פרק 8
אבטחת סייבר והגנת מידע
אבטחה, מזעור נתונים ותגובה לאירועים במערכות המעבדות נתונים על אנשים.
8.1 נתונים ומטרות
תיקי עובדים יכולים לכלול מידע מזהה, כלכלי ורגיש במיוחד. יש לזהות אילו נתונים נחוצים לכל תהליך ולהימנע מאיסוף מידע רק משום שהוא זמין. מזעור מפחית הן סיכוני שימוש לרעה והן עלויות הגנה.
יש לבחון את הבסיס המשפטי, את המידע הנמסר לאנשים ואת תקופות השמירה בהתאם למטרה. בתעסוקה, פערי הכוחות בין הצדדים עלולים להשפיע על תוקף ההסכמה. אין להשתמש בתיבת סימון כללית כתחליף לניתוח זה [R2].
8.2 גישה והפרדת תפקידים
בקרת גישה צריכה ליישם את עקרון ההרשאה המזערית. אימות רב־שלבי מוסיף הגנה, אך אינו מבטל צורך בבדיקת הרשאות, מכשירים ונהלים. חשבון שאומת כהלכה עלול לשמש לרעה או להחזיק בהרשאות מופרזות.
פעולות משמעותיות דורשות עקיבות ובדיקה. יש להפריד ככל האפשר בין משימות שאינן מתיישבות, כגון שינוי נתון ואישור השפעתו הכספית. בדיקות תקופתיות מסייעות לזהות הרשאות ישנות שאינן משרתות עוד תפקיד לגיטימי.
8.3 איומים ייחודיים לבינה מלאכותית
עוזר עלול לחשוף מידע אם הוא משלב מקורות בלי לכבד הרשאות. הוא עשוי גם לציית להוראות זדוניות במסמך או לייצר תשובה שנראית רשמית אף שאינה כזו. יש להחיל בקרות על גישה לנתונים ועל הפעולות הזמינות, ולא רק על הטקסט המוצג.
הבדיקות צריכות לכלול מסמכים ששונו בזדון, שאילתות חילוץ ובקשות מחוץ לתחום. אין לשלוח מידע חסוי לשירותים חיצוניים ללא ערבויות והרשאה מתאימות. גם יומני שימוש זקוקים לגבולות כדי לא לשמור נתונים מיותרים.
8.4 אירועים והמשכיות
תגובה לאירועים דורשת אחראים, ערוצי דיווח ונהלים שתורגלו. יש לתת עדיפות לבלימת הבעיה, לשימור ראיות ולהערכת השלכותיה. חובות מסירת מידע או דיווח נבחנות לפי האירוע והדין החל.
יש לבדוק גיבויים באמצעות שחזורים. גיבוי שלא אומת מציע ביטחון למראית עין. המשכיות דורשת גם חלופות עבודה כשפלטפורמה אינה זמינה, במיוחד בתהליכים המשפיעים על שכר או זכויות.
8.5 שמירה ובדיקה
תקופות השמירה צריכות לשרת מטרות וחובות מזוהות. שמירה ללא הגבלת זמן עלולה להגביר חשיפה בלי להוסיף ערך. המחיקה צריכה לכלול מערכות פעילות, ייצואים ואת מחזור הגיבויים.
הגנת נתונים היא פרקטיקה מתמשכת. שינויים בשימוש, בספקים או באינטגרציות מחייבים בחינה של הבקרות. כשנדרש, תסקיר השפעה מאפשר לחקור סיכונים לפני העיבוד ולתעד אמצעים, מגבלות והחלטות פתוחות [R2].
שאלונים
הבנת הפרק & דילמות במשאבי אנוש
הדילמות אינן מקבלות ציון מוסרי ואינן משמשות להערכת מועמדויות.