Raport specjalny Bezpieczeństwo banków 2017: Ochrona danych osobowych musi mieć charakter kompleksowy

Za 13 miesięcy wszystkie polskie banki będą musiały zmierzyć się z wymogami nowego unijnego aktu prawnego – rozporządzenia GDPR. Co będzie największym problemem dla banków?

Dariusz Śliwa: W obliczu nowych standardów ochrony danych osobowych kluczowym wyzwaniem dla biznesu, w tym również instytucji finansowych, staje się znalezienie równowagi między bezpieczeństwem i prywatnością. Hewlett Packard Enterprise jako firma technologiczna doskonale odnajduje się w obszarze rozwiązań technologicznych pozwalających na równoległą realizację obydwu tych celów. Wprowadzenie RODO oznaczać będzie nie tylko wymianę narzędzi informatycznych, ale przede wszystkim liczne zmiany w obszarze polityki czy procesów. Jesteśmy w stanie dostarczać odpowiednie technologie, dostosowane do indywidualnych oczekiwań poszczególnych instytucji finansowych.

Jednym z ważniejszych wyzwań będzie zidentyfikowanie posiadanych zasobów danych osobowych. W jaki sposób nowoczesne rozwiązania teleinformatyczne mogą wspierać bankowców w tym zadaniu?

Dariusz Śliwa: Jednym z pierwszych działań podjętych w firmie w celu zapewnienia zgodności z RODO powinno być przeprowadzenie inwentaryzacji danych osobowych (data discovery). Zgodnie z unijnym rozporządzeniem takowa inwentaryzacja musi być przeprowadzana w sposób ciągły, nie wystarczy dokonać jej jednorazowo, w okresie wejścia w życie nowych regulacji. Bez wdrożenia mechanizmu data discovery instytucja finansowa nie będzie w stanie właściwie ocenić ryzyka, a w konsekwencji również wychwycić luk w zabezpieczeniach. Taka inwentaryzacja wydaje się być zadaniem relatywnie prostym, jednak w rzeczywistości jest takim jedynie w odniesieniu do danych strukturalnych. Pracownicy banków z reguły mają świadomość, że dane osobowe przetwarzane są w bazach danych, aplikacjach, systemach CRM czy analityki biznesowej. Rzecz w tym, że informacje objęte wymogami RODO znajdują się również w innych miejscach, takich jak poczta elektroniczna czy pliki współdzielone między użytkownikami. Te zasoby bądź w ogóle nie są brane pod uwagę, bądź też są uwzględniane na zasadzie pewnego automatyzmu, z pominięciem rzetelnej analizy. Tymczasem dla zapewnienia zgodności z unijnymi przepisami nie wystarczy na przykład zakazać przesyłania danych osobowych pocztą, należy również zapewnić mechanizm kontroli czy pracownicy nie łamią tej reguły. Hewlett Packard Enterprise dysponuje technologiami pozwalającymi na jak najbardziej kompletne wyszukiwanie danych osobowych również w zasobach niestrukturalnych. Wychodzimy z założenia, że nie istnieją środowiska, których nie dałoby się przeanalizować pod kątem danych osobowych przy użyciu nowoczesnych narzędzi.

Przejdźmy do szczegółów. RODO przewiduje takie rozwiązania jak prawo do bycia zapomnianym czy przenoszenia danych. Jak najskuteczniej realizować tak trudne zadania?

Dariusz Śliwa: Dyskusja na temat danych osobowych z reguły sprowadza się wyłącznie do obszaru ochrony prywatności i bezpieczeństwa gromadzonych danych. Tymczasem działania ochronne to zaledwie jeden z celów wprowadzenia GDPR. Nie mniejsze znaczenie ma odpowiednie zarządzanie informacją. Chodzi o to, żeby odpowiednie osoby w firmie miały nie tylko świadomość odnoś...