Guide til overholdelse af lovgivning: GDPR og alt midt imellem

GDPR-sikkerhedskravene

I den seneste måneder har der været stort fokus på GDPR i både bestyelseslokaler og medier, med daglige påmindelser om forordningens finere detaljer og sanktioner for manglende overholdelse. På trods af betydningen af GDPR er det afgørende, at vi ikke glemmer de mange andre lovgivningsmæssige ændringer, som søger at beskytte forbrugerne og deres data i den digitale tidsalder.

Virksomheder skal kigge indad for at sikre, at GDPR-principperne er indarbejdet i deres processer og workflows – ikke bare når det drejer sig om de data, de gemmer, men også de medarbejdere, der fungerer som ansvarlige for disse oplysninger. IT-chefer kan ikke udelukkende stole på deres IT-teams for at garantere compliance. De skal sørge for, at medarbejderne i virksomheden bliver gjort opmærksomme på forordningen og de mange processer og politikker, der følger med den.

CIO'en, risici og compliance

Efterhånden som virksomheder forbereder sig på lovgivningsændringer, vil CIO'en spille en meget større rolle, da opbyggelse af lovgivning prioriteres højt. Tag f.eks. ISO Compliance (27001), et sæt best practice-standarder for informationssikkerhed, der omfatter medarbejdere, processer og teknologi. Ligesom GDPR kræver ISO Compliance (27001), at virksomheder skal foretage risikovurderinger og forretningskontinuitet, test og vurderinger. IT alene kan ikke garantere disse standarder. Det kræver støtte fra hele virksomheden. På kontoret bærer alle et ansvar, uanset om de håndterer enorme mængder af data hver dag eller blot printer vigtige oplysninger fra tid til anden.

Til sammenligning sker der lovgivningsmæssige ændringer i den nærmeste fremtid, hvor IT vil være den eneste spiller. PCI Data Security Standard (PCI-DSS) omhandler tekniske og driftsmæssige systemkomponenter, der indgår i eller forbindes til kortholderoplysninger. Med store bøder på spil skal IT-afdelingen nøje følge en 3-trins proces for at vurdere kortholderoplysninger, IT-aktiver og forretningsprocesser ved kortbetalinger; rette svagheder i datalagring, og udarbejde rapporter til relevante banker og kortmærker. Udover dette skal de sikre og teste kritiske datasikkerhedskontroller, mens det sikres, at betalingsterminaler, systemer og løsninger er beskyttet.

Disse lovændringer betyder, at interoperabilitet er vigtigere end nogensinde før. PSD2 fremmer et konkurrencemæssigt landskab, så for at opretholde en konkurrencemæssig fordel skal CIO'erne sørge for, at deres IT-infrastruktur har en naturlig fleksibilitet, som kan facilitere apps fra tredjeparter og give dem mulighed for at drage fordel af intern og ekstern innovation.

Med den voldsomme stigning i antal data, der genereres, er det afgørende at forstå lovgivningen og anvende de nødvendige protokoller i jeres virksomhed. CIO'er kommer til at spille en ledende rolle i formidlingen af kompleks data- og sikkerhedslovgivning til deres virksomhed, samtidig med at de fremmer en sikkerhedskultur. Det er altafgørende at holde sig orienteret om de seneste lovændringer for at nå dette mål.