HVORDAN SØRGE FOR ETTERLEVELSE AV SIKKERHETSKRAVENE I GDPR?

Transkript

1 HVORDAN SØRGE FOR ETTERLEVELSE AV SIKKERHETSKRAVENE I GDPR? FROKOSTSEMINAR GDPR I SKYEN DAGFINN BUSET 9. NOVEMBER 2017 Alt innhold, inkludert, men ikke begrenset til metoder og analyser i denne presentasjonen tilhører BDO AS eller BDO Advokater AS, og skal ikke kopieres eller videredistribueres uten vårt skriftlige samtykke. Side 1

2 HYPE = Betegnelse på opphausende og eventuelt manipulerende omtale eller markedsføring [ ] (Store norske leksikon) 2

3 3

4 Hva sier GDPR om informasjonssikkerhet?

5 ARTIKKEL 32: SIKKERHET VED BEHANDLINGEN «Idet det tas hensyn til det tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet i forhold til risikoen, herunder blant annet, alt etter hva som er relevant, a) pseudonymisering og kryptering av personopplysninger, b) evne til å sikre vedvarende fortrolighet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene, c) evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse, d) en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er. 2. Ved vurderingen av egnet sikkerhetsnivå skal det særlig tas hensyn til risikoene forbundet med behandlingen, særlig som følge av utilsiktet eller ulovlig tilintetgjøring, tap, endring eller ikke-autorisert utlevering av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet. 3. Overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller en godkjent sertifiseringsmekanisme som nevnt i artikkel 42 kan brukes som en faktor for å påvise at kravene i nr. 1 i denne artikkel er oppfylt. 4. Den behandlingsansvarlige og databehandleren skal treffe tiltak for å sikre at enhver fysisk person som handler for den behandlingsansvarlige eller databehandleren, og som har tilgang til personopplysninger, behandler nevnte opplysninger bare etter instruks fra den behandlingsansvarlige, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at vedkommende gjør dette.«5

6 ARTIKKEL 33: MELDING TIL TILSYNSMYNDIGHETEN OM BRUDD «Ved brudd på personopplysningssikkerheten skal den behandlingsansvarlige uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, melde bruddet til vedkommende tilsynsmyndighet i samsvar med artikkel 55, med mindre det er lite trolig at bruddet vil medføre en risiko for fysiske personers rettigheter og friheter. Dersom bruddet ikke meldes til tilsynsmyndigheten innen 72 timer, skal årsakene til forsinkelsen oppgis. Etter å ha fått kjennskap til et brudd på personopplysningssikkerheten skal databehandleren uten ugrunnet opphold underrette den behandlingsansvarlige. [ ]» 6

7 ARTIKKEL 34: UNDERRETNING AV DEN REGISTRERTE OM BRUDD «Dersom det er sannsynlig at bruddet på personopplysningssikkerheten vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige uten ugrunnet opphold underrette den registrerte om bruddet. Underretningen til den registrerte nevnt i nr. 1 i denne artikkel skal inneholde en klar og tydelig beskrivelse av arten av bruddet på personopplysningssikkerheten og minst informasjonen og tiltakene nevnt i artikkel 33 nr. 3 bokstav b), c) og d). [ ]» 7

8 ARTIKKEL 35: VURDERING AV PERSONVERNKONSEKVENSER «Dersom det er trolig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige før behandlingen foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet. En vurdering kan omfatte flere lignende behandlingsaktiviteter som innebærer tilsvarende høye risikoer. [ ]» 8

9 OPPSUMMERING AV KRAVENE SIKKERHETSSTYRING BALANSERTE OG HELHETLIG SIKRING AV PERSONOPPLYSNINGER BASERT PÅ RISIKOVURDERINGER BEREDSKAP OG HENDELSESHÅNDTERING ER DETTE NOE NYTT? 9

10 SIKKERHETSSTYRING

11 «Jeg har hørt om noen sånne ISO-tall»

12 KRAV OM RISIKOVURDERINGER + Verdi Risiko Trussel Sårbarhet Utnytter

13 «Flere vil utsettes for datakriminalitet i tiden framover. Spesielt løspengevirus, direktørsvindel og phishing, der den kriminelle utgir seg for å være for eksempel en kollega eller bedrift.» Håvard Aalmo, KRIPOS

14 Bedriftene er klar over risikoen, men gjør veldig lite for å redusere den

15 DE TROR DE ER SIKRE, MEN ER IKKE DET 60% 59% 50% 40% 30% 25% 20% 16% 10% 0% Not relevant Not satisfactory Satisfactory

16 BEDRIFTER KJENNER IKKE VERDIENE SINE 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 36% 59% Yes No Don't know Digitale verdier? 5%

17 Finansielle verdier Forskning og utvikling Sensitive transaksjoner Personopplysninger Kontraktsforhandlinger Knowhow Sikkerhetsgradert informasjon Detaljert informasjon om bygg og anlegg Informasjon om kritisk infrastruktur Relasjoner til andre virksomheter Informasjon om politiske beslutningsprosesser Risiko- og sårbarhetsvurderinger Markedsstrategier Sensitive kundeopplysninger PC og telefon E-post Operativ evne Produksjonssystemer Websider Saksbehandlingssystemer Kundedatabaser

18 HELHETLIG TILNÆRMING PEOPLE PROCESSES TECHNOLOGY 18

19 TILTAKENES EFFEKT Detect Verify Prevent Respond Security

20 TRUSSELEN BESTÅR AV MOTIVERTE MENNESKER MED STOR TILPASNINGSDYKTIGHET

21

22 SMARTE ANGRIPERE KREVER SMARTE FORSVARERE 100% beskyttelse er uoppnåelig, men 100% synlighet er fullt mulig Helhetlig tilnærming Flere sikkerhetslag og læring skaper motstandsdyktighet Etterretningsdrevet nettverksforsvar Kontinuerlig testing og styrking av motstandsdyktigheten

23 KONTINUERLIG FORBEDRING Vit hva du skal beskytte Vit hva som kan eksponere verdiene Risikovurdering er ikke noe man gjør én gang Etabler et styringssystem for sikkerhet (tilpasset virksomhetens behov) Ha en helhetlig tilnærming til sikkerhet Sørg for å ivareta kontrollbehovet