Politika prijateľného používania (často nazývaná interná IT charta) hovorí každému, kto používa vaše systémy, čo smie robiť, čo nesmie robiť a čo môže spoločnosť kontrolovať. Acceptable Use Express je samoobslužný workshop, ktorý pomáha európskemu MSP napísať ju zrozumiteľným jazykom, previazanú s GDPR a ISO/IEC 27001, s pokrytím práce na diaľku, osobných zariadení a generatívnej umelej inteligencie. Dostanete pracovný návrh v mene vašej spoločnosti, ktorý overí váš vlastný poradca.
Krátky, čitateľný dokument, ktorý mení vaše bezpečnostné zámery na každodenné pravidlá pre ľudí
Väčšina malých a stredných firiem má počítače, poštovú schránku pre každého, zdieľané súbory v cloude, niekoľko podnikových aplikácií a čoraz viac telefónov a notebookov, ktoré odchádzajú z kancelárie. Často im chýba jediný dokument, ktorý zrozumiteľne vysvetľuje zamestnancovi, ako sa tieto nástroje smú používať. Týmto dokumentom je politika prijateľného používania. Vo Francúzsku sa zvyčajne nazýva charte informatique; inde sa stretnete s názvami „pravidlá používania IT“, „politika používania počítačov“ alebo „IT charta“. Názov je menej dôležitý ako jej tri úlohy.
Používatelia nemôžu dodržiavať pravidlá, ktoré nikde nie sú napísané. Politika prijateľného používania stanovuje očakávané správanie pri heslách, e-maile, prehliadaní internetu, zdieľaní súborov, vymeniteľných médiách, inštalácii softvéru, osobnom používaní firemného vybavenia, cestovaní a práci na diaľku. Je to tá časť vašej bezpečnosti, ktorá je určená používateľom a dostane sa na každý pracovný stôl.
Zaznamenávanie udalostí (logovanie), filtrovanie, prístup k schránke počas neprítomnosti, správa zariadení, zálohovanie pracovných staníc: to všetko zahŕňa osobné údaje zamestnancov. Podľa všeobecného nariadenia o ochrane údajov (GDPR) musia byť dotknuté osoby informované o účeloch a podmienkach spracúvania (článok 13). Politika prijateľného používania je prirodzeným miestom, kde tieto informácie podáte v jednom súdržnom texte, namiesto roztrúsených e-mailov.
Keď sa pravidlo poruší, organizácia musí vedieť preukázať, že pravidlo existovalo, že osoba o ňom vedela a že akékoľvek monitorovanie, ktoré porušenie odhalilo, bolo samo osebe zákonné a primerané. Politika, o ktorej sa nikdy nikto nedozvedel, alebo ktorá skrýva monitorovanie, o ktorom zamestnanci nikdy nepočuli, vám dá veľmi málo opory. Ako sa politika stáva vymáhateľnou, závisí od vnútroštátneho pracovného práva, preto zostáva táto stránka všeobecná a posledný krok odporúčame konzultovať s vaším poradcom.
Medzinárodná bezpečnostná norma túto úlohu výslovne uznáva. ISO/IEC 27001:2022 v prílohe A obsahuje kontrolu 5.10 „Prijateľné používanie informácií a iných súvisiacich aktív“, ktorá požaduje, aby pravidlá prijateľného používania a postupy nakladania s informáciami a aktívami boli identifikované, zdokumentované a zavedené. Politika prijateľného používania je najbežnejší spôsob, ako to MSP splnia, bez ohľadu na to, či sa niekedy o certifikáciu uchádzajú.
Zdroje: Nariadenie (EÚ) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, verejná stránka na iso.org
Tých istých pár chýb sa opakuje stále dokola. Žiadna z nich nevyžaduje veľký rozpočet na nápravu.
Politika stiahnutá z internetu popisuje cudzie nástroje, cudziu krajinu a cudzie riziká. Spomína systémy, ktoré nepoužívate, a mlčí o tých, ktoré používate. Zamestnanci si to všimnú a prestanú čítať.
Dokument ležiaci v zdieľanom priečinku nebol oznámený. Ak nedokážete ukázať, kto ho dostal, kedy a v akej verzii, bude sa na neho neskôr ťažko spoliehať. V niekoľkých krajinách sú kroky informovania alebo konzultácie zamestnancov súčasťou toho, čo robí pravidlá záväznými.
Filtrovanie webu, logy poštovej brány, správa koncových zariadení a nástroje na prevenciu úniku dát: všetky sledujú ľudí. GDPR vyžaduje transparentnosť (článok 5 ods. 1 písm. a)) a informovanie dotknutých osôb (článok 13). Monitorovanie udržiavané v tichosti je samo osebe rizikom súladu.
Mnohé charty vznikli, keď každý pracoval na stolnom počítači v kancelárii. Nehovoria nič o domácej Wi-Fi, o osobných telefónoch prijímajúcich firemný e-mail ani o zamestnancoch, ktorí vkladajú údaje zákazníkov do verejného chatbota. Incidenty vznikajú práve v týchto medzerách.
Nižšie uvedené kapitoly tvoria chrbticu návrhu, ktorý workshop vytvorí. Každá sa prispôsobí vašim odpovediam a každú možno skrátiť alebo vynechať.
Zamestnanci, stážisti, dočasní pracovníci, dodávatelia a každý, kto má účet. Ktoré systémy sú pokryté: pracovné stanice, mobilné zariadenia, e-mail, nástroje na spoluprácu, podnikové aplikácie, siete, tlačiarne, cloudové úložisko. Jasný rozsah predchádza klasickej hádke „toto sa na mňa nevzťahovalo“.
Osobné, neprenosné účty; kvalita a uchovávanie hesiel; viacfaktorové overenie tam, kde ho spoločnosť zaviedla; uzamknutie počítača pri odchode od stola; čo robiť, ak mohlo byť heslo vystavené.
Súvisiace: NIS2, čl. 21 ods. 2 písm. j) uvádza viacfaktorové overenie medzi opatreniami pre subjekty v pôsobnosti.
Profesionálne používanie ako pravidlo, primerané osobné používanie, ak to spoločnosť povoľuje, a ako majú byť osobné správy označené. Správne reakcie na phishing, prílohy a odkazy, pravidlá presmerovania, automatické presmerovanie na osobné adresy, zakázané stránky a obsah.
Ktoré informácie sú dôverné, ako sa smú zdieľať interne a externe, schválené nástroje na zdieľanie súborov, tlač, politika čistého stola a povinnosť spracúvať osobné údaje len na pokyn spoločnosti.
GDPR čl. 29 a čl. 32 ods. 4: osoby konajúce na základe poverenia prevádzkovateľa spracúvajú osobné údaje len na jeho pokyn.
Kto môže inštalovať softvér, používanie osobných USB kľúčov a externých diskov, starostlivosť o notebooky a telefóny, hlásenie straty alebo krádeže a vrátenie vybavenia a prístupov pri odchode zamestnanca (ISO/IEC 27001:2022, príloha A, obsahuje aj kontrolu vrátenia aktív, 5.11).
Práca z domu, z priestorov klienta alebo na cestách: dôveryhodné siete, VPN ak je vyžadovaná, ochrana obrazovky pred pohľadmi okolia, fyzická ochrana zariadení, videohovory na verejných miestach. ISO/IEC 27001:2022, príloha A, má osobitnú kontrolu, 6.7 „Práca na diaľku“.
Či osobné telefóny, tablety alebo počítače smú pristupovať k firemným dátam, za akých podmienok (zámok zariadenia, aktualizácie, samostatný pracovný profil, vzdialené vymazanie len firemných dát) a čo môže alebo nemôže spoločnosť vidieť na osobnom zariadení.
Ktoré nástroje AI sú schválené, ktoré dáta do nich nikdy nesmú byť vložené (osobné údaje, obchodné tajomstvá zákazníkov, zdrojový kód, prihlasovacie údaje), ľudská kontrola výstupov a ako požiadať o nový nástroj. Politika, ktorá jednoducho všetko zakazuje, má tendenciu presúvať používanie mimo dohľadu.
Akt o umelej inteligencii (AI Act), nariadenie (EÚ) 2024/1689, čl. 4 o gramotnosti zamestnancov v oblasti AI.
Čo sa zaznamenáva, filtruje alebo kontroluje, na aký účel, kým, ako dlho sa logy uchovávajú a aké sú práva dotknutých osôb. Táto kapitola napĺňa povinnosti transparentnosti a informovania podľa GDPR.
GDPR čl. 5 a čl. 13.
Ako a komu nahlásiť podozrivý e-mail, stratené zariadenie alebo chybu, bez strachu z obvinenia za včasné hlásenie. Odkaz na disciplinárny rámec platný vo vašej organizácii (ISO/IEC 27001:2022, príloha A, kontrola 6.4 „Disciplinárny proces“) a dátum a verzia politiky.
Právna cesta sa v jednotlivých členských štátoch líši. Nelíši sa logika: zákonnosť, primeranosť a známosť vopred.
Politika prijateľného používania takmer vždy opisuje spracúvanie osobných údajov zamestnancov: logy účtov, záznamy o pripojení, filtrovanie, inventáre zariadení, niekedy prístup k schránke. Tri články GDPR vymedzujú toto spracúvanie v celej Európskej únii.
Článok 5, zásady. Osobné údaje musia byť spracúvané zákonným, spravodlivým a transparentným spôsobom; získavané na konkrétne, výslovne vyjadrené a legitímne účely; primerané, relevantné a obmedzené na nevyhnutný rozsah; uchovávané nie dlhšie, než je potrebné; a spracúvané s primeranou bezpečnosťou. Podľa článku 5 ods. 2 musí prevádzkovateľ vedieť preukázať súlad s týmito zásadami (zodpovednosť). Pre politiku prijateľného používania to znamená, že každá opísaná kontrola by mala mať uvedený účel a primeranú dobu uchovávania a mali by ste vedieť vysvetliť, prečo je primeraná.
Článok 13, informácie, ktoré sa majú poskytnúť. Ak sa údaje získavajú od dotknutej osoby, prevádzkovateľ musí okrem iného poskytnúť svoju totožnosť a kontaktné údaje, kontaktné údaje zodpovednej osoby pre ochranu údajov, ak existuje, účely a právny základ spracúvania, oprávnené záujmy, ak sú základom, príjemcov, dobu uchovávania a práva dotknutej osoby. Politika prijateľného používania alebo k nej priložené informačné oznámenie je praktický nosič týchto informácií.
Článok 88, spracúvanie v kontexte zamestnania. GDPR umožňuje členským štátom zákonom alebo kolektívnymi zmluvami ustanoviť konkrétnejšie pravidlá pre spracúvanie osobných údajov zamestnancov v kontexte zamestnania. Článok 88 ods. 2 vyžaduje, aby takéto pravidlá obsahovali vhodné a osobitné opatrenia na ochranu ľudskej dôstojnosti, oprávnených záujmov a základných práv dotknutých osôb, najmä pokiaľ ide o transparentnosť spracúvania, prenosy v rámci skupiny podnikov a monitorovacie systémy na pracovisku. V praxi preto odpoveď na otázku „čo môžeme monitorovať a ako?“ čiastočne závisí od krajiny, v ktorej pôsobíte.
Smernica 2002/14/ES ustanovuje v celej EÚ všeobecný rámec pre informovanie a konzultáciu so zamestnancami vo firmách nad prahmi, ktoré si každý členský štát zvolí v rámci limitov smernice. Vnútroštátne právo a kolektívne zmluvy potom určujú, či sa pred zavedením pravidiel o používaní IT alebo o monitorovaní pracoviska musí informovať alebo konzultovať zamestnanecká rada, zástupcovia zamestnancov alebo odborová organizácia, a v akej forme. V niektorých krajinách je politika prijateľného používania priložená k vnútorným pracovným predpisom a riadi sa rovnakým postupom; v iných je súčasťou pracovnej zmluvy, kolektívnej zmluvy alebo samostatnej politiky, ktorú každý používateľ potvrdí.
Vezmime Francúzsko ako jeden príklad z mnohých: Zákonník práce (Code du travail) stanovuje, že zamestnanecký výbor (CSE) sa informuje a konzultuje pred zavedením prostriedkov alebo techník, ktoré umožňujú monitorovanie činnosti zamestnancov, a že žiadne informácie týkajúce sa konkrétneho zamestnanca nemožno zhromažďovať zariadením, o ktorom zamestnanec predtým nebol informovaný. Francúzsky úrad na ochranu údajov CNIL vo svojej príručke o bezpečnosti osobných údajov odporúča, aby spoločnosť vypracovala IT chartu a dala jej záväznú silu, napríklad jej pripojením k vnútorným pracovným predpisom. Ostatné krajiny majú vlastné ekvivalenty, preto workshop pýta, kde vaši zamestnanci pracujú, a označí body, ktoré treba overiť s poradcom.
Nech je vnútroštátna cesta akákoľvek, uchovávajte dôkazy: verziu a dátum politiky, dátum oznámenia, spôsob (e-mail, intranet, balík pri nástupe, podpis) a kto potvrdil prijatie. Pri zmene politiky ju znova oznámte. ISO/IEC 27001:2022, príloha A, to považuje za súčasť kontrol zameraných na ľudí, spolu s podmienkami zamestnania (6.2) a povedomím, vzdelávaním a školením v oblasti bezpečnosti informácií (6.3).
Dôležité. Táto časť je všeobecná informácia o európskych a vnútroštátnych textoch. Nejde o právne poradenstvo a nenahrádza analýzu pracovného právnika, zodpovednej osoby pre ochranu údajov alebo vášho personálneho poradcu pre vašu konkrétnu situáciu, krajinu a kolektívne zmluvy.
Zdroje: GDPR, čl. 5, 13 a 88 (EUR-Lex) · Smernica 2002/14/ES (EUR-Lex) · Francúzsky Zákonník práce (Légifrance) · CNIL, príručka o bezpečnosti osobných údajov · ISO/IEC 27001 (iso.org)
Politika prijateľného používania nie je sama osebe bezpečnostná politika. Je to tá jej časť, ktorá hovorí k používateľom.
Politika bezpečnosti informácií je napísaná pre vedenie a IT: stanovuje ciele, roly, zvládanie rizík a kontroly, na ktoré sa spoločnosť zaväzuje. Politika prijateľného používania premieňa jej časti určené používateľom na konkrétne správanie. ISO/IEC 27001:2022, príloha A, ich oddeľuje: kontrola 5.1 „Politiky bezpečnosti informácií“ a kontrola 5.10 „Prijateľné používanie informácií a iných súvisiacich aktív“. Oba dokumenty by mali používať rovnaký slovník, rovnakú klasifikáciu informácií a rovnaké kontakty, aby zamestnanec nikdy nedostal protichodné pokyny.
Ak pripravujete samotnú bezpečnostnú politiku, pozrite si našu sesterskú stránku pssi-express.eu.
Práca na diaľku presúva firemné dáta na domáce siete, kuchynské stoly a sedadlá vo vlaku. Politika prijateľného používania je miesto, kde uvediete minimálne očakávania: používať firemné vybavenie, ak je poskytnuté, udržiavať ho aktualizované, pripájať sa cez zabezpečený prístup spoločnosti, ak je to vyžadované, nepoužívať verejné tlačiarne, chrániť obrazovky a rozhovory a okamžite nahlásiť stratu. Ak máte aj samostatnú dohodu alebo politiku o telepráci, politika prijateľného používania by na ňu mala odkazovať, namiesto aby ju opakovala. ISO/IEC 27001:2022, príloha A, kontrola 6.7 „Práca na diaľku“ pokrýva bezpečnostnú stránku.
Povoliť osobným telefónom prijímať firemný e-mail je pohodlné a bežné. Vyvoláva to však dve otázky, na ktoré musí politika odpovedať. Čo spoločnosť vyžaduje od zariadenia (zámok obrazovky, podporovaný operačný systém, oddelený pracovný profil alebo kontajner)? A čo smie spoločnosť vidieť alebo vymazať? Nástroje na správu zariadení možno nakonfigurovať tak, aby spravovali len firemné dáta; politika by to mala uviesť a mala by uviesť, čo sa stane s firemnými dátami, keď osoba odíde. ISO/IEC 27001:2022, príloha A, kontrola 8.1 „Koncové zariadenia používateľov“ upravuje technickú stránku.
Verejne dostupní asistenti umelej inteligencie môžu byť užitoční a zamestnanci ich často už používajú. Riziko je v zadávaných dátach a vo výstupoch použitých bez kontroly. Krátka kapitola o AI zvyčajne uvádza schválené nástroje, zakazuje zadávanie osobných údajov, dôverných informácií alebo prihlasovacích údajov do neschválených služieb, vyžaduje ľudskú kontrolu pred opätovným použitím a vysvetľuje, ako požiadať o nový nástroj. Ak externá služba AI spracúva osobné údaje vo vašom mene, uplatňujú sa pravidlá GDPR o sprostredkovateľoch (článok 28) a o prenosoch mimo EÚ (kapitola V). Článok 4 AI Actu, uplatniteľný od 2. februára 2025, ukladá poskytovateľom a subjekty zavádzajúce systémy AI, aby v najlepšej možnej miere zabezpečili dostatočnú úroveň gramotnosti zamestnancov v oblasti AI (overte aktuálne konsolidované znenie, keďže boli navrhnuté zmeny tohto článku); kapitola AI v politike prijateľného používania spolu s krátkym školením o povedomí je rozumný stavebný prvok.
Nariadenie (EÚ) 2024/1689 (AI Act) · GDPR, čl. 28 a kapitola V
Pre podstatné a dôležité subjekty podľa smernice NIS2 zahŕňajú opatrenia na riadenie kybernetických rizík podľa článku 21 základné postupy kybernetickej hygieny a školenie v oblasti kybernetickej bezpečnosti (21 ods. 2 písm. g)) a bezpečnosť ľudských zdrojov, politiky kontroly prístupu a správu aktív (21 ods. 2 písm. i)). Politika prijateľného používania vás nerobí súladnými so smernicou NIS2, ale je jedným z dokumentov, ktoré tieto opatrenia podporujú.
Politika, ktorá je podpísaná a zabudnutá, nič nemení. Politika a program povedomia by mali fungovať spoločne: politika stanovuje pravidlo, krátke školenia vysvetľujú prečo. Ak existuje zodpovedná osoba pre ochranu údajov, GDPR medzi jej úlohy zaraďuje osvetu a školenie zamestnancov (článok 39 ods. 1 písm. b)). Národné agentúry zverejňujú bezplatné materiály, ktoré môžete použiť, napríklad ENISA na úrovni EÚ a vo Francúzsku ANSSI a cybermalveillance.gouv.fr.
Celý postup máte vo svojich rukách. Konzultant je len možnosť, nikdy nie povinnosť.
Krátky dotazník o vašej organizácii: kde vaši zamestnanci pracujú, aké nástroje používajú, či sú povolené osobné zariadenia a práca na diaľku, či používate asistentov AI, či máte zástupcov zamestnancov a či už máte bezpečnostnú politiku. Ukáže vám, ktoré kapitoly potrebujete a ktoré body budú vyžadovať lokálne právne overenie.
Odpovedáte na vedené otázky vlastnými slovami, kapitolu po kapitole: čo je povolené, čo nie, čo spoločnosť kontroluje a prečo, ako dlho sa uchovávajú logy, na koho sa obrátiť. Ku každej otázke je krátke vysvetlenie a tam, kde je to relevantné, odkaz na oficiálny zdroj. Môžete uložiť, vrátiť sa neskôr a zapojiť kolegu.
Politika sa automaticky vygeneruje z vašich odpovedí v mene vašej spoločnosti, so samostatným informačným oznámením o monitorovaní a formulárom o potvrdení prijatia. Je to pracovný podklad: nechajte ho overiť vlastným poradcom (pracovný právnik, zodpovedná osoba pre ochranu údajov, personalista) predtým, ako ho oznámite, konzultujete so zástupcami tam, kde je to vyžadované, a schválite.
Ak chcete, aby s vami niekto prešiel vaše odpovede, prispôsobil návrh konkrétnemu kontextu alebo pripravil prezentáciu pre zamestnancov či ich zástupcov, môžete požiadať o podporu partnerského konzultanta. Je to voliteľné a oddelené od samoobslužného nástroja.
Pracovný podklad, nie právne poradenstvo. Vygenerovaný dokument je návrh zostavený z vašich vlastných odpovedí a z verejných zdrojov. Nepredstavuje právne poradenstvo. Jeho platnosť vo vašej krajine a postup, ktorým sa stane záväzným pre vašich zamestnancov, musí overiť kvalifikovaný poradca.
Dokumenty, ktoré môžete upraviť, oznámiť a uchovať ako dôkaz
Hlavný dokument, zrozumiteľným jazykom, zostavený z vašich odpovedí.
Samostatné oznámenie štruktúrované podľa článku 13 GDPR.
Čo potrebujete na oznámenie politiky a uchovanie stopy.
Kde sa každá kapitola prepája s verejnými textami.
Krátka samostatná príloha, ktorú môžete aktualizovať častejšie než politiku.
Dokument zostáva váš, v formátoch, ktoré môžete meniť.
Citujeme len texty, na ktoré môžeme odkázať. Tam, kde niečo závisí od vnútroštátneho práva, návrh to uvedie, namiesto aby hádal.
Článok 5 (zásady a zodpovednosť), článok 13 (informovanie dotknutých osôb), článok 88 (spracúvanie v kontexte zamestnania) a, kde je to relevantné, článok 28 (sprostredkovatelia), článok 32 (bezpečnosť spracúvania) a článok 39 (úlohy zodpovednej osoby pre ochranu údajov).
Kontrola 5.10 „Prijateľné používanie informácií a iných súvisiacich aktív“, so súvisiacimi kontrolami 5.1 (politiky bezpečnosti informácií), 5.11 (vrátenie aktív), 6.2 (podmienky zamestnania), 6.3 (povedomie, vzdelávanie a školenie), 6.4 (disciplinárny proces), 6.7 (práca na diaľku) a 8.1 (koncové zariadenia používateľov). Normu predáva ISO; uvádzame len názvy kontrol.
Len pre subjekty v pôsobnosti: článok 21 ods. 2 písm. g) základné postupy kybernetickej hygieny a školenie v oblasti kybernetickej bezpečnosti, článok 21 ods. 2 písm. i) bezpečnosť ľudských zdrojov, politiky kontroly prístupu a správa aktív, článok 21 ods. 2 písm. j) viacfaktorové overenie. Platia vnútroštátne transpozičné zákony.
Článok 4 o gramotnosti v oblasti AI, uplatniteľný od 2. februára 2025 pre poskytovateľov a subjekty zavádzajúce systémy AI (pred spoliehaním sa overte aktuálne konsolidované znenie). Relevantný hneď, ako vaši zamestnanci používajú systémy AI vo svojej práci.
Čo obsahuje každá možnosť. Dostupnosť bude oznámená na tejto stránke.
Aby ste zistili, čo potrebujete, skôr než začnete
Na vytvorenie vlastného návrhu politiky
Na pridanie ľudskej kontroly k samoobslužnému návrhu
Vo všetkých možnostiach je dokument pracovným podkladom, ktorý má overiť váš vlastný poradca. Nepredstavuje právne poradenstvo.
Krátke odpovede. Tam, kde je citovaný text, odkaz vedie na oficiálny zdroj.
Každé regulačné alebo normatívne tvrdenie vyššie odkazuje na jeden z týchto zdrojov.
Táto stránka poskytuje všeobecné informácie. Nejde o právne poradenstvo.
Samoobslužný workshop sa pripravuje. Otvorí sa na tejto stránke.
Otázky medzitým: contact@syaga.eu