Kapitel 8
Cybersäkerhet och informationsskydd
Säkerhet, uppgiftsminimering och incidenthantering i system som behandlar personuppgifter.
8.1 Uppgifter och ändamål
Personalakter kan innehålla identifierande, ekonomiska och särskilt känsliga uppgifter. Det måste identifieras vilka uppgifter varje process behöver; uppgifter ska inte samlas in bara för att de finns tillgängliga. Minimering minskar både risken för missbruk och skyddskostnaderna.
Rättslig grund, information till personer och lagringstider ska bedömas utifrån ändamålet. I anställningsförhållanden kan obalansen mellan parterna påverka samtyckets giltighet. En allmän kryssruta får inte ersätta analysen [R2].
8.2 Åtkomst och åtskillnad av uppgifter
Åtkomstkontroll ska följa principen om minsta privilegium. Flerfaktorsautentisering ökar skyddet men ersätter inte granskning av behörigheter, enheter och rutiner. Ett korrekt autentiserat konto kan missbrukas eller ha alltför stora befogenheter.
Viktiga åtgärder kräver spårbarhet och granskning. Oförenliga uppgifter, såsom att ändra data och godkänna deras ekonomiska effekt, bör skiljas åt där det är möjligt. Regelbunden granskning hjälper till att upptäcka ärvda behörigheter som inte längre fyller en legitim funktion.
8.3 Särskilda AI-hot
En assistent kan röja information om den kombinerar källor utan att respektera behörigheter. Den kan också följa skadliga dokumentinstruktioner eller skapa ett svar som verkar officiellt utan att vara det. Kontroller måste gälla dataåtkomst och tillgängliga åtgärder, inte enbart den synliga texten.
Tester ska omfatta manipulerade dokument, frågor för datautvinning och förfrågningar utanför tillämpningsområdet. Konfidentiell information får inte skickas till externa tjänster utan lämpliga garantier och tillstånd. Även användningsloggar behöver gränser så att onödiga uppgifter inte bevaras.
8.4 Incidenter och kontinuitet
Incidenthantering kräver ansvariga, rapporteringskanaler och övade rutiner. Att begränsa problemet, bevara bevis och bedöma konsekvenser ska prioriteras. Informations- och anmälningsskyldigheter analyseras utifrån incidenten och tillämpliga regler.
Säkerhetskopior ska testas genom återställning. En oprövad kopia ger skenbar säkerhet. Kontinuitet kräver även alternativa arbetssätt vid plattformsavbrott, särskilt i processer som påverkar löner eller rättigheter.
8.5 Lagring och granskning
Lagringstider ska motsvara identifierade ändamål och skyldigheter. Obegränsad lagring kan öka exponeringen utan att skapa värde. Radering ska omfatta aktiva system, exporter och säkerhetskopiornas livscykel.
Dataskydd är ett fortlöpande arbete. Ändrad användning, nya leverantörer eller integrationer kräver översyn av kontroller. När det är tillämpligt gör en konsekvensbedömning det möjligt att undersöka risker före behandlingen och dokumentera åtgärder, begränsningar och återstående beslut [R2].
Frågeformulär
Kapitelförståelse & HR-dilemman
Dilemman ger inga moraliska poäng och används inte för att bedöma sökande.