Moduł RODO w procesie zarządzania przedsiębiorstwem – przeznaczony dla zarządu, marketingu, sprzedaży, rozwoju produktów, IT, bezpieczeństwa, działu prawnego, zakupów, zapewnienia jakości, administracji, jednostki/zespołu odpowiedzialnego za wdrożenie zgodności z RODO w przedsiębiorstwie.
Podczas tego modułu skoncentrujemy się na cyklu życia danych osobowych w przedsiębiorstwie, niezbędnych modyfikacjach w procesach zarządzania. Omówimy podejście oparte na ryzyku (RBA) oraz cykl Deminga (PDCA). Pokażemy, jak wykorzystać normę ISO27001 do projektowania bezpiecznego systemu przetwarzania danych osobowych.

W części praktycznej grupa zastosuje tę wiedzę w pracy nad studium przypadku – zaproponuje rozwiązania, które obniżą ryzyko wystąpienia incydentów w przyszłości.

AGENDA

• Wstęp – RODOodporność w 10 krokach
• Zagrożenia i podatności
  • Omówienie cyberzagrożeń i podatności
  • Demonstracja praktyczna – atak na źle zabezpieczony system oraz niewyedukowanego pracownika, wykorzystanie podatności
• Co mówi RODO nt zabezpieczenia danych osobowych od strony technicznej
  • Zabezpieczenia adekwatne do ryzyka, analiza ryzyka
  • Ochrona komputerów
  • Ochrona urządzeń mobilnych
  • Ochrona systemów IT
  • Analiza ryzyka i adekwatne systemy zabezpieczeń na przykładzie poczty elektronicznej
  • Klasy omawianych rozwiązań: anti-malware, anti-phishing, zero-day, user behaviour analysis z wykorzystaniem machine learning, DLP, PAM, NAC, IRM, ITSM.
• Ciągłe monitorowanie i proces zarządzania incydentami kluczem do zapewnienia bezpieczeństwa
  • Rola rozwiązań typu SIEM/SOC w budowaniu bezpieczeństwa
  • Incydent response, co należy robić jeśli doszło do ataku
  • Analiza powłamaniowa (Computer Forensics)
• Procedura zarządzania incydentami
  • Procedura zarządzania incydentami w praktyce
  • Obowiązek notyfikacji w przypadku naruszenia ochrony danych osobowych 72h
• Studium przypadku

WYMAGANIA WSTĘPNE

• Przed udziałem w szkoleniu specjalistycznym wymagany jest udział w szkoleniu RODO Essential

Case study – szkolenie RODOodporność 360

Księgarnia BookEater.pl to jedna z największych księgarni internetowych. Sprzedaje książki zarówno w sklepach stacjonarnych w kilkunastu polskich miejscowościach, jak i online w formie wysyłkowej.

Sklepy stacjonarne BookEater.pl mieszczą się w wynajmowanych lokalach o zróżnicowanym poziomie zabezpieczeń dostępu i monitoringu. Są zarządzane przez zewnętrznych administratorów. Ochroną oraz sprzątaniem sklepów również zajmują się firmy zewnętrzne.

Księgarnia BookEater.pl posiada rozbudowany dział sprzedaży oraz dział marketingu. Prowadzi aktywną sprzedaż online, w której wykorzystuje profilowanie użytkowników. W działaniach marketingowych wykorzystuje dane o użytkownikach (big data) – historię zachowań klienta na serwisie, oglądanych podstron (produktów i kategorii) czy profilowanie ze względu na zainteresowania. Na tej podstawie wysyłają w postaci mailingu, bądź prezentują potencjalnym klientom w postaci reklamy internetowej oferty dopasowane do ich preferencji. Gromadzone przez działy sprzedaży i marketingu dane obejmują dane kontaktowe na potrzeby realizacji zamówienia i sprzedaży, ale także preferencje klienta w tym dane wrażliwe, zakupione książki – na przykład na temat chorób.

Do obsługi klienta i reklamacji BookEater.pl wykorzystuje zewnętrzne call center. Rozwój sklepu internetowego prowadzony jest przez zewnętrzny software house. Firma zatrudnia do obsługi zamówień wielu pracowników tymczasowych, którzy mają szeroki dostęp do zasobów.

Jako zabezpieczenia techniczne od strony informatycznej BookEater.pl posiada firewall i program antywirusowy. Incydenty bezpieczeństwa nie są monitorowane. Firma nie była poddawana audytom zewnętrznym i nie prowadziła okresowych testów penetracyjnych.

W firmie miały miejsce następujące incydenty bezpieczeństwa skutkujące wyciekiem danych osobowych:

• wykradzenie danych z systemu IT przez hakera
• błąd ludzki: wysyłka e-maila z adresami klientów w polu DW
• wykradzenie danych przez pracownika tymczasowego i sprzedaż bazy
• kradzież nieszyfrowanego laptopa i zmiana danych w CRM
• konkurs/loteria/promocja wizerunku firmy (budowanie bazy marketingowej)
• rekrutacja pracowników