]Dönemli kaynak: [FODÜDÜDÜDÜDÜDÜDÜDÜSÜDÜDÜ:0)Dönem:[DÜye Olmayanlar İçin Tıklayınız.

Etik Veri Uyumunun Ötesinde

Yasanın mektubu ile uyum en az etik veriler güvence altına alınması, bağışçı özerkliğine daha fazla saygı gösterme ve uzun vadeli ilişkiler kurma anlamına gelir: Bu ek uygulamaları göz önünde bulundurun:

  • [FONT:0) Varsayılan olarak Şeffaflık:[Dönetici:0) Proaktif olarak, verilerin nasıl kullanılacağı konusunda bağışçılar bilgilendirin, yasal olarak gerekli olmasa bile. Örneğin, bağışçı listeleri diğer kar amacı ile paylaşırsanız, bunu açıkça açıklayın ve bir opt-out teklif edin.
  • [FONT:0)Deprem bağışçı tercihleri:[Dönetici:[Dönetici:0)Başvurular, hemen hemen hemen (10 iş günü ile ortak bir standarttır).
  • [FONT:0]Privacy etkisi değerlendirmeleri: Yeni bir finans kampanyası başlatmadan önce, teknoloji platformu veya veri paylaşımı ortaklığı, bağışçı mahremiyetine potansiyel riskleri tanımlamak ve önceden azaltmak için bir gizlilik etkisi değerlendirmesini yürütür.
  • [FONT:0)Data portability:[Dönetici:[Dönetici:0)) bağışçıların, talep üzerine veri kopyalarını indirmelerine izin vermesine izin verin.

Bağışlama verilerin etik kullanımı sadece iyilerden kaçınmakla ilgili değildir - kuruluşunuzun görevdeki ortaklar olarak hizmet ettiği kişilerin, sadece gelir kaynakları değil.

Sonuç: Güvenlik ve Gizlilik Kültürü Yapın

Donor veri güvenliği ve mahremiyet tek zamanlı projeler değildir; sürekli dikkat, yatırım ve yeni tehditlere ve düzenleyici değişikliklere ihtiyaç duyan taahhütler devam etmektedir. Bu uygulamaları günlük operasyonlarına gömen Charitable organizasyonlar - güçlü teknik kontroller, şeffaf politikalar, düzenli eğitim ve etik karar verme - sadece kendilerini zarardan korumak için değil, aynı zamanda onların görevlerine de önemlidir.

Nerede olduğunuzu anlamak için bir veri envanteri yapın, bağışçı bilgilerinin ne kadar kaldığını ve nerede yaşadığını anlamak için bir risk değerlendirme yapın.Bu kılavuzda belirtilen uygulamaları uygulayın, en yüksek riskli alanları önceliklendirir (örneğin ödeme işleme ve uzaktan erişim gibi).

Hiçbir organizasyon tüm riski ortadan kaldıramaz, ancak kasıtlı olarak, bilgi olaylarını önemli ölçüde azaltabilirsiniz. Bugün bağışçı verileri güvence altına almak için yatırım yaptığınız çaba, sürekli bağışçı güven, düzenleyici uyumluluk ve uzun vadeli sağlık karditable organizasyonunuz için kardiberlik hizmeti öder.

[FONT:0)Dön kaynağı: [Dönetici veri güvenliği planı oluşturmak için, [[Cybersecurity ve Altyapı Güvenliği Ajansı (CISA) küçük organizasyonlar için kaynaklar).