System MagikINFO zgodny z RODO
RODO obowiązuje od 25 maja 2018 r. i dotyczy każdej organizacji przetwarzającej dane osobowe. Dla działu IT oznacza dwie rzeczy naraz: systemy, których używacie, muszą dać się prowadzić zgodnie z rozporządzeniem, a ktoś musi mieć narzędzia, żeby tego dopilnować.
Rozdzielamy więc temat na dwie części: jak MagikINFO spełnia wymagania RODO i jak pomaga realizować obowiązki administratora danych.
Zgodność MagikINFO z RODO
Kontrola dostępu do danych
Dostęp w MagikINFO nadaje się na poziomie uprawnień poszczególnych administratorów. Zakres można zawęzić do tego, czego wymaga stanowisko — sama ewidencja majątku, sama analiza licencji, wybrane kategorie helpdesku.
Dane leżą w bazie MS SQL zabezpieczonej hasłem, a w płatnych edycjach serwera można je szyfrować na poziomie bazy. Pliki z wynikami monitoringu są dodatkowo szyfrowane własnym kluczem.
Rejestrowanie dostępu i zmian
System zapisuje metadane operacji logowania do aplikacji. Osobno można włączyć rejestrowanie zmian w danych osobowych — dodania, edycji i usunięcia wpisów w katalogu osób.
Anonimizacja (prawo do bycia zapomnianym)
Po rozwiązaniu umowy albo w innym przypadku, gdy dalsze przetwarzanie traci podstawę, dane pracownika należy usunąć. MagikINFO ma funkcję masowej anonimizacji danych osób, które nie są już pracownikami lub którym nadano odpowiedni status.
Ograniczenie zakresu zbieranych danych
Zbierać można mniej, niż system potrafi. Z monitoringu wyłączysz wybrane komputery, całe kategorie aplikacji albo konkretne pozycje — tak, by zakres odpowiadał celowi, dla którego dane są przetwarzane.
MagikINFO jako narzędzie administratora danych
Obraz środowiska, w którym dane są przetwarzane
Audyt stacji i serwerów pokazuje, gdzie dane faktycznie są przetwarzane i w jakim stanie jest to środowisko: aktualność systemu i aplikacji, obecność programów podwyższonego ryzyka, a także stan i tryb uruchamiania usług systemowych — łącznie z antywirusem. Aktualizacje i usuwanie niepożądanych programów wykonasz masowo, przez dystrybucje zdalne.
Nadzór nad sposobem pracy z danymi
Monitoring pokazuje, jakie programy i procesy działają na stacji, jakie strony są odwiedzane i co jest kopiowane na nośniki zewnętrzne. Widać też nazwy otwieranych plików, na przykład arkuszy Excela. Audyt dokłada zestawienia plików wskazanych typów (doc, docx, xls, xlsx i innych) — czyli miejsc, w których dane osobowe zwykle lądują poza bazą.
Zabezpieczenia działające zapobiegawczo
MagikMONITOR blokuje działania, na które nie ma zgody: dostęp do wskazanych domen (wszystkie protokoły, nie tylko WWW), uruchamianie wybranych programów — co rozwiązuje problem aplikacji przenośnych — oraz nośniki danych, z dopuszczeniem tylko dysków USB z białej listy i kontrolą napędów CD/DVD. Monitorowana jest również kolejka wydruków, więc widać, kto drukuje dokumenty z danymi osobowymi.
Rejestr czynności, wnioski o dostęp i incydenty
Rejestr czynności przetwarzania oraz rejestr wniosków o dostęp do zbiorów można prowadzić w MagikHELPDESK — w jednym miejscu z danymi potrzebnymi administratorowi danych i inspektorowi ochrony danych.
Dla kategorii związanych z dostępem do danych ustawia się automatyczne żądanie akceptacji: technik realizuje zadanie dopiero po zgodzie osoby uprawnionej. Wszystkie decyzje o nadaniu i odebraniu uprawnień zostają w bazie, więc w każdej chwili sprawdzisz, kto i kiedy dostał dostęp do wskazanego procesu.
Tą samą drogą obsługuje się zgłoszenia naruszeń — od przyjęcia, przez opis podjętych działań, po archiwizację. Procedurę naprawczą można opublikować w bazie wiedzy: dla wszystkich pracowników albo tylko dla techników.
Warto pamiętać, że część tych samych zapisów — inwentarz zasobów, kontrola oprogramowania, rejestr incydentów — jest wymagana także przez dyrektywę NIS2. Prowadząc je raz, obsługujesz oba obowiązki.
