Pravilnik o sprejemljivi rabi (pogosto imenovan IT pravilnik podjetja) vsem, ki uporabljajo vaše sisteme, pove, kaj smejo storiti, česa ne smejo storiti in kaj lahko podjetje preveri. Acceptable Use Express je samopostrežna delavnica, ki evropskemu MSP pomaga napisati takšen pravilnik v preprostem jeziku, usklajen s splošno uredbo o varstvu podatkov (GDPR) in standardom ISO/IEC 27001, ob upoštevanju dela na daljavo, osebnih naprav in generativne umetne inteligence. Dobite delovni osnutek z imenom vašega podjetja, ki ga mora potrditi vaš svetovalec.
Kratek, berljiv dokument, ki vaše varnostne namene spremeni v vsakdanja pravila za ljudi
Večina malih in srednje velikih podjetij ima računalnike, poštni predal za vsakega, skupne datoteke v oblaku, nekaj poslovnih aplikacij in vedno pogosteje telefone ter prenosnike, ki zapustijo pisarno. Pogosto pa jim manjka en sam dokument, ki v besedah, ki jih razume zaposleni, pove, kako se ta orodja smejo uporabljati. Ta dokument je pravilnik o sprejemljivi rabi. V Franciji se običajno imenuje charte informatique; drugod boste naleteli na izraze »pravila o uporabi IT«, »pravilnik o uporabi računalnikov« ali »IT pravilnik«. Ime je manj pomembno od njegovih treh nalog.
Uporabniki ne morejo spoštovati pravil, ki niso zapisana. Pravilnik o sprejemljivi rabi določa pričakovano ravnanje pri geslih, e-pošti, brskanju po internetu, deljenju datotek, prenosnih medijih, namestitvi programske opreme, osebni rabi službene opreme, potovanjih in delu na daljavo. Je tisti del vaše varnosti, ki je namenjen uporabnikom in doseže vsako mizo.
Beleženje dogodkov, filtriranje, dostop do poštnega predala med odsotnostjo, upravljanje naprav, varnostno kopiranje delovnih postaj: vse to vključuje osebne podatke zaposlenih. Po splošni uredbi o varstvu podatkov (GDPR) morajo biti posamezniki, na katere se nanašajo osebni podatki, obveščeni o namenih in pogojih obdelave (člen 13). Pravilnik o sprejemljivi rabi je naravno mesto, kjer te informacije podate v enem samem, doslednem besedilu, namesto da bi bile razpršene po več e-poštnih sporočilih.
Ko se pravilo krši, mora organizacija pokazati, da pravilo obstaja, da je oseba zanj vedela in da je bilo kakršno koli spremljanje, ki je razkrilo kršitev, samo zakonito in sorazmerno. Pravilnik, ki nikoli ni bil sporočen, ali pravilnik, ki prikriva nadzor, o katerem zaposleni niso nikoli slišali, vam ne daje skoraj nobene trdne podlage. Kako pravilnik postane uveljavljiv, je odvisno od nacionalnega delovnega prava, zato je ta stran splošna, za zadnji korak pa vas napoti k svetovalcu.
Mednarodni varnostni standard to vlogo izrecno priznava. ISO/IEC 27001:2022 v Prilogi A vključuje varovalo 5.10 »Sprejemljiva raba informacij in drugih povezanih sredstev«, ki pričakuje, da so pravila za sprejemljivo rabo ter postopki za ravnanje z informacijami in sredstvi opredeljeni, dokumentirani in izvedeni. Pravilnik o sprejemljivi rabi je najpogostejši način, kako MSP izpolnijo to pričakovanje, ne glede na to, ali si kdaj prizadevajo za certifikacijo.
Viri: Uredba (EU) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, javna stran na iso.org
Iste napake se ponavljajo znova in znova. Nobena od njih ne zahteva velikega proračuna.
Pravilnik, prenesen z interneta, opisuje tuja orodja, tujo državo in tuja tveganja. Omenja sisteme, ki jih ne uporabljate, in molči o tistih, ki jih uporabljate. Zaposleni to opazijo in nehajo brati.
Dokument, ki leži v skupni mapi, ni bil sporočen. Če ne morete pokazati, kdo ga je prejel, kdaj in v kateri različici, se bo pozneje težko sklicevati nanj. V več državah sta obveščanje ali posvetovanje z zaposlenimi del tega, kar pravilom zagotovi veljavnost.
Dnevniki spletnega filtriranja, dnevniki poštnih prehodov, upravljanje končnih naprav in orodja za preprečevanje uhajanja podatkov vsi spremljajo ljudi. GDPR zahteva preglednost (člen 5(1)(a)) in obveščenost zadevnih oseb (člen 13). Nadzor, o katerem se molči, je že sam po sebi tveganje za skladnost.
Mnogi pravilniki so nastali, ko je vsak delal za pisalno mizo v pisarni. Nič ne povedo o domačem Wi-Fi, osebnih telefonih, ki prejemajo službeno e-pošto, ali zaposlenih, ki v javni klepetalnik prilepijo podatke strank. Incidenti se dogajajo prav v tej vrzeli.
Spodnja poglavja so hrbtenica osnutka, ki ga ustvari delavnica. Vsako je prilagojeno vašim odgovorom in ga je mogoče skrajšati ali odstraniti.
Zaposleni, pripravniki, začasno osebje, izvajalci in vsakdo z uporabniškim računom. Katere sisteme pokriva: delovne postaje, mobilne naprave, e-pošto, skupinske programe, poslovne aplikacije, omrežja, tiskalnike, shrambo v oblaku. Jasen obseg prepreči klasični argument »to se name ne nanaša«.
Osebni, neprenosljivi računi; kakovost in hramba gesel; večfaktorsko preverjanje pristnosti, kjer ga je podjetje uvedlo; zaklepanje seje ob odhodu od mize; kaj storiti, če je geslo morda razkrito.
Povezano: NIS2, čl. 21(2)(j) med ukrepe za zajete subjekte uvršča večfaktorsko preverjanje pristnosti.
Poslovna raba kot pravilo, razumna osebna raba, če jo podjetje dovoljuje, in kako je treba osebna sporočila označiti. Odzivi na lažno predstavljanje (phishing), priloge in povezave, pravila za posredovanje sporočil, samodejno posredovanje na osebne naslove, prepovedana spletna mesta in vsebine.
Katere informacije so zaupne, kako jih je dovoljeno deliti znotraj in zunaj podjetja, odobrena orodja za deljenje datotek, tiskanje, čista miza in dolžnost obdelave osebnih podatkov samo po navodilih podjetja.
GDPR čl. 29 in čl. 32(4): osebe, ki delujejo pod nadzorom upravljavca, obdelujejo osebne podatke samo po njegovih navodilih.
Kdo sme nameščati programsko opremo, uporaba osebnih USB ključev in zunanjih diskov, ravnanje s prenosniki in telefoni, prijava izgube ali kraje ter vrnitev opreme in dostopov, ko nekdo odide (ISO/IEC 27001:2022 Priloga A ima tudi varovalo o vrnitvi sredstev, 5.11).
Delo od doma, pri stranki ali na poti: zaupanja vredna omrežja, VPN, kadar je potreben, zasebnost zaslona, fizična zaščita opreme, video klici na javnih mestih. ISO/IEC 27001:2022 Priloga A ima namensko varovalo 6.7 »Delo na daljavo«.
Ali lahko osebni telefoni, tablice ali računalniki dostopajo do podatkov podjetja, pod katerimi pogoji (zaklep naprave, posodobitve, ločen delovni profil, oddaljen izbris samo podatkov podjetja) in kaj sme podjetje ter česa ne sme videti na osebni napravi.
Katera orodja z umetno inteligenco so odobrena, kateri podatki nikoli ne smejo vanje (osebni podatki, poslovne skrivnosti strank, izvorna koda, poverilnice), pregled rezultatov s strani človeka in kako zahtevati novo orodje. Pravilnik, ki preprosto prepove vse, običajno rabo le odrine izpod nadzora.
Akt o umetni inteligenci (AI Act), Uredba (EU) 2024/1689, čl. 4 o pismenosti zaposlenih na področju umetne inteligence.
Kaj se beleži, filtrira ali preverja, za kateri namen, kdo to izvaja, kako dolgo se hranijo dnevniki in kakšne so pravice posameznikov. V tem poglavju se izpolnijo dolžnosti preglednosti in obveščanja po GDPR.
GDPR čl. 5 in čl. 13.
Kako in komu prijaviti sumljivo e-pošto, izgubljeno napravo ali napako, brez bojazni pred očitki za takojšnjo prijavo. Sklic na disciplinski okvir, ki velja v vaši organizaciji (ISO/IEC 27001:2022 Priloga A, varovalo 6.4 »Disciplinski postopek«), ter datum in različica pravilnika.
Pravna pot se med državami članicami razlikuje. Logika pa je povsod enaka: zakonito, sorazmerno, vnaprej znano.
Pravilnik o sprejemljivi rabi skoraj vedno opisuje obdelavo osebnih podatkov zaposlenih: dnevnike računov, evidence povezav, filtriranje, popise naprav, včasih dostop do poštnih predalov. Trije členi GDPR to obdelavo urejajo povsod v Evropski uniji.
Člen 5, načela. Osebni podatki morajo biti obdelani zakonito, pošteno in pregledno; zbrani za določene, izrecne in zakonite namene; ustrezni, relevantni in omejeni na to, kar je nujno; hranjeni ne dlje, kot je potrebno; in obdelani z ustrezno varnostjo. Po členu 5(2) mora upravljavec biti sposoben dokazati skladnost s temi načeli (odgovornost). Za pravilnik o sprejemljivi rabi to pomeni, da mora imeti vsak opisani nadzorni ukrep naveden namen in razumno obdobje hrambe, vi pa morate znati pokazati, zakaj je sorazmerna.
Člen 13, informacije, ki jih je treba zagotoviti. Kadar se podatki zbirajo od zadevne osebe, mora upravljavec med drugim zagotoviti svojo identiteto in kontaktne podatke, kontaktne podatke pooblaščene osebe za varstvo podatkov, kjer obstaja, namene in pravno podlago obdelave, zakonite interese, ki jih zasleduje, kadar so ti podlaga, prejemnike, obdobje hrambe ter pravice osebe. Pravilnik o sprejemljivi rabi ali priloženo obvestilo o obdelavi podatkov je praktično sredstvo za te informacije.
Člen 88, obdelava v kontekstu zaposlitve. GDPR državam članicam dovoljuje, da z zakonom ali kolektivnimi pogodbami določijo natančnejša pravila za obdelavo osebnih podatkov zaposlenih v kontekstu zaposlitve. Člen 88(2) zahteva, da take določbe vključujejo ustrezne in posebne ukrepe za zaščito človekovega dostojanstva, zakonitih interesov in temeljnih pravic zadevnih oseb, zlasti glede preglednosti obdelave, prenosov znotraj skupine podjetij in sistemov nadzora na delovnem mestu. V praksi je zato odgovor na vprašanje »kaj smemo nadzirati in kako?« delno odvisen od države, v kateri delujete.
V EU Direktiva 2002/14/ES določa splošni okvir za obveščanje in posvetovanje z zaposlenimi v podjetjih, ki presegajo pragove, ki jih vsaka država članica določi v okviru direktive. Nacionalno pravo in kolektivne pogodbe nato določajo, ali je treba pred uvedbo pravil o rabi IT ali nadzoru na delovnem mestu obvestiti ali posvetovati svet delavcev, predstavniško telo zaposlenih ali sindikat, in v kakšni obliki. V nekaterih državah je pravilnik o sprejemljivi rabi priložen notranjim delovnim pravilom in sledi istemu postopku; v drugih je del pogodbe o zaposlitvi, kolektivne pogodbe ali samostojen pravilnik, ki ga vsak uporabnik potrdi.
Vzemimo Francijo kot enega od mnogih primerov: Delovni zakonik (Code du travail) določa, da je svet delavcev (CSE) pred uvedbo sredstev ali tehnik, ki omogočajo nadzor nad dejavnostjo zaposlenih, obveščen in se o njih posvetuje, in da se nobena informacija, ki zadeva posameznega zaposlenega, ne sme zbirati z napravo, o kateri zaposleni prej ni bil obveščen. Francoski nadzorni organ za varstvo podatkov, CNIL, v svojem vodniku za varnost osebnih podatkov priporoča, da podjetje pripravi IT pravilnik in mu da zavezujočo moč, na primer s priložitvijo notranjim delovnim pravilom. Druge države imajo svoje ustreznice, zato delavnica vpraša, kje so zaposleni, in označi točke, ki jih je treba preveriti s svetovalcem.
Ne glede na nacionalno pot hranite dokaze: različico in datum pravilnika, datum sporočitve, način (e-pošta, intranet, paket za uvajanje, podpis) in kdo ga je potrdil. Ob spremembi pravilnika ga ponovno sporočite. ISO/IEC 27001:2022 Priloga A to obravnava kot del varoval, povezanih z ljudmi, poleg pogojev zaposlitve (6.2) ter ozaveščanja, izobraževanja in usposabljanja o informacijski varnosti (6.3).
Pomembno. Ta razdelek je splošna informacija o evropskih in nacionalnih besedilih. Ni pravni nasvet in ne nadomešča analize delovnopravnega odvetnika, pooblaščene osebe za varstvo podatkov ali vašega kadrovskega svetovalca za vašo specifično situacijo, državo in kolektivne pogodbe.
Viri: GDPR, čl. 5, 13 in 88 (EUR-Lex) · Direktiva 2002/14/ES (EUR-Lex) · francoski Delovni zakonik (Légifrance) · CNIL, vodnik za varnost osebnih podatkov · ISO/IEC 27001 (iso.org)
Pravilnik o sprejemljivi rabi ni samostojen varnostni pravilnik. Je tisti del, ki nagovarja uporabnike.
Pravilnik o informacijski varnosti je napisan za vodstvo in IT: določa cilje, vloge, obravnavo tveganj in varovala, ki se jih podjetje zavezuje izvajati. Pravilnik o sprejemljivi rabi prevede njegove dele, ki zadevajo uporabnike, v konkretno vedenje. ISO/IEC 27001:2022 Priloga A ločuje obe: varovalo 5.1 »Politike za informacijsko varnost« in varovalo 5.10 »Sprejemljiva raba informacij in drugih povezanih sredstev«. Oba dokumenta morata uporabljati isto besedišče, isto klasifikacijo informacij in iste kontakte, da zaposleni nikoli ne prejme nasprotujočih si navodil.
Če pripravljate tudi sam pravilnik o informacijski varnosti, si oglejte našo sorodno stran pssi-express.eu.
Delo na daljavo prenese podatke podjetja v domača omrežja, na kuhinjske mize in v vlakovne sedeže. Pravilnik o sprejemljivi rabi je mesto, kjer navedete minimalna pričakovanja: uporabljajte službeno opremo, kjer je na voljo, jo posodabljajte, se povežite prek varnega dostopa podjetja, kadar je to potrebno, se izogibajte javnemu tiskanju, zaščitite zaslone in pogovore ter takoj prijavite izgubo. Če imate ločen sporazum ali pravilnik o teledelu, naj se pravilnik o sprejemljivi rabi nanj sklicuje in ga ne ponavlja. ISO/IEC 27001:2022 Priloga A varovalo 6.7 »Delo na daljavo« pokriva varnostni vidik.
Dovoliti osebnim telefonom prejemanje službene e-pošte je priročno in pogosto. Hkrati odpira dve vprašanji, na kateri mora pravilnik odgovoriti. Kaj podjetje zahteva od naprave (zaklep zaslona, podprt operacijski sistem, ločen delovni profil ali vsebnik)? In kaj sme podjetje videti ali izbrisati? Orodja za upravljanje naprav je mogoče nastaviti tako, da upravljajo samo podatke podjetja; pravilnik naj to pove in naj pove, kaj se zgodi s podatki podjetja, ko oseba odide. ISO/IEC 27001:2022 Priloga A varovalo 8.1 »Uporabniške končne naprave« ureja tehnični vidik.
Javni pomočniki z umetno inteligenco so lahko koristni, zaposleni pa jih pogosto že uporabljajo. Tveganje je v vnesenih podatkih in v rezultatih, uporabljenih brez pregleda. Kratko poglavje o umetni inteligenci običajno navaja odobrena orodja, prepoveduje vnos osebnih podatkov, zaupnih informacij ali poverilnic v neodobrene storitve, zahteva človeški pregled pred ponovno uporabo in razloži, kako zahtevati novo orodje. Kadar zunanja storitev umetne inteligence obdeluje osebne podatke v vašem imenu, veljajo pravila GDPR o obdelovalcih (člen 28) in o prenosih zunaj EU (poglavje V). Člen 4 AI Act, ki se uporablja od 2. februarja 2025, zahteva od ponudnikov in uvajalcev sistemov umetne inteligence, da po najboljših močeh zagotovijo ustrezno raven pismenosti svojega osebja na področju umetne inteligence (preverite trenutno prečiščeno besedilo, saj so bile predlagane spremembe tega člena); poglavje o umetni inteligenci v pravilniku o sprejemljivi rabi in kratka delavnica za ozaveščanje sta smiseln gradnik.
Za ključne in pomembne subjekte po direktivi NIS2 ukrepi za obvladovanje kibernetskih tveganj iz člena 21 vključujejo osnovne prakse kibernetske higiene in usposabljanje na področju kibernetske varnosti (21(2)(g)) ter kadrovsko varnost, politike nadzora dostopa in upravljanje sredstev (21(2)(i)). Pravilnik o sprejemljivi rabi vas ne naredi skladnih z NIS2, je pa eden od dokumentov, ki podpirajo te ukrepe.
Pravilnik, ki je podpisan in pozabljen, ničesar ne spremeni. Pravilnik in program ozaveščanja morata delovati skupaj: pravilnik navaja pravilo, kratke delavnice pa pojasnijo, zakaj. Kjer obstaja pooblaščena oseba za varstvo podatkov, GDPR med njene naloge uvršča ozaveščanje in usposabljanje zaposlenih (člen 39(1)(b)). Nacionalne agencije objavljajo brezplačno gradivo, ki ga lahko ponovno uporabite, na primer ENISA na ravni EU ter v Franciji ANSSI in cybermalveillance.gouv.fr.
Ves čas imate nadzor nad postopkom. Svetovalec je možnost, nikoli pogoj.
Kratek vprašalnik o vaši organizaciji: kje so zaposleni, katera orodja uporabljajo, ali sta osebna naprava in delo na daljavo dovoljena, ali uporabljate pomočnike z umetno inteligenco, ali imate predstavnike zaposlenih, ali že imate varnostni pravilnik. Pove vam, katera poglavja potrebujete in katere točke bodo zahtevale lokalno pravno potrditev.
Odgovarjate na vodena vprašanja v svojih besedah, poglavje za poglavjem: kaj je dovoljeno, kaj ni, kaj podjetje preverja in zakaj, kako dolgo se dnevniki hranijo, koga kontaktirati. Vsako vprašanje ima kratko razlago in, kjer je relevantno, povezavo do uradnega vira. Lahko shranite, se vrnete pozneje in vključite sodelavca.
Pravilnik se samodejno ustvari iz vaših odgovorov, z imenom vašega podjetja, z ločenim obvestilom o nadzoru in obrazcem za potrditev. Gre za delovno podlago: pred objavo zaposlenim, posvetovanjem s predstavniki, kjer je to zahtevano, in sprejetjem ga naj pregleda vaš svetovalec (delovnopravni odvetnik, pooblaščena oseba za varstvo podatkov, kadrovski svetovalec).
Če želite, da vam kdo pregleda odgovore, prilagodi osnutek posebnemu okolju ali pripravi predstavitev za zaposlene ali njihove predstavnike, lahko zaprosite za podporo partnerskega svetovalca. To je neobvezno in ločeno od samopostrežnega orodja.
Delovna podlaga, ne pravni nasvet. Ustvarjeni dokument je osnutek, zgrajen iz vaših lastnih odgovorov in javnih virov. Ne predstavlja pravnega nasveta. Njegovo veljavnost v vaši državi in postopek, s katerim ga naredite veljavnega za zaposlene, mora preveriti usposobljen svetovalec.
Dokumenti, ki jih lahko urejate, sporočate in hranite kot dokaz
Glavni dokument v preprostem jeziku, zgrajen iz vaših odgovorov.
Ločeno obvestilo, strukturirano okoli člena 13 GDPR.
Kar potrebujete za sporočanje pravilnika in ohranjanje sledi.
S katerimi javnimi besedili je povezano posamezno poglavje.
Kratka samostojna priloga, ki jo lahko posodabljate pogosteje kot pravilnik.
Vaš dokument ostane vaš, v formatih, ki jih lahko spreminjate.
Navajamo samo besedila, na katera lahko dodamo povezavo. Kjer je nekaj odvisno od nacionalnega prava, osnutek to pove, namesto da bi ugibal.
Člen 5 (načela in odgovornost), člen 13 (obveščanje zadevnih oseb), člen 88 (obdelava v kontekstu zaposlitve) ter, kjer je relevantno, člen 28 (obdelovalci), člen 32 (varnost obdelave) in člen 39 (naloge pooblaščene osebe za varstvo podatkov).
Varovalo 5.10 »Sprejemljiva raba informacij in drugih povezanih sredstev«, s sorodnimi varovali 5.1 (politike za informacijsko varnost), 5.11 (vrnitev sredstev), 6.2 (pogoji zaposlitve), 6.3 (ozaveščanje, izobraževanje in usposabljanje), 6.4 (disciplinski postopek), 6.7 (delo na daljavo) in 8.1 (uporabniške končne naprave). Standard prodaja organizacija ISO; navajamo samo naslove varoval.
Samo za zajete subjekte: člen 21(2)(g) osnovne prakse kibernetske higiene in usposabljanje na področju kibernetske varnosti, 21(2)(i) kadrovska varnost, politike nadzora dostopa in upravljanje sredstev, 21(2)(j) večfaktorsko preverjanje pristnosti. Uporabljajo se nacionalni predpisi o prenosu direktive.
Člen 4 o pismenosti na področju umetne inteligence, ki se od 2. februarja 2025 uporablja za ponudnike in uvajalce sistemov umetne inteligence (pred sklicevanjem preverite trenutno prečiščeno besedilo). Pomembno takoj, ko vaši zaposleni pri delu uporabljajo sisteme umetne inteligence.
Kaj vsaka možnost vsebuje. Razpoložljivost bo objavljena na tej strani.
Da ugotovite, kaj potrebujete, preden začnete
Za pripravo lastnega osnutka pravilnika
Za dodajanje človeškega pregleda k samopostrežnemu osnutku
Pri vseh možnostih je dokument delovna podlaga, ki jo mora potrditi vaš svetovalec. Ne predstavlja pravnega nasveta.
Kratki odgovori. Kjer je navedeno besedilo, povezava vodi do uradnega vira.
Vsaka regulativna ali normativna trditev zgoraj je povezana z enim od teh virov.
Ta stran zagotavlja splošne informacije. Ne predstavlja pravnega nasveta.
Samopostrežna delavnica se pripravlja. Na tej strani se bo odprla.
Vprašanja medtem: contact@syaga.eu