Personas datu aizsardzību var salīdzināt ar automašīnu, proti, labs saimnieks rūpēsies par savu auto, laikus veicot plānotās apkopes un remontdarbus, centīsies braukt droši, izvairoties no sadursmēm un ievērojot ceļa īpatnības. Tas palīdz nodrošināt, ka auto ir uzticams un tam nav jāpaliek ceļmalā.
Jūsu personas datu aizsardzības sistēmai arī ir svarīgi, lai laikus tiktu veikti darbi, kas palīdz novērst nelaimes iestāšanos.
Kā maksimāli izvairīties no incidenta?
Esiet rūpīgs pret savām informācijas sistēmām – uzturiet aktuālus sarakstus ar to, ko izmantojat, gan nodrošinājuma aparatūras (hardware), gan programmnodrošinājuma (software) ziņā!
Ja iespējams, sistēmas un tīklus segmentējiet tā, lai uzbrucējs, iegūstot piekļuvi vienai sistēmai, nevarētu automātiski piekļūt visai organizācijas IT videi!
Nodrošiniet arī rezerves kopijas, kas ir pietiekami aizsargātas pret uzbrucēju piekļuvi vai iznīcināšanu! Tas ir īpaši svarīgi gadījumos, kad uzbrukuma rezultātā dati tiek šifrēti vai sistēmas kļūst nepieejamas.
Nodrošiniet arī atbilstošus tehniskās drošības pasākumus, piemēram, daudzfaktoru autentifikāciju, drošu paroļu pārvaldību, regulāru programmatūras un sistēmu atjaunināšanu, ugunsmūri un citus tīkla aizsardzības risinājumus, ļaunprogrammatūras aizsardzību, kā arī sistēmu žurnālfailu un citu drošības notikumu uzraudzību!
Ierobežojiet to personu loku, kurām ir pieejami personas dati! Piekļuve sistēmām un datiem būtu jāpiešķir tikai tad, ja tā konkrētajai personai ir nepieciešama darba pienākumu veikšanai. Jāizmanto atbilstoša lietotāju tiesību pārvaldība, regulāri jāpārskata piešķirtās piekļuves tiesības un jānodrošina, ka darbiniekiem, kuri vairs nav tiesīgi piekļūt sistēmām, piekļuve tiek nekavējoties pārtraukta. Īpaša uzmanība jāpievērš administratoru un citu lietotāju ar paaugstinātām tiesībām kontiem.
Ja iespējams, veiciet sistēmā esošo datu šifrēšanu, šifra atslēgas glabājot drošā un no iespējamā uzbrucēja nodalītā vietā!
Sekojiet līdzi ievainojamībām, kas skar jūsu izmantotās sistēmas (avots, kur atrast jaunākās ievainojamības, ir, piemēram, https://www.cve.org/). Kad tiek atklāta jauna ievainojamība, padomājiet par riskiem, ko rada turpmāka sistēmas izmantošana. Proti:
kāds kaitējums jums rodas, ja sistēmu pārtrauc izmantot, līdz tiek atrasts ielāps ievainojamībai;
kāds ir ļaunākais iespējamais scenārijs, kas var notikt, ja uzbrucējs ievainojamību atrod un izmanto;
ko varat pasākt, lai mazinātu ļaunākā iespējamā scenārija iestāšanās iespējamību.
Ieviesiet, ja iespējams, ielaušanās atklāšanas (IDS) un ielaušanās novēršanas (IPS) sistēmas. Tas palīdzēs pamanīt, ka incidents jau ir sācies, un sākt tā vadību.
Šie pasākumi nav jāuztver kā vienreizēji veicami uzdevumi, jo to efektivitāte regulāri jāpārbauda un jāpielāgo mainīgajiem apdraudējumiem. Šiem pasākumiem jābūt proporcionāliem tam, kādus personas datus apstrādājat. Visām apstrādē esošajām datu kopām nav vienāda ietekme, un digitālajā vidē nav iespējams panākt pilnīgu drošību – šīm abām lietām jābūt līdzsvarā, proti, jo jutīgāki dati, jo lielāki drošības aizsardzības pasākumi.
Kā mazināt iespējamā incidenta ietekmi?
Ja auto ir piekabe, tad tā netiks ņemta līdzi katrā ikdienas braucienā, bet tikai tad, kad plānots to izmantot. Jo lielāks braucamais, jo ar to grūtāk pārvietoties, grūtāk atrast tam stāvvietu un lielāka iespēja, ka tam var notikt sadursme ar citiem ceļu satiksmes dalībniekiem.
Regulāri pārskatiet, kādi personas dati tiek vākti, kādi dati tiek glabāti un cik ilgi šī glabāšana notiek! Jo mazāk jums būs datu, jo mazāk būs ko zaudēt noplūdes gadījumā.
Pārbaudiet, vai dati, kas atrodas jūsu sistēmās, joprojām tiek apstrādāti likumīgi (vai to apstrādei ir Datu regulai atbilstošs tiesiskais pamats).
Veidojiet reģistrus, kas jums ļaus noteikt, kādi dati atrodas kādās sistēmās!
Šie pasākumi ne tikai mazina iespējamā kaitējuma apjomu, ja uzbrucējam izdodas iekļūt jūsu sistēmā, bet tie ir arī nepieciešami, lai nodrošinātu atbilstību Datu regulai. Apstrādājot datus lielākā apjomā, nekā nepieciešams mērķa sasniegšanai, jūs pārkāpjat datu minimizācijas principu. Tas pats attiecas uz apstrādē esošo datu glabāšanas termiņa uzraudzību, tikai Datu regulas princips, kas ar to saistīts, ir glabāšanas ierobežojuma princips.
Kā sagatavoties situācijai, ja incidents tomēr notiek?
Diemžēl no nelaimes nav pasargāts pat rūpīgākais autobraucējs – tā var gadīties ikvienam citu satiksmes dalībnieku, nepārvaramu apstākļu vai iepriekš nebijušas tehniskas ķibeles dēļ. Tomēr rūpīgu saimnieku no bezrūpīga atšķir arī tas, cik gatavs tas ir nelaimes brīdim. Rūpīgajiem būs ne tikai atstarojošā veste un brīdinājuma zīme, bet arī rezerves ritenis, darbarīku komplekts vienkāršākiem remontdarbiem un līgums ar kādu autoevakuatoru vai apdrošināšana pret negadījumu uz ceļa.
Izveidojiet iekšēju kārtību, kā rīkosieties kiberincidenta gadījumā – kārtībai jāparedz gan rīcība ārkārtas gadījumos, gan darbības nepārtrauktības nodrošināšana, gan seku novēršana!
Nosakiet jau iepriekš, kas organizācijā konstatē un izvērtē incidentu, kas pieņem lēmumus par tā ierobežošanu un kurš nepieciešamības gadījumā sazinās ar uzraudzības iestādi un skartajām personām!
Apziniet, kādu incidentu izmeklēšanai jums pietiks ar iekšēju resursu, bet kādos gadījumos būs vajadzīga palīdzība no ārējiem ekspertiem!
Apziniet, kāda veida informācija jums būs pieejama incidenta gadījumā, lai, tam notiekot, bez kavēšanās būtu iespējams sākt tā seku ierobežošanu!
Jo ātrāk izdodas konstatēt incidentu, apturēt uzbrucēja piekļuvi un novērst turpmāku datu noplūdi, jo mazāka var būt pārkāpuma ietekme.
Būsim pateicīgi, ja skaidrojuma kvalitātes novērtēšanas nolūkos aizpildīsiet šo aptauju - https://www.visidati.lv/aptauja/10413182/.