Politika prihvatljive uporabe (često se zove i pravilnik o korištenju informatičke opreme) svakome tko koristi vaše sustave kaže što smije, što ne smije i što tvrtka smije provjeravati. Acceptable Use Express je samoposlužna radionica koja europskom MSP-u pomaže da je napiše razumljivim jezikom, usklađenu s GDPR-om i normom ISO/IEC 27001, uz obuhvaćen rad na daljinu, osobne uređaje i generativnu umjetnu inteligenciju. Dobivate radni nacrt u ime vaše tvrtke, koji treba pregledati vaš savjetnik.
Kratak, čitljiv dokument koji vaše sigurnosne namjere pretvara u svakodnevna pravila za ljude
Većina malih i srednjih tvrtki ima računala, poštanski sandučić po zaposleniku, zajedničke datoteke u oblaku, nekoliko poslovnih aplikacija i sve više telefona i prijenosnih računala koja izlaze iz ureda. Često im nedostaje jedan dokument koji na jeziku koji zaposlenik razumije kaže kako se ti alati smiju koristiti. Taj je dokument politika prihvatljive uporabe. U Francuskoj se obično zove charte informatique; drugdje ćete naići na nazive „politika uporabe IT-a“, „pravilnik o uporabi računala“ ili „pravilnik o korištenju informatičke opreme“. Naziv je manje važan od triju zadaća koje ispunjava.
Korisnici ne mogu poštovati pravila koja nitko nije zapisao. Politika prihvatljive uporabe navodi očekivano ponašanje za lozinke, e-poštu, pregledavanje interneta, dijeljenje datoteka, prijenosne medije, instalaciju softvera, osobnu uporabu opreme tvrtke, putovanja i rad na daljinu. To je dio vaše sigurnosti vidljiv korisnicima, onaj koji dopire do svakog radnog stola.
Bilježenje, filtriranje, pristup poštanskom sandučiću tijekom odsutnosti, upravljanje uređajima, sigurnosna kopija radnih stanica: sve to uključuje osobne podatke o zaposlenicima. Prema Općoj uredbi o zaštiti podataka (GDPR) ispitanici moraju biti informirani o svrhama i uvjetima obrade (članak 13.). Politika prihvatljive uporabe prirodno je mjesto za te informacije, objedinjene u jednom tekstu umjesto u raštrkanim e-porukama.
Kad se pravilo prekrši, organizacija mora pokazati da je pravilo postojalo, da je osoba o njemu bila upoznata i da je nadzor koji je otkrio povredu sam bio zakonit i razmjeran. Politika koja nikad nije dostavljena zaposlenicima ili koja prešućuje nadzor o kojem oni nikad nisu čuli pruža vrlo malo oslonca. Na koji način politika postaje provediva, ovisi o nacionalnom radnom pravu, zbog čega ova stranica ostaje općenita, a posljednji korak prepuštamo vašem savjetniku.
Međunarodna sigurnosna norma tu ulogu izričito priznaje. ISO/IEC 27001:2022, u svom Dodatku A, uključuje kontrolu 5.10 „Prihvatljiva uporaba informacija i ostale povezane imovine“, koja traži da se pravila prihvatljive uporabe te postupci za rukovanje informacijama i imovinom utvrde, dokumentiraju i provedu. Politika prihvatljive uporabe najčešći je način na koji MSP-ovi ispunjavaju taj zahtjev, bez obzira na to teže li ikad certifikaciji.
Izvori: Uredba (EU) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, javna stranica na iso.org
Isti se nekoliko pogrešaka stalno ponavljaju. Nijedna ne zahtijeva velik proračun za ispravak.
Politika preuzeta s interneta opisuje tuđe alate, tuđu zemlju i tuđe rizike. Spominje sustave koje ne koristite, a o onima koje koristite ne kaže ništa. Zaposlenici to primijete i prestanu čitati.
Dokument koji leži u zajedničkoj mapi nije priopćen. Ako ne možete pokazati tko ga je primio, kada i u kojoj verziji, kasnije će ga biti teško koristiti kao temelj. U nekoliko zemalja koraci obavješćivanja ili savjetovanja zaposlenika dio su onoga što pravila čini primjenjivima.
Zapisnici filtriranja weba, zapisnici poslužitelja e-pošte, alati za upravljanje krajnjim uređajima i sprječavanje gubitka podataka: sve to prati ljude. GDPR zahtijeva transparentnost (članak 5. stavak 1. točka (a)) i informiranje ispitanika (članak 13.). Nadzor koji se čuva u tajnosti sam je po sebi rizik za usklađenost.
Mnogi su takvi dokumenti pisani kad su svi radili za stolnim računalom u uredu. Ne govore ništa o kućnom Wi-Fi-ju, osobnim telefonima koji primaju poslovnu e-poštu ili zaposlenicima koji u javni chatbot lijepe podatke kupaca. Upravo se u toj rupi događaju incidenti.
Poglavlja u nastavku čine okosnicu nacrta koji radionica izrađuje. Svako se prilagođava vašim odgovorima, a svako se može skratiti ili ukloniti.
Zaposlenici, pripravnici, privremeno zaposleni, vanjski suradnici i svatko tko ima korisnički račun. Koji su sustavi obuhvaćeni: radne stanice, mobilni uređaji, e-pošta, programski paketi za suradnju, poslovne aplikacije, mreže, pisači, pohrana u oblaku. Jasan opseg onemogućuje klasičnu izliku „to se mene nije ticalo“.
Osobni računi koji se ne smiju prenositi na druge; kvaliteta i pohrana lozinki; višefaktorska provjera autentičnosti gdje ju je tvrtka uvela; zaključavanje sesije pri odlasku s radnog mjesta; što učiniti ako je lozinka možda kompromitirana.
Povezano: NIS2, čl. 21. st. 2. toč. (j) navodi višefaktorsku provjeru autentičnosti među mjerama za obveznike.
Poslovna uporaba kao pravilo, razumna osobna uporaba ako ju tvrtka dopušta i način na koji se trebaju označiti osobne poruke. Reakcije na phishing, privici i poveznice, pravila proslijeđivanja, automatsko proslijeđivanje na osobne adrese, zabranjene stranice i sadržaji.
Koje su informacije povjerljive, kako ih je dopušteno dijeliti interno i eksterno, odobreni alati za dijeljenje datoteka, ispis, čist radni stol i obveza obrade osobnih podataka samo prema uputama tvrtke.
GDPR čl. 29. i čl. 32. st. 4.: osobe koje djeluju pod ovlašću voditelja obrade obrađuju osobne podatke samo prema njegovim uputama.
Tko smije instalirati softver, uporaba osobnih USB ključeva i vanjskih diskova, briga o prijenosnim računalima i telefonima, prijava gubitka ili krađe te vraćanje opreme i pristupa kad netko napusti tvrtku (ISO/IEC 27001:2022, Dodatak A, ima i kontrolu o povratu imovine, 5.11).
Rad od kuće, kod klijenta ili na putovanju: pouzdane mreže, VPN kad je potreban, privatnost zaslona, fizička zaštita opreme, videopozivi na javnim mjestima. ISO/IEC 27001:2022, Dodatak A, ima posebnu kontrolu, 6.7 „Rad na daljinu“.
Smiju li osobni telefoni, tableti ili računala pristupati podacima tvrtke, pod kojim uvjetima (zaključavanje uređaja, ažuriranja, zaseban radni profil, daljinsko brisanje samo podataka tvrtke) te što tvrtka smije, a što ne smije vidjeti na osobnom uređaju.
Koji su AI alati odobreni, koji se podaci u njih nikad ne smiju unositi (osobni podaci, poslovne tajne klijenata, izvorni kod, vjerodajnice), ljudski pregled rezultata i kako zatražiti novi alat. Politika koja jednostavno sve zabranjuje obično gura uporabu izvan vidokruga.
Akt o umjetnoj inteligenciji (AI Act), Uredba (EU) 2024/1689, čl. 4. o AI pismenosti zaposlenika.
Što se bilježi, filtrira ili provjerava, u koju svrhu, tko to radi, koliko se dugo zapisnici čuvaju i koja prava imaju ispitanici. U ovom se poglavlju ispunjavaju obveze transparentnosti i informiranja iz GDPR-a.
GDPR čl. 5. i čl. 13..
Kako i kome prijaviti sumnjivu e-poruku, izgubljeni uređaj ili pogrešku, bez straha od okrivljavanja zbog pravodobne prijave. Upućivanje na disciplinski okvir koji se primjenjuje u vašoj organizaciji (ISO/IEC 27001:2022, Dodatak A, kontrola 6.4 „Disciplinski postupak“) te datum i verzija politike.
Pravni put razlikuje se među državama članicama. Ono što se ne razlikuje jest logika: zakonito, razmjerno, unaprijed poznato.
Politika prihvatljive uporabe gotovo uvijek opisuje obradu osobnih podataka zaposlenika: zapisnike računa, evidenciju veza, filtriranje, popise uređaja, ponekad pristup poštanskom sandučiću. Tri članka GDPR-a uređuju tu obradu u cijeloj Europskoj uniji.
Članak 5., načela. Osobni podaci moraju se obrađivati zakonito, pošteno i transparentno; prikupljati u određene, izričite i zakonite svrhe; biti primjereni, relevantni i ograničeni na ono što je nužno; čuvati ne dulje nego što je potrebno; te obrađivati uz primjerenu sigurnost. Prema članku 5. stavku 2. voditelj obrade mora moći dokazati usklađenost s tim načelima (odgovornost). Za politiku prihvatljive uporabe to znači da svaka kontrola koju opišete mora imati navedenu svrhu i razumno razdoblje čuvanja te morate moći dokazati da je razmjerna.
Članak 13., informacije koje treba pružiti. Kad se podaci prikupljaju od ispitanika, voditelj obrade mora, među ostalim, navesti svoj identitet i kontaktne podatke, kontaktne podatke službenika za zaštitu podataka ako postoji, svrhe i pravnu osnovu obrade, legitimne interese kad se obrada na njima temelji, primatelje, razdoblje čuvanja i prava ispitanika. Politika prihvatljive uporabe ili obavijest o privatnosti priložena uz nju praktičan je način za pružanje tih informacija.
Članak 88., obrada u kontekstu zapošljavanja. GDPR državama članicama omogućuje da zakonom ili kolektivnim ugovorima propišu detaljnija pravila za obradu osobnih podataka zaposlenika u kontekstu zapošljavanja. Članak 88. stavak 2. traži da ta pravila uključuju odgovarajuće i posebne mjere za zaštitu ljudskog dostojanstva, legitimnih interesa i temeljnih prava ispitanika, osobito u pogledu transparentnosti obrade, prijenosa osobnih podataka unutar grupe poduzetnika i sustava nadzora na radnom mjestu. U praksi odgovor na pitanje „što smijemo nadzirati i kako?“ stoga dijelom ovisi o zemlji u kojoj poslujete.
Direktiva 2002/14/EZ uspostavlja opći okvir za informiranje i savjetovanje zaposlenika u cijeloj EU, u poduzećima iznad pragova koje svaka država članica određuje u granicama direktive. Nacionalno pravo i kolektivni ugovori zatim određuju mora li se radničko vijeće, tijelo predstavnika zaposlenika ili sindikat obavijestiti ili savjetovati prije uvođenja pravila o uporabi IT-a ili nadzoru na radnom mjestu i u kojem obliku. U nekim zemljama politika prihvatljive uporabe prilaže se internim pravilima rada i prati isti postupak; u drugima je dio ugovora o radu, kolektivnog ugovora ili samostalne politike koju svaki korisnik potvrđuje.
Uzmimo Francusku kao jedan od mnogih primjera: Zakonik o radu (Code du travail) propisuje da se radničko vijeće (CSE) prije uvođenja u tvrtku mora informirati i s njim savjetovati o sredstvima ili tehnikama kojima se omogućuje nadzor aktivnosti zaposlenika te da se podaci o zaposleniku ne smiju prikupljati uređajem o kojem on prethodno nije bio obaviješten. Francusko tijelo za zaštitu podataka, CNIL, u svom vodiču o sigurnosti osobnih podataka preporučuje da tvrtka sastavi pravilnik o korištenju informatičke opreme i da mu osigura obvezujuću snagu, primjerice njegovim prilaganjem pravilniku o radu. Druge zemlje imaju svoje ekvivalente, zbog čega radionica pita u kojim su zemljama vaši zaposlenici zaposleni i označava točke koje treba provjeriti sa savjetnikom.
Bez obzira na nacionalni postupak, čuvajte dokaze: verziju i datum politike, datum dostave zaposlenicima, način (e-pošta, intranet, paket za uvođenje novih zaposlenika, potpis) i tko ju je potvrdio. Ponovno je dostavite kad se politika promijeni. ISO/IEC 27001:2022, Dodatak A, to tretira kao dio kontrola vezanih uz ljude, uz uvjete zaposlenja (6.2) te svijest, obrazovanje i osposobljavanje o informacijskoj sigurnosti (6.3).
Važno. Ovaj je odjeljak opća informacija o europskim i nacionalnim propisima. To nije pravni savjet i ne zamjenjuje analizu odvjetnika za radno pravo, službenika za zaštitu podataka ili vašeg savjetnika za ljudske resurse za vašu konkretnu situaciju, zemlju i kolektivne ugovore.
Izvori: GDPR, čl. 5., 13. i 88. (EUR-Lex) · Direktiva 2002/14/EZ (EUR-Lex) · Francuski Zakonik o radu (Légifrance) · CNIL, vodič o sigurnosti osobnih podataka · ISO/IEC 27001 (iso.org)
Politika prihvatljive uporabe nije sigurnosna politika. To je onaj dio sigurnosne politike koji se obraća korisnicima.
Politika informacijske sigurnosti piše se za upravu i IT: postavlja ciljeve, uloge, postupanje s rizicima i kontrole kojih se tvrtka obvezuje. Politika prihvatljive uporabe prevodi njezine dijelove vidljive korisnicima u konkretno ponašanje. ISO/IEC 27001:2022, Dodatak A, razdvaja ta dva dokumenta: kontrola 5.1 „Politike informacijske sigurnosti“ i kontrola 5.10 „Prihvatljiva uporaba informacija i ostale povezane imovine“. Oba dokumenta trebaju koristiti isti rječnik, istu klasifikaciju informacija i iste kontakte, kako zaposlenik nikad ne bi dobio proturječne upute.
Ako sami izrađujete sigurnosnu politiku, pogledajte našu srodnu stranicu pssi-express.eu.
Rad na daljinu seli podatke tvrtke na kućne mreže, kuhinjske stolove i sjedala u vlaku. Politika prihvatljive uporabe mjesto je na kojem navodite minimalna očekivanja: koristiti opremu tvrtke gdje je osigurana, redovito je ažurirati, povezivati se putem sigurnog pristupa tvrtke kad je potrebno, ne ispisivati na javnim uređajima, štititi zaslone i razgovore od pogleda i prisluškivanja te odmah prijaviti gubitak. Ako imate i zasebni sporazum ili politiku o radu od kuće, politika prihvatljive uporabe treba se na njih pozivati, a ne ponavljati ih. ISO/IEC 27001:2022, Dodatak A, kontrola 6.7 „Rad na daljinu“ pokriva sigurnosnu stranu.
Dopuštanje da osobni telefoni primaju poslovnu e-poštu praktično je i uobičajeno. Istodobno otvara dva pitanja na koja politika mora odgovoriti. Što tvrtka zahtijeva od uređaja (zaključavanje zaslona, podržani operacijski sustav, zaseban radni profil ili spremnik)? I što tvrtka smije vidjeti ili izbrisati? Alati za upravljanje uređajima mogu se konfigurirati tako da upravljaju samo podacima tvrtke; politika to treba navesti i reći što se događa s podacima tvrtke kad osoba napusti tvrtku. ISO/IEC 27001:2022, Dodatak A, kontrola 8.1 „Krajnji korisnički uređaji“ određuje tehnički okvir.
Javni AI asistenti mogu biti korisni, a zaposlenici ih često već koriste. Rizik je u podacima koji se unose i u rezultatima koji se koriste bez provjere. Kratko poglavlje o umjetnoj inteligenciji obično navodi odobrene alate, zabranjuje unos osobnih podataka, povjerljivih informacija ili vjerodajnica u neodobrene usluge, zahtijeva da čovjek pregleda rezultat prije ponovne uporabe i objašnjava kako zatražiti novi alat. Ako vanjska AI usluga obrađuje osobne podatke u vaše ime, primjenjuju se pravila GDPR-a o izvršiteljima obrade (članak 28.) i o prijenosima izvan EU-a (poglavlje V.). Članak 4. Akta o umjetnoj inteligenciji, primjenjiv od 2. veljače 2025., traži od pružatelja i subjekata koji uvode AI sustave da poduzmu mjere kako bi u najvećoj mogućoj mjeri osigurali dovoljnu razinu AI pismenosti svojih zaposlenika (provjerite trenutačno konsolidirani tekst, jer su izmjene tog članka predložene); poglavlje o AI-ju u politici prihvatljive uporabe, uz kratku edukaciju, razuman je temelj.
Uredba (EU) 2024/1689 (Akt o umjetnoj inteligenciji) · GDPR, čl. 28. i poglavlje V.
Za ključne i važne subjekte prema Direktivi NIS2, mjere upravljanja kibernetičkim rizicima iz članka 21. uključuju osnovne prakse kiberhigijene i osposobljavanje za kibernetičku sigurnost (21. st. 2. toč. (g)) te sigurnost ljudskih resursa, politike kontrole pristupa i upravljanje imovinom (21. st. 2. toč. (i)). Politika prihvatljive uporabe ne čini vas usklađenima s NIS2, ali je jedan od dokumenata koji podupiru te mjere.
Politika koja je potpisana pa zaboravljena ništa ne mijenja. Politika i program podizanja svijesti trebaju raditi zajedno: politika navodi pravilo, a kratke edukacije objašnjavaju zašto. Gdje postoji službenik za zaštitu podataka, GDPR među njegovim zadaćama navodi podizanje svijesti i osposobljavanje osoblja koje sudjeluje u postupcima obrade (članak 39. stavak 1. točka (b)). Nacionalne agencije objavljuju besplatne materijale koje možete iskoristiti, primjerice ENISA na razini EU-a, a u Francuskoj ANSSI i cybermalveillance.gouv.fr.
Od početka do kraja ostajete u kontroli. Ljudski savjetnik je mogućnost, nikad uvjet.
Kratak upitnik o vašoj organizaciji: gdje su zaposlenici zaposleni, koje alate koriste, jesu li dopušteni osobni uređaji i rad na daljinu, koristite li AI asistente, imate li predstavnike zaposlenika i imate li već sigurnosnu politiku. Kaže vam koja su poglavlja potrebna i koje će točke zahtijevati lokalnu pravnu provjeru.
Odgovarate na vođena pitanja vlastitim riječima, poglavlje po poglavlje: što je dopušteno, što nije, što tvrtka provjerava i zašto, koliko se dugo čuvaju zapisnici, koga kontaktirati. Uz svako pitanje dolazi kratko objašnjenje i, gdje je relevantno, poveznica na službeni izvor. Možete spremiti, vratiti se kasnije i uključiti kolegu.
Politika se automatski generira iz vaših odgovora, u ime vaše tvrtke, uz zasebnu obavijest o nadzoru i obrazac potvrde. To je radna osnova: prije priopćavanja neka je pregleda vaš savjetnik (odvjetnik za radno pravo, službenik za zaštitu podataka, ljudski resursi), savjetujte se s predstavnicima gdje je to propisano i usvojite je.
Ako želite da netko s vama pregleda odgovore, prilagodi nacrt određenom kontekstu ili pripremi prezentaciju za zaposlenike ili njihove predstavnike, možete zatražiti podršku partnerskog savjetnika. To je izborno i odvojeno od alata za samoposluživanje.
Radna osnova, a ne pravni savjet. Generirani dokument je nacrt izrađen iz vaših vlastitih odgovora i javnih izvora. Ne predstavlja pravni savjet. Njegovu valjanost u vašoj zemlji i postupak kojim se čini primjenjivim na vaše zaposlenike mora provjeriti kvalificirani savjetnik.
Dokumenti koje možete uređivati, priopćavati i čuvati kao dokaz
Glavni dokument, jasnim jezikom, izrađen iz vaših odgovora.
Zasebna obavijest strukturirana prema članku 13. GDPR-a.
Što trebate da priopćite politiku i zadržite trag.
Gdje se svako poglavlje povezuje s javnim tekstovima.
Kratak samostalni prilog koji možete ažurirati češće nego politiku.
Vaš dokument ostaje vaš, u formatima koje možete mijenjati.
Navodimo samo tekstove na koje možemo postaviti poveznicu. Gdje nešto ovisi o nacionalnom pravu, nacrt to kaže umjesto da nagađa.
Članak 5. (načela i odgovornost), članak 13. (informacije za osobe na koje se podaci odnose), članak 88. (obrada u kontekstu zapošljavanja) te, gdje je relevantno, članak 28. (izvršitelji obrade), članak 32. (sigurnost obrade) i članak 39. (zadaće službenika za zaštitu podataka).
Kontrola 5.10 „Prihvatljiva uporaba informacija i ostale povezane imovine“, uz povezane kontrole 5.1 (politike informacijske sigurnosti), 5.11 (povrat imovine), 6.2 (uvjeti zaposlenja), 6.3 (svijest, obrazovanje i osposobljavanje), 6.4 (disciplinski postupak), 6.7 (rad na daljinu) i 8.1 (krajnji korisnički uređaji). Normu prodaje ISO; navodimo samo nazive kontrola.
Samo za obveznike: članak 21. st. 2. toč. (g) osnovne prakse kiberhigijene i osposobljavanje za kibernetičku sigurnost, toč. (i) sigurnost ljudskih resursa, politike kontrole pristupa i upravljanje imovinom, toč. (j) višefaktorska provjera autentičnosti. Primjenjuju se nacionalni propisi kojima je direktiva prenesena.
Članak 4. o AI pismenosti, primjenjiv od 2. veljače 2025. na pružatelje i subjekte koji uvode AI sustave (prije oslanjanja provjerite trenutačno konsolidirani tekst). Relevantno čim vaši zaposlenici u radu koriste AI sustave.
Što sadrži svaka opcija. Dostupnost će biti objavljena na ovoj stranici.
Da saznate što vam treba prije početka
Za izradu vlastitog nacrta politike
Za dodavanje ljudskog pregleda nacrtu samoposluživanja
U svakoj opciji dokument je radna osnova koju potvrđuje vaš savjetnik. Ne predstavlja pravni savjet.
Kratki odgovori. Gdje je naveden tekst, poveznica vodi na službeni izvor.
Svaka regulatorna ili normativna tvrdnja iznad vodi na jedan od ovih izvora.
Ova stranica pruža opće informacije. Ne predstavlja pravni savjet.
Radionica samoposluživanja je u pripremi. Otvorit će se na ovoj stranici.
Pitanja u međuvremenu: contact@syaga.eu