Luku 8
Kyberturvallisuus ja tietojen suojaaminen
Turvallisuus, minimointi ja häiriöihin vastaaminen henkilötietoja käsittelevissä järjestelmissä.
8.1 Tiedot ja käyttötarkoitukset
Henkilöstöasiakirjat voivat sisältää tunnistetietoja, taloudellisia tietoja ja erityisen arkaluonteisia tietoja. Kunkin prosessin tarvitsemat tiedot on tunnistettava, eikä tietoa saa kerätä vain sen saatavuuden vuoksi. Minimointi vähentää sekä väärinkäyttöriskejä että suojaamisen kustannuksia.
Oikeusperuste, ihmisille annettava tieto ja säilytysajat on arvioitava tarkoituksen mukaan. Työsuhteessa osapuolten epätasapaino voi vaikuttaa suostumuksen pätevyyteen. Yleinen valintaruutu ei saa korvata tätä analyysia [R2].
8.2 Pääsy ja tehtävien eriyttäminen
Pääsynhallinnassa on noudatettava vähimpien oikeuksien periaatetta. Monivaiheinen tunnistautuminen lisää suojaa, mutta ei poista oikeuksien, laitteiden ja menettelyjen tarkistustarvetta. Oikein tunnistettua tiliä voidaan käyttää väärin tai sillä voi olla liialliset valtuudet.
Olennaiset toimet vaativat jäljitettävyyttä ja tarkistamista. Yhteensopimattomat tehtävät, kuten tiedon muuttaminen ja sen taloudellisen vaikutuksen hyväksyminen, on mahdollisuuksien mukaan erotettava. Säännöllinen tarkistus auttaa löytämään vanhat oikeudet, joilla ei enää ole hyväksyttävää tehtäväperustetta.
8.3 Tekoälyn erityiset uhat
Avustaja voi paljastaa tietoja yhdistämällä lähteitä oikeuksia kunnioittamatta. Se voi myös noudattaa asiakirjassa olevia haitallisia ohjeita tai tuottaa viralliselta näyttävän vastauksen, joka ei ole virallinen. Valvonnan on kohdistuttava tietojen käyttöön ja mahdollisiin toimiin, ei vain näkyvään tekstiin.
Testien on katettava muokatut haitalliset asiakirjat, tietojen poimintapyynnöt ja soveltamisalan ulkopuoliset pyynnöt. Luottamuksellisia tietoja ei saa lähettää ulkoisiin palveluihin ilman asianmukaisia takeita ja valtuutusta. Myös käyttölokeja on rajattava tarpeettoman tiedon säilyttämisen välttämiseksi.
8.4 Häiriöt ja jatkuvuus
Häiriöihin vastaaminen vaatii vastuuhenkilöt, ilmoituskanavat ja harjoitellut menettelyt. Etusijalla ovat ongelman rajaaminen, todisteiden säilyttäminen ja seurausten arviointi. Viestintä- ja ilmoitusvelvoitteet analysoidaan häiriön ja sovellettavan sääntelyn mukaan.
Varmuuskopiot on testattava palautuksilla. Vahvistamaton kopio tarjoaa näennäistä turvaa. Jatkuvuus edellyttää myös vaihtoehtoisia työtapoja alustan ollessa poissa käytöstä, erityisesti palkkoihin tai oikeuksiin vaikuttavissa prosesseissa.
8.5 Säilyttäminen ja tarkistaminen
Säilytysaikojen on vastattava tunnistettuja tarkoituksia ja velvoitteita. Rajaton säilyttäminen voi lisätä altistumista tuottamatta arvoa. Poistamisen on katettava aktiiviset järjestelmät, viennit ja varmuuskopioiden elinkaari.
Tietosuoja on jatkuvaa toimintaa. Käytön, toimittajien tai integraatioiden muutokset vaativat valvontatoimien tarkistamista. Tarvittaessa vaikutustenarviointi mahdollistaa riskien tutkimisen ennen käsittelyä sekä toimien, rajojen ja avoimien päätösten dokumentoinnin [R2].
Kyselyt
Luvun ymmärtäminen & Henkilöstöjohtamisen dilemmat
Dilemmoista ei anneta moraalipisteitä eikä niitä käytetä hakijoiden arviointiin.