Η πολιτική αποδεκτής χρήσης (συχνά αποκαλούμενη εσωτερικός κανονισμός χρήσης ΤΠ) λέει σε όλους όσους χρησιμοποιούν τα συστήματά σας τι επιτρέπεται, τι απαγορεύεται και τι μπορεί να ελέγξει η εταιρεία. Το Acceptable Use Express είναι ένα εργαστήριο αυτοεξυπηρέτησης που βοηθά μια ευρωπαϊκή ΜΜΕ να τη συντάξει σε απλή γλώσσα, συνδεδεμένη με τον ΓΚΠΔ και το ISO/IEC 27001, καλύπτοντας την απομακρυσμένη εργασία, τις προσωπικές συσκευές και τη γενετική τεχνητή νοημοσύνη. Λαμβάνετε ένα σχέδιο εργασίας στο όνομα της εταιρείας σας, προς επικύρωση από τον δικό σας σύμβουλο.
Ένα σύντομο, ευανάγνωστο κείμενο που μετατρέπει τις προθέσεις σας για την ασφάλεια σε καθημερινούς κανόνες για τους ανθρώπους
Οι περισσότερες μικρές και μεσαίες επιχειρήσεις διαθέτουν υπολογιστές, ένα γραμματοκιβώτιο για κάθε άτομο, κοινόχρηστα αρχεία στο cloud, μερικές επιχειρησιακές εφαρμογές και, όλο και περισσότερο, τηλέφωνα και φορητούς υπολογιστές που φεύγουν από το γραφείο. Αυτό που συχνά λείπει είναι ένα ενιαίο έγγραφο που να λέει, με λέξεις που καταλαβαίνει ένας εργαζόμενος, πώς μπορούν να χρησιμοποιούνται αυτά τα εργαλεία. Το έγγραφο αυτό είναι η πολιτική αποδεκτής χρήσης. Στη Γαλλία ονομάζεται συνήθως charte informatique· αλλού θα βρείτε «IT usage policy», «computer use policy» ή «IT charter». Το όνομα έχει λιγότερη σημασία από τους τρεις ρόλους της.
Οι χρήστες δεν μπορούν να σέβονται κανόνες που κανείς δεν έχει γράψει. Μια πολιτική αποδεκτής χρήσης ορίζει την αναμενόμενη συμπεριφορά για τους κωδικούς πρόσβασης, το email, την πλοήγηση στο διαδίκτυο, την κοινή χρήση αρχείων, τα αποσπώμενα μέσα αποθήκευσης, την εγκατάσταση λογισμικού, την προσωπική χρήση του εξοπλισμού της εταιρείας, τα ταξίδια και την απομακρυσμένη εργασία. Είναι το τμήμα της ασφάλειάς σας που απευθύνεται στον χρήστη, αυτό που φτάνει σε κάθε γραφείο.
Καταγραφή, φιλτράρισμα, πρόσβαση στο γραμματοκιβώτιο κατά τη διάρκεια απουσίας, διαχείριση συσκευών, αντίγραφα ασφαλείας των σταθμών εργασίας: όλα αυτά αφορούν δεδομένα προσωπικού χαρακτήρα των εργαζομένων. Βάσει του Γενικού Κανονισμού για την Προστασία Δεδομένων, τα ενδιαφερόμενα πρόσωπα πρέπει να ενημερώνονται για τους σκοπούς και τους όρους της επεξεργασίας (άρθρο 13). Η πολιτική αποδεκτής χρήσης είναι το φυσικό σημείο για να δοθούν αυτές οι πληροφορίες σε ένα ενιαίο, συνεκτικό κείμενο, αντί για διάσπαρτα email.
Όταν παραβιάζεται ένας κανόνας, ένας οργανισμός πρέπει να δείξει ότι ο κανόνας υπήρχε, ότι το πρόσωπο γνώριζε γι' αυτόν, και ότι η όποια παρακολούθηση που αποκάλυψε την παράβαση ήταν η ίδια νόμιμη και αναλογική. Μια πολιτική που δεν γνωστοποιήθηκε ποτέ, ή που κρύβει παρακολούθηση για την οποία το προσωπικό δεν έχει ακούσει ποτέ, σας προσφέρει πολύ λίγα για να στηριχθείτε. Το πώς μια πολιτική καθίσταται εφαρμόσιμη εξαρτάται από το εθνικό εργατικό δίκαιο· γι' αυτό η σελίδα αυτή παραμένει γενική και σας στέλνει στον σύμβουλό σας για το τελικό βήμα.
Το διεθνές πρότυπο ασφάλειας αναγνωρίζει ρητά αυτόν τον ρόλο. Το ISO/IEC 27001:2022, στο Παράρτημα Α, περιλαμβάνει τον έλεγχο 5.10 «Acceptable use of information and other associated assets» (Αποδεκτή χρήση πληροφοριών και άλλων συναφών περιουσιακών στοιχείων), ο οποίος προβλέπει ότι οι κανόνες αποδεκτής χρήσης, καθώς και οι διαδικασίες χειρισμού των πληροφοριών και των περιουσιακών στοιχείων, πρέπει να προσδιορίζονται, να τεκμηριώνονται και να εφαρμόζονται. Μια πολιτική αποδεκτής χρήσης είναι ο συνηθέστερος τρόπος με τον οποίο οι ΜΜΕ ανταποκρίνονται σε αυτή την προσδοκία, είτε επιδιώκουν ποτέ πιστοποίηση είτε όχι.
Πηγές: Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), EUR-Lex · ISO/IEC 27001, δημόσια σελίδα στο iso.org
Τα ίδια λίγα λάθη επανέρχονται ξανά και ξανά. Κανένα από αυτά δεν χρειάζεται μεγάλο προϋπολογισμό για να διορθωθεί.
Μια πολιτική που κατεβάζεται από το διαδίκτυο περιγράφει τα εργαλεία κάποιου άλλου, τη χώρα κάποιου άλλου και τους κινδύνους κάποιου άλλου. Αναφέρεται σε συστήματα που δεν χρησιμοποιείτε και σιωπά για αυτά που χρησιμοποιείτε. Το προσωπικό το αντιλαμβάνεται και σταματά να διαβάζει.
Ένα έγγραφο που βρίσκεται σε έναν κοινόχρηστο φάκελο δεν έχει γνωστοποιηθεί. Αν δεν μπορείτε να δείξετε ποιος το έλαβε, πότε και σε ποια έκδοση, θα είναι δύσκολο να βασιστείτε σε αυτό αργότερα. Σε αρκετές χώρες, τα βήματα ενημέρωσης ή διαβούλευσης των εργαζομένων αποτελούν μέρος του τρόπου με τον οποίο οι κανόνες καθίστανται εφαρμόσιμοι.
Τα εργαλεία φιλτραρίσματος ιστού, τα αρχεία καταγραφής της πύλης αλληλογραφίας, η διαχείριση τελικών σημείων και τα εργαλεία πρόληψης απώλειας δεδομένων παρατηρούν όλα τους ανθρώπους. Ο ΓΚΠΔ απαιτεί διαφάνεια (άρθρο 5 παρ. 1 στοιχ. α)) και ενημέρωση των ενδιαφερομένων προσώπων (άρθρο 13). Η παρακολούθηση που γίνεται κρυφά αποτελεί από μόνη της κίνδυνο συμμόρφωσης.
Πολλοί κανονισμοί γράφτηκαν όταν όλοι δούλευαν σε επιτραπέζιο υπολογιστή στο γραφείο. Δεν λένε τίποτα για το οικιακό Wi-Fi, για προσωπικά τηλέφωνα που λαμβάνουν το εταιρικό email, ή για εργαζομένους που επικολλούν δεδομένα πελατών σε ένα δημόσιο chatbot. Το κενό αυτό είναι εκεί που συμβαίνουν τα περιστατικά.
Τα κεφάλαια που ακολουθούν αποτελούν τη ραχοκοκαλιά του σχεδίου που παράγει το εργαστήριο. Καθένα προσαρμόζεται στις απαντήσεις σας και μπορεί να συντομευτεί ή να αφαιρεθεί.
Εργαζόμενοι, ασκούμενοι, προσωρινό προσωπικό, συνεργάτες και όποιος έχει λογαριασμό. Ποια συστήματα καλύπτονται: σταθμοί εργασίας, κινητές συσκευές, email, σουίτες συνεργασίας, επιχειρησιακές εφαρμογές, δίκτυα, εκτυπωτές, αποθηκευτικός χώρος στο cloud. Ένα σαφές πεδίο εφαρμογής αποτρέπει το κλασικό επιχείρημα «δεν με αφορούσε αυτό».
Προσωπικοί, μη μεταβιβάσιμοι λογαριασμοί· ποιότητα και αποθήκευση κωδικών· έλεγχος ταυτότητας πολλών παραγόντων όπου η εταιρεία τον έχει εφαρμόσει· κλείδωμα της συνεδρίας όταν φεύγετε από το γραφείο· τι να κάνετε αν ένας κωδικός ενδέχεται να έχει εκτεθεί.
Σχετικό: NIS2, άρθρο 21 παρ. 2, στοιχείο ι) εντάσσει τον έλεγχο ταυτότητας πολλών παραγόντων μεταξύ των μέτρων για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής.
Επαγγελματική χρήση ως κανόνας, εύλογη προσωπική χρήση αν το επιτρέπει η εταιρεία, και πώς πρέπει να αναγνωρίζονται τα προσωπικά μηνύματα. Αντανακλαστικά απέναντι στο phishing, συνημμένα και σύνδεσμοι, κανόνες προώθησης, αυτόματη προώθηση σε προσωπικές διευθύνσεις, απαγορευμένοι ιστότοποι και περιεχόμενο.
Ποιες πληροφορίες είναι εμπιστευτικές, πώς μπορούν να κοινοποιούνται εσωτερικά και εξωτερικά, ποια εργαλεία κοινής χρήσης αρχείων είναι εγκεκριμένα, εκτύπωση, καθαρό γραφείο, και το καθήκον να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα μόνο κατ' εντολή της εταιρείας.
ΓΚΠΔ άρθρα 29 και 32 παρ. 4: τα πρόσωπα που ενεργούν υπό την εξουσία του υπευθύνου επεξεργασίας επεξεργάζονται δεδομένα προσωπικού χαρακτήρα μόνο κατ' εντολή του.
Ποιος μπορεί να εγκαταστήσει λογισμικό· χρήση προσωπικών USB και εξωτερικών δίσκων· φροντίδα φορητών υπολογιστών και τηλεφώνων· αναφορά απώλειας ή κλοπής· και η επιστροφή του εξοπλισμού και των δικαιωμάτων πρόσβασης όταν κάποιος φεύγει (το Παράρτημα Α του ISO/IEC 27001:2022 έχει επίσης έλεγχο για την επιστροφή περιουσιακών στοιχείων, 5.11).
Εργασία από το σπίτι, από τον χώρο πελάτη ή εν κινήσει: αξιόπιστα δίκτυα, VPN όταν απαιτείται, ιδιωτικότητα της οθόνης, φυσική προστασία του εξοπλισμού, τηλεδιασκέψεις σε δημόσιους χώρους. Το Παράρτημα Α του ISO/IEC 27001:2022 έχει ειδικό έλεγχο, τον 6.7 «Remote working» (Απομακρυσμένη εργασία).
Αν τα προσωπικά τηλέφωνα, tablets ή υπολογιστές μπορούν να έχουν πρόσβαση σε εταιρικά δεδομένα, υπό ποιες προϋποθέσεις (κλείδωμα συσκευής, ενημερώσεις, χωριστό προφίλ εργασίας, απομακρυσμένη διαγραφή μόνο των εταιρικών δεδομένων), και τι μπορεί και τι δεν μπορεί να δει η εταιρεία σε μια προσωπική συσκευή.
Ποια εργαλεία τεχνητής νοημοσύνης είναι εγκεκριμένα, ποια δεδομένα δεν πρέπει ποτέ να εισάγονται σε αυτά (δεδομένα προσωπικού χαρακτήρα, εμπιστευτικές πληροφορίες πελατών, πηγαίος κώδικας, διαπιστευτήρια), ανθρώπινος έλεγχος των αποτελεσμάτων και πώς ζητείται ένα νέο εργαλείο. Μια πολιτική που απαγορεύει απλώς τα πάντα τείνει να ωθεί τη χρήση εκτός ορατότητας.
Κανονισμός AI Act (ΕΕ) 2024/1689, άρθρο 4 για τον γραμματισμό του προσωπικού στην τεχνητή νοημοσύνη.
Τι καταγράφεται, φιλτράρεται ή ελέγχεται, για ποιον σκοπό, από ποιον, για πόσο καιρό διατηρούνται τα αρχεία καταγραφής, και τα δικαιώματα των ενδιαφερομένων προσώπων. Αυτό το κεφάλαιο είναι το σημείο όπου καλύπτονται οι υποχρεώσεις διαφάνειας και ενημέρωσης του ΓΚΠΔ.
ΓΚΠΔ άρθρα 5 και 13.
Πώς και σε ποιον να αναφέρετε ένα ύποπτο email, μια απολεσθείσα συσκευή ή ένα λάθος, χωρίς φόβο για ευθύνη όταν η αναφορά γίνεται έγκαιρα. Αναφορά στο πειθαρχικό πλαίσιο που ισχύει στον οργανισμό σας (ISO/IEC 27001:2022 Παράρτημα Α, έλεγχος 6.4 «Disciplinary process» (Πειθαρχική διαδικασία)), καθώς και η ημερομηνία και η έκδοση της πολιτικής.
Η νομική οδός διαφέρει μεταξύ των κρατών μελών. Αυτό που δεν διαφέρει είναι η λογική: νόμιμη, αναλογική, γνωστή εκ των προτέρων.
Μια πολιτική αποδεκτής χρήσης σχεδόν πάντα περιγράφει επεξεργασία δεδομένων προσωπικού χαρακτήρα των εργαζομένων: αρχεία καταγραφής λογαριασμών, αρχεία σύνδεσης, φιλτράρισμα, απογραφές συσκευών, ενίοτε πρόσβαση στο γραμματοκιβώτιο. Τρία άρθρα του ΓΚΠΔ πλαισιώνουν αυτή την επεξεργασία σε ολόκληρη την Ευρωπαϊκή Ένωση.
Άρθρο 5, αρχές. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υφίστανται επεξεργασία νομίμως, με δίκαιο και διαφανή τρόπο· να συλλέγονται για καθορισμένους, ρητούς και θεμιτούς σκοπούς· να είναι κατάλληλα, συναφή και περιορισμένα σε ό,τι είναι αναγκαίο· να διατηρούνται όχι περισσότερο από όσο είναι αναγκαίο· και να υφίστανται επεξεργασία με κατάλληλη ασφάλεια. Βάσει του άρθρου 5 παρ. 2, ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωση με αυτές τις αρχές (λογοδοσία). Για μια πολιτική αποδεκτής χρήσης, αυτό σημαίνει ότι κάθε έλεγχος που περιγράφετε πρέπει να έχει δηλωμένο σκοπό και εύλογο χρόνο διατήρησης, και πρέπει να μπορείτε να εξηγήσετε γιατί είναι αναλογικός.
Άρθρο 13, πληροφορίες που πρέπει να παρέχονται. Όταν τα δεδομένα συλλέγονται από το ίδιο το πρόσωπο, ο υπεύθυνος επεξεργασίας πρέπει να παράσχει, μεταξύ άλλων, την ταυτότητά του και τα στοιχεία επικοινωνίας του, τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων όπου υπάρχει, τους σκοπούς και τη νομική βάση της επεξεργασίας, τα έννομα συμφέροντα που επιδιώκονται όταν αυτή είναι η βάση, τους αποδέκτες, τη διάρκεια διατήρησης και τα δικαιώματα του προσώπου. Η πολιτική αποδεκτής χρήσης, ή ένα σημείωμα ενημέρωσης που επισυνάπτεται σε αυτή, είναι ένα πρακτικό μέσο για τις πληροφορίες αυτές.
Άρθρο 88, επεξεργασία στο πλαίσιο της απασχόλησης. Ο ΓΚΠΔ επιτρέπει στα κράτη μέλη να προβλέπουν, με νόμο ή με συλλογικές συμβάσεις, ειδικότερους κανόνες για την επεξεργασία δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης. Το άρθρο 88 παρ. 2 απαιτεί τέτοιοι κανόνες να περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των έννομων συμφερόντων και των θεμελιωδών δικαιωμάτων των προσώπων, ιδίως όσον αφορά τη διαφάνεια της επεξεργασίας, τις διαβιβάσεις εντός ομίλου επιχειρήσεων και τα συστήματα παρακολούθησης στον χώρο εργασίας. Στην πράξη, αυτός είναι ο λόγος για τον οποίο η απάντηση στο ερώτημα «τι μπορούμε να παρακολουθούμε, και πώς;» εξαρτάται εν μέρει από τη χώρα στην οποία δραστηριοποιείστε.
Σε όλη την ΕΕ, η Οδηγία 2002/14/ΕΚ θεσπίζει γενικό πλαίσιο για την ενημέρωση και τη διαβούλευση με τους εργαζομένους σε επιχειρήσεις που ξεπερνούν τα όρια που επιλέγει κάθε κράτος μέλος εντός των ορίων της οδηγίας. Το εθνικό δίκαιο και οι συλλογικές συμβάσεις καθορίζουν στη συνέχεια αν ένα συμβούλιο εργαζομένων, ένα όργανο εκπροσώπησης του προσωπικού ή μια συνδικαλιστική οργάνωση πρέπει να ενημερωθεί ή να συμβουλευθεί προτού θεσπιστούν κανόνες για τη χρήση της ΤΠ ή την παρακολούθηση στον χώρο εργασίας, και με ποια μορφή. Σε ορισμένες χώρες, η πολιτική αποδεκτής χρήσης επισυνάπτεται στον εσωτερικό κανονισμό εργασίας και ακολουθεί την ίδια διαδικασία· σε άλλες αποτελεί μέρος της σύμβασης εργασίας, συλλογικής σύμβασης ή αυτόνομης πολιτικής που αποδέχεται κάθε χρήστης.
Ας πάρουμε τη Γαλλία ως ένα παράδειγμα από πολλά: ο Εργατικός Κώδικας (Code du travail) προβλέπει ότι το συμβούλιο εργαζομένων (CSE) ενημερώνεται και συμβουλεύεται, πριν από την εισαγωγή τους στην επιχείρηση, για τα μέσα ή τις τεχνικές που επιτρέπουν την παρακολούθηση της δραστηριότητας των εργαζομένων, και ότι καμία πληροφορία που αφορά προσωπικά έναν εργαζόμενο δεν μπορεί να συλλέγεται από συσκευή που δεν έχει προηγουμένως γίνει γνωστή στον εργαζόμενο. Η γαλλική αρχή προστασίας δεδομένων, η CNIL, συνιστά στον οδηγό ασφάλειας δεδομένων προσωπικού χαρακτήρα της να συντάσσει η επιχείρηση έναν κανονισμό χρήσης ΤΠ και να του προσδίδει δεσμευτική ισχύ, για παράδειγμα επισυνάπτοντάς τον στον εσωτερικό κανονισμό εργασίας. Άλλες χώρες έχουν τα δικά τους αντίστοιχα, γι' αυτό το εργαστήριο σας ρωτά σε ποια χώρα απασχολούνται οι εργαζόμενοί σας και επισημαίνει τα σημεία που πρέπει να ελέγξετε με τον σύμβουλό σας.
Όποια κι αν είναι η εθνική οδός, κρατήστε αποδεικτικά στοιχεία: την έκδοση και την ημερομηνία της πολιτικής, την ημερομηνία κοινοποίησής της, τον τρόπο (email, intranet, πακέτο υποδοχής νέων εργαζομένων, υπογραφή) και ποιος την αποδέχθηκε. Κοινοποιήστε την ξανά όταν αλλάζει η πολιτική. Το Παράρτημα Α του ISO/IEC 27001:2022 αντιμετωπίζει αυτό ως μέρος των ελέγχων που αφορούν τους ανθρώπους, μαζί με τους όρους της σύμβασης εργασίας (6.2) και την ευαισθητοποίηση, εκπαίδευση και κατάρτιση στην ασφάλεια των πληροφοριών (6.3).
Σημαντικό. Η ενότητα αυτή αποτελεί γενική ενημέρωση για ευρωπαϊκά και εθνικά κείμενα. Δεν αποτελεί νομική συμβουλή και δεν υποκαθιστά την ανάλυση ενός εργατολόγου, του υπευθύνου προστασίας δεδομένων ή του συμβούλου ανθρωπίνων πόρων σας για τη συγκεκριμένη κατάστασή σας, τη χώρα σας και τις συλλογικές συμβάσεις σας.
Πηγές: ΓΚΠΔ, άρθρα 5, 13 και 88 (EUR-Lex) · Οδηγία 2002/14/ΕΚ (EUR-Lex) · Γαλλικός Εργατικός Κώδικας (Légifrance) · CNIL, οδηγός ασφάλειας δεδομένων προσωπικού χαρακτήρα · ISO/IEC 27001 (iso.org)
Η πολιτική αποδεκτής χρήσης δεν είναι από μόνη της πολιτική ασφάλειας. Είναι το τμήμα της που απευθύνεται στους χρήστες.
Η πολιτική ασφάλειας των πληροφοριών γράφεται για τη διοίκηση και την πληροφορική: θέτει στόχους, ρόλους, διαχείριση κινδύνων και τους ελέγχους στους οποίους δεσμεύεται η εταιρεία. Η πολιτική αποδεκτής χρήσης μεταφράζει τα μέρη της που αφορούν τον χρήστη σε συγκεκριμένη συμπεριφορά. Το ISO/IEC 27001:2022 Παράρτημα Α τα διαχωρίζει: έλεγχος 5.1 «Policies for information security» (Πολιτικές για την ασφάλεια των πληροφοριών) και έλεγχος 5.10 «Acceptable use of information and other associated assets» (Αποδεκτή χρήση πληροφοριών και άλλων συναφών περιουσιακών στοιχείων). Τα δύο έγγραφα πρέπει να χρησιμοποιούν την ίδια ορολογία, την ίδια ταξινόμηση πληροφοριών και τις ίδιες επαφές, ώστε ένας εργαζόμενος να μη λαμβάνει ποτέ αντιφατικές οδηγίες.
Αν συντάσσετε την ίδια την πολιτική ασφάλειας, δείτε την αδελφή σελίδα μας pssi-express.eu.
Η απομακρυσμένη εργασία μεταφέρει εταιρικά δεδομένα σε οικιακά δίκτυα, σε τραπέζια κουζίνας και σε καθίσματα τρένου. Η πολιτική αποδεκτής χρήσης είναι το σημείο όπου δηλώνετε τις ελάχιστες προσδοκίες: χρήση του εταιρικού εξοπλισμού όπου παρέχεται, διατήρηση της ενημέρωσής του, σύνδεση μέσω της ασφαλούς πρόσβασης της εταιρείας όταν απαιτείται, αποφυγή εκτυπώσεων σε δημόσιους χώρους, προστασία οθονών και συνομιλιών, και άμεση αναφορά απώλειας. Αν έχετε επίσης ξεχωριστή συμφωνία ή πολιτική τηλεργασίας, η πολιτική αποδεκτής χρήσης πρέπει να την παραπέμπει αντί να την επαναλαμβάνει. Ο έλεγχος 6.7 «Remote working» του Παραρτήματος Α του ISO/IEC 27001:2022 καλύπτει την πλευρά της ασφάλειας.
Το να επιτρέπετε σε προσωπικά τηλέφωνα να λαμβάνουν το εταιρικό email είναι βολικό και συνηθισμένο. Θέτει όμως δύο ερωτήματα στα οποία η πολιτική πρέπει να απαντά. Τι απαιτεί η εταιρεία από τη συσκευή (κλείδωμα οθόνης, υποστηριζόμενο λειτουργικό σύστημα, χωριστό προφίλ ή κοντέινερ εργασίας); Και τι μπορεί να δει ή να διαγράψει; Τα εργαλεία διαχείρισης συσκευών μπορούν να ρυθμιστούν ώστε να διαχειρίζονται μόνο τα εταιρικά δεδομένα· η πολιτική πρέπει να το λέει, και να λέει τι συμβαίνει με τα εταιρικά δεδομένα όταν το πρόσωπο αποχωρεί. Ο έλεγχος 8.1 «User endpoint devices» (Τελικές συσκευές χρηστών) του Παραρτήματος Α του ISO/IEC 27001:2022 πλαισιώνει την τεχνική πλευρά.
Οι δημόσιοι βοηθοί τεχνητής νοημοσύνης μπορεί να είναι χρήσιμοι, και οι εργαζόμενοι συχνά τους χρησιμοποιούν ήδη. Ο κίνδυνος βρίσκεται στα δεδομένα που εισάγονται και στα αποτελέσματα που χρησιμοποιούνται χωρίς έλεγχο. Ένα σύντομο κεφάλαιο για την τεχνητή νοημοσύνη καταγράφει συνήθως τα εγκεκριμένα εργαλεία, απαγορεύει την εισαγωγή δεδομένων προσωπικού χαρακτήρα, εμπιστευτικών πληροφοριών ή διαπιστευτηρίων σε μη εγκεκριμένες υπηρεσίες, απαιτεί ανθρώπινο έλεγχο πριν από την επαναχρησιμοποίηση και εξηγεί πώς ζητείται ένα νέο εργαλείο. Όταν μια εξωτερική υπηρεσία τεχνητής νοημοσύνης επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό σας, εφαρμόζονται οι κανόνες του ΓΚΠΔ για τους εκτελούντες την επεξεργασία (άρθρο 28) και για τις διαβιβάσεις εκτός ΕΕ (Κεφάλαιο V). Το άρθρο 4 του AI Act, που εφαρμόζεται από τις 2 Φεβρουαρίου 2025, ζητά από τους παρόχους και τους χρήστες συστημάτων τεχνητής νοημοσύνης να λαμβάνουν μέτρα ώστε να διασφαλίζεται, στον μέγιστο δυνατό βαθμό, επαρκές επίπεδο γραμματισμού του προσωπικού τους στην τεχνητή νοημοσύνη (ελέγξτε το ισχύον ενοποιημένο κείμενο, καθώς έχουν προταθεί τροποποιήσεις του άρθρου αυτού)· ένα κεφάλαιο για την τεχνητή νοημοσύνη στην πολιτική αποδεκτής χρήσης, σε συνδυασμό με μια σύντομη ενημερωτική συνεδρία, αποτελεί εύλογο δομικό στοιχείο.
Κανονισμός (ΕΕ) 2024/1689 (AI Act) · ΓΚΠΔ, άρθρο 28 και Κεφάλαιο V
Για τις βασικές και σημαντικές οντότητες βάσει της Οδηγίας NIS2, τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας του άρθρου 21 περιλαμβάνουν βασικές πρακτικές κυβερνοϋγιεινής και εκπαίδευση στην κυβερνοασφάλεια (άρθρο 21 παρ. 2, στοιχείο ζ)) και ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση περιουσιακών στοιχείων (άρθρο 21 παρ. 2, στοιχείο θ)). Μια πολιτική αποδεκτής χρήσης δεν σας καθιστά συμμορφούμενους με το NIS2, αλλά είναι ένα από τα έγγραφα που στηρίζουν αυτά τα μέτρα.
Μια πολιτική που υπογράφεται και ξεχνιέται δεν αλλάζει τίποτα. Η πολιτική και το πρόγραμμα ευαισθητοποίησης πρέπει να λειτουργούν μαζί: η πολιτική ορίζει τον κανόνα, οι σύντομες συνεδρίες εξηγούν τον λόγο. Όπου υπάρχει υπεύθυνος προστασίας δεδομένων, ο ΓΚΠΔ περιλαμβάνει την ευαισθητοποίηση και την εκπαίδευση του προσωπικού μεταξύ των καθηκόντων του (άρθρο 39 παρ. 1 στοιχ. β)). Οι εθνικές υπηρεσίες δημοσιεύουν δωρεάν υλικό που μπορείτε να επαναχρησιμοποιήσετε, για παράδειγμα τον ENISA σε επίπεδο ΕΕ και, στη Γαλλία, την ANSSI και το cybermalveillance.gouv.fr.
Έχετε τον έλεγχο από την αρχή μέχρι το τέλος. Ένας ανθρώπινος σύμβουλος είναι μια επιλογή, ποτέ υποχρέωση.
Ένα σύντομο ερωτηματολόγιο για τον οργανισμό σας: πού απασχολούνται οι εργαζόμενοί σας, ποια εργαλεία χρησιμοποιούν, αν επιτρέπονται οι προσωπικές συσκευές και η τηλεργασία, αν χρησιμοποιείτε βοηθούς τεχνητής νοημοσύνης, αν έχετε εκπροσώπους του προσωπικού, αν έχετε ήδη πολιτική ασφάλειας. Σας λέει ποια κεφάλαια χρειάζεστε και ποια σημεία θα απαιτήσουν τοπική νομική επικύρωση.
Απαντάτε σε καθοδηγούμενες ερωτήσεις με δικά σας λόγια, κεφάλαιο προς κεφάλαιο: τι επιτρέπεται, τι απαγορεύεται, τι ελέγχει η εταιρεία και γιατί, πόσο καιρό διατηρούνται τα αρχεία καταγραφής, ποιος είναι ο αρμόδιος για επικοινωνία. Κάθε ερώτηση συνοδεύεται από μια σύντομη εξήγηση και, όπου χρειάζεται, σύνδεσμο προς την επίσημη πηγή. Μπορείτε να αποθηκεύσετε, να επιστρέψετε αργότερα και να συμμετάσχει ένας συνάδελφος.
Η πολιτική παράγεται αυτόματα από τις απαντήσεις σας, στο όνομα της εταιρείας σας, με ξεχωριστό σημείωμα ενημέρωσης για την παρακολούθηση και ένα έντυπο αποδοχής. Είναι ένα σχέδιο εργασίας: να το ελέγξει ο δικός σας σύμβουλος (εργατολόγος, υπεύθυνος προστασίας δεδομένων, διαχείριση ανθρώπινου δυναμικού) πριν το κοινοποιήσετε, να συμβουλευθείτε τους εκπροσώπους όπου απαιτείται, και στη συνέχεια να το υιοθετήσετε.
Αν θέλετε κάποιος να εξετάσει μαζί σας τις απαντήσεις σας, να προσαρμόσει το σχέδιο σε ένα συγκεκριμένο πλαίσιο ή να προετοιμάσει την παρουσίαση προς το προσωπικό ή τους εκπροσώπους του, μπορείτε να ζητήσετε υποστήριξη από σύμβουλο συνεργάτη. Είναι προαιρετικό και ξεχωριστό από το εργαλείο αυτοεξυπηρέτησης.
Σχέδιο εργασίας, όχι νομική συμβουλή. Το παραγόμενο έγγραφο είναι ένα σχέδιο που βασίζεται στις δικές σας απαντήσεις και σε δημόσιες πηγές. Δεν αποτελεί νομική συμβουλή. Η ισχύς του στη χώρα σας και η διαδικασία για να καταστεί εφαρμόσιμο στο προσωπικό σας πρέπει να ελεγχθούν από έναν αρμόδιο σύμβουλο.
Έγγραφα που μπορείτε να επεξεργαστείτε, να κοινοποιήσετε και να διατηρήσετε ως αποδεικτικά στοιχεία
Το κύριο έγγραφο, σε απλή γλώσσα, βασισμένο στις απαντήσεις σας.
Ένα ξεχωριστό σημείωμα δομημένο γύρω από το άρθρο 13 του ΓΚΠΔ.
Ό,τι χρειάζεστε για να κοινοποιήσετε την πολιτική και να κρατήσετε αποδεικτικό στοιχείο.
Πού συνδέεται κάθε κεφάλαιο με τα δημόσια κείμενα.
Ένα σύντομο, αυτόνομο παράρτημα που μπορείτε να ενημερώνετε συχνότερα από την πολιτική.
Το έγγραφό σας παραμένει δικό σας, σε μορφές που μπορείτε να αλλάξετε.
Αναφερόμαστε μόνο σε κείμενα για τα οποία μπορούμε να παραθέσουμε σύνδεσμο. Όπου κάτι εξαρτάται από το εθνικό δίκαιο, το σχέδιο το λέει αντί να μαντεύει.
Άρθρο 5 (αρχές και λογοδοσία), άρθρο 13 (ενημέρωση των ενδιαφερομένων προσώπων), άρθρο 88 (επεξεργασία στο πλαίσιο της απασχόλησης) και, όπου συντρέχει λόγος, άρθρο 28 (εκτελούντες την επεξεργασία), άρθρο 32 (ασφάλεια της επεξεργασίας) και άρθρο 39 (καθήκοντα του υπευθύνου προστασίας δεδομένων).
Έλεγχος 5.10 «Acceptable use of information and other associated assets» (Αποδεκτή χρήση πληροφοριών και άλλων συναφών περιουσιακών στοιχείων), με τους σχετικούς ελέγχους 5.1 (πολιτικές για την ασφάλεια των πληροφοριών), 5.11 (επιστροφή περιουσιακών στοιχείων), 6.2 (όροι της σύμβασης εργασίας), 6.3 (ευαισθητοποίηση, εκπαίδευση και κατάρτιση), 6.4 (πειθαρχική διαδικασία), 6.7 (απομακρυσμένη εργασία) και 8.1 (τελικές συσκευές χρηστών). Το πρότυπο διατίθεται από τον ISO· αναφέρουμε μόνο τους τίτλους των ελέγχων.
Μόνο για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής: άρθρο 21 παρ. 2, στοιχείο ζ) βασικές πρακτικές κυβερνοϋγιεινής και εκπαίδευση στην κυβερνοασφάλεια, στοιχείο θ) ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση περιουσιακών στοιχείων, στοιχείο ι) έλεγχος ταυτότητας πολλών παραγόντων. Ισχύουν οι εθνικοί νόμοι μεταφοράς.
Άρθρο 4 για τον γραμματισμό στην τεχνητή νοημοσύνη, εφαρμοστέο από τις 2 Φεβρουαρίου 2025 στους παρόχους και τους χρήστες συστημάτων τεχνητής νοημοσύνης (ελέγξτε το ισχύον ενοποιημένο κείμενο πριν βασιστείτε σε αυτό). Σχετικό από τη στιγμή που το προσωπικό σας χρησιμοποιεί συστήματα τεχνητής νοημοσύνης στην εργασία του.
Τι περιλαμβάνει κάθε επιλογή. Η διαθεσιμότητα θα ανακοινώνεται σε αυτή τη σελίδα.
Για να μάθετε τι χρειάζεστε πριν ξεκινήσετε
Για να συντάξετε το δικό σας σχέδιο πολιτικής
Για να προσθέσετε ανθρώπινο έλεγχο στο σχέδιο αυτοεξυπηρέτησης
Σε κάθε επιλογή, το έγγραφο είναι ένα σχέδιο εργασίας προς επικύρωση από τον δικό σας σύμβουλο. Δεν αποτελεί νομική συμβουλή.
Σύντομες απαντήσεις. Όπου αναφέρεται κείμενο, ο σύνδεσμος οδηγεί στην επίσημη πηγή.
Κάθε κανονιστική δήλωση και δήλωση προτύπου παραπάνω οδηγεί σε μία από αυτές.
Η σελίδα αυτή παρέχει γενικές πληροφορίες. Δεν αποτελεί νομική συμβουλή.
Το εργαστήριο αυτοεξυπηρέτησης ετοιμάζεται. Θα ανοίξει σε αυτή τη σελίδα.
Ερωτήσεις εν τω μεταξύ: contact@syaga.eu