ITsäkerhet

GDPR – vad innebär GDPR?

daniel larsson

General Data Protection Regulation (GDPR) är till för att stärka skyddet för individen och den personliga informationen genom att ställa högre krav på den som registrerar eller behandlar personuppgifter. Det strikta regelverket trädde i kraft i maj 2018 och är en produkt från byråkrater i Bryssel för att kunna göra det enklare för advokatnissarna att diskutera i rättssalen kring privata frågor på nätet.

GPR har blottlagt stora luckor i flera organisationer och deras säkerhetsrutiner vilket inneburit den positiva trenden att större organisationer varit tvugna att organisera upp sina IT- säkerhetsavdelningar.

Tjänster som slutat fungera inom EU

Satjer som man inte längre kan nå

Efter att GDPR började gälla och slutade flera populära tjänster att fungera inom EU. Då GDPR trädde i kraft på fredagen upptäckte EU-invånarna att de inte längre kunde komma åt ett antal USA-baserade webbplatser och tjänster. Är det början på slutet för ett öppet Internet vi ser där företag anpassar sig efter lagstiftningen i olika länder?

Ett växande antal företag blockerar alla europeiska användare från deras servrar.

Hur påverkar GDPR ditt företag?

Det nya datadirektivet från EU som ersätter PUL

Organisationer som inte följer EU:s nya personuppgiftslag, kan få dryga böter med upp till fyra procent av bolagets globala omsättning. GDPR väcker åter liv i frågan om din organisation är tillräckligt väl skyddad?

Hur påverkas min organisations arbete med GDPR?

Kraven som kommer med GDPR rör ju inte direkt IT-säkerhet – men tveklöst indirekt. Bristande säkerhet är nästan alltid bakgrunden till läckage av personliga uppgifter. Historien radar upp exempel på läckage av personuppgifter där olika brister i säkerheten utnyttjats.

GDPR började gälla den 25:e maj 2018 och fram tills dess måste du utse en ansvarig för personuppgifter och dataskydd. Man behöver även dokumenterara alla personregister och kontrollera om de följer lagstiftningen. Alla register måste beskrivas och du behöver även ha en integritetspolicy.

Vad behöver göras för att följa GDPR

Vad händer om man inte följer GDPR? Hur mycket kan det kosta mig?

Om ett företag eller en organisation bryter mot reglerna i GDPR, kan datainspektionen besluta att företaget ska betala en sanktionsavgift.

Avgiften varierar beroende på företag och kan som högst vara 20 miljoner euro eller 4 procent av bolagets globala omsättning för större överträdelser, och 10 miljoner euro eller 2 procent av omsättningen vid mindre överträdelser.

Däremot är de osannolikt att datainspektionen kommer ge avgifter som motsvarar maxbelopp till en början.

Storleken på avgiften bedöms utifrån:

Syftet med avgiften är att den ska vara effektiv, avskräckande och proportionerlig, vilket är anledningen till att avgiften varierar. Om en myndighet bryter mot överträdelsen, kan avgiften vara mellan 5 och 10 miljoner kronor.

Skyldighet att rapportera incidenter

Med GDPR ställs krav vid säkerhetsincidenter. Ett praktiskt exempel är en hackare tar över kontrollen över en webbserver via en säkerhetsbrist i en publik webbapplikation. Därifrån kan hackaren ta sig vidare in i en databasserver där personuppgifter finns lagrade. Bristande säkerhet blir således anledningen till ett allvarligt läckage av personuppgifter som kan ge dryga böter och som dessutom riskerar skada organisationens verksamhet i stort.

Genom en lagstadgad incidentrapportering blir det svårare ”att flyga under radarn” när det uppstått en läcka. Att inte rapportera in till myndigheterna att du blivit hackad och läckt personuppgifter kommer ses som mycket allvarligt.

Att arbeta med IT-säkerhet är knappast något nytt för din organisation. Du arbetar idag mer eller mindre aktivt inom området beroende på resurser, kompetens och budget. Ni har brandväggar, antivirus och andra vanliga säkerhetsfunktioner. Men hur stärker ni upp säkerheten inför GDPR? Ett område som fler och fler organisationer nu uppmärksammar är sårbarhetsanalyser. Analysen gör tester, precis såsom en hackare, och ger dessutom en övergripande förståelse för säkerheten i hela IT-miljön. Mindre än en tredjedel av alla organisationer gör sårbarhetsanalyser och idag och det är än färre som gör det kontinuerligt eller automatiserat. Det uppstår drygt 20 nya sårbarheter i mjukvaror såsom Windows varje dag, vilket ger drygt 7 000 nya sårbarheter på ett år.

Automatiserade sårbarhetsanalyser ger er organisation kontinuerligt oberoende analyser, vilka ger er insikt och förståelse över säkerhetsläget i hela er IT-miljö. Och då inte minst i de system som lagrar personuppgifter. Dessutom tillför sårbarhetsanalyser en dimension av strukturerat och samordnat säkerhetsarbete som GDPR indirekt ställer krav på och som idag saknas i många organisationer. Genom att göra sårbarhetsanalyser blir det också enklare att kommunicera säkerhetsläget med nyckelpersoner i organisationen som kanske inte har någon djupare IT-kompetens, såsom VD och styrelse.

Konsultbolag som PwC jobbar också med GDPR och guidar dig genom hela processen att implementera GDPR:s regelverk för flera organisationer.

Låt oss kolla mer på GDPR och vad det innebär

Hantering av personuppgifter

Den nya lagen är omfattande och täcker in allt från hur information om insamling av persondata skall presenteras på ett tydligt sätt för individer till hur personuppgifter skall skyddas tekniskt. Lagen fastslår ett flertal rättigheter för den registrerade, alltså själv användaren. Här följer några av huvudpunkterna.

Exit mobile version