Revista si suplimente
MarketWatch
Inapoi Inainte

Considerații practice pe tema GDPR

27 Septembrie 2017



Odată cu apropierea termenului de aplicare a noului Regulament General de Protecție a Datelor (GDPR), interesul organizațiilor locale este din ce în ce mai mare. Companiile autohtone au început să renunțe la abordările teoretice și să caute soluții concrete pentru transpunerea în practică a prevederilor GDPR.

Majoritatea abordărilor subiectului General Data Protection Regulation (GDPR) insistă pe necesitatea generică a securizării datelor cu caracter personal. Dar, înainte de a face orice pas în această direcție, este vital să știi ceea ce trebuie protejat.
„GDPR prevede explicit crearea unui catalog al procesărilor de date. Ori, în condițiile în care fiecare organizație are mai multe sisteme și soluții IT, cu tehnologii mai vechi sau mai noi, acest lucru este o adevărată provocare“, a explicat Silviu Teodoru, IT Architect Oracle România, prezent în cadrul celei de a XV-a ediții a evenimentului „No time for downtime“, organizat de către compania Maguay.

Respectarea cerinței GDPR obligă organizațiile să aibă vizibilitate extinsă asupra modelului datelor și procesărilor. Pentru identificarea completă și rapidă a informațiilor sensibile, specialistul Oracle recomandă utilizarea unei soluții automate de scanare a tuturor datelor structurate sau nestructurate din cadrul unei companii. Motivul – un motor de căutare capabil să scaneze volume mari de date, utilizând reguli flexibile, identifică rapid zonele în care se regăsesc datele cu caracter personal și procesele pe care le parcurg acestea.

Soluția este utilă și în respectarea altor cerințe-cheie stipulate de noul regulament, cum este, de exemplu, dreptul persoanelor de a solicita ștergerea datelor cu caracter personal. După 25 mai 2018, orice cetățean UE va putea solicita companiilor ca datele sale personale să îi fie „uitate“. Pentru o organizație care se confruntă cu un număr mare de astfel de cereri și utilizează metode manuale de ștergere este posibil ca solicitările să depășească capacitatea de procesare, iar termenul legal prevăzut pentru soluționare să fie depășit.

Se impune însă o precizare: nu orice tipuri de date pot fi șterse la cerere, pentru că există mai multe legi care reglementează duratele de păstrare a acestora. Dacă prevederile financiar-fiscale impun unei organizații păstrarea timp de mai mulți ani a anumitor categorii de date, aceasta are obligația să arhiveze respectivele informații, dar să șteargă datele cu caracter activ ale persoanei care a solicitat să fie „uitată“. Și în acest caz, soluția de identificare automată a modelelor de date scutește organizațiile de numeroase probleme.

72 de ore vs 146 de zile
Un alt aspect „delicat“ al noului regulament, adus în discuție de către Adrian Danciu, director regional Fortinet, este obligativitatea semnalării către autoritatea de control a breșelor de securitate, în 72 de ore de la detectarea acesteia. Notificarea trebuie să conțină mai multe informații detaliate, printre care: • Descrierea naturii breșei de securitate • Categoriile și volumul de date afectate • Descrierea consecințelor probabile ale încălcării cerințelor de protecție a datelor • Prezentarea soluțiilor de remediere a breșei.
Problema apare însă când comparăm intervalul de 72 de ore stipulat de GDPR cu timpul mediu de depistare a unei breșe de securitate – 146 de zile, conform statisticilor. „După aproape 5 luni organizațiile trebuie să dea explicații despre ce s-a întâmplat cu datele cu caracter personal... E o provocare. De aceea, pentru a reduce la minimum posibil timpul de depistare a breșelor au nevoie de soluții IT. Ajutorul vine mai întâi de la tehnologie, și abia apoi de la oameni“, a subliniat directorul Fortinet, exemplificând cum poate fi redus impactul breșelor cu ajutorul soluțiilor de segmentare internă a infrastructurii IT.

Adopție în ritm accelerat
Până în mai 2018 timpul rămas este scurt. Din acest motiv, abordările top-down, în care top managementul stabilește prioritățile strategice, transpuse apoi într-un proiect implementat de sus în jos, au început să fie înlocuit cu cele bottom-up, în care specialiștii IT din organizații, care cunosc în detaliu sistemele informatice instalate, definesc strategii adaptate modului de lucru al respectivei companii, ajustându-le pe parcurs.
Rămâne de văzut care dintre aceste abordări va avea mai mult succes și dacă, peste opt luni, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal va aplica direct penalizările prevăzute sau va avea o atitudine mai „îngăduitoare“.



Tags: securitate, GDPR

Parerea ta conteaza:

(0/5, 0 voturi)

Lasa un comentariu



trimite