DATABESKYTTELSESFORORDNINGENS ARTIKEL 32
Katastrofeberedskabsplan
Virksomhederne bør udarbejde en katastrofeberedskabsplan, der supplerer forretningskontinuitetsplanen.
Katastrofeberedskabsplanen supplerer forretningskontinuitetsplanen
En katastrofeberedskabsplan er den tekniske del af en forretningskontinuitetsplan, og begge går hånd i hånd. Kort sagt giver forretningskontinuitetsplanen medarbejderne en beskrivelse af, hvordan virksomheden vil fortsætte driften i tilfælde af en igangværende krise.
En katastrofeberedskabsplan beskriver imidlertid i stedet, hvordan IT-infrastrukturen og behandlingen af personoplysninger vil blive genoprettet under eller efter en krise. Desuden er der en tendens til, at en katastrofeberedskabsplan er mere detaljeret.
En organisatorisk sikkerhedsforanstaltning
I henhold til databeskyttelsesforordningens artikel 32 skal virksomhederne gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte de behandlede personoplysninger. En katastrofeberedskabsplan er en organisatorisk sikkerhedsforanstaltning, som mange virksomheder kan træffe. Virksomhederne skal bl.a. kunne genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en tabt eller lignende hændelse. Det er noget, som en katastrofeberedskabsplan hjælper virksomhederne med at gøre.
Hvilke spørgsmål vil en katastrofeberedskabsplan besvare?
- Hvilke systemer er kritiske for din virksomhed?
- Hvad er genopretningstiden for de forskellige systemer?
- Hvor mange data kan virksomheden miste?
- Hvordan forvalter din virksomhed backupfiler og -lagring?
- Hvilke skridt bør personalet tage for at genoprette it-systemerne?
- Hvem er ansvarlig for at gøre hvad i genopretningsarbejdet?
- Hvordan skal virksomheden kommunikere internt og eksternt?
Godt at kende forskellen mellem "Recovery Time Objective" og "Recovery Point Objective"
RTO (Recovery Time Objective) (mål for genopretningstid)
Kort sagt fastsætter RTO den maksimale tid, hvor en forretningskritisk proces, IT-tjeneste, applikation eller lignende kan være ude af drift, efter at en hændelse er indtruffet, før den fører til uacceptable konsekvenser. Det primære fokus i dette tilfælde er på den tid, det tager at inddrive beløbet. Hvis RTO er 3 timer, betyder det, at systemet skal genoprettes og sættes i drift igen inden for 3 timer efter afbrydelsen. Det er vigtigt at huske på, at de forskellige systemer, som virksomheden anvender, kan have forskellige tilbagebetalingstider. Det kan f.eks. være afgørende, at et patientjournalsystem skal genoprettes inden for få minutter, mens et HR-system kan lukkes ned i flere timer uden en uacceptabel indvirkning på virksomheden. Jo lavere RTO, jo mere sofistikerede løsninger skal den gennemføre.
Mål for genopretningspunkt (RPO)
Dette mål betegner mængden af datatab udtrykt i tid bagud fra hændelsens indtræden, som virksomheden maksimalt kan miste. I dette tilfælde fokuseres der på datatolerance og datatab. Hvis RPO'en f.eks. er 15 minutter, betyder det, at data, der er oprettet eller ændret senest 15 minutter før hændelsen indtraf, skal kunne genoprettes.
Nøglen til en effektiv katastrofeberedskabsplan er en god backupstrategi
Det er vigtigt, at virksomheden sikrer, at backupindstillingerne for de forskellige digitale systemer konfigureres på den ønskede måde. Desuden er det nyttigt at teste, om backupfilerne fungerer, er i stand til at genoprette filerne korrekt og indeholder den korrekte mængde backupdata. I tilfælde af en hændelse med tab af data kan virksomheden forhåbentlig genskabe filerne gennem backup-filerne.
Trinvis genfindingsinstrukser
En katastrofeberedskabsplan skal være klar og indeholde praktiske instrukser. F.eks.
- Hvordan medarbejderne skal genstarte servere.
- Hvordan personalet vil genoprette databaser fra backup.
- Den rækkefølge, hvori de forskellige systemer, som virksomheden anvender, skal reaktiveres.
- Hvordan de ansatte vil genskabe ansøgningerne.
- Verifikation af tømmerstokke.
- Hvordan netsikkerhedskontrollen finder sted efter en hændelse.
Vejledning for hvert system
Det er nyttigt at udarbejde en skriftlig vejledning for hvert system, som virksomheden har identificeret som kritisk. Det er f.eks. nyttigt at medtage kontaktoplysningerne for udbyderen af systemet i håndbogen.
Ansvarsområder og rollefordeling
For at kunne håndtere en krise så godt som muligt er det nyttigt at præcisere roller og ansvarsområder, hvis en sådan situation skulle opstå. F.eks. hvilke IT-teknikere der er ansvarlige for at genoprette hvilke systemer. Ved at have klare roller og ansvarsområder er der større sandsynlighed for, at genopretningsprocessen fremskyndes. Dette kan hjælpe virksomheden med at opfylde tilgængelighedskravene.
Kommunikation i tilfælde af hændelser
Kommunikation internt i virksomhederne er yderst vigtig, især under en krise. Det er nyttigt at præcisere, hvordan alle medarbejdere bør informeres i tilfælde af en krise, hvis den almindelige kommunikationskanal ikke fungerer. Desuden bør virksomheden præcisere, hvem der er ansvarlig for at kontakte eksterne parter såsom leverandører, den nationale databeskyttelsesmyndighed og kunder.
Afprøve planen regelmæssigt
Den bedste måde at vide, om en katastrofeberedskabsplan fungerer i praksis i tilfælde af en krise, er ved at afprøve den i praksis. Desuden er det en mulighed for at identificere muligheder for forbedringer i lyset af en reel krise. Virksomheden bør f.eks. teste for at genoprette dele af systemet og/eller hele systemet, uddanne medarbejderne gennem forskellige øvelser med reelle scenarier, simulere indtrængen, der fører til fiktive brud på persondatasikkerheden osv. Bemærk, at det er nyttigt at dokumentere de test og foranstaltninger, der er truffet, og deres effektivitet.
Dokument til dokumentation af overholdelse af lovgivningen
Der bør udarbejdes en katastrofeberedskabsplan, da virksomhederne skal kunne påvise, at de overholder GDPR i praksis, i overensstemmelse med princippet om ansvarlighed i artikel 5, stk. 2, i GDPR. Det er også nyttigt at have yderligere dokumenter til en katastrofeberedskabsplan. F.eks. backupprocedurer, procedurer for brud på datasikkerheden og risikovurderinger.
Opdatere og forbedre
GDPR er en løbende proces, der kræver regelmæssig ajourføring og forbedring. Det samme gælder katastrofeberedskabsplaner. Planen bør ajourføres, f.eks. når virksomheden indfører nye systemer, eller når virksomheden vokser og har behov for nye foranstaltninger. Planen bør revideres og revideres mindst én gang om året, men oftere for større virksomheder.
FLERE OPLYSNINGER
Password management er en anden organisatorisk sikkerhedsforanstaltning, der kan være nyttig at tage
Det er nyttigt for virksomhederne at indføre procedurer for medarbejdernes adgangskoder som en organisatorisk sikkerhedsforanstaltning. Definer med andre ord, hvordan medarbejderne skal oprette sikre adgangskoder, beskytte dem mod uautoriseret adgang, handle, hvis der er mistanke om eksponering osv. Desuden kan totrinsautentifikation eller logføring via biometriske personoplysninger være hensigtsmæssig i forbindelse med systemer, der behandler følsomme personoplysninger.