การนำ GDPR มาบังคับในปี 2018 บังคับองค์กรให้ตรวจสอบนโยบายการลบข้อมูลอย่างจริงจัง GDPR ไม่ใช่แค่ 'สิทธิในการถูกลืม' แต่ยังครอบคลุมการป้องกันการรั่วไหลข้อมูลโดยทุกองค์กรที่ทำธุรกิจในสหภาพยุโรป หรือจากภายนอกกับบริษัทใน EU อย่างไรก็ตาม ยังมีความสับสนมากเกี่ยวกับโปรโตคอลการลบข้อมูลที่ถูกต้อง ทำให้องค์กรคุ้งค่าต่อการรั่วไหลข้อมูล ในบล็อกนี้ เราสำรวจว่าคุณสามารถรับรองได้อย่างไรว่าธุรกิจของคุณยังคง compliant เมื่อลบข้อมูลจาก active environments
Article 32
ใน Article 32 ของ GDPR ระบุว่าบริษัทต้องมี "กระบวนการที่นำมารักษาการตรวจสอบและประเมินผลประสิทธิภาพของมาตรการทางเทคนิคและองค์กรอย่างสม่ำเสมอ เพื่อให้แน่ใจถึงความปลอดภัยของการประมวลผลข้อมูลส่วนบุคคลภายในบริษัท" การรับรองว่าคุณได้ดำเนินกระบวนการที่เหมาะสมไม่ได้ใช้ได้กับการประมวลผลข้อมูลอย่างเดียว แต่ยังรวมถึงกระบวนการคัดเลือกและการจัดหาโซลูชัน IT (ทั้งซอฟต์แวร์และฮาร์ดแวร์) ที่ใช้อยู่
GDPR: ควรทำอะไร?
ทุกผู้แทน IT ของบริษัทควรดำเนินมาตรการจำเป็นทั้งหมดเพื่อให้แน่ใจว่าไม่มีข้อมูลส่วนบุคคลรั่วไหลออกนอกบริษัท ขั้นตอนบางส่วนที่ควรทำตาม GDPR ได้แก่:
- Pseudonymization และการเข้ารหัสข้อมูลส่วนบุคคล
- ความสามารถในการรับรองความลับ ความสมบูรณ์ ความพร้อมใช้งาน และความทนทานของระบบและบริการที่เกี่ยวข้องกับการประมวลผลอย่างถาวร
- ความสามารถในการกู้คืนความพร้อมใช้งานและการเข้าถึงข้อมูลส่วนบุคคลอย่างรวดเร็ว ในกรณีเกิดเหตุการณ์ทางกายภาพหรือเทคนิค
- กระบวนการสำหรับการตรวจสอบและประเมินประสิทธิภาพของมาตรการทางเทคนิคและองค์กรเป็นระยะ เพื่อให้แน่ใจถึงความปลอดภัยของการประมวลผล
อีกจุดสำคัญของ Article 32:
"โดยเฉพาะ ความเสี่ยงที่เกี่ยวข้องกับการประมวลผล – โดยเฉพาะการทำลาย สูญหาย หรือการเปลี่ยนแปลง ไม่ว่าจะโดยไม่ได้ตั้งใจ หรือผิดกฎหมาย หรือการเปิดเผยข้อมูลส่วนบุคคลที่ถูกส่ง จัดเก็บ หรืออื่นๆ อย่างไม่ได้รับอนุญาต หรือการเข้าถึงโดยไม่ได้รับอนุญาต – ต้องนำไปพิจารณาเมื่อประเมินระดับการป้องกันที่เหมาะสม"
สรุปคือ Article 32 กำหนดให้องค์กรคำนึงถึงความเสี่ยงทั้งหมดเมื่อใช้เทคโนโลยีใดๆ ที่จัดเก็บข้อมูลส่วนบุคคล ก่อนที่องค์กรจะใช้สื่อเก็บข้อมูลละเอียดอ่อน พนักงานที่รับผิดชอบต้องทำ data protection impact assessment เพื่อตรวจสอบความเสี่ยงต่อสิทธิ (ข้อมูล) ของบุคคล
การรั่วไหลข้อมูลใดๆ ในบริษัทต้องรายงานภายใน 72 ชั่วโมงหลังเกิดการรั่วไหล ถ้าไม่ ค่าปรับรุนแรง และเท่ากับการใช้ข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต: ไม่เกิน 20 ล้านยูโร หรือ 4% ของรายได้ประจำปีทั่วโลก (ichever มากกว่า)
การลบข้อมูลอย่างปลอดภัยยังคงเป็นปัญหา
สองปีนับตั้งแต่บังคับใช้ บางธุรกิจยังมองข้ามหรือลืมลบไฟล์ที่มีอยู่จาก desktop, laptop, external drives และ services นี้มักเกิดจากความเข้าใจผิดเกี่ยวกับวิธีการลบข้อมูลที่ถูกต้อง และขาดการเข้าถึงเครื่องมือที่มีประสิทธิภาพที่อนุญาตให้ลบข้อมูลใน active IT environments ข้อมูลละเอียดอ่อนขององค์กรจึงถูกทิ้งไว้ในตำแหน่งที่อ่อนไหวและเปราะบางต่อการรั่วไหล
สำหรับองค์กรหลายแห่ง การลบข้อมูลอย่างปลอดภัยยังไม่ใช่ความสำคัญสูงสุดของแผนก IT ไม่แปลกใจเมื่อการโจมตีไซเบอร์กลายเป็นความจริงน่าเสียดายในโลกเชื่อมต่อดิจิทัลวันนี้ อย่างไรก็ตาม ตามที่อภิปรายข้างต้น GDPR ทำให้เป็นข้อกำหนดทางกฎหมายให้องค์กรรับรองว่ามีการปฏิบัติการทำลายข้อมูลที่ถูกต้องและปลอดภัย
อย่างไรก็ตาม หลายแผนก IT ขาดความรู้และการศึกษาเกี่ยวกับความแตกต่างระหว่าง 'deletion' และ 'erasure' ในการศึกษาของ Blancco - 'Delete vs Erase': How to wipe files in Active Environments พบว่าครึ่งหนึ่ง (51%) ของผู้ตอบ 400 คน คิดว่าทิ้ง recycle bin เพียงพอที่จะลบข้อมูลจาก desktop/laptop อย่างถาวร อย่างน่ากลัวเท่ากัน 51% อีกกลุ่ม คิดว่า quick format หรือ full reformat ทั้ง drive เพียงพอที่จะทำลายข้อมูลอย่างถาวร
โดยไม่มีความเชี่ยวชาญและความรู้ที่เหมาะสมเกี่ยวกับการลบข้อมูล องค์กรกำลังวางข้อมูลละเอียดอ่อนของพวกเขาในความเสี่ยงต่อการรั่วไหลข้อมูลที่อาจเกิดขึ้น
เพื่อช่วยเสริมสร้างสุขอนามัยข้อมูลขององค์กรคุณ และ ปรับปรุงการจัดการข้อมูลและการลบข้อมูลโดยรวม เราได้รวบรวมเคล็ดลับด้านล่างเพื่อช่วยคุณเมื่อทำ sanitizing ข้อมูลจาก active environment
1. ทำ active secure erasure อัตโนมัติ
แต่ละผู้ใช้ควรทำที่ recycle bin เมื่อ log off จากระบบ ด้วยการทำให้กระบวนการนี้อัตโนมัติ องค์กรของคุณกำลังทำขั้นตอน due diligence ที่จำเป็นเพื่อยืนยันการลบข้อมูลและไฟล์อย่างถาวรและปลอดภัย การทำเช่นนี้จะลดความไม่แน่ใจหรือความเสี่ยงเกี่ยวกับการลบข้อมูลอย่างปลอดภัยจาก laptop หรือ desktop ของผู้ใช้
2. กำหนดตาราง "shred free disk space" operation
Laptop และ desktop ทุกเครื่องที่องค์กรเป็นเจ้าของและใช้ ควรรวมขั้นตอนนี้เมื่อมี service windows หรือมีการ patch scheduled ด้วยการ execute นี้ คุณจะ target ข้อมูลแอปพลิเคชันที่ค้างอยู่ (และข้อมูลอื่นๆ) ที่ถูกลบอย่างไม่เหมาะสมหรือไม่สมบูรณ์โดยผู้ใช้ระบบอย่างต่อเนื่อง
3. ลบ temporary files อัตโนมัติ
การทำให้กระบวนการลบข้อมูลอัตโนมัติจะรับรองว่ามันทำงานอย่างสม่ำเสมอ รับรองความปลอดภัยที่เหมาะสม ด้วยวิธีนี้ คุณสามารถ target ข้อมูลผู้ใช้ที่อาจสะสมและค้างอยู่ในระบบ เช่น browser cache ที่อาจจัดเก็บข้อมูลละเอียดอ่อน
4. ลบไฟล์ผู้ใช้ที่สร้างและบันทึกในเครื่อง
การลบไฟล์ผู้ใช้ที่สร้างในเครื่องอย่างสม่ำเสมอ และส่งเสริมให้พนักงาน archive ข้อมูลใน central repository สามารถป้องกันการรั่วไหลข้อมูลได้ นี่เป็นการต่อสู้ด้านการจัดการข้อมูลที่ทำให้ทีม IT ในองค์กรหลายแห่งปวดหัวมานาน
5. อนุมัติ "power users" ให้ทำ active erasures
สินทรัพย์ที่มักถูกมองข้ามในนโยบาย IT คือการคัดเลือกและมอบหมายกลุ่ม "power users" ภายในองค์กรที่ได้รับอนุญาตให้ทำ active deletion ของไฟล์จากระบบ พวกเขาสามารถมีบทบาทสำคัญในความปลอดภัยของบริษัท โดยเฉพาะถ้าบุคคลจัดเก็บข้อมูลละเอียดอ่อนในตำแหน่งผิด "power users" ควร target ข้อมูลที่จัดเก็บผิดและลบถาวรทันที
6. รับ certificate ยืนยันการลบไฟล์ เพื่อให้แน่ใจถึง regulatory compliance
การรับรองว่าคุณมี certificate และ audit trail ที่พิสูจน์การลบข้อมูลอย่างปลอดภัยและถาวร จะหมายความว่าองค์กรของคุณสามารถแสดงได้ว่ากำลังปฏิบัติตามนโยบายการเก็บรักษาข้อมูลและข้อกำหนดทางกฎหมาย Erasure Verification Services สามารถช่วยองค์กรของคุณยืนยันกลยุทธ์การลบข้อมูล
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการลบข้อมูลอย่างปลอดภัยจากสภาพแวดล้อมของบริษัท ติดต่อผู้เชี่ยวชาญทำลายข้อมูลของเราหนึ่งในท่าน
