Home

GDPR profesionalne usluge

GDPR uredba propisuje niz organizacijskih i tehničkih mjera koje kompanije moraju ispuniti kako bi se osigurala primjerena zaštita osobnih podataka koji se pohranjuju i obrađuju na informacijskom sustavu. S druge strane, kao što je to često slučaj s regulatornim i zakonodavnim okvirima, uredba jasno ne propisuje na koji način je pojedine zahtjeve potrebno ispuniti.

Nedostatak jasnih smjernica u smislu definicije mjera koje je potrebno implementirati s ciljem postizanje GDPR usklađenosti za kompanije predstavlja ozbiljan izazov, a ovaj problem dodatno je izrađen u segmentu tehničkih mjera. Kompanijama je ostavljeno da same procjene razinu rizika uslijed izloženosti osobnih podataka različitim tipovima zloupotreba i neovlaštenim aktivnostima te da u skladu s time odaberu i implementiraju mjere koje smatraju adekvatnim.

Iako se GDPR uredba na prvom mjestu bavi privatnošću i zaštitom osobnih podataka, dio uredbe značajno se oslanja na aspekte informacijske sigurnosti, odnosno aspekte zaštite osobnih podataka od neovlaštenih aktivnosti i zloupotreba.

Primjer jednog od osnovnih zahtjeva GDPR-a koji se bavi privatnošću iz perspektive informacijske sigurnosti je članak 32 (Article 32) citiran u nastavku, iako postoji i niz drugih dijelova uredbe koji se bave istom ili sličnom tematikom.

1. Taking into account the state of the art, the costs of implementation and the nature,

scope, context and purposes of processing as well as the risk of varying likelihood

and severity for the rights and freedoms of natural persons, the controller and the

processor shall implement appropriate technical and organisational measures to

ensure a level of security appropriate to the risk, including inter alia as

appropriate:

- the pseudonymisation and encryption of personal data;

- the ability to ensure the ongoing confidentiality, integrity, availability and

resilience of processing systems and services;

- the ability to restore the availability and access to personal data in a

timely manner in the event of a physical or technical incident;

a process for regularly testing, assessing and evaluating the

effectiveness of technical and organisational measures for ensuring the

security of the processing.

2. In assessing the appropriate level of security account shall be taken in particular of

the risks that are presented by processing, in particular from accidental or unlawful

destruction, loss, alteration, unauthorised disclosure of, or access to personal

data transmitted, stored or otherwise processed.

Upravo je ovo područje u kojem ADVENTURE SPIRIT svojim znanjem i višegodišnjim iskustvom u području zaštite informacijskih sustava, kako iz organizacijske tako i tehničke perspektive, klijentima pomaže da svoje informacijske sustave usklade s GDPR zahtjevima.

Dodatnu vrijednost našim uslugama daje i bogato iskustvo u području usklađivanja informacijskih sustava s različitim regulatornim okvirima i standardima, odnosno definiranju postupaka koji će omogućiti kvalitetno usklađivanje informacijskog sustava u skladu s poslovnim ciljevima kompanije, ali i raspoloživim budžetima.

IT savjetovanje

Pružamo usluge savjetovanja u primjeni informatičkih i komunikacijskih tehnologija.

Savjetujemo vas:

- kako sniziti troškove poslovanja kvalitetnom primjenom IT tehnologija

- kako projektirati informatičke i komunikacijske sustave

- kako odabrati tehnološko rješenje koje odgovara vašim potrebama

- kako iskoristiti informatičku tehnologiju kako bi povećali svoju konkurentnost

- kako implementirati informacijsku sigurnost

- kako se certificirati za ISO 27001

- kako se uskladiti s GDPR i ostalim regulativama

Školovanost i iskustvo naših stručnjaka te partnerstvo s proizvođačima računalne, mrežne i programske opreme omogućava nam da izgradimo IT sustav prilagođen vašim potrebama.

To je naša ključna prednost u odnosu na konkurenciju.

U području GDPR savjetovanja, ADVENTURE SPIRIT klijentima nudi usluge opisane u nastavku.

Planiranje i izrada dokumentacije informacijskog sustava potrebe za postizanje GDPR usklađenosti

Osim uspostave odgovarajućih procesa u organizaciji i implementacije odgovarajućih tehničkih mjera, GDPR usklađivanje zahtjeva i izradu odgovarajuće dokumentacije informacijskog sustava.

Cilj ovakve dokumentacije je definirati okvire i pravila vezana uz način prikupljanja i obrade osobnih podataka, ali i mehanizme i pravila za sigurnosnu zaštitu osobnih podataka. Kroz uspostavu odgovarajuće dokumentacije, organizacija postavlja osnovne temelje za postizanje GDPR usklađenosti te potvrđuje svoju inicijativu i fokusiranost na aspekte privatnosti i zaštite osobnih podataka. Prilikom izrade dokumentacije ADVENTURE SPIRIT vodi brigu da ista bude adekvatna, potpuna i u praksi primjenjiva te da je usklađena s postojećim organizacijskim okvirima.

Procjena izloženosti ključnih poslovnih aplikacija i servisa rizicima vezanim uz narušavanje privatnosti (eng. Privacy Impact Assessment)

Za sve sustave i aplikacije koji pohranjuju i/ili obrađuju osobne podatke, a izloženi su povećanim rizicima narušavanja privatnosti, GDPR uredba zahtjeva provođenje dubinske analize utjecaja na privatnost (Privacy Impact Assessment). Cilj ove analize je da organizacije pravovremeno identificiraju i evaluiraju sve rizike koju mogu narušiti privatnost osobnih podataka te da se u skladu s provedenom analizom donesu mjere za umanjivanje rizika.

Planiranje, dizajn i implementacija sigurnosnih kontrola koje za cilj imaju podizanje razine sigurnosti informacijskog sustava i postizanje GDPR usklađenosti

Kao kompanija s višegodišnjim iskustvom u podruju zaštite informacijskih sustava od neovlaštenih aktivnosti i zloupotreba, ADVENTURE SPIRIT klijentima nudi stručnu pomoć pri planiranju, dizajnu i implementaciji kontrola koje za cilj imaju zaštitu osobnih podataka od internih i vanjskih prijetnji te postizanje GDPR usklađenosti. Posebno iskustvo i ekspertizu ADVENTURE SPIRIT posjeduje u sljedećim domenama:

- Implementacija sustava za sprječavanje curenja poslovnih informacija (Digital Guardian

DLP)

- Implementacija sustava za upravljanje log zapisima i sigurnosnim događajima ( Splunk

- SIEM)

- Implementacija sustava za otkrivanje i provjeru ranjivosti informacijskih sustava (Qualys

Vulnerability Management)

- Implementacija sustava za otkrivanje, klasifikaciju i zaštitu osobnih podataka u bazama

podataka, cloudu, datotečnim sustavima i sl. (IBM Guardium)

Provođenje sigurnosnih ispitivanja s ciljem uočavanja sigurnosnih propusta i nedostataka u dijelovima informacijskog sustava koji pohranjuju osobne podatke

Planiranje i provođenje ciljanih ispitivanja sigurnosti (penetracijskih testova) kompanijama pomaže da proaktivno i u kontroliranim uvjetima identificiraju sigurnosne nedostatke i propuste koje napadači mogu iskoristiti za neovlašteni pristup sustavu i krađu osobnih podataka. Pravovremenim otkrivanjem i uklanjanjem ranjivosti u informacijskom sustavu, kompanije umanjuju rizike od kazni uzrokovanih krađom osobnih podataka koje organizacija pohranjuje na svojem informacijskom sustavu.

Analiza postupaka prikupljanja i obrade osobnih podataka s ciljem uočavanja GDPR nesukladnosti

Načini na koji kompanija prikuplja i obrađuje osobne podatke svojih korisnika te kako ih dijeli s trećim stranama jedno je od posebno kritičnih dijelova GDPR uredbe. Detaljna analiza navedenih aktivnosti te evaluacija njihove usklađenosti s GDPR zahtjevima, organizacijama omogućuje da proaktivno identificiraju potencijalne nedostatke te da implementiraju potrebna unaprjeđenja.

Pritom, posebna se pažnja posvećuje načinima prikupljanja korisničkih privola te korištenju osobnih podataka u okviru različitih poslovnih procesa unutar kompanije. Identificirane nesukladnosti se dokumentiraju te se planiraju unaprjeđenja za postizanje dodatne usklađenosti.

GDPR "In-Depth" analiza

INFIGO "GDPR In-Depth" usluga organizacijama omogućuje dubinsku procjenu trenutnog stanja

kompanije u smislu GDPR usklađenosti te izradu detaljnog plana usklađivanja prema pojedinim

GDPR točkama.

Usluga je namijenjena kompanijama više razine zrelosti koje imaju prethodnog iskustva s procesima usklađivanja te domenom privatnosti i zaštite osobnih podataka, ali svoju razinu zrelosti žele podići na višu razinu kroz planiranje i implementaciju novih organizacijskih i tehničkih mjera. Osnovni cilj ove usluge je dubinsko mapiranje GDPR zahtjeva na poslovne procese kompanije te utvrđivanje razine usklađenosti i područja povišenog rizika u smislu GDP uredbe.

U skladu s nalazima provedene analize, u suradnji s odgovornim osobama unutar kompanije izrađuje se detaljni plan GDPR usklađivanja s preporukama za optimizaciju procesa usklađivanja. Plan usklađivanja u obzir uzima postojeće tehnološke i organizacijske resurse kompanije kao i identificirane prioritete te daje smjernice i preporučene korake za podizanje razine usklađenosti kroz definirani vremenski period.

AKTIVNOSTI:

Identifikacija obilježja sustava i područja pokrivenosti (Scopeing)

Identifikacija ključnih poslovnih procesa organizacije u smislu prikupljanja i obrade osobnih

podataka,

Identifikacija osobnih podataka te utvrđivanje vlasništva i lokacije na kojoj se isti nalaze,

Evaluacija poslovne potrebe za prikupljanjem i obradom pojedinih tipova podataka,

Analiza organizacijskih i tehničkih postupaka koji se koriste za prikupljanje osobnih podataka,

Analiza tokova osobnih podataka unutar organizacije te prema trećim stranama.

Procjena spremnosti i razine GDPR usklađenosti

Identifikacija i prepoznavanje ključnih rizika i prijetnji u području privatnosti i zaštite osobnih

podataka,

Evaluacija postojećih tehničkih i organizacijskih kontrola vezanih uz zaštitu osobnih podataka,

Evaluacija i mapiranje postojećih kontrola na GDPR zahtjeve,

Identifikacija gapova i prilika za poboljšanje,

Procjena izloženosti kompanije rizicima od GDPR neusklađenosti,

Procjena razine osviještenosti kompanije u odnosu na GDPR.

Izrada završnog izvještaja,

Prezentacija nalaza odgovornim osobama unutar kompanije.

REZULTAT:

Rezultat provedene usluge je izvještaj za odgovorne osobe unutar kompanije sa sljedećim obilježjima:

Sažetak za rukovoditelje,

Opis područja povišene razine rizika te izloženosti kompanije u kontekstu GDPR uredbe,

Inventar identificiranih osobnih podataka s njihovim vlasništvom i lokacijom,

Opis tokova osobnih podataka unutar i van kompanije,

Procjena razine usklađenosti kompanije s GDPR zahtjevima,

Prioritizirani plan usklađivanja na organizacijskoj i tehničkoj razini,

Plan unaprjeđenja postojećih tehničkih mjera za postizanje dodatne GDPR usklađenosti.

TRAJANJE:

Trajanje GDPR „In-Depth“ analize procjenjuje se na 3 tjedna, iako može varirati u ovisnosti o veličini i složenosti kompanije..

GDPR "Quick-start" analiza

INFIGO "GDPR Quick start" usluga kompanijama omogućuje brzu i jednostavnu evaluaciju

trenutnog stanja kompanije u odnosu na GDPR zahtjeve te davanje osnovnih smjernica za

postizanje usklađenosti.

Usluga je namijenjena kompanijama koje nemaju prethodnog iskustva u postupcima usklađivanja, posebice u segmentu privatnosti i zaštite osobnih podataka te žele dobiti inicijalnu sliku razine njihove sposobnosti i spremnosti u kontekstu usklađivanja s zahtjevima GDPR uredbe.

Rezultat provedene analize je izvještaj koji menadžmentu kompanije daje osnovni uvid u razinu zrelosti kompanije u odnosu na GDPR zahtjeve te plan dodatnog usklađivanja u skladu s poslovnim zahtjevima i raspoloživim resursima.

Dobiveni rezultati menadžmentu organizacije omogućuju donošenje inicijalnih odluka i pokretanje inicijativa vezanih uz postupke usklađivanja s GDPR zahtjevima kako bi se umanjila izloženost kompanije.

AKTIVNOSTI:

Identifikacija ključnih obilježja i poslovnih procesa organizacije u smislu prikupljanja i obrade osobnih podataka,

Evaluacija i mapiranje postojećih organizacijskih i tehničkih kontrola u odnosu na GDPR zahtjeve,

Identifikacija gapova i prilika za poboljšanje,

Procjena spremnosti i razine GDPR usklađenosti organizacije,

Analiza izloženosti kompanije u smislu GDPR uredbe,

Izrada plana i smjernica za postizanje usklađenosti s GDPR zahtjevima.

REZULTAT:

Rezultat provedene usluge je izvještaj za odgovorne osobe unutar kompanije sa sljedećim obilježjima:

Sažetak za rukovoditelje,

Opis područja povišene razine rizika te izloženosti kompanije u kontekstu GDPR uredbe,

Procjena razine usklađenosti kompanije s GDPR zahtjevima,

Izrada smjernica i plana za postizanje usklađenosti s GDPR zahtjevima,

Plan unaprjeđenja postojećih tehničkih mjera za postizanje dodatne GDPR usklađenosti.

TRAJANJE:

Trajanje „GDPR Quick-start“ analize procjenjuje se na 5 dana, iako može varirati ovisno o složenosti i veličini organizacije.

ISO 27001

Kad govorimo o ISO 27001:2013 prvenstveno mislimo na informacije, jer one predstavljaju životnu

snagu svih kompanija i može imati nekoliko oblika: napisana na papiru, elektronski, poslana poštom

ili elektronskim sredstvima, spomenuta u razgovoru i sl. U oštroj konkurentskoj borbi zaštita

informacija je neophodna jer postoje prijetnje iz raznih izvora. Ti izvori mogu biti interni, eksterni i

slučajni, a sve češće prijetnje nastaju uslijed zloupotrebe novih moćnih tehnologija. Vaša

sposobnost da uspješno poslujete zavisi od sposobnosti organizacije da efektivno upravlja rizicima

što upravo nudi ISO 27001.

Faze projekta ISO 27001

1. Potpis ugovora

2. Edukacija najvišeg menadžmenta

3. Radionica najvišeg menadžmenta (imenovanje i dizajniranje poslovnih procesa,

modeliranje procesa i prilagodba organizacijske strukture modelu procesa)

4. Dostava rješenja i verifikacija naručitelja

5. Edukacija srednjeg menadžmenta i timova – zahtjevi norme ISO 27001

6. Dizajniranje poslovnih procesa

7. Seminar za interne auditore i ispit

8. Izrada dokumentacije (kontekst radionice, rukovođenje, planiranje, operacije, podrška,

vrednovanje učinka/poboljšanje)

9. Dostava rješenje na recenziju

10. Recenzija

11. Implementacija dokumentacije (najvišeg rukovodstva, srednjeg menadžmenta, radnika)

12. Distribucija dokumentacije korisnicima

13. Primjena dokumentiranih rješenja u praksi

14. Interni audit

15. Izvještaj o internom auditu

16. Ocjena uprave

17. Poboljšanje sustava

Koristi od implementacije ISO 27001

Upravljanje rizicima u odnosu na vlasništvo i sigurnost informacija, sukladnost sa zakonima,

poboljšanje svog kredibiliteta kod osoblja, klijenata i partnerskih organizacija, financijska korist,

poboljšana prodajnih usluga, postojanje odgovornosti za sigurnost informacija od strane svih i na

svim nivoima u organizaciji, bolje tržišne mogućnosti.

GDPR savjetovanje
GDPR (General Data Protection Regulation – EU regulation 2016/679) je uredba Europske unije
koja za primarni cilj ima ujednačavanje i jačanje prava građana Europske Unije u smislu zaštite njihove privatnosti i njihovih osobnih podataka. Uredba je usvojena 27. svibnja 2016., a na snagu stupa 25. svibnja 2018. godine.

Iako su osnovni motivi i ciljevi GDPR uredbe vrlo slični prethodnoj EU 95/46/EC Direktivi, zahtjevi GDPR-a dodatno su prošireni, postroženi te prilagođeni trendovima digitalizacije i online poslovanja. Ozbiljnost u namjeri Europske Komisije da GDPR ostvari zacrtane ciljeve, pokazuju i kazne koje su predviđene za sve one koji neće poštivati odredbe Uredbe. Za razliku od EU 95/46/EC Direktive, GDPR je izravno primjenjiv na sve zemlje članice Europske Unije, bez potrebe za donošenjem dodatnih lokalnih zakonodavnih okvira.

Također, dok GDPR s jedne strane pojedincima daje znatno veća prava nad kontrolom vlastitih osobnih podataka i načinima na koji se isti koriste, za kompanije GDPR donosi cijeli niz izazova u smislu usklađivanja kako na organizacijskoj i upravljačkoj razini tako i na tehnološkoj razini. Neki od ključnih izazova s kojima se kompanije susreću u području GDPR usklađivanja:

- Definiranje formalnog upravljačkog okvira te uloga i odgovornosti u području privatnosti i zaštite osobnih podataka,

- Postizanje razine usklađenosti i smanjenje izloženosti kompanije uz optimalan i efikasan utrošak organizacijskih resursa,

- Identifikacija osobnih podataka koje kompanija pohranjuje te identifikacija vlasništva i lokacija na kojima su podaci pohranjeni,

- Tumačenje i interpretacija GDPR zahtjeva te analiza njihove primjenjivosti na vlastiti informacijski sustav,

- Planiranje i dizajn tehnoloških kontrola koje za cilj imaju postizanje GDPR usklađenosti,

- Revizija i usklađivanje poslovnih procesa s ciljem umanjivanja rizika povezanih s GDPR uredbom.

Savjetovanje pri implementaciji sustava upravljanja

informacijskom sigurnošću

Što je bolje kada morate stići na cilj, a ne znate što ili gdje je cilj? Stajati na mjestu ili trčati u krivom smjeru?

Standard ISO 27001 se bavi sigurnošću informacija, a informacije dolaze u mnogo oblika i formata. Samim time ne postoji „najbolja“ osoba za projekt implementacije. Ako ste iz IT-a, imati ćete problema razlučiti bitno u dijelovima koji se tiču zakonske regulative i ljudskih resursa i više manje svime što je „informacijsko“, a ne „informatičko“. Ako ste iz Ljudskih resursa ili Pravne službe, imati ćete problema sa zahtjevima koji se tiču kontinuiteta poslovanje i informacijskih sustava.

Povrh toga, standard ISO 27001 dopušta poduzećima fleksibilnost kod odabira načina implementacije kontrola, pa je to dodatan faktor koji unosi dileme.

Zahtjevi standarda su isti i za cvjećarnicu i za nuklearnu elektranu, način implementacije kontrola svakako ne bi trebao biti.

Sigurnost koja se temelji samo na papirnatim uputama koje nitko ne čita niti ih se pridržava, nije sigurnost. Koji dio kontrola implementirati papirnato, a za koji dio iskoristiti IT tehnologije? Koja je tehnologija najprimjerenija za našu sredinu? Imamo li već implementiranu kontrolu i time smo zadovoljili zahtjeve standarda, ali to ne znamo prepoznati?

Pitanja ima mnogo, a nakon početnih priprema broj im eksponencijalno raste. Nekad je bitnije znati što ne raditi, nego trošiti novac i vrijeme na nepotrebne i neprimjerene radnje koje će kasnije samo dovesti do opterećivanja i kočenja poslovanja i rasta troškova implementacije i održavanja.

No, vratimo se na pitanje s početka. Najbolje je - javiti se nama.

Mi smo poturali svoja pleća, gazili hladne rijeke i jeli koru s drveća pa možemo pomoći tako da Vi ne morate.

Naša prednost je što uz znanje potrebno za uspješnu implementaciju ISMS-a ne nudimo samo „papire“. Više od 20 godina iskustva u implementaciji tehnologija koje će Vam pomoći u implementaciji ISMS-a, ali i u podizanju produktivnosti, dostupnosti i sigurnosti Vašeg sustava je ono što nas čini boljima.

Implementacija ISMS-a je zahtjevna i ne postoji čarobni štapić koji će ju pojednostaviti, ali mi smo najbliže tome. Odluka je laka.

Poslovne koristi :

Podizanje stupnja informacijske sigurnosti sustava temeljene na procjeni rizika za poduzeće i

poslovnim potrebama

Kreiranje transparentnog okvira za mjerenje efikasnosti i opravdanost investicija ISMS-a

Jačanje konkurentne prednosti

Fokusiranje na BITNO praćenjem poslovnih procesa, njihovih inputa i outputa

Zadovoljavanje zakonskih i regulatornih zahtjeva