Czym są przepisy branżowe?

Specyficzny dla branży przepisy, takie jak HIPAA i PCI DSS, a także międzysektorowe RODO, to zasady ochrony danych. Większość dotyczą konkretnych sektorów, takich jak opieka zdrowotna i finanse. Głównym celem jest ochrona wrażliwych danych; przepisy będą się różnić w zależności od wymagań branży.

• HIPAA (Ustawa o przenoszeniu i odpowiedzialności za ubezpieczenie zdrowotne): Specyficzne dla branży opieki zdrowotnej; zaprojektowane do ochrony danych dotyczących zdrowia pacjentów.
• PCI DSS (Standard bezpieczeństwa danych branży kart płatniczych): Standard branży kart płatniczych dla każdej firmy akceptującej karty; zaprojektowany w celu ochrony danych posiadaczy kart podczas transakcji.
• RODO (Ogólne rozporządzenie o ochronie danych): Dotyczy wszystkich państw członkowskich UE i reguluje gromadzenie i przetwarzanie danych. Dotyczy również państw członkowskich EOG spoza UE (Norwegia, Islandia i Liechtenstein).

Zgodność z przepisami jest wytyczną dla Twoich ram bezpieczeństwa. Powinieneś przestrzegać wymogów regulacyjnych dotyczących cyberbezpieczeństwa, wdrażając środki kontroli bezpieczeństwa i myśląc o swoich zasadach. 

Przestrzeganie przepisów jest niezbędne, aby uniknąć zagrożeń związanych z cyberbezpieczeństwem, takich jak naruszenia danych, a tym samym uniknąć konsekwencji finansowych i reputacyjnych.

• HIPAA: Dla branży opieki zdrowotnej i koncentruje się na ochronie informacji o zdrowiu pacjentów, gdzie prywatność i poufność są dwoma kluczowymi aspektami.
• PCI DSS: Standard branży kart płatniczych który wymaga od dostawców zabezpieczenia danych posiadaczy kart podczas transakcji; jest to potrzebne do zapobiegania oszustwom i dla bezpieczeństwa danych. Zasada ta dotyczy wszystkich podmiotów, które przetwarzają dane posiadaczy kart.

Poznaj różnice między tymi dwoma, aby upewnić się, że skupiasz się na tym, co dotyczy Twojej branży i modelu biznesowego.

Spełnienie wymogów HIPAA lub RODO nie oznacza zgodności z PCI DSS: klinika lub sklep internetowy przyjmujący płatności kartą również musi je spełniać, ponieważ dotyczy każdego podmiotu, który przechowuje, przetwarza lub przesyła dane posiadaczy kart (PCI SSC).

Zgodność z HIPAA dla SaaS oznacza ochronę przetwarzanie i przechowywanie danych PHI w Twoich chmurowych aplikacjach. Obejmuje to:

• Szyfrowanie danych
• Kontrola dostępu
• Ślady audytu
• Umowy o współpracy biznesowej z klientami

Możesz zacząć od przyjrzenia się funkcjom dostosowywania Twojego dostawcy SaaS oraz Wdrażanie niezbędne zabezpieczenia.

PCI-DSS nakłada obowiązek utrzymania bezpiecznego środowiska podczas przetwarzania informacji o kartach płatniczych, a jego celem jest zapobieganie oszustwom. PCI DSS to standard branżowy, a nie prawo: Rada Standardów Bezpieczeństwa PCI, która za nim stoi, została założona w 2006 roku przez American Express, Discover, JCB International, Mastercard i Visa (PCI SSC). the standard został stworzony przez firmy wydające karty kredytowe i wymaga od Ciebie następujących działań:

• Bezpieczna swój sieć: Chroń przechowywane dane i zmień ustawienia domyślne. Musisz również zainstalować zapory.
• Ochrona danych posiadaczy kart: Bezpieczeństwo danych posiadaczy kart obejmuje szyfrowanie danych podczas transmisji oraz unikanie przechowywania niektórych wrażliwych danych; odstępstwa od tych praktyk mogą skutkować niezgodnością.
• Utrzymuj bezpieczeństwo: Używaj oprogramowania antywirusowego i aktualizuj swoje systemy i aplikacje.
• Kontroluj dostęp: Ustaw parametry dostępu użytkownika i przypisz każdemu użytkownikowi w chmurze unikalne identyfikatory.
• Monitorowanie i testowanie: Przetestuj swoje środki bezpieczeństwa i śledź dostęp, aby uniknąć naruszeń.
• Polityka bezpieczeństwa: Opracuj politykę bezpieczeństwa i często ją przeglądaj, aby wprowadzać zmiany.

Wykonaj następujące kroki, aby zapewnić zgodność SaaS z RODO:

• Minimalizacja: Gromadź tylko niezbędne dane osobowe i przechowuj je tylko tak długo, jak to konieczne.
• Zgoda: Posiadaj podstawę prawną, taką jak zgoda lub umowa, zanim zbierzesz lub przetworzysz dane (RODO Artykuł 6).
• Prawa osób, których dane dotyczą: Udzielaj osobom dostępu do ich danych i pozwól im je poprawiać i usuwać, jeśli sobie tego życzą.
• Ochrona danych w fazie projektowania: Weź pod uwagę prywatność na etapie projektowania swojego produktu.
• Powiadomienie o naruszeniu danych: Zgłaszaj naruszenia do swojego organu nadzorczego w ciągu 72 godzin chyba że jest mało prawdopodobne, aby zagrażały osobom, i wdrażaj środki w celu zminimalizowania ich skutków.

Niezależnie od tego, w którym kraju UE prowadzisz działalność, RODO jest obowiązkowe. Sąsiednie kraje, takie jak Wielka Brytania i Szwajcaria, również mają własne przepisy, które należy przestrzegać.