IT-kasutuseeskiri (Prantsusmaal tuntud kui „charte informatique”) ütleb kõigile, kes teie süsteeme kasutavad, mida nad tohivad teha, mida mitte ning mida ettevõte võib kontrollida. Acceptable Use Express on iseteenindustöötuba, mis aitab Euroopa VKE-del kirjutada sellise eeskirja lihtsas keeles, kooskõlas IKÜM-i ja ISO/IEC 27001-ga, ning katab kaugtöö, isiklikud seadmed ja generatiivse tehisintellekti. Saate oma ettevõtte nimel töövariandi, mille valideerib teie enda nõustaja.
Lühike ja loetav dokument, mis muudab teie turvakavatsused töötajatele igapäevasteks reegliteks
Enamikul väikestel ja keskmise suurusega ettevõtetel on arvutid, igaühe e-postkast, jagatud pilvefailid, mõned äritarkvara rakendused ning üha rohkem kontorist välja kaasa võetavaid telefone ja sülearvuteid. Sageli puudub neil üks dokument, mis ütleks töötajale arusaadavas keeles, kuidas neid tööriistu tohib kasutada. Just see dokument ongi kasutuseeskiri. Prantsusmaal nimetatakse seda tavaliselt charte informatique'iks; mujal kohtab nimetusi „IT usage policy”, „computer use policy” või „IT charter”. Nimi on vähem tähtis kui selle kolm ülesannet.
Kasutajad ei saa järgida reegleid, mida keegi pole kirja pannud. Kasutuseeskiri määrab ära eeldatava käitumise paroolide, e-kirja, interneti sirvimise, failide jagamise, eemaldatavate andmekandjate, tarkvara paigaldamise, ettevõtte seadmete isikliku kasutamise, reisimise ja kaugtöö puhul. See on teie turvalisuse kasutajale suunatud osa, mis jõuab igasse töökohta.
Logimine, filtreerimine, postkasti juurdepääs puudumise ajal, seadmehaldus, tööjaamade varundamine: kõik need hõlmavad töötajate isikuandmeid. Isikuandmete kaitse üldmääruse (IKÜM) kohaselt tuleb asjaomaseid isikuid teavitada töötlemise eesmärkidest ja tingimustest (artikkel 13). Kasutuseeskiri on loomulik koht selle teabe andmiseks ühes järjepidevas tekstis, mitte hajutatult e-kirjades.
Kui reeglit rikutakse, peab organisatsioon näitama, et reegel oli olemas, et isik sellest teadis ning et rikkumise avastanud jälgimine oli ise seaduslik ja proportsionaalne. Poliitika, mida pole kunagi töötajateni viidud, või poliitika, mis jätab mainimata jälgimise, millest töötajad pole kuulnud, annab teile väga vähe tuge. Kuidas poliitikast saab jõustatav, sõltub riigi tööõigusest, mistõttu jääb see leht üldiseks ja suuname viimase sammu juures oma nõustaja juurde.
Rahvusvaheline turvastandard tunnustab seda rolli otseselt. ISO/IEC 27001:2022 lisa A sisaldab kontrolli 5.10 „Teabe ja muude seotud varade nõuetekohane kasutamine”, mis eeldab, et kasutamise reeglid ning teabe ja varade käsitlemise menetlused on kindlaks määratud, dokumenteeritud ja rakendatud. Kasutuseeskiri on kõige levinum viis, kuidas VKE-d seda ootust täidavad, olenemata sellest, kas nad sertifitseerimist taotlevad või mitte.
Allikad: määrus (EL) 2016/679 (IKÜM), EUR-Lex · ISO/IEC 27001, avalik leht iso.org-s
Samad mõned vead tulevad tagasi aina uuesti. Ükski neist ei nõua parandamiseks suurt eelarvet.
Internetist allalaaditud poliitika kirjeldab kellegi teise tööriistu, teise riiki ja teise riske. See mainib süsteeme, mida te ei kasuta, ja vaikib nendest, mida kasutate. Töötajad märkavad seda ja lõpetavad lugemise.
Jagatud kaustas seisev dokument ei ole töötajateni jõudnud. Kui te ei suuda näidata, kes selle sai, millal ja millises versioonis, on seda hiljem raske tugevdada. Mitmes riigis on töötajate teavitamine või nendega konsulteerimine osa sellest, mis teeb reeglid rakendatavaks.
Veebifiltri logid, postiväravate logid, lõppseadmete haldus ja andmekao ennetamise tööriistad jälgivad kõik inimesi. IKÜM nõuab läbipaistvust (artikli 5 lõige 1 punkt a) ja asjaomaste isikute teavitamist (artikkel 13). Märkamatult tehtav jälgimine on iseenesest nõuetele vastavuse risk.
Paljud kasutuseeskirjad on kirjutatud ajal, mil kõik töötasid kontoris lauaarvuti taga. Need ei ütle midagi kodusest WiFi-st, isiklikest telefonidest, mis võtavad vastu ettevõtte e-kirju, ega töötajatest, kes kleebivad kliendiandmeid avalikku vestlusrobotisse. Just selles lüngas juhtubki intsidente.
Allpool olevad peatükid moodustavad töötoas valmiva mustandi selgroo. Iga peatükk kohandatakse teie vastustele ning seda võib lühendada või eemaldada.
Töötajad, praktikandid, ajutised töötajad, alltöövõtjad ja kõik, kellel on konto. Millised süsteemid on hõlmatud: tööjaamad, mobiilseadmed, e-post, koostööpakettid, äriprogrammid, võrgud, printerid, pilvesalvestus. Selge ulatus väldib klassikalist vaidlust „see ei puudutanud mind”.
Isiklikud, mitteedastatavad kontod; parooli kvaliteet ja säilitamine; mitmeastmeline autentimine seal, kus ettevõte on selle kasutusele võtnud; ekraani lukustamine töökohalt lahkumisel; mida teha, kui parool võib olla lekkinud.
Seotud: NIS2, art. 21 lg 2 punkt j nimetab mitmeastmelist autentimist kohaldamisalasse kuuluvate üksuste meetmete seas.
Reegel on ametlik kasutus; mõistlik isiklik kasutus, kui ettevõte seda lubab, ning kuidas isiklikke kirju märgistada. Lisaks andmepüügikirjade äratundmine, manused ja lingid, edastamise reeglid, automaatne edastamine isiklikele aadressidele ning keelatud saidid ja sisu.
Milline teave on konfidentsiaalne, kuidas seda võib jagada ettevõttesiseselt ja -väliselt, heakskiidetud failijagamistööriistad, printimine, puhas laud ning kohustus töödelda isikuandmeid ainult ettevõtte juhiste alusel.
IKÜM art. 29 ja art. 32 lg 4: vastutava töötleja volitusel tegutsevad isikud töötlevad isikuandmeid ainult tema juhiste alusel.
Kes võib tarkvara paigaldada, isiklike USB-mälupulkade ja välisdraivide kasutamine, sülearvutite ja telefonide hooldus, kadumisest või varastamisest teatamine ning seadmete ja juurdepääsu tagastamine, kui keegi lahkub (ISO/IEC 27001:2022 lisa A sisaldab ka kontrolli varade tagastamise kohta, 5.11).
Töötamine kodust, kliendi juurest või liikvel: usaldusväärsed võrgud, VPN nõutaval juhul, ekraani privaatsus, seadmete füüsiline kaitse, videokõned avalikes kohtades. ISO/IEC 27001:2022 lisa A sisaldab spetsiifilist kontrolli 6.7 „Kaugtöö”.
Kas isiklikud telefonid, tahvelarvutid või arvutid tohivad pääseda ettevõtte andmetele, millistel tingimustel (seadme lukk, uuendused, eraldi tööprofiil, ettevõtte andmete kaugkustutamine ainult) ning mida ettevõte tohib ja ei tohi isikliku seadme peal näha.
Millised tehisintellekti tööriistad on heaks kiidetud, milliseid andmeid neisse mitte kunagi sisestada (isikuandmed, kliendisaladused, lähtekood, mandaadid), inimlik väljundite ülevaatus ning kuidas taotleda uut tööriista. Poliitika, mis lihtsalt keelab kõik, kipub viima kasutuse silma alt ära.
tehisintellekti määrus (EL) 2024/1689 (AI Act), art. 4 töötajate tehisintellektialase pädevuse kohta.
Mida logitakse, filtreeritakse või kontrollitakse, mis eesmärgil, kes, kui kaua logisid säilitatakse ja millised on asjaomaste isikute õigused. See peatükk on koht, kus täidetakse IKÜMi läbipaistvus- ja teavitamiskohustused.
IKÜM art. 5 ja art. 13.
Kuidas ja kellele teatada kahtlasest e-kirjast, kadunud seadmest või eksimusest, ilma et kiire teatamise eest karistataks. Viide distsiplinaarraamistikule, mis teie organisatsioonis kehtib (ISO/IEC 27001:2022 lisa A, kontroll 6.4 „Distsiplinaarmenetlus”), ning poliitika kuupäev ja versioon.
Õiguslik tee erineb liikmesriigiti. Loogika ei erine: seaduslik, proportsionaalne, ette teada.
Kasutuseeskiri kirjeldab peaaegu alati töötajate isikuandmete töötlemist: kontode logid, ühendusandmed, filtreerimine, seadmete inventuur, mõnikord postkasti juurdepääs. Kolm IKÜMi artiklit raamivad seda töötlemist kõikjal Euroopa Liidus.
Artikkel 5, põhimõtted. Isikuandmeid tuleb töödelda seaduslikult, õiglaselt ja läbipaistvalt; koguda kindlaks määratud, selgesõnalistel ja õigustatud eesmärkidel; need peavad olema asjakohased, olulised ja piiratud sellega, mis on vajalik; neid ei tohi säilitada kauem, kui vaja; ja neid tuleb töödelda sobiva turvalisusega. Artikli 5 lõike 2 kohaselt peab vastutav töötleja suutma tõendada nende põhimõtete järgimist (vastutus). Kasutuseeskirja puhul tähendab see, et iga kirjeldatud kontrollil peab olema öeldud eesmärk ja mõistlik säilitusaeg ning peate suutma näidata, miks see on proportsionaalne.
Artikkel 13, edastatav teave. Kui andmed kogutakse asjaomaselt isikult, peab vastutav töötleja muu hulgas esitama oma identiteedi ja kontaktandmed, andmekaitseametniku kontaktandmed, kui see on olemas, töötlemise eesmärgid ja õigusliku aluse, õigustatud huvid, kui see on alus, adressaadid, säilitusaja ning isiku õigused. Kasutuseeskiri või selle külge lisatud teaberühm on praktiline vahend selle teabe edastamiseks.
Artikkel 88, töötlemine tööhõive kontekstis. IKÜM võimaldab liikmesriikidel seaduse või kollektiivlepingutega ette näha täpsemad eeskirjad töötajate isikuandmete töötlemiseks tööhõive kontekstis. Artikli 88 lõige 2 nõuab, et sellised eeskirjad sisaldaksid sobivaid ja konkreetseid meetmeid asjaomaste isikute inimväärikuse, õigustatud huvide ja põhiõiguste kaitseks, eelkõige töötlemise läbipaistvuse, ettevõtjate grupis toimuva edastamise ja töökohal kasutatavate jälgimissüsteemide osas. Praktikas tähendab see, et küsimusele „mida tohime jälgida ja kuidas?” vastamine sõltub osaliselt riigist, kus tegutsete.
Kogu EL-is kehtestab direktiiv 2002/14/EÜ üldise raamistiku töötajate teavitamiseks ja nendega konsulteerimiseks ettevõtetes, mis ületavad liikmesriikide valitud künniseid direktiivi piirides. Riigisisene õigus ja kollektiivlepingud määravad seejärel, kas töönõukogu, töötajate esindusorgan või ametiühing tuleb enne IT-kasutuse või töökohajälgimise reeglite kehtestamist teavitada või nendega konsulteerida ning millisel kujul. Mõnes riigis lisatakse kasutuseeskiri sisekorraeeskirjade külge ja järgib sama menetlust; teistes on see osa töölepingust, kollektiivlepingust või eraldi poliitikast, mida iga kasutaja kinnitab.
Näiteks Prantsusmaal: tööseadustik (Code du travail) näeb ette, et töönõukogu (CSE) tuleb enne nende kasutuselevõttu ettevõttes teavitada ja nendega konsulteerida töötajate tegevuse jälgimise vahendite või tehnikate osas ning et ühtegi töötajat isiklikult puudutavat teavet ei tohi koguda seadmega, mida ei ole eelnevalt töötaja teadmisele toodud. Prantsuse andmekaitseasutus CNIL soovitab oma isikuandmete turvalisuse juhendis, et ettevõte koostaks IT-kasutuseeskirja ja annaks sellele siduva jõu, näiteks lisades selle sisekorraeeskirjadele. Teistes riikides on omad vasted, mistõttu töötoas küsitakse, kus teie töötajad töötavad, ja tuuakse välja punktid, mida tuleb oma nõustajaga üle vaadata.
Olenemata riigisisesest teest säilitage tõendid: poliitika versioon ja kuupäev, edastamise kuupäev, viis (e-kiri, siseveeb, sisseelamiskomplekt, allkiri) ning see, kes kinnitas. Teavitage uuesti, kui poliitika muutub. ISO/IEC 27001:2022 lisa A käsitleb seda inimeste kontrollide osana koos töötingimustega (6.2) ning infoturbe teadlikkuse, hariduse ja koolitusega (6.3).
Oluline. See jaotis on üldine teave Euroopa ja riigisiseste tekstide kohta. See ei ole juriidiline nõuanne ega asenda tööõiguse advokaadi, andmekaitseametniku ega personalinõustaja analüüsi teie konkreetse olukorra, riigi ja kollektiivlepingute kohta.
Allikad: IKÜM, art. 5, 13 ja 88 (EUR-Lex) · direktiiv 2002/14/EÜ (EUR-Lex) · Prantsuse tööseadustik (Légifrance) · CNIL, isikuandmete turvalisuse juhend · ISO/IEC 27001 (iso.org)
Kasutuseeskiri ei ole iseseisev turvapoliitika. See on selle osa, mis räägib kasutajatega.
Infoturbe poliitika on kirjutatud juhtkonnale ja IT-le: see seab eesmärgid, rollid, riskide käsitlemise ja kontrollid, mida ettevõte kohustub järgima. Kasutuseeskiri tõlgib selle kasutajale suunatud osad konkreetseks käitumiseks. ISO/IEC 27001:2022 lisa A eristab neid kahte: kontroll 5.1 „Infoturbe poliitikad” ja kontroll 5.10 „Teabe ja muude seotud varade nõuetekohane kasutamine”. Mõlemad dokumendid peaksid kasutama sama sõnavara, sama teabe klassifikatsiooni ja samu kontakte, et töötaja ei saaks kunagi vastuolulisi juhiseid.
Kui koostate ise turvapoliitikat, vaadake meie sõsarlehte pssi-express.eu.
Kaugtöö viib ettevõtte andmed kodustesse võrkudesse, köögilaudadele ja rongi istmetele. Kasutuseeskirjas määrate miinimumnõuded: kasutage ettevõtte seadmeid, kui need on ette nähtud, hoidke need ajakohasena, ühendage end ettevõtte turvalise juurdepääsu kaudu, kui see on nõutav, vältige avalikku printimist, kaitske ekraane ja vestlusi ning teatage kaotusest kohe. Kui teil on eraldi kaugtöö leping või poliitika, peaks kasutuseeskiri sellele viitama, mitte seda kordama. ISO/IEC 27001:2022 lisa A kontroll 6.7 „Kaugtöö” käsitleb turvalisuse poolt.
Isiklike telefonide lubamine ettevõtte e-kirjade vastuvõtmiseks on mugav ja tavaline. See tekitab aga kaks küsimust, millele poliitika peab vastama. Mida nõuab ettevõte seadmelt (ekraanilukk, toetatud operatsioonisüsteem, eraldi tööprofiil või konteiner)? Ja mida võib ettevõte näha või kustutada? Seadmehaldustööriistu saab seadistada haldama ainult ettevõtte andmeid; poliitika peaks seda ütlema ning ütlema, mis saab ettevõtte andmetest, kui inimene lahkub. ISO/IEC 27001:2022 lisa A kontroll 8.1 „Kasutaja lõppseadmed” raamib tehnilist poolt.
Avalikud tehisintellekti assistendid võivad olla kasulikud ja töötajad kasutavad neid sageli juba. Risk peitub sisestatud andmetes ja väljundites, mida kasutatakse ilma ülevaatuseta. Lühike tehisintellekti peatükk loetleb tavaliselt heaks kiidetud tööriistad, keelab isikuandmete, konfidentsiaalse teabe või mandaatide sisestamise heaks kiitmata teenustesse, nõuab enne taaskasutust inimese ülevaatust ja selgitab, kuidas uut tööriista taotleda. Kui väline tehisintellekti teenus töötleb teie nimel isikuandmeid, kehtivad IKÜMi reeglid volitatud töötlejate kohta (artikkel 28) ja andmete edastamise kohta väljaspool EL-i (V peatükk). Tehisintellekti määruse artikkel 4, mida kohaldatakse alates 2. veebruarist 2025, nõuab tehisintellekti süsteemide pakkujatelt ja kasutajatelt meetmeid, et tagada nende töötajate piisav tehisintellektialane pädevus nende parimate võimete piires (kontrollige praegust konsolideeritud sõnastust, sest selle artikli muutmiseks on tehtud ettepanekuid); tehisintellekti peatükk kasutuseeskirjas ja lühike teadlikkuse seanss on mõistlik ehitusplokk.
Olulistele ja tähtsatele üksustele NIS2 direktiivi alusel kuuluvad küberturvalisuse riskijuhtimise meetmed artikli 21 kohaselt hõlmavad küberhügieeni põhipraktikaid ja küberturvalisuse koolitust (21 lg 2 punkt g) ning personaliturvalisust, juurdepääsukontrolli poliitikaid ja varahaldust (21 lg 2 punkt i). Kasutuseeskiri ei tee teid NIS2-ga vastavaks, kuid see on üks dokumentidest, mis neid meetmeid toetab.
Poliitika, mis on allkirjastatud ja unustatud, ei muuda midagi. Poliitika ja teadlikkuse programm peavad koos töötama: poliitika sätestab reegli, lühikesed seansid selgitavad, miks. Kus on andmekaitseametnik, nõuab IKÜM tema ülesannete hulka töötajate teadlikkuse tõstmist ja koolitamist (artikli 39 lõige 1 punkt b). Riiklikud asutused avaldavad tasuta materjali, mida võite kasutada, näiteks ENISA ELi tasandil ning Prantsusmaal ANSSI ja cybermalveillance.gouv.fr.
Olete kontrolli all algusest lõpuni. Inimnõustaja on valik, mitte kohustus.
Lühike küsimustik teie organisatsiooni kohta: kus teie töötajad töötavad, milliseid tööriistu nad kasutavad, kas isiklikud seadmed ja kaugtöö on lubatud, kas kasutate tehisintellekti assistente, kas teil on töötajate esindajad ning kas teil on juba turvapoliitika. See ütleb, milliseid peatükke vajate ja millised punktid nõuavad kohalikku õiguslikku valideerimist.
Vastate juhitud küsimustele omaenda sõnadega, peatükkhaaval: mis on lubatud, mis mitte, mida ettevõte kontrollib ja miks, kui kaua logisid säilitatakse, kellega ühendust võtta. Iga küsimusega kaasneb lühike selgitus ning vajadusel link ametliku allikani. Saate salvestada, tulla hiljem tagasi ja kaasata kolleegi.
Poliitika genereeritakse automaatselt teie vastuste põhjal teie ettevõtte nimel, koos eraldi teabeteatega jälgimise kohta ja kinnitusvormiga. See on töövariant: laske oma nõustajal (tööõiguse advokaat, andmekaitseametnik, personalispetsialist) see üle vaadata enne, kui te seda teatate, konsulteerige vajadusel esindajatega ja võtke see vastu.
Kui soovite, et keegi vaataks teie vastused koos teiega läbi, kohandaks mustandi konkreetsele olukorrale või valmistaks ette esitluse töötajatele või nende esindajatele, võite paluda tuge partnerkonsultandilt. See on valikuline ja eraldi iseteenindustööriistast.
Töövariant, mitte juriidiline nõuanne. Genereeritud dokument on mustand, mis on koostatud teie enda vastuste ja avalike allikate põhjal. See ei ole juriidiline nõuanne. Selle kehtivuse üle teie riigis ning menetluse üle, mis teeb selle teie töötajate suhtes kohaldatavaks, peab otsustama kvalifitseeritud nõustaja.
Dokumendid, mida saate muuta, teatada ja säilitada tõendina
Peamine dokument lihtsas keeles, koostatud teie vastuste põhjal.
Eraldi teade, mis on üles ehitatud IKÜMi artikli 13 järgi.
See, mida vajate poliitika edastamiseks ja jälje säilitamiseks.
Kus iga peatükk seostub avalike tekstidega.
Lühike iseseisev lisa, mida saab uuendada sagedamini kui poliitikat.
Teie dokument jääb teie omaks, vormingutes, mida saate muuta.
Tsiteerime ainult tekste, millele saame lingi panna. Kui miski sõltub riigisisesest õigusest, ütleb mustand seda, selle asemel et oletada.
Artikkel 5 (põhimõtted ja vastutus), artikkel 13 (asjaomaste isikute teavitamine), artikkel 88 (töötlemine tööhõive kontekstis) ning vajaduse korral artikkel 28 (volitatud töötlejad), artikkel 32 (töötlemise turvalisus) ja artikkel 39 (andmekaitseametniku ülesanded).
Kontroll 5.10 „Teabe ja muude seotud varade nõuetekohane kasutamine”, koos seotud kontrollidega 5.1 (infoturbe poliitikad), 5.11 (varade tagastamine), 6.2 (töötingimused), 6.3 (teadlikkus, haridus ja koolitus), 6.4 (distsiplinaarmenetlus), 6.7 (kaugtöö) ja 8.1 (kasutaja lõppseadmed). Standardi müüb ISO; me tsiteerime ainult kontrollide pealkirju.
Ainult kohaldamisalasse kuuluvatele üksustele: artikli 21 lõike 2 punkt g küberhügieeni põhipraktikad ja küberturvalisuse koolitus, punkt i personaliturvalisus, juurdepääsukontrolli poliitikad ja varahaldus, punkt j mitmeastmeline autentimine. Kehtivad riigisisesed ülevõtmisseadused.
Artikkel 4 tehisintellektialase pädevuse kohta, mida kohaldatakse alates 2. veebruarist 2025 tehisintellekti süsteemide pakkujate ja kasutajate suhtes (enne toetumist kontrollige praegust konsolideeritud sõnastust). Oluline niipea, kui teie töötajad kasutavad oma töös tehisintellekti süsteeme.
Mida iga valik sisaldab. Saadavus teatatakse sellel lehel.
Et teada saada, mida vajate enne alustamist
Oma mustandi koostamiseks
Inimliku ülevaatuse lisamiseks iseteenindusmustandile
Igas valikus on dokument töövariant, mille peab valideerima teie oma nõustaja. See ei ole juriidiline nõuanne.
Lühikesed vastused. Kus tekst on tsiteeritud, viib link ametliku allikani.
Iga regulatiivne või normatiivne väide ülal viib ühele neist.
See leht annab üldist teavet. See ei ole juriidiline nõuanne.
Iseteenindustöötuba on valmimas. See avaneb sellel lehel.
Küsimused vahepeal: contact@syaga.eu