איך עומדים בתקני GDPR בענן?

עסקים רבים בישראל לא יודעים האם וכיצד עליהם לעמוד בתקני GDPR, תקני השמירה על הפרטיות של האיחוד האירופי. עבור ארגונים התוהים לעצמם 'מה זה GDPR' ואיך להתמודד איתו בעידן הענן, אספנו את הנקודות וההמלצות החשובות ביותר בנושא.

מה זה GDPR?

GDPR (General Data Protection Regulation) הוא אוסף תקנות והוראות מחייבות שהוסדרו על ידי מועצת האיחוד האירופי, הפרלמנט האירופי והנציבות האירופית מתוך מטרה להגן על פרטיות המשתמשים המתגוררים בטריטוריות האיחוד האירופי בכל הנוגע לעיבוד ושימוש בנתונים האישיים שלהם. הרגולציה מתייחסת לאיסוף, שמירה והעברה של נתונים אישיים של אנשים פרטיים, וקובעת את הכללים האחידים לשמירה על פרטיות המידע. הרגולציה התקבלה ב-2016 ונכנסה לתוקף במאי 2018.

התכולה וההנחיות סדרת החוקים והתקנות משפיעה גם על חברות מחוץ לאיחוד האירופי, בעיקר עבור חברות המציעות מוצרים ושירותים דיגיטליים ואוספות במקביל מידע התנהגותי ופיננסי של תושבי האיחוד האירופי. בין היתר, תקנות GDPR עשויות להשפיע על חברות המספקות שירותי דיוור, גיוס, שיווק דיגיטלי, מסחר אלקטרוני, שירותי SaaS (תוכנה כשירות) וכד'.

קנסות בגין הפרת החוק יכולים להגיע לגובה של ל-20 מיליון אירו או עד 4% מהמחזור השנתי של החברה (הגבוה מביניהם).

כיצד שומרים על תקנות GDPR בענן?

נכון להיום, ארגונים רבים משתמשים ביישומים הנמצאים על גבי תשתיות ענן, לרבות שמירה של נתונים אישיים ופרטיים של לקוחות ומשתמשים. איך ניתן לפקח על המידע המאוחסן בענן בכל הנוגע לתקנות GDPR? על מנת להיערך בהתאם מבלי לוותר על אחסון המידע והגיבוי בענן, ישנן מספר פעולות חיוניות אותן יש לבצע.

לפני הכול – מיפוי המידע והאפליקציות הנמצאות בשימוש

לפני שניגשים למימוש אמצעי האבטחה עצמם, חשוב למפות את מיקומי המידע והאפליקציות בהן הנתונים מאוחסנים. מיפוי הנתונים נועד ליצירת תכנית מפורטת לשמירה על תקנות אבטחת המידע הפרטי של המשתמשים.

מימוש אמצעי אבטחת מידע

קיימים אמצעי אבטחת מידע בסיסיים אשר יוצרים תשתית ראויה להגנה מפני אובדן, שינוי או שימוש לרעה בנתונים. בתור מנהלי IT או מנהלי אבטחת המידע בארגון, יש לבדוק מהן האפליקציות העומדות בתקני האבטחה ומהן האפליקציות המסכנות את המידע הארגוני. קיימות תוכנות מתמחות המספקות לארגון תמונה רחבה על רמת האבטחה הארגונית. אפליקציות שכוללות רמת אבטחה נמוכה מידי לדרישות ה-GDPR, צריכות להיות חסומות או מנוהלות על ידי תוכנות בקרה מתאימות.

על מנת לוודא עמידה בתקנים, חשוב לא לאפשר ליישומי ענן להשתמש בנתונים אישיים למטרות אחרות.

הקפידו על הסכמים ברורים מול האפליקציות הפועלות בענן

על מנת להבטיח כי הארגון מוגן בעבודה עם אפליקציות, חשוב לוודא כי ההסכם מול היישומים והחברות הגדולות המעניקות שירותים לארגון הוא הסכם ברור ומפורט, הקובע כי הלקוח הוא המחזיק בנתונים וכי אין שיתוף של הנתונים לצדדים שלישיים.

הפרדה בין נתונים חיוניים לנתונים אחרים

כחלק מההסכמים הנחתמים עם ספקי היישומיים המעניקים שירותים לארגון, חשוב ליצור חלוקה ברורה בין המידע שהאפליקציה נזקקת לו כדי לבצע את הייעוד המרכזי שלה, לבין מידע שאינו חיוני לצורך זה.

בהקשר זה, חשוב לזכור כי ההגבלות של GDPR חלות על נתונים החושפים חלוקה לפי מוצא, גזע, הרשעות, דת ועוד. איסוף שלא כדין של מידע מסוג זה חושף את הארגון לתביעות חיצוניות ומחייב זהירות יתרה.

מעבר לנקודות אלו, חשוב לוודא כי הארגון יכול תמיד לקחת בחזרה את השליטה המלאה על הנתונים הארגוניים וכי לאחר סיום קבלת השירות מהאפליקציה ניתן למחוק את הנתונים ללא כל זכר.

הדרך לשמירה על תקנות GDPR עוברת ב'אינפורמט'

על מנת לוודא שאתם עומדים בתקנות השמירה על מידע פרטי של המשתמשים, מומחי ה-IT וניהול רשתות המחשבים של אינפורמט ישמחו לייעץ לכם וללוות אתכם בשלב היישום ולוודא שמירה ועמידה בתקנות לאורך זמן. אינפורמט היא אחת החברות הוותיקות בישראל בתחום פתרונות מחשוב לעסקים וניהול רשתות מחשבים, המציעה שירותי ענן כגון אחסון, גיבוי בענן, שירותי אבטחת מידע וסייבר, ועוד.