Mörg fyrirtæki eru nú algjörlega háð gögnum sem geymd eru á netþjónum þeirra, tölvum, fartölvum, snjalltækjum og skýjaþjónustuaðilum. Sum þessara gagna eru líkleg til að innihalda annað hvort persónuupplýsingar og/eða trúnaðarupplýsingar fyrirtækisins.
Hér skoðum við nokkur atriði sem þarf að hafa í huga þegar öryggi tölvukerfa þinna er skoðað með tilliti til aðgangsstýringa. Persónuverndarreglugerðin (GDPR) setur fram öryggisregluna, sem kveður á um að þú verðir að grípa til „viðeigandi tæknilegra og skipulagslegra ráðstafana“ við örugga vinnslu persónuupplýsinga. Þetta er einnig endurtekið sem 6. meginregla persónuverndarlaganna frá 2018, sem bæta við GDPR og kveður einnig á um „kröfu um að persónuupplýsingar séu unnar á öruggan hátt“.
Þess vegna er mikilvægt skref í átt að samræmi að koma í veg fyrir óheimilan eða óviljandi aðgang að persónuupplýsingum sem þú vinnur úr.
Aðgangsöryggi
Góð aðgangsstýring að tölvum og neti lágmarkar hættu á gagnastuldi eða misnotkun.
Aðgangsstýringar má skipta í tvo meginþætti:
- líkamlegur aðgangur – eftirlit með því hverjir mega koma inn á staðinn og hverjir mega fá aðgang að persónuupplýsingum
- Rökrétt aðgangsstýring – stýringar til að tryggja að starfsmenn hafi aðeins aðgang að viðeigandi hugbúnaði, gögnum og tækjum sem nauðsynleg eru til að gegna tilteknu hlutverki sínu.
Aðgengi að efni
Auk þess að hafa aðgangsstýringar eins og læsingar, viðvörunarkerfi, öryggislýsingu og eftirlitsmyndavélar eru önnur atriði sem þarf að hafa í huga, eins og hvernig aðgangi að húsnæðinu er stjórnað.
Gestir ættu ekki að mega ganga um nema undir ströngu eftirliti.
Gætið þess að tölvuskjáir séu ekki sýnilegir að utan.
Notið netreglur til að tryggja að vinnustöðvar og/eða farsímar séu læstir þegar þeir eru án eftirlits eða ekki í notkun.
Tryggið að ef farsími týnist sé hægt að gera hann óvirkan með fjarlægð.
Þar sem farsímar eru smáir eru þeir áhættusamir hlutir, þannig að viðkvæm gögn ættu alltaf að vera dulkóðuð og aðgangur að þjónustunni ætti að vera stýrður með PIN-númeri eða lykilorði.
Það gæti verið nauðsynlegt að gera USB-tæki og ljósleiðara og -skrifara óvirk eða takmarka aðgang að þeim.
Það gæti verið nauðsynlegt að loka fyrir nettengingar í gegnum Radius-þjóna eða annan netbúnað til að koma í veg fyrir að óheimill búnaður sé tengdur við netið með snúru.
Að lokum skal farga upplýsingum á pappír á öruggan hátt.
Rökréttur aðgangur
Nota skal rökréttar aðgangsaðferðir til að tryggja að starfsfólk hafi ekki meiri aðgang en nauðsynlegt er til að það geti gegnt hlutverki sínu.
Viðkvæm gögn ættu að vera dulkóðuð og aðgangur að þessum gögnum stýrður með netöryggi, aðgangsstýringarlistum og notendasniðum.
Aðgangur að ákveðnum forritum og ákveðnum möppum gæti einnig þurft að vera takmarkaður fyrir hvern notanda fyrir sig.
Að lokum gæti verið nauðsynlegt að læsa ákveðnum tækjum á ákveðnum vélum, annað hvort með hópstefnu í Widnows eða stjórnunarforriti frá þriðja aðila.
Lykilorð
Lykilorðsstefna sem samanstendur af notandanafni og lykilorði er góð starfshættir.
Þetta hjálpar til við að bera kennsl á notanda á netkerfinu og gera kleift að úthluta viðeigandi heimildum.
Til þess að lykilorð séu virk ættu:
- vera tiltölulega langt (þ.e. átta stafir eða meira)
- innihalda blöndu af bókstöfum, tölustöfum og sérstöfum (eins og &^”)
- breytast reglulega með sjálfvirkri endurnýjun lykilorðs
- vera fjarlægð eða breytt þegar starfsmaður hættir
- vera notað á einstakar skrár eins og töflureikna eða ritvinnsluskjöl sem innihalda persónuupplýsingar
- vera dulkóðað innan kerfa þinna með sterkum dulkóðunaralgrímum
og ætti EKKI
- vera einsleitt lykilorð (þ.e. það sama fyrir öll forrit eða alla notendur)
- vera skrifað á „post-it“ miða sem festast á lyklaborðinu eða skjánum
- samanstanda af algengum orðum eða orðasamböndum, eða nafni fyrirtækisins.
- vera sent með tölvupósti, nema um tímabundið lykilorð sé að ræða (án fylgiupplýsinga eins og til hvers það er notað og hvert notandanafnið er)
- ekki geymt sem venjulegur texti í kerfum þínum.
Aðgangur að endurskoðun
Þótt það sé ekki lagaleg krafa samkvæmt GDPR, mun skráning og eftirlit með gögnum (og breytingum sem gerðar eru á þeim) stuðla að því að farið sé að 32. grein GDPR.
Endurskoðun gagnavinnslu þinnar gerir þér kleift að endurskoða, tilkynna og sanna:
- hver hefur fengið aðgang að gögnunum og hvenær
- hversu oft aðgangur að gögnunum er veittur og hvort þessi aðgangsmagn sé viðeigandi
- ef gagnatap verður fyrir slysni skal fara yfir hvaða breytingar hafa verið gerðar og af hverjum.
Þó að hvorki GDPR né persónuverndarlöggjöfin frá 2018 tilgreini nákvæmlega hvaða ráðstafanir þú þarft að grípa til, ættir þú að íhuga að nota tæknilega lausn sem hentar þínum þörfum og þörfum þeirra gagna sem þú ert að vinna úr.
