In einem unserer letzten Beiträge haben wir die Bedeutung des Datenschutzes und die Best Practices besprochen, die Unternehmen anwenden sollten, um sicherzustellen, dass vertrauliche Informationen sicher und geschützt aufbewahrt werden. Wir haben auch die Grundsätze und Vorschriften besprochen, die den Datenschutz regeln. Hier werden wir die Datenkonformität diskutieren. Daten-Compliance ist die Praxis, sicherzustellen, dass Unternehmen Vorschriften befolgen, um sicherzustellen, dass die sensiblen Daten, die sie besitzen, organisiert, gespeichert und verwaltet werden, damit sie vor Verlust, Korruption, Diebstahl und Missbrauch geschützt sind.
Lesen Sie weiter, um mehr über Datenschutzvorschriften, Lösungen und Standards zu erfahren.
Lesen Sie auch: DATENSCHUTZ: Bedeutung und Best Practices für Organisationen
Was ist Datenkonformität?
Wie bereits erwähnt, bezieht sich Daten-Compliance auf die Vorschriften und Standards, die ein Unternehmen befolgen muss, um die sensiblen digitalen Vermögenswerte, die ihm zur Verfügung stehen – typischerweise personenbezogene Daten und Finanzinformationen – vor Verlust, Diebstahl und Missbrauch zu schützen. Diese Vorschriften nehmen verschiedene Formen an. Sie legen fest, welche Daten geschützt werden müssen, welche Praktiken akzeptabel sind und die Strafen für die Nichteinhaltung der Standards.
Obwohl Datenkonformität und Datensicherheit ähnlich klingen, sind sie nicht dasselbe. Während sowohl die Daten-Compliance als auch die Datensicherheit darauf abzielen, die mit der Erfassung, Aufbewahrung und Handhabung von Daten verbundenen Risiken zu reduzieren und zu managen, stellt die Daten-Compliance lediglich sicher, dass Sie das absolute Minimum an gesetzlichen Verpflichtungen erfüllen. Datensicherheit hingegen umfasst alle Prozesse und Technologien, die zum Schutz sensibler Daten verwendet werden, wie Firewalls, Verschlüsselung und Kennwortschutzprotokolle.
Was sind die 3 Zustände der Datenkonformität?
Sie sind:
- Daten zur Ruhe
- Daten zur Bewegung
- Nutzungsdaten
Datenschutzbestimmungen und Lösungen
#1. HIPAA
Der Health Insurance Portability and Accountability Act von 1996 legt fest, wie Einrichtungen in den Vereinigten Staaten, die im Besitz von Gesundheits- und medizinischen Daten von Einzelpersonen sind, die Sicherheit und Vertraulichkeit dieser Aufzeichnungen wahren müssen.
Wenn man bedenkt, dass dies einige der sensibleren Aufzeichnungen sind, kann die Strafe für das Versäumnis, sie aufzubewahren, schwer für die Organisation sein. Es gab Fälle, in denen ein Unternehmen Millionen von Dollar zahlen musste. Beispielsweise erklärte sich 2018 eine bestimmte Versicherungsgesellschaft bereit, eine Geldstrafe von 16 Millionen US-Dollar zu zahlen, nachdem ein Hacking-Versuch die Gesundheitsinformationen von über 79 Millionen Kunden offengelegt hatte.
Darüber hinaus verlangt HIPAA, dass alle elektronischen Patientenakten nur Personen mit berechtigten Gründen zugänglich sind, daher sind Verschlüsselung und strenge Zugangsbeschränkungen unerlässlich. Die Regeln gelten nicht nur für Datensätze innerhalb der Datenbank, sondern auch für gemeinsam genutzte Datensätze. Daher müssen Maßnahmen ergriffen werden, um sicherzustellen, dass Aktionen wie E-Mails und Dateiübertragungen sorgfältig überwacht, gesichert und verwaltet werden.
#2. PCI-DSS
Der PCI-DSS ist der zweite auf der Liste der Datenkonformitätslösungen. Der Payment Card Industry Data Security Standard (PCI DSS) ist ein wichtiger Aspekt jedes Compliance-Prozesses für Organisationen, die sich mit Finanzinformationen von Verbrauchern befassen, da er Vorschriften dafür festlegt, wie Unternehmen Karteninhaberdaten wie Kreditkartennummern verwalten und schützen.
Im Gegensatz zur DSGVO ist PCI DSS eher ein Industriestandard als eine staatliche Regulierung. Dies schmälert jedoch nicht seine Bedeutung, da jedes Unternehmen, das gegen seine Datenkonformitätsstandards verstößt, mit hohen Geldbußen rechnen muss oder sogar seine Beziehungen zu Banken oder Zahlungsabwicklern beendet werden müssen, was es für Unternehmen äußerst schwierig macht, Kartenzahlungen anzunehmen.
Selbst wenn ein Unternehmen Dienste von Drittanbietern zur Verarbeitung von Kartenzahlungen nutzt, wie es viele tun, ist es dennoch die Pflicht des Unternehmens, die Sicherheit aller Kredit- oder Debitkartendaten zu gewährleisten, die es sammelt, überträgt oder speichert.
Die spezifischen Verfahren, die Unternehmen ergreifen müssen, hängen davon ab, wie viele Transaktionen sie verarbeiten – diejenigen mit einem größeren Kundenstamm unterliegen erheblich strengeren Vorschriften zur Datenkonformität – aber letztendlich verlangen die PCI-DSS-Standards von Unternehmen, dass sie ein bestimmtes Maß an Sicherheit gewährleisten.
Erwähnenswert ist, dass das Payment Card Industry Security Standards Council eine Reihe von Maßnahmen skizziert, die Unternehmen ergreifen müssen, um diese Standards einzuhalten. Diese Maßnahmen reichen von der Installation einer ausreichenden Firewall bis hin zum regelmäßigen Testen von Systemen und Prozessen zum Schutz von Karteninhaberdaten. Natürlich gibt es keine Entschuldigung dafür, keinen klaren Plan zu haben, um diese Standards zu erreichen.
#3. DSGVO
Die DSGVO ist eine der neuesten und umfassendsten Datenschutzbestimmungen. Seit ihrem Inkrafttreten am 25. Mai 2018 hat die DSGVO eine Reihe von Lösungen eingeführt, die das Recht der Menschen betreffen, zu erfahren, welche Daten Entitäten über sie besitzen, wie Unternehmen diese Daten verarbeiten sollten, und strengere Gesetze für die Meldung von Datenschutzverletzungen.
Interessanterweise gelten diese Regelungen nicht nur für in Europa ansässige Unternehmen. Wenn Sie Geschäfte mit einer Person tätigen, die der Gerichtsbarkeit der EU unterliegt, müssen Sie die Regeln der DSGVO einhalten. Obwohl das Gesetz viele Anforderungen enthält, können die meisten von ihnen auf drei Grundprinzipien heruntergefiltert werden: Einwilligung einholen, Menge der gespeicherten Daten reduzieren und die Rechte der betroffenen Personen schützen.
Auch wenn es wie ein kleiner Schritt erscheinen mag, muss jedes Unternehmen als Erstes jemanden ernennen, der seine Aktivitäten überwacht, um die Einhaltung der DSGVO-Gesetze und -Standards sicherzustellen. Diese Person, bekannt als Daten Compliance-Beauftragter, ist in bestimmten Unternehmen erforderlich, die große Datenmengen verwenden, und ihre Pflicht besteht darin, die Datenschutzstrategie und -umsetzung zu überwachen, um sicherzustellen, dass die DSGVO-Anforderungen und -Vorschriften erfüllt werden.
#4. CCPA
Dies ist einer der strengsten Verbraucherschutzbestimmungen, denen viele in den USA ansässige Unternehmen begegnen werden. Sie wurde als die kalifornische DSGVO bezeichnet, und obwohl sie in Bereichen wie den Meldepflichten nicht so streng ist wie die DSGVO, ist sie in mancher Hinsicht viel mehr als ihr europäisches Gegenstück.
Dazu gehören beispielsweise alle Informationen, aus denen Rückschlüsse gezogen werden können, um ein Kundenprofil zu erstellen, das die „Vorlieben, Eigenschaften, psychologischen Tendenzen, Veranlagungen, Verhaltensweisen, Einstellungen, Intelligenz, Fähigkeiten und Neigungen“ einer Person in seiner Definition von privaten Daten widerspiegelt.
Die Einhaltung des CCPA wird nicht für jedes Unternehmen erforderlich sein. Es gilt nur für Unternehmen mit einem Jahresbruttoumsatz von mehr als 25 Millionen US-Dollar; diejenigen, die die personenbezogenen Daten von 50,000 oder mehr Personen, Haushalten oder Geräten erwerben, erhalten oder verkaufen; oder Unternehmen, die 50 % oder mehr ihres Jahresumsatzes durch den Verkauf personenbezogener Daten von Kunden erzielen.
Dies schließt zwar viele kleinere Unternehmen aus, bedeutet aber, dass praktisch jedes mittlere oder große Unternehmen, das mit Kunden in Kalifornien arbeitet, abgedeckt ist. Dies kann es für viele US-Firmen relevanter machen als die DSGVO, denn während einige Organisationen beschlossen haben, ihre Geschäftstätigkeit in Europa vollständig einzustellen, um diese Verordnung zu umgehen, kann es für sie viel schwieriger sein, den CCPA zu umgehen, weil sie es nicht sein müssen in Kalifornien ansässig sind oder sogar eine physische Präsenz im Bundesstaat haben, um seinen Bestimmungen zu unterliegen.
#5. SOX
Der Sarbanes-Oxley Act von 2002 (SOX) wurde erlassen, um eine Wiederholung der Bilanzskandale um Enron zu verhindern. WorldCom und andere. Da es sich eher auf die Finanzberichterstattung als auf den Datenschutz konzentriert, halten IT-Experten es möglicherweise für weniger wichtig als einige der anderen Standards, die sie einhalten müssen. Im Gegenteil, dies ist nicht der Fall. IT-Abteilungen haben besondere Pflichten, um sicherzustellen, dass diese Anforderungen erfüllt werden.
Zunächst müssen sie sich an den CEO und CFO halten, indem sie sicherstellen, dass sie Echtzeit-Finanzberichte über die Organisation erhalten. Dies beinhaltet die Einrichtung von Mechanismen zur Automatisierung von Berichten und die Konfiguration von Alarmen, die ausgelöst werden, wenn kritische Ereignisse auftreten, die einer genaueren Prüfung bedürfen.
Darüber hinaus muss das IT-Personal auch gewährleisten, dass alle Aufzeichnungen ordnungsgemäß gespeichert werden. Daher sind effektive und rechtzeitige Backups kritischer Informations- und Dokumentenverwaltungssysteme entscheidend für die Einhaltung dieser Regeln. Um effektiv zu sein, müssen sie auch einen vollständigen Einblick in jeden Aspekt der digitalen Assets ihres Unternehmens gewährleisten. Sofortnachrichten, E-Mails, aufgezeichnete Telefongespräche und Finanztransaktionen müssen mindestens fünf Jahre lang aufbewahrt werden, falls die Prüfer dies wünschen, daher müssen geeignete Verwaltungssysteme vorhanden sein.
Schließlich müssen IT-Experten sicherstellen, dass Aufzeichnungen und Audits bei der Einhaltung von SOX so reibungslos wie möglich verlaufen. Tools zur Automatisierung von Aktivitäten, zur Verwaltung und Überwachung des Datenflusses sowie zur schnellen Archivierung und Abfrage von Informationen werden dabei alle eine wichtige Rolle spielen.
Die Vorteile der Datenkonformität für Unternehmen
Wenn Ihr Unternehmen der Datensicherheit und Compliance Priorität einräumt, sollten Sie mit finanziellen Belohnungen rechnen. Zum einen können Sie Ihren Kunden versichern, dass sie ihre Daten bei Ihnen hinterlassen können. Dies ist ein langer Weg, um zu garantieren Kundenbindung und ein positives Image
Wenn Sie sich außerdem Mühe geben, Protokolle dafür zu entwerfen und aufzuzeichnen, wie Ihr Unternehmen vertrauliche Informationen verwaltet, die Privatsphäre schützt und auf Sicherheitsverletzungen reagiert, kann Ihr Unternehmen widerstandsfähig und anpassungsfähig bleiben, wenn sich Ihre Umgebung ändert und das Unerwartete eintritt.
Schließlich hilft die gründliche Implementierung von Sicherheits-Compliance-Standards Ihrem Unternehmen, das Risiko von Reputations- und finanziellen Schäden durch Datenschutzverletzungen zu verringern.
Während es wichtig ist, Prüfern nachzuweisen, dass Ihr Unternehmen bestimmte Anforderungen (z. B. SOX, HIPAA, CCPA) erfüllt, dürfen Sie nicht vergessen, dass die Einhaltung einer Datenschutz-Compliance-Richtlinie tatsächlich zu Ihrem Vorteil ist. Ein systematischer Compliance-Ansatz kann Ihnen dabei helfen, die Wahrscheinlichkeit von Vorkommnissen zu verringern, bei denen die Daten Ihrer Kunden, geistiges Eigentum des Unternehmens und Geschäftsabläufe offengelegt werden.
Wie halten Sie die Datenkonformität aufrecht?
Befolgen Sie als Geschäftsinhaber diese Kontrollmaßnahmen, um die Einhaltung von Datensicherheitsstandards und -vorschriften zu gewährleisten:
#1. Pflegen Sie genaue Aufzeichnungen über Datensicherheitsmaßnahmen und Prüfverfahren.
Aus den folgenden Gründen ist es wichtig, Aufzeichnungen über alle Ihre Datenschutz- und Prüfverfahren zu führen:
Zunächst stellt diese Aufzeichnung sicher, dass keine einzelne Person detaillierte Kenntnisse über die Compliance-Maßnahmen Ihres Unternehmens hat. Ohne diese Aufzeichnung tappt Ihr Unternehmen möglicherweise im Dunkeln, und ein Audit kann eklatante Schwachstellen im Datensicherheits- und Compliance-Programm aufdecken.
Darüber hinaus zeigt diese Aufzeichnung der Compliance-Aktivität die Bemühungen Ihres Unternehmens in gutem Glauben, alle Anforderungen zu erfüllen. Viele Vorschriften haben nach Treu und Glauben Ausnahmen, die es Behörden ermöglichen, Strafen für Organisationen zu reduzieren, die über solide Compliance-Prozesse verfügen oder sich aktiv darum bemühen, einen solchen zu entwickeln.
Schließlich müssen Sie, um ein Audit zu bestehen, dem Auditor zeigen, dass Sie die Datensicherheitsstandards ernst nehmen. Wirtschaftsprüfer möchten umfangreiche Aufzeichnungen, um festzustellen, ob die von Ihnen eingerichteten Verfahren zum Schutz der von Ihnen gespeicherten oder verarbeiteten Daten angemessen sind. Wenn Sie die Anforderungen von Wirtschaftsprüfern berücksichtigen, können Sie sich auf diese Schlüsselelemente konzentrieren.
#2. CCF-Maßnahme anwenden.
Ein Common Controls Framework (CCF) ist ein vollständiger Satz von Kontrollkriterien, die aus einer Vielzahl von Branchendatensicherheits- und Datenschutzstandards abgeleitet werden. Die Verwendung eines CCF ermöglicht es einem Unternehmen, die Standards für Sicherheit, Datenschutz und andere Compliance-Verfahren zu erfüllen und gleichzeitig das Risiko einer „Überkontrolle“ zu begrenzen.
#3. Stellen Sie sicher, dass Ihre Datenschutzvorkehrungen auf dem neuesten Stand sind.
Diese Standards legen großen Wert auf Datensicherheit. Stellen Sie also sicher, dass Sie nicht nur über ein starkes Sicherheits-Compliance-Verfahren verfügen, sondern auch über aktuelle Daten-Compliance-Lösungen verfügen. Diese Daten-Compliance-Lösungen sind entscheidend, um die Wahrscheinlichkeit einer Datenschutzverletzung in Ihrem Unternehmen zu verringern.
Wenn die Datenverwaltungs- und -schutzmaßnahmen Ihres Unternehmens schwach sind, wird es erheblich schwieriger, Datensicherheits- und Compliance-Standards zu erfüllen, die mit Blick auf die heutigen Technologien entwickelt wurden.
#4. Benennen Sie einen Beauftragten für Datensicherheit und Compliance-Standards.
Angesichts der vorstehenden Faktoren fragen Sie sich vielleicht, wer für die Datenkonformität zuständig ist. Ihr Datensicherheits- und Compliance-Prozess erfordert wie jeder andere einen einzigen Ansprechpartner – einen Beauftragten, der sich um alle beweglichen Teile kümmert. Diese Person sollte direkten Zugang zu Führungskräften und die Glaubwürdigkeit und Macht haben, andere im gesamten Unternehmen davon zu überzeugen, Datensicherheits- und Compliance-Standards zu erfüllen.
Was ist die Rolle eines Datenschutzbeauftragten?
Die Hauptverantwortung des Datenschutzbeauftragten besteht darin, sicherzustellen, dass seine Organisation die personenbezogenen Daten seiner Mitarbeiter, Kunden, Anbieter oder anderer Personen in Übereinstimmung mit den geltenden Datenschutzanforderungen verarbeitet.
Fazit
Um Bußgelder oder Reputationsschäden zu vermeiden, sollten Unternehmen über ein starkes Compliance-Programm und eine Datenschutzrichtlinie verfügen. Andernfalls laufen sie Gefahr, Kunden zu verlieren oder, schlimmer noch, eine hohe Strafe zu zahlen.
Ähnliche Artikel
- COMPLIANCE MANAGEMENT SYSTEME: Definition, Beispiele und Softwareoptionen
- BESTE POLITIK-MANAGEMENT-SOFTWARE: Bewertungen 2023
- HR-COMPLIANCE: Was ist das, Software, Training & Bedeutung
Referenz
- IPF
