RODO przedstawia przykładowy katalog czynności jakie mogą pomóc w ochronie danych osobowych. Należy pamiętać, że nie każde z tych czynności będą miały zastosowania w biurze rachunkowym. Konieczne jest bowiem dopasowanie takich zabezpieczeń, które faktycznie w danym miejscu będą spełniały swoją rolę. RODO wskazuje więc kierunki natomiast nie mówi dokładnie jaki ostatecznie wybrać zabezpieczenie. Jak powinno wyglądać bezpieczeństwo danych w biurze rachunkowym?
Bezpieczeństwo danych w biurze rachunkowym - pseudonimizacja lub anonimizacja i szyfrowanie danych osobowych
Pseudonimizacja
Pseudonimizacja to proces odwracalny w skutkach polegający na zamianie listy danych osobowych na np. numerki czyli pseudonimy, dzięki czemu można byłoby w łatwy sposób rozszyfrować kogo dane dotyczą. Stosowana jest np. na uczelniach - student Jan Kowalski na listach wyników widnieje zamiast pod imieniem i nazwiskiem to pod numerem indeksu - w ten sposób tylko znający numery indeksów są w stanie przypisać konkretny wynik do danej osoby fizycznej. Pseudonimizację wykorzystuje się często przy udostępnianiu danych dla celów tworzenia statystyk. W praktyce więc dotyczy głównie sytuacji udostępniania danych na zewnątrz i to w określonych celach, co nie dotyczy systemu księgowego.
Anonimizacja
Anonimizacja to proces nieodwracalny mający na celu uniemożliwienie wykorzystania danych osobowych. W systemie księgowym gdzie dane wykorzystywane są dla konkretnych celów księgowych czyli czynności związanych z prawem, anonimizacja nie ma zastosowania z uwagi na prawny wymóg archiwizacji do czasu przedawnienia obowiązku podatkowego i/ lub roszczeń umownych.
Szyfrowanie danych
Szyfrowanie danych osobowych to zabezpieczenie wykorzystywane szczególnie przy czynności przesyłu danych. Poprzez szyfrowanie wszystkich danych wychodzących i wchodzących z/do aplikacji transmisja staje się bezpieczna. Protokół używany przez wfirma.pl SSL-EV jest takim wysokim zabezpieczeniem jakiego używają banki.
Innym sposobem szyfrowania danych osobowych jest zabezpieczenie przesyłanych między firmami plików hasłem - jak bezpiecznie przesłać plik z danymi?
Zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania
Osiąga się to dzięki:
szyfrowanym kanałom przepływu danych ssl ev
uwierzytelnieniu użytkownika - możliwość włączenia dwuetapowego logowania
automatycznym procedurą wylogowania - na wypadek utraty zasilania
zarządzaniu upoważnieniami dostępu do danych np. pomoc ekspertów serwisu wfirma.pl - eksperci nie mają dostępu do danych przechowywanych przez użytkowników serwisu, a ponadto w procesie relacji ekspert wfirma - użytkownik (przedsiębiorca) używana jest pseudoanonimizacja danych - ekspert widzi jedynie imię i numer ID (do listy ID przypisanych do konkretnych danych osobowych użytkowników upoważnienie mają jedynie pracownicy serwisu wfirma.pl, którym jest to niezbędne do realizacji zadań pracowniczych)
stosowaniu wysokiej klasy zabezpieczeniom infrastruktury technicznej
procedury związane z bezpieczeństwem serwisu wfirma.pl są monitorowane na bieżąco (system alertów), sprawdzane-testowane (w zależności od zakresu raz na kwartał lub raz na rok) i aktualizowane - dostosowywane do aktualnych wymogów prawa.
Zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego
Dotyczy przede wszystkim tworzenia kopii zapasowych. Przy tworzeniu kopii zapasowych zwraca się szczególną uwagę na to by miejsce przechowywania kopii zapasowych było w odmiennej lokalizacji niż serwer główny oraz na to by wprowadzone zostały procedury i czynności dotyczące sprawdzania poprawności tworzenia backupów czyli tzw. okresowe testowanie odtwarzania kopii.
Dodatkowo wysokim standardem zabezpieczeń jest wprowadzona np. w systemie wFirma dla biur rachunkowych replikacja danych czyli proces powielania informacji pomiędzy różnymi serwerami baz danych w czasie prawie rzeczywistym (czyli minimalne opóźnienia). W razie awarii pozwala to na szybsze przełączenie i zachowanie ciągłości działania i dostępu do danych.
Regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania
Zarówno serwis wfirma.pl jak i infrastruktura techniczna poddawana jest ciągłemu testowaniu i odtwarzaniu a prowadzona regularnie ocena ryzyka pozwala na ocenę skuteczności stosowanych środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych.
