Jednym z najczęściej spotykanych problemów podczas audytów RODO, KRI oraz wdrożeń Systemu Zarządzania Bezpieczeństwem Informacji jest odpowiedź:
„Całą dokumentację mamy w segregatorze.”
Na pierwszy rzut oka brzmi to uspokajająco. Dokumentacja istnieje, została opracowana, podpisana i znajduje się na półce.
Jednak po chwili pojawia się kolejne pytanie:
Kiedy była ostatnio aktualizowana?
I wtedy najczęściej zapada cisza.
Dokumentacja nie jest celem samym w sobie
Zarówno RODO, jak i przepisy dotyczące bezpieczeństwa informacji nie wymagają stworzenia dokumentacji po to, aby wypełnić segregator.
Jej zadaniem jest wspieranie codziennego funkcjonowania organizacji oraz dokumentowanie sposobu zarządzania bezpieczeństwem informacji i ochroną danych osobowych.
Dokumentacja ma odzwierciedlać rzeczywistość.
Jeżeli rzeczywistość się zmienia, dokumentacja również powinna się zmieniać.
Organizacja zmienia się każdego miesiąca
W każdej jednostce regularnie zachodzą zmiany.
Pojawiają się nowi pracownicy.
Odchodzą dotychczasowi.
Kupowane są nowe komputery.
Wdrażane są nowe systemy informatyczne.
Zmieniają się dostawcy usług.
Powstają nowe procesy przetwarzania danych.
Pojawiają się nowe zagrożenia cyberbezpieczeństwa.
Zmieniają się przepisy prawa.
Jeżeli dokumentacja od kilku lat pozostaje identyczna, trudno uznać, że nadal opisuje rzeczywisty sposób funkcjonowania jednostki.
Dokumentacja RODO również wymaga ciągłego utrzymania
Wiele osób uważa, że RODO wdraża się raz.
To jeden z największych mitów.
Administrator danych ma obowiązek stale wykazywać zgodność z przepisami (zasada rozliczalności z art. 5 ust. 2 RODO).
Oznacza to konieczność bieżącego utrzymywania dokumentacji.
Aktualizacji mogą wymagać między innymi:
- rejestr czynności przetwarzania,
- rejestr kategorii czynności,
- analiza ryzyka,
- oceny skutków dla ochrony danych (DPIA),
- upoważnienia,
- ewidencja osób upoważnionych,
- umowy powierzenia,
- procedury naruszeń,
- klauzule informacyjne,
- rejestr naruszeń,
- wykaz odbiorców danych,
- polityki i procedury.
Każda zmiana organizacyjna może powodować konieczność aktualizacji jednego lub kilku dokumentów.
Dokładnie tak samo działa SZBI
System Zarządzania Bezpieczeństwem Informacji z założenia jest systemem ciągłego doskonalenia.
Nie polega na jednorazowym napisaniu kilkunastu dokumentów.
Polega na ich ciągłym utrzymywaniu.
Regularnych przeglądów wymagają między innymi:
- Polityka Bezpieczeństwa Informacji,
- analiza ryzyka,
- wykaz aktywów,
- klasyfikacja informacji,
- procedury bezpieczeństwa,
- plany ciągłości działania,
- procedury zarządzania incydentami,
- wykaz systemów informatycznych,
- role i odpowiedzialności,
- wykaz dostawców,
- wyniki audytów,
- działania korygujące.
Każdy z tych dokumentów powinien być aktualny i odpowiadać faktycznemu funkcjonowaniu organizacji.
Papier nie pozwala zarządzać dokumentacją
Papierowy segregator jest dobrym miejscem do archiwizacji podpisanych dokumentów.
Nie jest natomiast narzędziem do zarządzania dokumentacją.
Pojawia się wtedy wiele praktycznych problemów.
Jak wprowadzić zmianę do dokumentu?
Jak sprawdzić, która wersja obowiązuje?
Jak udokumentować przegląd?
Jak wykazać historię zmian?
Jak pracować nad dokumentem wspólnie z kilkoma osobami?
Jak udostępnić aktualną wersję kierownikom komórek organizacyjnych?
W praktyce bardzo często okazuje się, że odpowiedzi na te pytania nie ma.
Jak powinno wyglądać zarządzanie dokumentacją?
Nowoczesne zarządzanie dokumentacją powinno opierać się na wersjach elektronicznych.
Dobrą praktyką jest prowadzenie dokumentów w systemie umożliwiającym:
- przechowywanie wersji roboczych,
- numerowanie wersji,
- rejestrowanie zmian,
- zatwierdzanie nowych wersji,
- archiwizację poprzednich wersji,
- planowanie terminów przeglądów,
- przypisywanie właścicieli dokumentów,
- kontrolę aktualności.
Dopiero po zatwierdzeniu dokument może zostać podpisany i – jeśli organizacja tego wymaga – wydrukowany.
Papier powinien być efektem procesu zarządzania dokumentacją, a nie jedynym miejscem jej przechowywania.
Podczas audytu sprawdzamy coś więcej niż obecność segregatora
Sama obecność dokumentacji nie świadczy jeszcze o zgodności z przepisami.
Podczas audytów analizujemy między innymi:
- kiedy dokument był ostatnio przeglądany,
- kto odpowiada za jego aktualność,
- czy odpowiada obecnej organizacji,
- czy uwzględnia aktualne przepisy,
- czy istnieje historia zmian,
- czy pracownicy znają jego treść,
- czy dokument jest rzeczywiście stosowany.
Często okazuje się, że dokument opracowany pięć lat temu opisuje organizację, która już nie istnieje.
Dokumentacja ma żyć razem z organizacją
Dokumentacja RODO oraz SZBI nie jest projektem zakończonym w dniu podpisania zarządzenia.
Jest elementem codziennego zarządzania organizacją.
Powinna rozwijać się razem z jednostką, odpowiadać na zmiany organizacyjne, technologiczne i prawne oraz wspierać kierownictwo w podejmowaniu decyzji dotyczących bezpieczeństwa informacji.
Jeżeli jedyną odpowiedzią na pytanie o dokumentację jest wskazanie segregatora stojącego na półce, warto zastanowić się, czy organizacja rzeczywiście zarządza bezpieczeństwem informacji i ochroną danych, czy jedynie przechowuje dokumenty.
Bo dobrze prowadzona dokumentacja nie zbiera kurzu. Ona pracuje razem z organizacją.