For nogle virksomheder ligger udarbejdelsen af en DPIA højt på listen over GDPR-opgaver, der skal styr på. Men for rigtigt mange kan en DPIA godt vente – eller i hvert fald simplificeres, så den ikke kræver for mange ressourcer. Neupart-direktør fortæller hvornår og hvordan, der skal laves en konsekvensanalyse af virksomheders databehandlinger.

 – en fortegnelse over dine behandlingsaktiviteter er nok

Er du i fuld gang med jeres GDPR-forberedelser, men hænger fast i udarbejdelsen af dataflowanalysen? Så læs med her. Du skal nemlig ikke gøre mere end det nødvendige. Og en dataflowanalyse er ikke nødvendig.

DPO’er. Det er et emne som vi alle sammen ser ud til at tænke lidt nærmere over, nu da vi aktivt begynder implementeringen af den kommende databeskyttelsesforordning. Men hvem har egentlig brug for dem?  

Det er efterhånden blevet god praksis at lave risikovurderinger - eller i hvert fald erkende, at man bør lave dem.

Alt for ofte ser vi desværre, at virksomheder bare udfører risikovurderinger for at efterkomme et eller andet compliance-krav (revision, kontrakt, lovgivning m.v.). Hvis man er heldig, får man endda ressourcer til at gennemføre dem en gang om året.

Man gennemfører sin risikovurdering, taler med sin organisation og laver en fin rapport til sidst. Og så er "projektet" afsluttet. Men det er en fejl at se risikovurdering som et projekt. Risikovurdering skal være en proces. En proces der er tilbagevendende og kontinuerligt justeret.

Risikovurderinger er en nødvendighed, hvis vi vil have styr på informationssikkerheden. Desværre er det ikke ualmindeligt, at virksomheder ser risikovurdering som noget, der skal overstås, fordi de skal efterleve forskellige krav. 

 
Det kan være krav fra eksterne interessenter som for eksempel lovgivning, samarbejdspartnere, kundekontrakter etc. Eller kravene kan være pålagt af virksomheden selv, fordi man måske ønsker at efterleve internationale standarder som ISO 27001 (om ledelsessystem til informationssikkerhed) og/eller ISO 27005 (om risikostyring).

Når du har læst mit blog-indlæg har du en god idé om, hvordan du skal gribe fat i din næste awareness-kampagne om it-sikkerhed. Du får konkrete råd til valg af emner, hvem du skal alliere dig med og hvordan du måler, om kampagnen har virket.

Du skal involvere dig i sikkerhed fordi sikkerhed betyder noget for jeres kunder og fordi cyberangreb og sikkerhedshændelser er begyndt at ske for alle slags virksomheder. CSC, Nets, IBM, Terma, Novozymes, Erhvervsministeriet m.fl. er eksempler på virksomheder i Danmark, som man forventede eller håbede var bedre beskyttet end de faktisk var. It-sikkerhed er i den grad kommet på dagsordenen i 2014, både i virksomhederne og i medierne.

Der findes mange forskellige former for tiltag, som virksomheder kan udføre for at beskytte deres informationer og deres forretning. Lige fra klassiske eksempler som firewalls og antivirus, backup/restore til sikkerhedspolitik og it-beredskab, til en række mere eller mindre avancerede teknologier. Modellen viser en række eksempler på tiltag.

For at få struktur på alle disse tiltag deler vi dem op i Fysiske & tekniske tiltag – det er den nederste halvdel på modellen, og Administrative tiltag og processer, som er den øverste halvdel.