Najczęstszy incydent to wysłanie danych, których wysyłać nie było wolno. Liczy się to, co dzieje się w następnej godzinie.
Typowe zdarzenia
- przekazanie danych osobowych do narzędzia bez umowy powierzenia,
- wysłanie dokumentu objętego tajemnicą,
- publikacja treści z błędną informacją,
- rozstrzygnięcie podjęte automatycznie tam, gdzie nie powinno,
- udostępnienie konta firmowego osobie nieuprawnionej.
Warto tę listę przejrzeć z zespołem zawczasu. Część zdarzeń nie wygląda dla pracownika na incydent — wklejenie wiadomości od klienta albo zrzutu ekranu z zamówieniem to dla niego zwykła czynność, a nie naruszenie zasad.
Pierwsze kroki
Ustalić, co dokładnie zostało przekazane, do jakiego narzędzia i na jakim koncie. Bez tych trzech informacji nie da się ocenić skali.
Rozmowę prowadzimy spokojnie i bez zarzutów, bo potrzebne są fakty, a osoba wystraszona podaje ich mniej. Pomaga poproszenie o pokazanie historii zapytania zamiast opowiedzenia z pamięci.
Ograniczenie skutków
Usunięcie historii, jeśli narzędzie to umożliwia, wycofanie opublikowanej treści, odebranie dostępu. Szybkość ma tu największe znaczenie.
Zanim to zrobimy, warto zachować zrzut albo kopię tego, co się stało. Usunięcie bez zapisu utrudnia późniejszą ocenę i pozbawia firmę materiału, który sama będzie potrzebować przy wyjaśnianiu sprawy.
Ocena obowiązku zgłoszenia
Naruszenie ochrony danych osobowych może wymagać zgłoszenia do organu nadzorczego, a czasu na ocenę jest niewiele. Rozstrzygnięcie należy do prawnika albo inspektora ochrony danych i po to właśnie potrzebne są fakty zebrane w pierwszej godzinie. Ocenę trzeba wykonać, a nie odłożyć — także wtedy, gdy wydaje się, że nic złego się nie stało.
Zapis zdarzenia
Co się stało, kiedy, jak zareagowano. Wymagany przy naruszeniach danych i przydatny przy wszystkich pozostałych.
Wystarczy kilka zdań w jednym miejscu, prowadzonym na stałe. Zapis prowadzony od pierwszego zdarzenia po roku pokazuje, gdzie zasady są nieczytelne, a gdzie brakuje szkolenia.
Warto notować także zdarzenia drobne i te, które ostatecznie okazały się nieszkodliwe. Kosztuje to kilka minut, a daje obraz, którego inaczej nie ma: co się w tej firmie naprawdę zdarza, jak często i w których procesach.
Wnioski
Incydent zwykle wskazuje lukę w zasadach albo w szkoleniu. Ukaranie osoby bez usunięcia przyczyny gwarantuje powtórzenie — tyle że niezgłoszone.
Poprawka najczęściej sprowadza się do dopisania przypadku do listy wykluczeń jako rozstrzygniętego przykładu. Jeśli zdarzenia powtarzają się w tym samym miejscu, problem leży w samych zasadach, a nie w ludziach.
Zanim incydent nastąpi
Trzy rzeczy warto ustalić wcześniej: kto jest osobą do zgłoszenia, kto ma dostęp administracyjny do narzędzi i z kim firma kontaktuje się w sprawach ochrony danych. Szukanie tych informacji w trakcie zdarzenia kosztuje najcenniejsze godziny. Sprawdzenie, czy nadal są aktualne, należy do rocznego przeglądu.
