Czym jest ISO 27001?

ISO 27001 jest międzynarodową normą standaryzującą systemy zarządzania bezpieczeństwem informacji. Zgodnie z nią na wspomniane bezpieczeństwo informacji wpływ mają takie elementy, jak:

• polityka bezpieczeństwa organizacji,
• organizacja bezpieczeństwa informacji,
• sposób zarządzania aktywami,
• bezpieczeństwo zasobów ludzkich,
• bezpieczeństwo fizyczne i środowiskowe,
• zarządzanie systemami i sieciami teleinformatycznymi,
• pozyskiwanie, rozwój i utrzymanie systemów teleinformatycznych,
• kontrola dostępu,
• zarządzanie incydentami związanymi z bezpieczeństwem informacji,
• zarządzanie ciągłością działania,
• zgodność z wymaganiami prawnymi oraz własnymi standardami organizacji.

Na normę ISO 27001 składają się szczegółowe wytyczne odnoszące się do szacowania oraz postępowania w obliczu ryzyka związanego z bezpieczeństwem informacji. Określa ona wymagania dla ustanowienia, wdrożenia, utrzymania oraz ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji w organizacji.

Czym jest RODO?

RODO (Rozporządzenie o Ochronie Danych Osobowych) to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Jego celem jest zapewnienie równoważnego stopnia ochrony osób fizycznych i swobodnego przepływu danych osobowych w całej Unii Europejskiej, jak również aktualizacja przepisów, by były one dostosowane do realiów XXI wieku i odpowiadały na zagrożenia wynikające z wykorzystania nowoczesnych technologii w procesie przetwarzania danych osobowych.

Jakie mogą być kary za naruszenie RODO?

Za naruszenie RODO przewidziane są pieniężne kary administracyjne lub konieczność wypłaty odszkodowania. W określonych wypadkach na organizacji może również spoczywać odpowiedzialność karna.

Kara administracyjna

Za naruszenie określonych obowiązków administratora i podmiotu przetwarzającego przyznawana jest kara administracyjna pieniężna do 10 000 000 euro lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa. W sytuacji gdy doszło do naruszenia podstawowych zasad przetwarzania, w tym warunków zgody, kara administracyjna ulega zwiększeniu i wynosi do 20 000 000 euro lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego.

Wypłata odszkodowania

W wypadku naruszenia ochrony danych osobowych na skutek niedopełnienia wymogów wynikających z RODO, administrator lub podmiot przetwarzający może zostać zobowiązany do wypłaty odszkodowania osobie, która w jego wyniku doznała szkody majątkowej lub niemajątkowej.

Odpowiedzialność karna

Jeżeli organizacja przetwarzała dane osobowe mimo braku uprawnień lub gdy nie było to dopuszczalne, spoczywa na niej odpowiedzialność karna. Do przewidzianych kar zaliczają się grzywna oraz ograniczenie bądź pozbawienie wolności do lat trzech.

Co łączy ISO 27001 i RODO?

Wdrożenie systemu zarządzania bezpieczeństwem informacji zgodnego z ISO 27001 pozwala organizacji na:

• uzyskanie odpowiedniego poziomu ochrony aktywów informacyjnych,
• zachowanie prywatności i integralności zgromadzonych danych,
• sprawowanie skutecznego nadzoru nad procesami przetwarzania informacji,
• zwiększenie odporności na incydenty,
• zdefiniowanie ról i obowiązków w procesie przetwarzania informacji,
• zwiększenie świadomości pracowników na temat zagrożeń i konieczności stosowania odpowiednich zabezpieczeń w zakresie ochrony informacji.

W efekcie dostosowanie się do wymogów normy zapewnia bezpieczeństwo danych osobowych i wspiera zgodność organizacji z RODO.

Korzyści z wdrożenia ISO 27001 w kontekście RODO

Wdrożenie ISO 27001 pozwala organizacji ustanowić efektywną politykę zarządzania bezpieczeństwem informacji i zdefiniować jej cele. Sprzyja także zarządzaniu, kontrolowaniu i poprawie systemów zabezpieczeń. Dzięki implementacji założeń normy ISO 27001 organizacja jest lepiej przygotowana do skutecznej ochrony aktywów fizycznych oraz informacji zarówno w formie papierowej, jak i cyfrowej. Wszystko to umożliwia realizację założeń wynikających z RODO i zapobiega uchybieniom, które mogłyby doprowadzić do nałożenia na organizację przewidzianych w prawie kar. Wpływa ponadto na podniesienie jakości oferowanych usług oraz zwiększenie wiarygodności biznesu w oczach klientów i partnerów biznesowych.