Az informatikai használati szabályzat (gyakran IT-szabályzatnak is hívják) megmondja mindenkinek, aki a rendszereit használja, mit tehet, mit nem tehet, és mit ellenőrizhet a cég. Az Acceptable Use Express egy önkiszolgáló műhely, amely segít egy európai kkv-nak közérthetően megírni ezt a szabályzatot, a GDPR-hoz és az ISO/IEC 27001 szabványhoz kapcsolva, a távmunkát, a saját eszközök használatát és a generatív MI-t is lefedve. Cége nevében munkaanyagot kap, amelyet saját tanácsadójával kell ellenőriztetnie.
Rövid, olvasmányos dokumentum, amely a biztonsági szándékokat mindennapi szabályokká fordítja le a munkatársak számára
A legtöbb kis- és középvállalatnak van számítógépe, munkatársanként postafiókja, felhőben megosztott fájljai, néhány üzleti alkalmazása, és egyre gyakrabban olyan telefonja és laptopja, amely elhagyja az irodát. Gyakran hiányzik viszont egyetlen dokumentum, amely a munkavállaló számára érthető szavakkal leírja, hogyan használhatók ezek az eszközök. Ez a dokumentum az informatikai használati szabályzat. Franciaországban általában charte informatique-nak nevezik; máshol „IT usage policy”, „computer use policy” vagy „IT charter” néven találkozhat vele. A név kevésbé fontos, mint a három feladata.
Nem lehet betartani olyan szabályokat, amelyeket senki nem írt le. A használati szabályzat rögzíti az elvárt viselkedést a jelszavakra, az e-mailekre, az internetes böngészésre, a fájlmegosztásra, a cserélhető adathordozókra, a szoftvertelepítésre, a céges eszközök személyes használatára, az utazásra és a távmunkára vonatkozóan. Ez a biztonság felhasználók felé forduló oldala: az a rész, amely minden munkaasztalig eljut.
A naplózás, a szűrés, a postafiókhoz való hozzáférés egy távollét alatt, az eszközkezelés, a munkaállomások mentése: ezek mind munkavállalókra vonatkozó személyes adatokkal járnak. Az általános adatvédelmi rendelet (GDPR) értelmében az érintetteket tájékoztatni kell az adatkezelés céljairól és feltételeiről (13. cikk). Erre az informatikai használati szabályzat a természetes hely: egyetlen, összefüggő szövegben adja meg ezt az információt, nem szétszórt e-mailekben.
Ha valamely szabályt megszegnek, a szervezetnek bizonyítania kell, hogy a szabály létezett, hogy a személy tudott róla, és hogy a szabálysértést feltáró ellenőrzés maga is jogszerű és arányos volt. Az a szabályzat, amelyet soha nem közöltek, vagy amely olyan ellenőrzést rejt, amelyről a munkatársak sosem hallottak, alig ér valamit. Hogy egy szabályzat mikor válik érvényesíthetővé, az a nemzeti munkajogtól függ, ezért ez az oldal általános marad, és az utolsó lépésben a tanácsadójához irányítjuk.
A nemzetközi biztonsági szabvány kifejezetten elismeri ezt a szerepet. Az ISO/IEC 27001:2022 A. melléklete tartalmazza az 5.10-es kontrollt „Az információk és egyéb kapcsolódó eszközök elfogadható használata” címmel, amely elvárja, hogy az elfogadható használatra vonatkozó szabályokat, valamint az információk és eszközök kezelésére vonatkozó eljárásokat azonosítsák, dokumentálják és bevezessék. Az informatikai használati szabályzat a leggyakoribb módja annak, ahogyan a kkv-k ezt az elvárást teljesítik, akár kérnek tanúsítványt, akár nem.
Források: (EU) 2016/679 rendelet (GDPR), EUR-Lex · ISO/IEC 27001, nyilvános oldal az iso.org-on
Ugyanaz a néhány hiba tér vissza újra és újra. Egyiket sem kell nagy költségvetéssel orvosolni.
Az interneten letöltött szabályzat valaki más eszközeiről, valaki más országáról és valaki más kockázatairól szól. Olyan rendszereket említ, amelyeket Ön nem használ, és hallgat azokról, amelyeket igen. A munkatársak észreveszik, és abbahagyják az olvasását.
A közös mappában heverő dokumentumot nem közölték. Ha nem tudja megmutatni, kinek, mikor és melyik verzióban juttatta el, később nehéz lesz támaszkodni rá. Több országban a munkavállalók tájékoztatása vagy konzultációja az a lépés, amely a szabályokat alkalmazhatóvá teszi.
A webszűrő naplók, a levelezőszerver naplói, a végpontkezelő és az adatvesztés-megelőző eszközök mind megfigyelik az embereket. A GDPR átláthatóságot követel (5. cikk (1) bekezdés a) pont) és az érintettek tájékoztatását (13. cikk). A titokban tartott megfigyelés önmagában is megfelelőségi kockázat.
Sok szabályzat akkor készült, amikor mindenki az irodában, asztali gépen dolgozott. Nem szólnak az otthoni Wi-Fi-ről, a céges e-mailt fogadó személyes telefonokról, vagy arról, hogy a munkatársak ügyféladatot illesztenek be egy nyilvános chatbotba. A hiányosság ott van, ahol az incidensek történnek.
Az alábbi fejezetek adják a műhely által készített tervezet gerincét. Mindegyik a válaszaihoz igazodik, és mindegyik rövidíthető vagy elhagyható.
Munkavállalók, gyakornokok, ideiglenes munkatársak, alvállalkozók és bárki, akinek fiókja van. Mely rendszerek tartoznak ide: munkaállomások, mobil eszközök, e-mail, együttműködési csomagok, üzleti alkalmazások, hálózatok, nyomtatók, felhőtárhely. A világos hatály elkerüli a klasszikus érvet: „ez rám nem vonatkozott”.
Személyes, át nem ruházható fiókok; a jelszavak minősége és tárolása; többtényezős hitelesítés, ahol a cég bevezette; a munkamenet zárolása az asztal elhagyásakor; teendők, ha egy jelszó kiszivárgott.
Kapcsolódó: NIS2, 21. cikk (2) bekezdés j) pont a hatálya alá tartozó szervezetek intézkedései között említi a többtényezős hitelesítést.
A szakmai használat a szabály, az ésszerű személyes használat, ha a cég engedélyezi, és az, hogyan kell megjelölni a személyes üzeneteket. Adathalászat elleni reflexek, mellékletek és linkek, továbbítási szabályok, automatikus továbbítás személyes címekre, tiltott oldalak és tartalmak.
Mely információk bizalmasak, hogyan oszthatók meg belül és kívül, mely fájlmegosztó eszközök jóváhagyottak, nyomtatás, tiszta asztal elve, és a kötelesség, hogy a személyes adatokat csak a cég utasítása szerint kezeljék.
GDPR 29. cikk és 32. cikk (4) bekezdés: az adatkezelő hatáskörében eljáró személyek a személyes adatokat csak annak utasítása szerint kezelhetik.
Ki telepíthet szoftvert, a személyes USB-kulcsok és külső meghajtók használata, a laptopok és telefonok gondozása, az elvesztés vagy lopás bejelentése, valamint az eszközök és hozzáférések visszaadása, amikor valaki távozik (az ISO/IEC 27001:2022 A. melléklete az eszközök visszaszolgáltatásáról is tartalmaz kontrollt, 5.11).
Munkavégzés otthonról, ügyfél telephelyéről vagy útközben: megbízható hálózatok, szükség esetén VPN, képernyő-adatvédelem, az eszközök fizikai védelme, videohívások nyilvános helyen. Az ISO/IEC 27001:2022 A. melléklete külön kontrollt tartalmaz erre, 6.7 „Távmunka” címmel.
Hozzáférhetnek-e a személyes telefonok, táblagépek vagy számítógépek a cég adataihoz, milyen feltételekkel (képernyőzár, frissítések, külön munkaprofil, csak a céges adatok távoli törlése), és mit láthat vagy nem láthat a cég egy személyes eszközön.
Mely MI-eszközök jóváhagyottak, milyen adatot nem szabad beléjük vinni (személyes adat, ügyféltitkok, forráskód, hitelesítő adatok), az eredmények emberi átnézése, és hogyan lehet új eszközt kérni. A mindent tiltó szabályzat általában a használatot láthatatlanná teszi.
MI-rendelet, (EU) 2024/1689, 4. cikk a munkatársak MI-jártasságáról.
Mit naplóznak, szűrnek vagy ellenőriznek, milyen célból, ki, és meddig tartják meg a naplókat, valamint az érintettek jogai. Ez a fejezet teljesíti a GDPR átláthatósági és tájékoztatási kötelezettségeit.
GDPR 5. és 13. cikk.
Hogyan és kinek kell jelenteni egy gyanús e-mailt, elveszett eszközt vagy hibát, anélkül hogy a gyors bejelentésért büntetéstől kellene tartani. Hivatkozás a szervezetében érvényes fegyelmi keretrendszerre (ISO/IEC 27001:2022 A. melléklet, 6.4 „Fegyelmi eljárás” kontroll), valamint a szabályzat dátuma és verziója.
A jogi út tagállamonként eltér. Ami nem tér el, az a logika: jogszerű, arányos, előre ismert.
Egy informatikai használati szabályzat szinte mindig munkavállalók személyes adatainak kezelését írja le: fióknaplók, kapcsolódási adatok, szűrés, eszközleltár, néha postafiókhoz való hozzáférés. Három GDPR-cikk keretezi ezt a kezelést mindenhol az Európai Unióban.
5. cikk, alapelvek. A személyes adatokat jogszerűen, tisztességesen és átlátható módon kell kezelni; meghatározott, egyértelmű és jogszerű célból gyűjteni; megfelelőnek, relevánsnak és a szükségesre korlátozottnak kell lenniük; csak addig tárolhatók, ameddig szükséges; és megfelelő biztonsággal kell kezelni őket. Az 5. cikk (2) bekezdése szerint az adatkezelőnek képesnek kell lennie megfelelősége igazolására (elszámoltathatóság). Egy használati szabályzat esetében ez azt jelenti, hogy minden leírt ellenőrzésnek legyen megnevezett célja és ésszerű megőrzési ideje, és képesnek kell lennie megmutatni, miért arányos.
13. cikk, nyújtandó információk. Ha az adatokat az érintettől gyűjtik, az adatkezelőnek egyebek mellett meg kell adnia személyazonosságát és elérhetőségeit, az adatvédelmi tisztviselő elérhetőségét, ahol van ilyen, a kezelés céljait és jogalapját, a jogos érdeket, ha az a jogalap, a címzetteket, a megőrzési időt és az érintett jogait. A használati szabályzat, vagy a hozzá csatolt tájékoztató, gyakorlati hordozója ezeknek az információknak.
88. cikk, adatkezelés a munkaviszony keretében. A GDPR lehetővé teszi, hogy a tagállamok törvénnyel vagy kollektív szerződésekkel pontosabb szabályokat állapítsanak meg a munkavállalók személyes adatainak kezelésére. A 88. cikk (2) bekezdése megköveteli, hogy ezek a szabályok megfelelő és konkrét intézkedéseket tartalmazzanak az érintettek méltóságának, jogos érdekeinek és alapvető jogainak védelmére, különös tekintettel a kezelés átláthatóságára, a vállalkozáscsoporton belüli továbbításokra és a munkahelyi megfigyelőrendszerekre. A gyakorlatban emiatt az, hogy „mit figyelhetünk meg, és hogyan?”, részben attól függ, melyik országban működik.
Az EU-ban a 2002/14/EK irányelv általános keretet állapít meg a munkavállalók tájékoztatására és konzultációjára azokban a vállalkozásokban, amelyek meghaladják a tagállamok által az irányelv keretein belül választott küszöbértékeket. A nemzeti jog és a kollektív szerződések határozzák meg, hogy a munkahelyi informatikai használatra vagy megfigyelésre vonatkozó szabályok bevezetése előtt kell-e üzemi tanácsot, munkavállalói képviseletet vagy szakszervezetet tájékoztatni vagy konzultálni vele, és milyen formában. Egyes országokban az informatikai használati szabályzat a belső munkarendhez csatolt, és ugyanazt az eljárást követi; másokban a munkaszerződés részét képezi, kollektív megállapodás, vagy önálló szabályzat, amelyet minden felhasználó tudomásul vesz.
Vegyük példaként Franciaországot a sok közül: a Munka törvénykönyve (Code du travail) előírja, hogy a gazdasági és társadalmi tanácsot (CSE) a bevezetés előtt tájékoztatni és konzultációba kell vonni a munkavállalók tevékenységének megfigyelését lehetővé tévő eszközökről vagy technikákról, és hogy a munkavállalóra vonatkozó információt nem lehet olyan eszközzel gyűjteni, amelyet előzetesen nem ismertettek vele. A francia adatvédelmi hatóság, a CNIL személyes adatok biztonságáról szóló útmutatójában azt ajánlja, hogy a cég készítsen informatikai szabályzatot (charte informatique), és adjon neki kötelező erőt, például a belső munkarendhez csatolva. Más országoknak megvannak a maguk megfelelői, ezért a műhely megkérdezi, hol foglalkoztatja munkatársait, és megjelöli azokat a pontokat, amelyeket tanácsadójával ellenőriztetnie kell.
Bármilyen nemzeti utat is választ, őrizzen bizonyítékot: a szabályzat verzióját és dátumát, a közlés dátumát, módját (e-mail, intranet, beilleszkedési csomag, aláírás), és hogy ki nyugtázta. Változáskor közölje újra. Az ISO/IEC 27001:2022 A. melléklete ezt a személyi kontrollok részeként kezeli, a foglalkoztatás feltételeivel (6.2) és az információbiztonsági tudatossággal, oktatással és képzéssel (6.3) együtt.
Fontos. Ez a szakasz európai és nemzeti szövegek általános tájékoztatása. Nem minősül jogi tanácsadásnak, és nem helyettesíti egy munkajogi ügyvéd, egy adatvédelmi tisztviselő vagy az Ön HR-tanácsadójának elemzését az Ön konkrét helyzetére, országára és kollektív szerződéseire vonatkozóan.
Források: GDPR, 5., 13. és 88. cikk (EUR-Lex) · 2002/14/EK irányelv (EUR-Lex) · A francia Munka törvénykönyve (Légifrance) · CNIL, személyes adatok biztonsági útmutatója · ISO/IEC 27001 (iso.org)
Az informatikai használati szabályzat nem önálló biztonsági szabályzat. Ez az a része, amely a felhasználókhoz szól.
Az információbiztonsági szabályzat a vezetésnek és az informatikának készül: célokat, szerepköröket, kockázatkezelést és a cég által vállalt kontrollokat rögzít. Az informatikai használati szabályzat ennek a felhasználókat érintő részeit konkrét magatartássá fordítja. Az ISO/IEC 27001:2022 A. melléklete szétválasztja a kettőt: az 5.1 „Információbiztonsági szabályzatok” és az 5.10 „Az információk és egyéb kapcsolódó eszközök elfogadható használata” kontroll. A két dokumentumnak ugyanazt a szókincset, ugyanazt az információosztályozást és ugyanazokat az elérhetőségeket kell használnia, hogy a munkatárs soha ne kapjon ellentmondó utasításokat.
Ha magát a biztonsági szabályzatot készíti, nézze meg testvéroldalunkat: pssi-express.eu.
A távmunka a cég adatait otthoni hálózatokra, konyhaasztalokra és vonatülésekre viszi. A használati szabályzat ott rögzíti a minimális elvárásokat: használjon a cég által biztosított eszközt, tartsa frissen, csatlakozzon a cég biztonságos hozzáférésén keresztül, ha szükséges, kerülje a nyilvános nyomtatást, óvja a képernyőt és a beszélgetéseket, és azonnal jelentse az elvesztést. Ha külön távmunka-megállapodása vagy szabályzata is van, a használati szabályzat hivatkozzon rá, ne ismételje meg. Az ISO/IEC 27001:2022 A. melléklet 6.7 „Távmunka” kontrollja fedi a biztonsági oldalt.
A személyes telefonok céges e-mail fogadásának engedélyezése kényelmes és gyakori. Két kérdést is felvet, amelyre a szabályzatnak válaszolnia kell. Mit követel meg a cég az eszköztől (képernyőzár, támogatott operációs rendszer, külön munkaprofil vagy konténer)? És mit láthat vagy törölhet a cég? Az eszközkezelő eszközök úgy is beállíthatók, hogy csak a cég adatait kezeljék; a szabályzatnak ezt ki kell mondania, és azt is, mi történik a céges adatokkal, amikor a személy távozik. Az ISO/IEC 27001:2022 A. melléklet 8.1 „Felhasználói végpontok eszközei” kontrollja keretezi a technikai oldalt.
A nyilvános MI-asszisztensek hasznosak lehetnek, és a munkatársak gyakran már használják őket. A kockázat a beírt adatokban és a felülvizsgálat nélkül felhasznált eredményekben van. Egy rövid MI-fejezet jellemzően felsorolja a jóváhagyott eszközöket, tiltja, hogy személyes adatot, bizalmas információt vagy hitelesítő adatot nem jóváhagyott szolgáltatásba írjanak, megköveteli az emberi átnézést az újrafelhasználás előtt, és elmagyarázza, hogyan lehet új eszközt kérni. Ahol egy külső MI-szolgáltatás Ön nevében dolgoz fel személyes adatot, a GDPR feldolgozókra vonatkozó szabályai (28. cikk) és az EU-n kívülre történő továbbításra vonatkozó szabályai (V. fejezet) érvényesek. Az MI-rendelet 4. cikke, amely 2025. február 2-tól alkalmazandó, arra kéri az MI-rendszerek szolgáltatóit és üzemeltetőit, hogy tegyenek lehetőség szerint intézkedéseket a munkatársaik megfelelő szintű MI-jártasságának biztosítására (ellenőrizze a jelenlegi konszolidált szöveget, mert a cikkhez módosításokat javasoltak); egy MI-fejezet az informatikai használati szabályzatban és egy rövid tudatosító alkalom ésszerű építőelem.
(EU) 2024/1689 rendelet (MI-rendelet) · GDPR, 28. cikk és V. fejezet
A NIS2-irányelv alá tartozó alapvető és fontos szervezetek számára a 21. cikk szerinti kiberbiztonsági kockázatkezelési intézkedések között szerepelnek az alapvető kiberhigiéniai gyakorlatok és a kiberbiztonsági képzés (21. cikk (2) bekezdés g) pont), valamint az emberi erőforrások biztonsága, a hozzáférés-szabályozási szabályzatok és az eszközkezelés (21. cikk (2) bekezdés i) pont). Az informatikai használati szabályzat nem teszi Önt NIS2-megfelelővé, de azon dokumentumok közé tartozik, amelyek támogatják ezeket az intézkedéseket.
Az aláírt és elfelejtett szabályzat semmit sem változtat. A szabályzatnak és a tudatosítási programnak együtt kell működnie: a szabályzat rögzíti a szabályt, a rövid alkalmak elmagyarázzák, miért. Ahol van adatvédelmi tisztviselő, a GDPR a munkatársak tudatosítását és képzését a tisztviselő feladatai közé sorolja (39. cikk (1) bekezdés b) pont). A nemzeti ügynökségek ingyenes anyagokat tesznek közzé, amelyeket újra felhasználhat, például az ENISA uniós szinten, Franciaországban pedig az ANSSI-t és a cybermalveillance.gouv.fr-t.
Az elejétől a végéig Ön irányít. Emberi tanácsadó igénybe vehető, de sosem kötelező.
Rövid kérdőív a szervezetéről: hol foglalkoztatja munkatársait, milyen eszközöket használnak, engedélyezettek-e a személyes eszközök és a távmunka, használnak-e MI-asszisztenseket, vannak-e munkavállalói képviselőik, és van-e már biztonsági szabályzatuk. Megmondja, mely fejezetekre van szükség, és mely pontokhoz kell helyi jogi validálás.
A vezetett kérdésekre saját szavaival válaszol, fejezetenként: mi megengedett, mi nem, mit ellenőriz a cég és miért, meddig tartják meg a naplókat, kihez lehet fordulni. Minden kérdéshez rövid magyarázat tartozik, és ahol releváns, link a hivatalos forrásra. Menthet, később visszatérhet, és bevonhat egy kollégát.
A szabályzat automatikusan készül az Ön válaszai alapján, a cége nevében, külön tájékoztatóval a megfigyelésről és egy nyugtázó nyomtatvánnyal. Ez munkaanyag: a közlés előtt, szükség esetén a képviselők konzultációja után, és a bevezetés előtt vizsgáltassa át saját tanácsadójával (munkajogi ügyvéd, adatvédelmi tisztviselő, HR).
Ha azt szeretné, hogy valaki Önnel együtt átnézze a válaszait, a tervezetet egy konkrét helyzethez igazítsa, vagy felkészítse a munkatársaknak vagy képviselőiknek szóló bemutatót, kérhet támogatást egy partner tanácsadótól. Ez opcionális, és különálló az önkiszolgáló eszköztől.
Munkaanyag, nem jogi tanácsadás. A generált dokumentum az Ön saját válaszaiból és nyilvános forrásokból készült tervezet. Nem minősül jogi tanácsadásnak. Országában érvényességét, valamint munkatársaira való alkalmazhatóságának eljárását képzett tanácsadónak kell ellenőriznie.
Szerkeszthető dokumentumok, amelyeket közölhet, és bizonyítékként megőrizhet
A fő dokumentum, közérthető nyelven, az Ön válaszaiból készítve.
Külön tájékoztató, a GDPR 13. cikke szerint felépítve.
Amire a szabályzat közléséhez és a nyomon követéshez szüksége van.
Hogy az egyes fejezetek hová kapcsolódnak a nyilvános szövegekhez.
Rövid, önálló melléklet, amelyet gyakrabban frissíthet, mint magát a szabályzatot.
Dokumentuma az Öné marad, olyan formátumokban, amelyeket megváltoztathat.
Csak olyan szövegeket idézünk, amelyekre linket tudunk adni. Ahol valami a nemzeti jogtól függ, a tervezet ezt megmondja, nem találgat.
5. cikk (alapelvek és elszámoltathatóság), 13. cikk (az érintettek tájékoztatása), 88. cikk (adatkezelés a munkaviszony keretében), és adott esetben 28. cikk (feldolgozók), 32. cikk (a kezelés biztonsága) és 39. cikk (az adatvédelmi tisztviselő feladatai).
5.10 „Az információk és egyéb kapcsolódó eszközök elfogadható használata” kontroll, a kapcsolódó 5.1 (információbiztonsági szabályzatok), 5.11 (eszközök visszaszolgáltatása), 6.2 (a foglalkoztatás feltételei), 6.3 (tudatosítás, oktatás és képzés), 6.4 (fegyelmi eljárás), 6.7 (távmunka) és 8.1 (felhasználói végpontok eszközei) kontrollokkal. A szabványt az ISO árusítja; csak a kontrollok címeit idézzük.
Csak a hatálya alá tartozó szervezetekre: 21. cikk (2) bekezdés g) pont, alapvető kiberhigiéniai gyakorlatok és kiberbiztonsági képzés; i) pont, az emberi erőforrások biztonsága, a hozzáférés-szabályozási szabályzatok és az eszközkezelés; j) pont, a többtényezős hitelesítés. A nemzeti átültető jogszabályok érvényesek.
A 4. cikk az MI-jártasságról, 2025. február 2-tól alkalmazandó az MI-rendszerek szolgáltatóira és üzemeltetőire (a támaszkodás előtt ellenőrizze a jelenlegi konszolidált szöveget). Releváns, amint munkatársai munkájukban MI-rendszereket használnak.
Mit tartalmaz az egyes lehetőség. A rendelkezésre állást ezen az oldalon fogjuk bejelenteni.
Hogy a kezdés előtt megtudja, mire van szüksége
Saját szabályzattervezet elkészítéséhez
Emberi átnézés hozzáadásához az önkiszolgáló tervezethez
Minden lehetőségnél a dokumentum munkaanyag, amelyet saját tanácsadójának kell validálnia. Nem minősül jogi tanácsadásnak.
Rövid válaszok. Ahol szöveget idézünk, a link a hivatalos forrásra mutat.
A fent szereplő minden jogi vagy szabványi állítás ezek valamelyikére hivatkozik.
Ez az oldal általános tájékoztatást nyújt. Nem minősül jogi tanácsadásnak.
Az önkiszolgáló műhely előkészítés alatt áll. Ezen az oldalon fog megnyílni.
Addig is kérdés esetén: contact@syaga.eu