Политиката за допустима употреба (често наричана фирмена ИТ харта) казва на всеки, който използва вашите системи, какво може да прави, какво не може да прави и какво фирмата може да проверява. Acceptable Use Express е онлайн семинар за самостоятелна работа, който помага на европейско МСП да напише такава политика на ясен език, свързана с ОРЗД и ISO/IEC 27001, с обхванати отдалечена работа, лични устройства и генеративен ИИ. Получавате работещ проект на името на вашата фирма, който трябва да бъде валидиран от вашия собствен консултант.
Кратък, четим документ, който превръща вашите намерения за сигурност в ежедневни правила за хората
Повечето малки и средни предприятия имат компютри, пощенска кутия за всеки служител, общи файлове в облака, няколко бизнес приложения и все по-често телефони и лаптопи, които напускат офиса. Често им липсва един документ, който на ясен за служителя език да казва как могат да се използват тези инструменти. Този документ е политиката за допустима употреба. Във Франция обикновено се нарича charte informatique; другаде ще срещнете „IT usage policy“, „computer use policy“ или „IT charter“. Името има по-малко значение от трите му функции.
Потребителите не могат да спазват правила, които никой не е записал. Политиката за допустима употреба определя очакваното поведение за пароли, електронна поща, сърфиране в интернет, споделяне на файлове, преносими носители, инсталиране на софтуер, лична употреба на фирменото оборудване, пътувания и отдалечена работа. Тя е потребителската част от вашата сигурност, частта, която стига до всяко работно място.
Регистрирането на събития, филтрирането, достъпът до пощенската кутия по време на отсъствие, управлението на устройствата, резервното копиране на работните станции: всичко това включва лични данни на служителите. Съгласно Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните (ОРЗД, GDPR), субектите на данни трябва да бъдат информирани за целите и условията на обработването (член 13). Политиката за допустима употреба е естественото място да се даде тази информация в един цялостен текст, вместо в разпръснати имейли.
Когато правило бъде нарушено, организацията трябва да може да покаже, че правилото е съществувало, че лицето е било запознато с него и че всяко наблюдение, разкрило нарушението, самото е било законно и пропорционално. Политика, която никога не е била съобщена, или която крие наблюдение, за което служителите никога не са чули, ви дава много малко основа. Как една политика става приложима, зависи от националното трудово право, затова тази страница остава обща и ви насочва към вашия консултант за последната стъпка.
Международният стандарт за сигурност признава тази роля изрично. ISO/IEC 27001:2022, в своето Приложение A, включва контрол 5.10 „Допустима употреба на информацията и другите свързани с нея активи“, който очаква правилата за допустима употреба, както и процедурите за работа с информация и активи, да бъдат определени, документирани и приложени. Политиката за допустима употреба е най-честият начин, по който МСП изпълняват това очакване, независимо дали някога търсят сертифициране.
Източници: Регламент (ЕС) 2016/679 (ОРЗД), EUR-Lex · ISO/IEC 27001, публична страница на iso.org
Едни и същи няколко грешки се повтарят отново и отново. За отстраняването на никоя от тях не е нужен голям бюджет.
Политика, изтеглена от интернет, описва чужди инструменти, чужда държава и чужди рискове. Тя споменава системи, които не използвате, и мълчи за онези, които използвате. Служителите забелязват и спират да четат.
Документ, който стои в споделена папка, не е бил съобщен. Ако не можете да покажете кой го е получил, кога и в коя версия, по-късно ще бъде трудно да се разчита на него. В няколко държави стъпките за информиране или консултиране на служителите са част от това, което прави правилата приложими.
Филтрирането на уеб трафика, дневниците на пощенския шлюз, управлението на крайните устройства и инструментите за предотвратяване на загуба на данни наблюдават хората. ОРЗД изисква прозрачност (член 5, параграф 1, буква а) и информиране на субектите на данни (член 13). Наблюдението, което се прави тихомълком, е рисков фактор за съответствието само по себе си.
Много харти са написани, когато всеки работеше на настолен компютър в офиса. Те нищо не казват за домашни Wi-Fi мрежи, лични телефони, които получават служебна поща, или служители, които поставят клиентски данни в публичен чатбот. Именно в тази празнина се случват инцидентите.
Главите по-долу са основата на проекта, който създава семинарът. Всяка от тях се адаптира според вашите отговори и може да бъде съкратена или премахната.
Служители, стажанти, временен персонал, изпълнители и всеки, който има акаунт. Кои системи са обхванати: работни станции, мобилни устройства, електронна поща, колаборативни пакети, бизнес приложения, мрежи, принтери, облачно съхранение. Ясният обхват предотвратява класическия аргумент „това не се отнасяше за мен“.
Лични, непрехвърляеми акаунти; качество и съхранение на паролите; многофакторно удостоверяване там, където фирмата го е внедрила; заключване на сесията при напускане на бюрото; какво да се направи, ако дадена парола може да е била компрометирана.
Свързано: NIS2, чл. 21, пар. 2, т. (j) изброява многофакторното удостоверяване сред мерките за субектите в обхвата.
Професионалната употреба като правило, разумна лична употреба, ако фирмата я разрешава, и как трябва да се обозначават личните съобщения. Как да реагирате на фишинг, на прикачени файлове и връзки, правилата за препращане, автоматичното препращане към лични адреси, забранените сайтове и съдържание.
Коя информация е поверителна, как може да се споделя вътрешно и външно, одобрени инструменти за споделяне на файлове, печат, правило за чисто бюро и задължението да се обработват лични данни само по указание на фирмата.
ОРЗД, чл. 29 и чл. 32, пар. 4: лицата, действащи под ръководството на администратора, обработват личните данни само по негови указания.
Кой може да инсталира софтуер, използването на лични USB флашки и външни дискове, грижата за лаптопите и телефоните, докладването за загуба или кражба, връщането на оборудването и достъпа при напускане на служител (Приложение A на ISO/IEC 27001:2022 има и контрол за връщане на активите, 5.11).
Работа от дома, от сайта на клиент или в движение: надеждни мрежи, VPN когато се изисква, поверителност на екрана, физическа защита на оборудването, видеоразговори на обществени места. Приложение A на ISO/IEC 27001:2022 има специален контрол, 6.7 „Отдалечена работа“.
Дали личните телефони, таблети или компютри могат да имат достъп до фирмени данни, при какви условия (заключване на устройството, актуализации, отделен работен профил, отдалечено изтриване само на фирмените данни) и какво фирмата може и не може да вижда на личното устройство.
Кои ИИ инструменти са одобрени, какви данни никога не трябва да се въвеждат в тях (лични данни, клиентски тайни, изходен код, удостоверителни данни), човешка проверка на резултатите и как да се поиска нов инструмент. Политика, която просто забранява всичко, обикновено прехвърля употребата извън полезрението.
Акт за ИИ, Регламент (ЕС) 2024/1689, чл. 4 относно грамотността по ИИ на персонала.
Какво се записва, филтрира или проверява, за каква цел, от кого, за колко време се пазят дневниците и правата на субектите на данни. Тази глава е мястото, където се изпълняват задълженията за прозрачност и информиране по ОРЗД.
ОРЗД, чл. 5 и чл. 13.
Как и към кого да се докладва за подозрителен имейл, загубено устройство или грешка, без страх от санкции при своевременно докладване. Препратка към дисциплинарната рамка, приложима във вашата организация (Приложение A на ISO/IEC 27001:2022, контрол 6.4 „Дисциплинарен процес“), както и датата и версията на политиката.
Правният път се различава между държавите членки. Логиката обаче е една и съща: законосъобразно, пропорционално, известно предварително.
Политиката за допустима употреба почти винаги описва обработване на лични данни на служителите: дневници на акаунти, записи за връзки, филтриране, инвентари на устройства, понякога достъп до пощенски кутии. Три члена на ОРЗД уреждат това обработване навсякъде в Европейския съюз.
Член 5, принципи. Личните данни трябва да се обработват законосъобразно, добросъвестно и по прозрачен начин; да се събират за конкретни, изрично указани и законосъобразни цели; да са адекватни, относими и ограничени до необходимото; да не се съхраняват по-дълго, отколкото е необходимо; и да се обработват със съответна сигурност. Съгласно член 5, параграф 2 администраторът трябва да може да докаже спазването на тези принципи (отчетност). За политиката за допустима употреба това означава, че всеки контрол, който описвате, трябва да има заявена цел и разумен срок на съхранение, а вие трябва да можете да покажете защо е пропорционален.
Член 13, информация, която трябва да се предостави. Когато данните се събират от самото лице, администраторът трябва да предостави, наред с други неща, своята самоличност и данни за контакт, данните за контакт на длъжностното лице по защита на данните, когато има такова, целите и правното основание за обработването, законните интереси, когато те са основанието, получателите, срока на съхранение и правата на лицето. Политиката за допустима употреба или приложеното към нея уведомление е практичен носител за тази информация.
Член 88, обработване в контекста на заетостта. ОРЗД позволява на държавите членки, със закон или с колективни трудови договори, да предвидят по-конкретни правила за обработването на личните данни на служителите в контекста на заетостта. Член 88, параграф 2 изисква такива правила да включват подходящи и специфични мерки за защита на човешкото достойнство, законните интереси и основните права на субектите на данни, с особено внимание към прозрачността на обработването, предаванията в рамките на група предприятия и системите за наблюдение на работното място. На практика затова отговорът на въпроса „какво можем да наблюдаваме и как?“ отчасти зависи от държавата, в която работите.
В целия ЕС Директива 2002/14/ЕО установява общата рамка за информиране и консултиране на служителите в предприятия над прагове, които всяка държава членка определя в рамките на директивата. Националното право и колективните трудови договори определят дали съвет на служителите, орган на представителите на персонала или синдикат трябва да бъде информиран или консултиран, преди да бъдат въведени правила за използването на ИТ или за наблюдението на работното място, и в каква форма. В някои държави политиката за допустима употреба се прилага към правилника за вътрешния трудов ред и следва същата процедура; в други тя е част от трудовия договор, колективен договор или самостоятелна политика, потвърдена от всеки потребител.
Да вземем Франция като един от многото примери: Трудовият кодекс (Code du travail) предвижда, че социално-икономическият съвет (CSE) се информира и консултира предварително за средствата или техниките, които позволяват наблюдение на дейността на служителите, и че никаква информация, отнасяща се лично до даден служител, не може да бъде събирана чрез устройство, за което служителят предварително не е бил уведомен. Френският орган за защита на данните CNIL препоръчва в своето ръководство за сигурност на личните данни фирмата да изготви ИТ харта и да ѝ придаде задължителен характер, например като я приложи към правилника за вътрешния трудов ред. Други държави имат свои еквиваленти, поради което семинарът ви пита в коя държава са наети служителите ви и маркира точките, които да проверите с вашия консултант.
Независимо от националния път, пазете доказателства: версията и датата на политиката, датата на съобщаването, как е станало (електронна поща, интранет, пакет за въвеждане в работата, подпис) и кой е потвърдил получаването. Съобщавайте отново, когато политиката се промени. Приложение A на ISO/IEC 27001:2022 третира това като част от контролите за хората, наред с условията на трудовото правоотношение (6.2) и осведомеността, образованието и обучението по сигурност на информацията (6.3).
Важно. Този раздел е обща информация за европейски и национални текстове. Той не представлява правна консултация и не замества анализа на трудов юрист, длъжностното лице по защита на данните или вашия консултант по човешки ресурси за вашата конкретна ситуация, държава и колективни договори.
Източници: ОРЗД, чл. 5, 13 и 88 (EUR-Lex) · Директива 2002/14/ЕО (EUR-Lex) · Трудов кодекс на Франция (Légifrance) · CNIL, ръководство за сигурност на личните данни · ISO/IEC 27001 (iso.org)
Политиката за допустима употреба не е самостоятелна политика за сигурност. Тя е частта от нея, която се обръща към потребителите.
Политиката за сигурност на информацията е написана за ръководството и ИТ: тя определя цели, роли, третиране на рисковете и контролите, към които фирмата се ангажира. Политиката за допустима употреба превежда потребителските ѝ части в конкретно поведение. Приложение A на ISO/IEC 27001:2022 ги разделя: контрол 5.1 „Политики за сигурност на информацията“ и контрол 5.10 „Допустима употреба на информацията и другите свързани с нея активи“. Двата документа трябва да използват същата терминология, същата класификация на информацията и същите контакти, за да не получава служителят никога противоречиви указания.
Ако изграждате самата политика за сигурност, вижте нашата сестринска страница pssi-express.eu.
Отдалечената работа мести фирмените данни в домашни мрежи, кухненски маси и седалки във влака. Политиката за допустима употреба е мястото, където посочвате минималните очаквания: използване на фирменото оборудване, когато е предоставено, поддържане в актуално състояние, свързване през сигурния фирмен достъп, когато се изисква, избягване на обществен печат, защита на екраните и разговорите, и незабавно докладване при загуба. Ако имате и отделно споразумение или политика за работа от дома, политиката за допустима употреба трябва да се позове на нея, вместо да я повтаря. Контрол 6.7 „Отдалечена работа“ от Приложение A на ISO/IEC 27001:2022 покрива сигурностната страна.
Позволяването на личните телефони да получават служебна поща е удобно и често срещано. То повдига и два въпроса, на които политиката трябва да отговори. Какво изисква фирмата от устройството (заключване на екрана, поддържана операционна система, отделен работен профил или контейнер)? И какво може фирмата да вижда или да изтрие? Инструментите за управление на устройства могат да бъдат настроени така, че да управляват само фирмените данни; политиката трябва да го каже и да посочи какво се случва с фирмените данни, когато човекът напусне. Контрол 8.1 „Крайни устройства на потребителите“ от Приложение A на ISO/IEC 27001:2022 очертава техническата страна.
Публичните ИИ асистенти могат да бъдат полезни и служителите често вече ги използват. Рискът е във въведените данни и в резултатите, използвани без проверка. Кратка глава за ИИ обикновено изброява одобрените инструменти, забранява въвеждането на лични данни, поверителна информация или удостоверителни данни в неодобрени услуги, изисква човешка проверка преди повторна употреба и обяснява как да се поиска нов инструмент. Когато външна ИИ услуга обработва лични данни от ваше име, се прилагат правилата на ОРЗД за обработващите лични данни (член 28) и за предаванията извън ЕС (глава V). Член 4 от Акта за ИИ, приложим от 2 февруари 2025 г., изисква доставчиците и внедрителите на ИИ системи да предприемат мерки, доколкото е възможно, за осигуряване на достатъчно ниво на грамотност по ИИ на персонала им (проверете актуалния консолидиран текст, тъй като за този член са предложени изменения); глава за ИИ в политиката за допустима употреба, заедно с кратка сесия за осведоменост, е разумен градивен елемент.
Регламент (ЕС) 2024/1689 (Акт за ИИ) · ОРЗД, чл. 28 и глава V
За съществените и важните субекти по Директива NIS2 мерките за управление на киберсигурностните рискове по член 21 включват основни практики за киберхигиена и обучение по киберсигурност (чл. 21, пар. 2, т. (g)), както и сигурност на човешките ресурси, политики за контрол на достъпа и управление на активите (чл. 21, пар. 2, т. (i)). Политиката за допустима употреба не прави фирмата съответстваща на NIS2, но е един от документите, които подкрепят тези мерки.
Политика, която е подписана и забравена, не променя нищо. Политиката и програмата за осведоменост трябва да работят заедно: политиката определя правилото, а кратките сесии обясняват защо. Когато има длъжностно лице по защита на данните, ОРЗД включва повишаването на осведомеността и обучението на персонала сред задачите на това лице (чл. 39, пар. 1, буква б). Националните агенции публикуват безплатни материали, които можете да използвате, например ENISA на равнище ЕС, а във Франция: ANSSI и cybermalveillance.gouv.fr.
Вие контролирате процеса от начало до край. Човешкият консултант е възможност, никога изискване.
Кратък въпросник за вашата организация: къде са наети служителите ви, какви инструменти използват, дали личните устройства и отдалечената работа са разрешени, дали използвате ИИ асистенти, дали имате представители на персонала, дали вече имате политика за сигурност. Той показва кои глави са ви необходими и кои точки ще изискват местна правна проверка.
Отговаряте на насочени въпроси със собствени думи, глава по глава: какво е разрешено, какво не е, какво проверява фирмата и защо, колко време се пазят дневниците, към кого да се обърнете. Всеки въпрос идва с кратко обяснение и, когато е уместно, връзка към официалния източник. Можете да запазвате, да се връщате по-късно и да включите колега.
Политиката се генерира автоматично от вашите отговори, на името на вашата фирма, заедно с отделно уведомление за информация относно наблюдението и формуляр за потвърждение. Това е работна основа: проверете я с вашия консултант (трудов юрист, длъжностно лице по защита на данните, отдел „Човешки ресурси“), преди да я съобщите, да се консултирате с представителите, когато се изисква, и да я приемете.
Ако искате някой да прегледа отговорите ви с вас, да адаптира проекта към конкретен контекст или да подготви презентацията за персонала или за неговите представители, можете да поискате подкрепа от партньорски консултант. Това е по избор и е отделно от инструмента за самообслужване.
Работна основа, не правна консултация. Генерираният документ е проект, изграден от вашите собствени отговори и от публични източници. Той не представлява правна консултация. Неговата валидност във вашата държава и процедурата за прилагането му към вашите служители трябва да бъдат проверени от квалифициран консултант.
Документи, които можете да редактирате, съобщавате и пазите като доказателство
Основният документ, на ясен език, изграден от вашите отговори.
Отделно уведомление, структурирано около член 13 от ОРЗД.
Необходимото, за да съобщите политиката и да запазите следа.
Къде всяка глава се свързва с публичните текстове.
Кратко самостоятелно приложение, което можете да актуализирате по-често от политиката.
Документът остава ваш, във формати, които можете да променяте.
Цитираме само текстове, към които можем да дадем връзка. Когато нещо зависи от националното право, проектът го казва, вместо да гадае.
Член 5 (принципи и отчетност), член 13 (информация за субектите на данни), член 88 (обработване в контекста на заетостта) и, когато е уместно, член 28 (обработващи), член 32 (сигурност на обработването) и член 39 (задачи на длъжностното лице по защита на данните).
Контрол 5.10 „Допустима употреба на информацията и другите свързани с нея активи“, със свързаните контроли 5.1 (политики за сигурност на информацията), 5.11 (връщане на активите), 6.2 (условия на трудовото правоотношение), 6.3 (осведоменост, образование и обучение), 6.4 (дисциплинарен процес), 6.7 (отдалечена работа) и 8.1 (крайни устройства на потребителите). Стандартът се продава от ISO; ние цитираме само заглавията на контролите.
Само за субекти в обхвата: член 21, параграф 2, т. (g) - основни практики за киберхигиена и обучение по киберсигурност; т. (i) - сигурност на човешките ресурси, политики за контрол на достъпа и управление на активите; т. (j) - многофакторно удостоверяване. Прилагат се националните закони за транспониране.
Член 4 относно грамотността по ИИ, приложим от 2 февруари 2025 г. за доставчиците и внедрителите на ИИ системи (проверете актуалния консолидиран текст, преди да разчитате на него). Релевантен е, щом персоналът ви използва ИИ системи в работата си.
Какво съдържа всяка опция. Наличността ще бъде обявена на тази страница.
За да разберете какво ви е нужно, преди да започнете
За да изготвите собствен проект на политика
За да добавите човешка проверка към проекта за самообслужване
При всяка опция документът е работна основа, която трябва да бъде валидирана от вашия собствен консултант. Той не представлява правна консултация.
Кратки отговори. Когато е цитиран текст, връзката води към официалния източник.
Всяко регулаторно или нормативно твърдение по-горе води към един от тези източници.
Тази страница предоставя обща информация. Тя не представлява правна консултация.
Семинарът за самообслужване се подготвя. Той ще бъде отворен на тази страница.
Въпроси междувременно: contact@syaga.eu