Analiza ryzyka zgodnie z RODO

Analiza ryzyka – definicja 

Analiza ryzyka to proces zarządzania ryzykiem w projekcie, który umożliwia osobie odpowiedzialnej za projekt identyfikowanie, planowanie i zarządzanie ryzykami w celu wyeliminowania ich, akceptacji, bądź obniżenia do akceptowalnego poziomu.

Analiza ryzyka ma jednej kluczowy element. Jest to ocena prawdopodobieństwa wystąpienia zagrożenia oraz ocena jego skutków. Uwzględniając taką ocenę, możemy wyznaczyć priorytety i określić strategie: jak będzie wyglądało nasze zarządzanie ryzykiem. Strategią może być: unikanie, minimalizowanie, przenoszenie lub akceptowanie ryzyka.

Jak podaje encyklopedia zarządzania, proces analizy ryzyka składa się z kilku kroków. 

Są to:

• identyfikacja ryzyka; 
• ocena ryzyka; 
• planowanie działań, które uwzględniają zarządzanie ryzykiem; 
• monitorowanie i kontrolowanie ryzyka w trakcie realizacji projektu lub działalności.

Podstawy zarządzania projektami i działalnością na każdym etapie wymagają od nas myślenia, dzięki któremu będziemy patrzyli na procesy w firmie, oceniając ryzyko związane z potencjalnymi zagrożeniami. Encyklopedia zarządzania nawet zwraca na to szczególną uwagę. Jednak na jakie aspekty analizy ryzyka powinniśmy patrzeć, by zapewnić bezpieczeństwo przetwarzania danych naszych klientów i pracowników? O tym poniżej. 

Szacowanie ryzyka to podstawa budowy bezpiecznego systemu ochrony danych osobowych

Analiza ryzyka służy do różnorodnych zadań. 

Na przykład: 

• przygotowania polityki bezpieczeństwa i systemów zarządzania bezpieczeństwem, 
• zarządzania projektem czy przedsiębiorstwem, 
• różnego rodzaju analiz biznesowych, 
• podejmowania decyzji inwestycyjnych czy kredytowych.

Ale co ważniejsze, analiza ryzyka jest kluczowa w kwestiach związanych z ochroną danych osobowych według RODO. 

Podejście oparte na szacowaniu ryzyka pozwala ustalić, jakie są potencjalne zagrożenia związane z przetwarzaniem danych osobowych przez Administratora Danych Osobowych lub podmiot, który przetwarza dane w imieniu Administratora. Na podstawie wyników oceny ryzyka, możliwe jest ustalenie, w jaki sposób należy zabezpieczyć dane osobowe aby uzyskać odpowiedni do potencjalnych zagrożeń stopień ochrony i potencjalnie obniżyć poziom prawdopodobieństwa wystąpienia incydentu.

Jak ocenić ryzyko? Metody analizy ryzyka 

Pierwszym elementem niezbędnym do tego, aby dokonać analizy ryzyka w organizacji jest ocena tego, jakie aktywa biorą udział w przetwarzaniu danych osobowych. Aktywem organizacji jest każdy element, który ma dla niej wartość. Mogą to być pracownicy, sprzęt, ale także procesy biznesowe, klienci czy też mechanizmy działania w ramach organizacji. Część z tych aktywów może być związana z przetwarzaniem danych osobowych. W związku z tym potencjalne zagrożenie dla określonego aktywu (np. kradzież sprzętu) wiąże się z ryzykiem związanym z przetwarzaniem danych osobowych.

Drugim etapem analizy ryzyka jest stworzenie listy potencjalnych zagrożeń dla przetwarzania danych osobowych, związanych z wykorzystywaniem różnego rodzaju aktywów. Inne zagrożenia bowiem dotyczą przetwarzania danych osobowych w systemach IT, a inne przetwarzania danych za pomocą tradycyjnych dokumentów, analizowanych przez pracowników.

Konieczna analiza ryzyka musi objąć wszystkie źródła ryzyka – zarówno ryzyka płynące z zewnątrz organizacji, jak i te, wynikające z jej wnętrza, związane z samym jej funkcjonowaniem. 

Osobą, która może doprowadzić do naruszenia bezpieczeństwa danych osobowych, może być nie tylko osoba spoza firmy, ale też Twój pracownik. Może to być: 

• włamywacz, który wykradnie istotne dokumenty z biura, 
• haker próbujący włamać się do systemu informatycznego organizacji, 
• pracownik, który nieopatrznie zostawił dokumenty w miejscu publicznym lub zgubił laptopa z zapisanymi na jego dysku danymi osobowymi. 

Zagrożenia te możemy podzielić na zagrożenia techniczne lub organizacyjne. Techniczne związane są z wykorzystywaniem sprzętu do przetwarzania danych osobowych, a organizacyjne z działaniami ludzi, ich motywacją, przyzwyczajeniami czy też regułami, którymi się kierują. Wreszcie potencjalne ryzyko może obejmować również inne zdarzenia lub słabości systemu organizacyjnego, niezwiązane bezpośrednio z działaniami innych osób, które wpływają na integralność danych osobowych. Takimi słabościami i zdarzeniami mogą być na przykład: awaria sprzętu IT, zalanie dokumentów czy pożar. Tego rodzaju okoliczności również są uznawane za potencjalne zagrożenie dla bezpieczeństwa danych osobowych. Jeśli już doszło do incydentu musisz niezwłocznie zareagować. Sprawdź jak to zrobić w naszym artykule Wyciek danych osobowych - jakie działania powinien podjąć Administrator danych w celu minimalizacji skutków wycieku danych.

Wady technik analizy ryzyka – co wiemy i jak je obejść?

 Większość stosowanych metod analizy ryzyka odznacza się takimi słabościami jak: 

• niepełność kategorii ryzyka; 
• brak wystarczających danych;
• nieuwzględnianie ryzyka wtórnego; 
• nieuwzględnianie zagrożenia spowodowanego umyślnie; 
• trudność jednoznacznej interpretacji wyników. 

Należy pamiętać, że analiza ryzyka nie ma na celu całkowitego wyeliminowania ryzyka, ale raczej minimalizowanie go do akceptowalnego poziomu oraz planowanie i przygotowanie na ewentualne sytuacje niekorzystne. Jeśli potrzebujesz kompletnej procedury analizy ryzyka, którą przygotowaliśmy eliminując możliwe wady technik analizy ryzyka i wykorzystując nasze wieloletnie doświadczenie, to zajrzyj do naszego sklepu. Dzięki dokumentowi "Analiza ryzyka" zarządzanie ryzykiem identyfikacja ryzyka, zarówno, jak i wykorzystywanie różnorodnych metod oceny ryzyka czy ocena skutków incydentów nie będą stanowiły dla Ciebie żadnego problemu!

Szacowanie ryzyka bezpieczeństwa danych osobowych

Pierwsze kroki analizy ryzyka już za nami. Ustaliliśmy jakie aktywa są istotne z punktu widzenia ochrony danych osobowych oraz stwierdziliśmy jakie są potencjalne ryzyka, dotyczące przetwarzania danych w naszej firmie.

Co dalej? Definiujemy prawdopodobieństwo wystąpienia ryzyka. 

Czy istnieje możliwość, że w związku z określonym aktywem dojdzie do ziszczenia się któregoś z zagrożeń, co doprowadzi do naruszenia ochrony danych osobowych? Prościej mówiąc: czy ktoś z naszych pracowników HR zostawia CV kandydatów na stole w kuchni? Albo czy któryś pracownik pracuje zdalnie i często łączy się na konfidencjalne spotkania z kawiarni? Zgubił ktoś kiedyś w firmie laptopa i sytuacja może się powtórzyć?

Warto określić, chociaż w sposób przybliżony, prawdopodobieństwo wystąpienia takich sytuacji. Musimy również stwierdzić, jakie konsekwencje związane będą z ewentualnym naruszeniem ochrony danych osobowych. W szczególności konieczne jest uwzględnienie tego, czy może dojść do naruszenia praw lub wolności osób fizycznych, których dane dotyczą. Obejmuje to zwłaszcza możliwość poniesienia szkody przez podmioty danych, naruszenie ich dobrego imienia, wizerunku czy też dóbr osobistych i wolności osób fizycznych.

Dane szczególne i bezpieczeństwo przetwarzania

Przepis artykuł 32 ust. 1 RODO wskazuje, że w toku analizowania ryzyka konieczne jest wzięcie pod uwagę charakteru przetwarzania danych osobowych, czyli tego, jakie operacje przetwarzania danych wykonywane są w organizacji i jakich kategorii danych dotyczą poszczególne operacje na danych.

W przypadku przetwarzania danych osobowych, obejmujących szczególne kategorie danych (np. informacje o stanie zdrowia, poglądach politycznych, danych biometrycznych) ryzyko może być większe. Należy wziąć  pod uwagę to, że potencjalne szkody i straty, związane z wyciekiem szczególnych kategorii danych lub ich utratą jest wyższe niż w odniesieniu do zwykłych danych osobowych. 

Następny krok to uwzględnienie zakresu przetwarzania danych osobowych – dotyczy to zwłaszcza tego, ilu osób dane dotyczą. Zasadne jest przeanalizowanie także kontekstu przetwarzania danych osobowych, czyli wzięcia pod uwagę innych okoliczności prawnych i faktycznych związanych z przetwarzaniem danych. 

Mogą one obejmować np. środki techniczne wykorzystywane do przetwarzania danych, czas przetwarzania danych czy też podstawę prawną ich zbierania. Ostatnim elementem, który powinien być wzięty pod uwagę, jest cel przetwarzania danych osobowych, czyli informacja dlaczego administrator zgromadził dane osobowe i po co dokonuje na tych danych operacji.

Na tej podstawie organizacja, w której szacowane jest ryzyko może ustalić, jakie procesy związane z przetwarzaniem danych osobowych są najbardziej newralgiczne i wskazują na istotną możliwość naruszenia ochrony danych osobowych. Jeśli chcesz dowiedzieć się więcej o szacowaniu ryzyka w organizacji zapraszamy do artykułu Analiza i szacowanie ryzyka w RODO. 

Co po analizie ryzyka? Osiągnięcie bezpieczeństwa informacji

Efektem analizy ryzyka jest możliwość ustalenia, jakie 

środki pozwolą na zmniejszenie ustalonego ryzyka, a tym samym – zwiększenie poziomu zabezpieczeń danych osobowych. 

RODO nie wskazuje przy tym na konkretne zabezpieczenia, które powinny być wdrożone przez Administratora Danych Osobowych, co oznacza, że obowiązek ich wyboru spoczywa właśnie na organizacji, która dokonuje wdrożenia zabezpieczeń. RODO posługuje się przy tym koniecznością wdrożenia odpowiednich technicznych i organizacyjnych środków bezpieczeństwa, aby zapewnić stopień bezpieczeństwa odpowiadający oszacowanemu wcześniej ryzyku. 

Tym samym podstawą do wdrożenia różnego rodzaju zabezpieczeń danych jest właśnie ocena ryzyka – to ona bowiem wskazuje nam na potencjalne zagrożenia, prawdopodobieństwo ich wystąpienia oraz ewentualne skutki naruszenia ochrony danych osobowych. Dzięki temu jesteśmy w stanie ustalić, które procesy związane z przetwarzaniem danych osobowych wymagają największej uwagi, a tym samym – wdrożenia zabezpieczeń wysokiej jakości.

Przepisy rozporządzenia wskazują, że elementami zabezpieczeń mogą być np. takie środki techniczne, które umożliwiają pseudonimizację lub szyfrowanie danych osobowych. RODO wskazuje także, że w toku dokonywania wdrożeń administrator powinien wziąć pod uwagę stan wiedzy technicznej oraz koszty wdrażania poszczególnych zabezpieczeń. Metody zabezpieczenia danych powinny bowiem odpowiadać aktualnej wiedzy o potencjalnych zagrożeniach i uwzględniać postęp technologiczny. 

Nie bez znaczenia jest też konieczność uwzględnienia kosztów wdrożenia zabezpieczeń w budżecie danej organizacji. Koszty te nie powinny być nadmierne, tak aby nie uniemożliwić rozwoju organizacji na innych polach działalności.

Proces zarządzania ryzykiem, jako metoda na osiągnięcie bezpieczeństwa danych osobowych

Całość opisanych powyżej działań pozwala na minimalizację ryzyka związanego z przetwarzaniem danych osobowych. Analiza ryzyka to proces, ale zarazem jest ona tym elementem zarządzania bezpieczeństwem, który wskazuje na potencjalne zagrożenia i umożliwia wdrożenie odpowiednich technicznych i organizacyjnych zabezpieczeń, które są dostosowane do działalności danej organizacji i umożliwiają zwiększenie poziomu bezpieczeństwa danych. 

Należy pamiętać, że proces analizy ryzyka powinien być ciągły, co oznacza, że nie jest dopuszczalne oparcie się na jednostkowej analizie. Powinna ona być na bieżąco przeglądana i uaktualniana, tak aby dostosowywać zabezpieczenia do pojawiających się nowych zagrożeń.

Sprawdź również:

• Rejestr czynności przetwarzania
• Naruszenie ochrony danych osobowych
• Monitoring wizyjny a ochrona danych osobowych