Що таке галузеві норми?

Галузево-специфічний Регуляторні норми, як-от HIPAA та PCI DSS, а також міжгалузевий GDPR, є правилами захисту даних. Більшість застосовуються до конкретних секторів, таких як охорона здоров'я та фінанси. Основною метою є захист конфіденційних даних; закони відрізнятимуться залежно від вимог галузі.

• HIPAA (Закон про мобільність та відповідальність медичного страхування): Спеціально для галузі охорони здоров'я; призначений для захисту даних про здоров'я пацієнтів.
• PCI DSS (Стандарт безпеки даних індустрії платіжних карток): Стандарт карткової індустрії для будь-якого бізнесу, що приймає картки; розроблений для захисту даних власників карток під час транзакцій.
• GDPR (Загальний регламент про захист даних): Застосовується до всіх держав-членів ЄС і регулює збір і обробку даних. Також застосовується до країн ЄЕЗ, які не є членами ЄС (Норвегія, Ісландія та Ліхтенштейн).

Відповідність нормативним вимогам є керівництвом для ваших систем безпеки. Ви повинні дотримуватися нормативних вимог щодо кібербезпеки, впроваджуючи засоби контролю безпеки та продумуючи свою політику. 

Важливо дотримуватися нормативних вимог, щоб уникнути загроз кібербезпеки, таких як порушення безпеки даних, і, як наслідок, уникнути фінансових і репутаційних наслідків.

• HIPAA: Для галузі охорони здоров'я, зосереджений на захисті інформації про здоров'я пацієнтів, де приватність та конфіденційність є двома основними аспектами.
• PCI DSS: Стандарт карткової індустрії що вимагає від постачальників послуг захищати дані власників карток під час транзакцій; він потрібен для запобігання шахрайству та забезпечення безпеки даних. Це правило застосовується до всіх організацій, що обробляють дані власників карток.

Дізнайтеся про відмінності між цими двома, щоб зосередитися на тому, що стосується вашої галузі та бізнес-моделі.

Дотримання HIPAA або GDPR не охоплює PCI DSS: клініка чи онлайн-магазин, що приймає картки, також повинен його дотримуватися, оскільки він застосовується до кожної організації, що зберігає, обробляє або передає дані власників карток (PCI SSC).

Відповідність HIPAA для SaaS означає захист обробка та зберігання даних PHI у ваших хмарних застосунках. Це охоплює:

• Шифрування даних
• Контроль доступу
• Журнали аудиту
• Угоди про ділові відносини з клієнтами

Ви можете почати з вивчення функцій налаштування вашого SaaS-провайдера та впровадження необхідні заходи безпеки.

PCI-DSS робить обов'язковим підтримання безпечного середовища при обробці даних платіжних карток, і його метою є запобігання шахрайству. PCI DSS є галузевим стандартом, а не законом: Рада стандартів безпеки PCI, що стоїть за ним, була заснована у 2006 році компаніями American Express, Discover, JCB International, Mastercard та Visa (PCI SSC). Що таке стандарт був створений картковими компаніями та вимагає від вас наступного:

• Захищена ваш мережа: Захистіть збережені дані та змініть свої налаштування за замовчуванням. Вам також потрібно встановити брандмауери.
• Захищайте дані власників карток: Безпека даних власників карток охоплює шифрування даних під час передачі та уникнення зберігання певних конфіденційних даних; відхилення від цих практик може призвести до недотримання вимог.
• Підтримуйте безпеку: Використовуйте антивірусне програмне забезпечення та оновлюйте свої системи та програми.
• Контроль доступу: Встановіть параметри доступу користувачів і призначте унікальні ідентифікатори кожній особі в хмарі.
• Моніторинг і тестування: Перевірте свої заходи безпеки та відстежуйте доступ, щоб уникнути порушень.
• Політика безпеки: Складіть політику безпеки та часто переглядайте її, щоб вносити зміни.

Дотримуйтеся цих кроків для відповідності SaaS GDPR:

• Мінімізація: Збирайте лише необхідні персональні дані та зберігайте їх лише стільки, скільки потрібно.
• Згода: Майте законну підставу, таку як згода або договір, перш ніж збирати чи обробляти дані (GDPR Article 6).
• Права суб'єктів даних: Надайте особам доступ до їхніх даних і дозвольте їм виправляти та видаляти їх, якщо вони цього бажають.
• Захист даних за проектом: Враховуйте конфіденційність на всіх етапах розробки вашого продукту.
• Повідомлення про порушення безпеки даних: Повідомляйте про порушення вашому контролюючому органу протягом 72 годин якщо малоймовірно, що вони становлять ризик для людей, та вживайте заходів для мінімізації їхніх наслідків.

Незалежно від того, де в ЄС ви працюєте, GDPR є обов’язковим. Сусідні країни, такі як Великобританія та Швейцарія, також мають власні закони, які необхідно дотримуватися.