Роль юриста, инженера, аутсорсера в обеспечении приватности и защите персональных данных

На прошлой
неделе провели с Ксенией Шудровой (RISC) и
Денисом Лукашем (Infobip) провели
межблогерский вебинар в котором в режиме батла обсудили разные подходы к
назначению, опыту, знаниям и подходам DPO и
выстраиванию его взаимодействия с бизнесом.

Раньше я
уже делал подобный анализ исходя из требований к функциям, образованию и
квалификации DPO,
происходящих из нормативных требований и лучших практик. Если вам интересна эта тема, то рекомендую
ознакомится с этим коротким видео.

Но в недавнем
вебинаре мы исходили из сложившейся практики и собственного опыта.

Рекомендую
вам самостоятельно ознакомится с записью вебинара, и высказать свое мнение, а
для затравки приведу несколько интересных цитат из обсуждения:

·
“точка зрения юриста является преобладающей”

·
“мы не видим, что целью закона 152-ФЗ является
защита персональных данных”

·
“закон не про защиту данных бизнеса”

·
“какой риск аппетит у бизнеса?”

·
“в большой компании изменение бизнес процесса из-за
предписание будет стоить очень дорого”

·
“нужно сразу строить правильные бизнес
процессы, которые не потребуется менять долгие годы”

·
“к CEO
или
правлению нужно приходить не с проблемой, а с решением”

·
“DPO
должен
уметь переводить нарушения прав субъектов на бизнес риски”

·
“privacy
для
небольших типовых компаний легче делать с использованием внешнего аутсорсера. Стандартные
риски”

·
“знание процессульного права необходим, когда
мы делаем анализ рисков для бизнес процесса”

·
“когда в организации есть человек занимающийся
защитой данных, также принимает много организационных мер, почему бы не разработать
ещё организацией обработки”

·
“так как штрафы маленькие, то юристам
совершенно не интересно заниматься этой темой”

·
“хорошо, когда работает рабочая группа в
тесном взаимодействии”

·
“большой драйвер персональных данных
использовался для того, чтобы решать проблемы ИБ”

·
“во многом современный CISO уже умеет разговаривать с бизнесом на
одном языке и доносить информацию о рисках”

·
“безопасники лучше анализируют информационные
системы и ИТ-процессы”

·
“непрофильную активность спихиваем на
аутсорсинг”

·
“хочется переложить часть рисков, часть
ответственности и получить поддержку при проверках”

·
“С чего начать: бизнес строится вокруг внешних
взаимодействий. Нужно провести ревизию всех внешних договоров, контрагентов и
обязательств.”

·
“С чего начать: проанализировать бизнес процессы,
выявить слабые места”

·
“Безопасник должен уметь слушать
представителей бизнеса”

·
“Инженер ИБ по верхам читает законы”

·
“Подход с тем чтобы раз в 3 года выполнять
проект по актуализации документов показал свою неэфективность”

·
“прежде чем выходить на руководство с
информацией об изменениях законодательства, нужно проанализировать затраты на
изменения процессов, возможные риски и подготовить несколько вариантов действий”

·
“аутсорсер как правило готовит дайжест по
изменению законодательства с выводами на какие компании и сферы деятельности распространяется,
какой типовой порядок действий необходимо предпринять”

·
“нет готовых коммерческих курсов для DPO на русском языке, полезная информация
скорее на небольших семинарах, вебинарах экспертов”

·
“полезно пройти обучение по GDPR даже для российских DPO, так как дает хорошее понимание именно в privacy”

·
“при планировании инструктажей сотрудников
нужно в первую очередь ориентироваться на бизнес-риски. Решаем задачи бизнеса”

·
“аутсорсер как правило ориентируется на типовые
вводные инструктажи по законодательству, разработанным политикам и регламентам”

·
“не забывать про системы дистанционного
обучения и готовые микрокурсы повышения осведомленности”

·
“лучше начинать повышение осведомленности с раскрытия
угрозы фишинга”

·
“внутренние проверки лучше начитать с наиболее
высоких рисков”

·
“аутсорсер предпочитает типовые внутренние
проверки, по которым есть сложившаяся практика и наибольшая вероятность
нарушений”

·
“в первую очередь проверить аттестованные
системы”

Слайды презентации c вебинара традиционно можно скачать в группах в VK и FB

---

Источник — Блог Сергея Борисова про ИБ.