Pieņemamas lietošanas politika (bieži saukta par uzņēmuma IT hartu) pasaka ikvienam, kas izmanto jūsu sistēmas, ko drīkst darīt, ko nedrīkst darīt un ko uzņēmums var pārbaudīt. Acceptable Use Express ir pašapkalpošanās darbnīca, kas palīdz Eiropas MVU uzrakstīt šādu politiku vienkāršā valodā, saistot to ar VDAR un ISO/IEC 27001, aptverot attālo darbu, personiskās ierīces un ģeneratīvo MI. Jūs saņemsiet darba projektu jūsu uzņēmuma vārdā, ko validēs jūsu pašu padomdevējs.
Īss, viegli lasāms dokuments, kas jūsu drošības nodomus pārvērš ikdienas noteikumos cilvēkiem
Lielākajai daļai mazo un vidējo uzņēmumu ir datori, pasts katram darbiniekam, koplietotie faili mākonī, daži biznesa lietotnes un arvien biežāk tālruņi un klēpjdatori, kas iziet ārpus biroja. Bieži trūkst viena dokumenta, kas darbiniekam saprotamā valodā pasaka, kā šos rīkus drīkst izmantot. Šis dokuments ir pieņemamas lietošanas politika. Franciju tā parasti sauc par charte informatique; citur sastapsiet nosaukumus „IT lietošanas politika”, „datora lietošanas politika” vai „IT harta”. Nosaukums ir mazāk svarīgs nekā tās trīs uzdevumi.
Lietotāji nevar ievērot noteikumus, kas nav uzrakstīti. Pieņemamas lietošanas politika nosaka sagaidāmo uzvedību attiecībā uz parolēm, e-pastu, interneta pārlūkošanu, failu koplietošanu, noņemamajiem datu nesējiem, programmatūras instalēšanu, uzņēmuma iekārtu personisku lietošanu, komandējumiem un attālo darbu. Tā ir jūsu drošības lietotājam redzamā daļa: tā, kas sasniedz ikvienu darba vietu.
Žurnālu reģistrēšana, filtrēšana, piekļuve pastkastītei prombūtnes laikā, ierīču pārvaldība, darba staciju dublēšana: visas šīs darbības ietver personas datus par darbiniekiem. Saskaņā ar Vispārīgo datu aizsardzības regulu (VDAR) attiecīgajām personām jāsniedz informācija par apstrādes nolūkiem un nosacījumiem (13. pants). Pieņemamas lietošanas politika ir dabisks veids, kā šo informāciju sniegt vienā saskaņotā tekstā, nevis izkaisītos e-pastos.
Kad noteikums tiek pārkāpts, organizācijai jāspēj parādīt, ka noteikums pastāvēja, ka persona par to zināja un ka jebkura uzraudzība, kas atklāja pārkāpumu, pati bija likumīga un samērīga. Politika, kas nekad netika paziņota vai slēpj uzraudzību, par kuru darbinieki nezina, dod ļoti maz pamata. Kā politika kļūst piemērojama, atkarīgs no valsts darba tiesībām, tāpēc šī lapa paliek vispārīga, un pēdējam solim jūs nosūtām pie padomdevēja.
Starptautiskais drošības standarts šo lomu tieši atzīst. ISO/IEC 27001:2022 savā A pielikumā ietver kontroli 5.10 „Informācijas un citu ar to saistīto aktīvu pieņemama lietošana”, kas paredz, ka noteikumi pieņemamai lietošanai un procedūras informācijas un aktīvu apstrādei jāidentificē, jādokumentē un jāievieš. Pieņemamas lietošanas politika ir visbiežāk izmantotais veids, kā MVU izpilda šo prasību, neatkarīgi no tā, vai tie kādreiz meklē sertifikāciju.
Avoti: Regula (ES) 2016/679 (VDAR), EUR-Lex · ISO/IEC 27001, publiskā lapa iso.org
Tās pašas dažas kļūdas atkārtojas atkal un atkal. Nevienai no tām nav nepieciešams liels budžets, lai to labotu.
No interneta lejupielādēta politika apraksta kāda cita rīkus, cita valsti un cita riskus. Tā min sistēmas, ko neizmantojat, un klusē par tām, ko izmantojat. Darbinieki to pamana un pārtrauc lasīt.
Dokuments koplietotā mapē nav paziņots. Ja nevarat parādīt, kam tas nosūtīts, kad un kurā versijā, vēlāk uz to būs grūti paļauties. Vairākās valstīs darbinieku informēšanas vai konsultēšanas soļi ir daļa no tā, kas padara noteikumus piemērojamus.
Tīmekļa filtrēšanas žurnāli, pasta vārteju žurnāli, galaierīču pārvaldība un datu noplūdes novēršanas rīki visi novēro cilvēkus. VDAR prasa pārredzamību (5. panta 1. punkta a) apakšpunkts) un informāciju attiecīgajām personām (13. pants). Klusējot uzraudzība jau pati par sevi ir atbilstības risks.
Daudzas hartas tika rakstītas, kad visi strādāja galda datorā birojā. Tajās nav nekas par mājas Wi-Fi, personiskiem tālruņiem, kas saņem uzņēmuma e-pastu, vai darbiniekiem, kas ievieto klientu datus publiskā tērzēšanas robotā. Plaisa ir vieta, kur notiek incidenti.
Tālāk minētās nodaļas ir darba projekta pamats, ko rada darbnīca. Katra tiek pielāgota jūsu atbildēm, un katru var saīsināt vai izņemt.
Darbinieki, praktikanti, pagaidu darbinieki, līgumslēdzēji un ikviens ar kontu. Kuras sistēmas ir aptvertas: darba stacijas, mobilās ierīces, e-pasts, sadarbības komplekti, biznesa lietotnes, tīkli, printeri, mākoņglabātuves. Skaidra darbības joma novērš klasisko argumentu „tas mani neattiecas”.
Personiski, nenododami konti; paroles kvalitāte un glabāšana; daudzfaktoru autentifikācija tur, kur uzņēmums to ir ieviesis; sesijas bloķēšana, atstājot darba vietu; ko darīt, ja parole varēja tikt atklāta.
Saistītais: NIS2, 21. panta 2. punkta j) apakšpunkts starp pasākumiem vienībām, uz kurām attiecas direktīva, min daudzfaktoru autentifikāciju.
Profesionāla lietošana kā noteikums, saprātīga personiska lietošana, ja uzņēmums to atļauj, un kā personiskie ziņojumi jāidentificē. Rīcība pikšķerēšanas (phishing) gadījumā, pielikumi un saites, pārsūtīšanas noteikumi, automātiska pārsūtīšana uz personiskām adresēm, aizliegtās vietnes un saturs.
Kura informācija ir konfidenciāla, kā tā var tikt kopīgota iekšēji un ārēji, apstiprināti failu koplietošanas rīki, drukāšana, tīra darba virsma un pienākums apstrādāt personas datus tikai uzņēmuma norādījumu ietvaros.
VDAR 29. pants un 32. panta 4. punkts: personas, kas darbojas pārziņa pilnvarojumā, apstrādā personas datus tikai saskaņā ar tā norādījumiem.
Kas drīkst instalēt programmatūru, personisku USB atmiņu un ārējo disku lietošana, klēpjdatoru un tālruņu aprūpe, pazaudēšanas vai zādzības ziņošana un iekārtu un piekļuves atgriešana, kad kāds aiziet (ISO/IEC 27001:2022 A pielikumā ir arī kontrole par aktīvu atgriešanu, 5.11).
Darbs no mājām, klienta telpās vai ceļā: uzticami tīkli, VPN, ja nepieciešams, ekrāna privātums, iekārtu fiziskā aizsardzība, video zvani publiskās vietās. ISO/IEC 27001:2022 A pielikumā ir īpaša kontrole 6.7 „Attālais darbs”.
Vai personiskie tālruņi, planšetes vai datori var piekļūt uzņēmuma datiem, ar kādiem nosacījumiem (ierīces bloķēšana, atjauninājumi, atsevišķs darba profils, tikai uzņēmuma datu attālināta dzēšana) un ko uzņēmums drīkst un nedrīkst redzēt personiskā ierīcē.
Kuri MI rīki ir apstiprināti, kādi dati nekad tajos nedrīkst tikt ievadīti (personas dati, klientu noslēpumi, pirmkods, pieteikšanās dati), cilvēka veikta rezultātu pārskatīšana un kā pieprasīt jaunu rīku. Politika, kas vienkārši aizliedz visu, parasti pārceļ lietošanu uz vietu, kur uzņēmums to vairs neredz.
MI akts, Regula (ES) 2024/1689, 4. pants par darbinieku MI pratību.
Kas tiek reģistrēts, filtrēts vai pārbaudīts, kādam nolūkam, kas to dara, cik ilgi žurnāli tiek glabāti un attiecīgo personu tiesības. Šī nodaļa ir vieta, kur tiek izpildīti VDAR pārredzamības un informēšanas pienākumi.
VDAR 5. un 13. pants.
Kā un kam ziņot par aizdomīgu e-pastu, pazaudētu ierīci vai kļūdu, bez bailēm tikt vainotam par savlaicīgu ziņojumu. Atsauce uz disciplināro sistēmu, kas piemērojama jūsu organizācijā (ISO/IEC 27001:2022 A pielikums, kontrole 6.4 „Disciplinārais process”), kā arī politikas datums un versija.
Juridiskais ceļš dalībvalstīs atšķiras. Nemainās loģika: likumība, samērīgums, zināms iepriekš.
Pieņemamas lietošanas politika gandrīz vienmēr apraksta darbinieku personas datu apstrādi: kontu žurnālus, savienojumu ierakstus, filtrēšanu, ierīču inventāru, dažreiz piekļuvi pastkastītei. Trīs VDAR panti nosaka šīs apstrādes ietvarus visā Eiropas Savienībā.
5. pants, principi. Personas datus jāapstrādā likumīgi, godprātīgi un pārredzami; jāvāc konkrētiem, skaidriem un leģitīmiem nolūkiem; jābūt pietiekamiem, būtiskiem un ierobežotiem līdz tam, kas nepieciešams; jāglabā ne ilgāk, kā vajadzīgs; un jāapstrādā ar atbilstošu drošību. Saskaņā ar 5. panta 2. punktu pārzinim jāspēj pierādīt atbilstību šiem principiem (pārskatatbildība). Pieņemamas lietošanas politikai tas nozīmē: katrai kontrolei, ko aprakstāt, jābūt norādītam nolūkam un saprātīgam glabāšanas termiņam, un jums jāspēj parādīt, kāpēc tā ir samērīga.
13. pants, sniedzamā informācija. Ja dati tiek vākti no attiecīgās personas, pārzinim jāsniedz, starp citu, tā identitāte un kontaktinformācija, datu aizsardzības speciālista kontaktinformācija, ja tāds ir, apstrādes nolūki un juridiskais pamats, leģitīmās intereses, ja tās ir pamats, saņēmēji, glabāšanas termiņš un personas tiesības. Pieņemamas lietošanas politika vai tai pievienots informācijas paziņojums ir praktisks līdzeklis šai informācijai.
88. pants, apstrāde nodarbinātības kontekstā. VDAR ļauj dalībvalstīm ar likumu vai koplīgumiem noteikt konkrētākus noteikumus darbinieku personas datu apstrādei nodarbinātības kontekstā. 88. panta 2. punkts prasa, lai šādi noteikumi ietvertu piemērotus un konkrētus pasākumus cilvēka cieņas, leģitīmo interešu un pamattiesību aizsardzībai, īpaši attiecībā uz apstrādes pārredzamību, pārvedumiem grupas uzņēmumu ietvaros un uzraudzības sistēmām darba vietā. Praktiski tas ir iemesls, kāpēc atbilde uz jautājumu „ko drīkstam uzraudzīt un kā?” daļēji ir atkarīga no valsts, kurā strādājat.
Visā ES Direktīva 2002/14/EK nosaka vispārēju sistēmu darbinieku informēšanai un konsultēšanai uzņēmumos virs slieksņiem, ko katra dalībvalsts izvēlas direktīvas robežās. Valsts tiesības un koplīgumi tad nosaka, vai pirms noteikumu par IT lietošanu vai darba vietas uzraudzību ieviešanas jāinformē vai jākonsultējas ar darba padomi, darbinieku pārstāvju struktūru vai arodbiedrību, un kādā formā. Dažās valstīs pieņemamas lietošanas politika tiek pievienota iekšējiem darba noteikumiem un seko tai pašai procedūrai; citās tā ir daļa no darba līguma, koplīguma vai atsevišķas politikas, ko katrs lietotājs apliecina.
Ņemsim Franciju kā vienu piemēru starp daudziem: Darba kodekss (Code du travail) paredz, ka uzņēmuma darba padome (CSE) tiek informēta un konsultēta pirms ieviešanas par līdzekļiem vai tehnikām, kas ļauj uzraudzīt darbinieku darbību, un ka informāciju par konkrētu darbinieku nedrīkst vākt ar ierīci, kas vispirms nav darbiniekam zināma. Francijas datu aizsardzības iestāde CNIL savā personas datu drošības rokasgrāmatā iesaka uzņēmumam izstrādāt IT hartu un piešķirt tai saistošu spēku, piemēram, pievienojot to iekšējiem darba noteikumiem. Citām valstīm ir savi ekvivalenti, tāpēc darbnīca jautā, kur strādā jūsu darbinieki, un atzīmē punktus, ko pārbaudīt ar padomdevēju.
Neatkarīgi no valsts ceļa glabājiet pierādījumus: politikas versiju un datumu, datumu, kad tā tika paziņota, kā (e-pasts, intranets, uzņemšanas komplekts, paraksts) un kurš to apliecināja. Atkārtoti paziņojiet, kad politika mainās. ISO/IEC 27001:2022 A pielikums to uzskata par cilvēku kontroles daļu, blakus darba līguma noteikumiem un nosacījumiem (6.2) un informācijas drošības informētībai, izglītībai un apmācībai (6.3).
Svarīgi. Šī sadaļa ir vispārīga informācija par Eiropas un valstu tekstiem. Tā nav juridisks padoms un neaizstāj darba tiesību advokāta, datu aizsardzības speciālista vai jūsu HR padomdevēja analīzi jūsu konkrētajā situācijā, valstī un koplīgumos.
Avoti: VDAR, 5., 13. un 88. pants (EUR-Lex) · Direktīva 2002/14/EK (EUR-Lex) · Francijas Darba kodekss (Légifrance) · CNIL, personas datu drošības rokasgrāmata · ISO/IEC 27001 (iso.org)
Pieņemamas lietošanas politika nav drošības politika pati par sevi. Tā ir tās daļa, kas runā ar lietotājiem.
Informācijas drošības politika ir paredzēta vadībai un IT: tā nosaka mērķus, lomas, risku apstrādi un kontroles, ko uzņēmums apņemas ievērot. Pieņemamas lietošanas politika tulko tās lietotājam redzamās daļas konkrētā uzvedībā. ISO/IEC 27001:2022 A pielikums abus nodala: kontrole 5.1 „Informācijas drošības politikas” un kontrole 5.10 „Informācijas un citu ar to saistīto aktīvu pieņemama lietošana”. Abiem dokumentiem jāizmanto viens un tas pats vārdu krājums, tā pati informācijas klasifikācija un tie paši kontakti, lai darbinieks nekad nesaņemtu pretrunīgus norādījumus.
Ja veidojat pašu drošības politiku, skatiet mūsu māsas lapu pssi-express.eu.
Attālais darbs pārvieto uzņēmuma datus uz mājas tīkliem, virtuves galdiem un vilciena sēdvietām. Pieņemamas lietošanas politika ir vieta, kur jūs nosakāt minimālās prasības: izmantojiet uzņēmuma iekārtas, kur tās ir nodrošinātas, uzturiet tās atjauninātas, pieslēdzieties caur uzņēmuma drošu piekļuvi, ja tas prasīts, izvairieties no publiskas drukāšanas, aizsargājiet ekrānus un sarunas un nekavējoties ziņojiet par pazaudēšanu. Ja jums ir atsevišķs teledarba līgums vai politika, pieņemamas lietošanas politika uz to jānorāda, nevis jāatkārto. ISO/IEC 27001:2022 A pielikuma kontrole 6.7 „Attālais darbs” aptver drošības pusi.
Personisku tālruņu atļaušana saņemt uzņēmuma e-pastu ir ērta un izplatīta. Tā arī rada divus jautājumus, uz kuriem politikai jāatbild. Ko uzņēmums prasa no ierīces (ekrāna bloķēšana, atbalstīta operētājsistēma, atsevišķs darba profils vai konteiners)? Un ko uzņēmums drīkst redzēt vai dzēst? Ierīču pārvaldības rīkus var konfigurēt tā, lai pārvaldītu tikai uzņēmuma datus; politikā tas jānorāda, kā arī jāpasaka, kas notiek ar uzņēmuma datiem, kad persona aiziet. ISO/IEC 27001:2022 A pielikuma kontrole 8.1 „Lietotāju galapunktu ierīces” nosaka tehnisko pusi.
Publiski MI asistenti var būt noderīgi, un darbinieki tos bieži jau izmanto. Risks slēpjas ievadītajos datos un rezultātos, kas izmantoti bez pārskatīšanas. Īsa MI nodaļa parasti uzskaita apstiprinātos rīkus, aizliedz ievadīt personas datus, konfidenciālu informāciju vai pieteikšanās datus neapstiprinātos pakalpojumos, pieprasa cilvēka pārskatīšanu pirms atkārtotas izmantošanas un paskaidro, kā lūgt jaunu rīku. Ja ārējs MI pakalpojums apstrādā personas datus jūsu vārdā, piemērojami VDAR noteikumi par apstrādātājiem (28. pants) un pārvedumiem ārpus ES (V nodaļa). MI akta 4. pants, kas piemērojams kopš 2025. gada 2. februāra, prasa MI sistēmu nodrošinātājiem un izvietotājiem veikt pasākumus, lai, cik vien iespējams, nodrošinātu darbinieku pietiekamu MI pratības līmeni (pārbaudiet aktuālo konsolidēto redakciju, jo šim pantam ir ierosinātas grozības). MI nodaļa pieņemamas lietošanas politikā un īsa informētības sesija ir saprātīgs būvelements.
Regula (ES) 2024/1689 (MI akts) · VDAR, 28. pants un V nodaļa
Būtiskām un svarīgām vienībām saskaņā ar NIS2 direktīvu kiberdrošības riska pārvaldības pasākumi 21. pantā ietver pamata kiberhigiēnas prakses un kiberdrošības apmācību (21. panta 2. punkta g) apakšpunkts) un cilvēkresursu drošību, piekļuves kontroles politikas un aktīvu pārvaldību (21. panta 2. punkta i) apakšpunkts). Pieņemamas lietošanas politika jūs nepadara par atbilstošu NIS2, bet tā ir viens no dokumentiem, kas atbalsta šos pasākumus.
Politika, kas parakstīta un aizmirsta, nemaina neko. Politikai un informētības programmai jādarbojas kopā: politika nosaka noteikumu, īsas sesijas skaidro iemeslu. Ja pastāv datu aizsardzības speciālists, VDAR uzskaita darbinieku informētības veicināšanu un apmācību starp šī speciālista uzdevumiem (39. panta 1. punkta b) apakšpunkts). Valstu aģentūras publicē bezmaksas materiālus, ko varat izmantot atkārtoti, piemēram, ENISA ES līmenī un Francijā ANSSI un cybermalveillance.gouv.fr.
Jūs kontrolējat visu no sākuma līdz beigām. Cilvēka konsultants ir iespēja, nekad nav prasība.
Īsa anketa par jūsu organizāciju: kur strādā darbinieki, kurus rīkus viņi izmanto, vai ir atļautas personiskās ierīces un attālais darbs, vai izmantojat MI asistentus, vai ir darbinieku pārstāvji, vai jau ir drošības politika. Tā parāda, kādas nodaļas jums vajadzīgas un kuriem punktiem būs nepieciešama vietēja juridiska validācija.
Jūs atbildat uz vadītiem jautājumiem savos vārdos, nodaļu pa nodaļai: kas ir atļauts, kas nav, ko uzņēmums pārbauda un kāpēc, cik ilgi tiek glabāti žurnāli, ar ko sazināties. Katram jautājumam ir īss skaidrojums un, ja nepieciešams, saite uz oficiālo avotu. Jūs varat saglabāt, atgriezties vēlāk un iesaistīt kolēģi.
Politika tiek automātiski ģenerēta no jūsu atbildēm jūsu uzņēmuma vārdā, kopā ar atsevišķu informācijas paziņojumu par uzraudzību un apliecinājuma veidlapu. Tas ir darba pamats: pirms paziņošanas, darbinieku pārstāvju konsultēšanas, kur tas prasīts, un pieņemšanas, lai to pārskatītu jūsu pašu padomdevējs (darba tiesību advokāts, datu aizsardzības speciālists, HR).
Ja vēlaties, lai kāds kopā ar jums pārskatītu atbildes, pielāgotu projektu konkrētam kontekstam vai sagatavotu prezentāciju darbiniekiem vai viņu pārstāvjiem, varat pieprasīt partnerkonsultanta atbalstu. Tas ir pēc izvēles un atsevišķs no pašapkalpošanās rīka.
Darba pamats, nevis juridisks padoms. Ģenerētais dokuments ir projekts, kas veidots no jūsu pašu atbildēm un publiskiem avotiem. Tas nav juridisks padoms. Tā spēkā esamība jūsu valstī un procedūra, lai to padarītu piemērojamu jūsu darbiniekiem, jāpārbauda kvalificētam padomdevējam.
Dokumenti, ko varat rediģēt, paziņot un glabāt kā pierādījumu
Galvenais dokuments vienkāršā valodā, izveidots pēc jūsu atbildēm.
Atsevišķs paziņojums, kas strukturēts pēc VDAR 13. panta.
Kas nepieciešams, lai paziņotu politiku un saglabātu pierādījumu.
Kur katra nodaļa saistās ar publiskajiem tekstiem.
Īss, patstāvīgs pielikums, ko varat atjaunināt biežāk nekā politiku.
Jūsu dokuments paliek jūsu, formātos, ko varat mainīt.
Mēs citējam tikai tekstus, uz kuriem varam dot saiti. Ja kaut kas ir atkarīgs no valsts tiesībām, projekts to saka, nevis min.
5. pants (principi un pārskatatbildība), 13. pants (informācija attiecīgajām personām), 88. pants (apstrāde nodarbinātības kontekstā) un, ja attiecas, 28. pants (apstrādātāji), 32. pants (apstrādes drošība) un 39. pants (datu aizsardzības speciālista uzdevumi).
Kontrole 5.10 „Informācijas un citu ar to saistīto aktīvu pieņemama lietošana”, kopā ar saistītajām kontrolēm 5.1 (informācijas drošības politikas), 5.11 (aktīvu atgriešana), 6.2 (darba līguma noteikumi un nosacījumi), 6.3 (informētība, izglītība un apmācība), 6.4 (disciplinārais process), 6.7 (attālais darbs) un 8.1 (lietotāju galapunktu ierīces). Standartu pārdod ISO; mēs citējam tikai kontroļu nosaukumus.
Tikai vienībām darbības jomā: 21. panta 2. punkta g) apakšpunkts, pamata kiberhigiēnas prakse un kiberdrošības apmācība; i) apakšpunkts, cilvēkresursu drošība, piekļuves kontroles politikas un aktīvu pārvaldība; j) apakšpunkts, daudzfaktoru autentifikācija. Piemērojami valstu transponēšanas likumi.
4. pants par MI pratību, piemērojams kopš 2025. gada 2. februāra MI sistēmu nodrošinātājiem un izvietotājiem (pirms paļaušanās pārbaudiet aktuālo konsolidēto redakciju). Attiecas, tiklīdz jūsu darbinieki savā darbā izmanto MI sistēmas.
Ko katra iespēja ietver. Pieejamība tiks paziņota šajā lapā.
Lai noskaidrotu, kas jums vajadzīgs, pirms sākat
Lai izveidotu savu politikas projektu
Lai pievienotu cilvēka pārskatīšanu pašapkalpošanās projektam
Katrā iespējā dokuments ir darba pamats, kas jāvalidē jūsu pašu padomdevējam. Tas nav juridisks padoms.
Īsas atbildes. Ja tiek citēts teksts, saite ved uz oficiālo avotu.
Katrs normatīvais vai standarta apgalvojums iepriekš saista ar vienu no šiem.
Šī lapa sniedz vispārīgu informāciju. Tā nav juridisks padoms.
Pašapkalpošanās darbnīca tiek gatavota. Tā tiks atvērta šajā lapā.
Jautājumi līdz tam: contact@syaga.eu