Jak poprawić zgodność systemu z przepisami dotyczącymi danych wrażliwych w SAP?
Celem każdego projektu dotyczącego przetwarzania danych wrażliwych jest zwiększenie zgodności z przepisami dotyczącymi ochrony danych wrażliwych przetwarzanych przez firmy. Struktura SAP sprawia, że zapewnienie zgodności z przepisami dotyczącymi prywatności danych jest szczególnie trudne. Jednym z najbardziej przekonujących powodów dla zapewnienia zgodności z przepisami dotyczącymi prywatności danych są kary pieniężne; nowe przepisy przewidują wysokie sankcje finansowe nakładane przez organy prawne.
Od ponad 20 lat wdrażamy projekty dotyczące ochrony danych wrażliwych na całym świecie w wielu branżach i zidentyfikowaliśmy podstawowe kroki w ramach wspólnego podejścia do projektu:
- Identyfikacja ryzyka: Ocena wpływu i ryzyka
- Znajdowanie i mapowania wrażliwych danych, w tym danych osobowych
- Przegląd ryzyka i kontroli dostępu
- Czyszczenie wskazanych danych w środowisku produkcyjnym
- Zarządzanie informacjami wrażliwymi w kopiach produkcyjnych
- Obsługa wniosków o udzielenie informacji o przetwarzanych danych (DSAR)
- Przetwarzanie indywidualnych wniosków o usunięcie danych
- Proaktywna identyfikacja danych wrażliwych
- Bieżący audyt przetwarzanych danych
Reagowanie na prawo do dostępu i żądania usunięcia danych w systemach produkcyjnych.
Niezależnie od tego, czy przestrzegasz PDPA w Tajlandii, jednego z przepisów stanowych w USA, czy RODO w Europie, jesteś zobowiązany do udzielenia odpowiedzi na prawo dostępu i żądanie usunięcia danych osobowych ze swojego systemu.
Prawo do usunięcia nie uchyla żadnych innych wymogów prawnych i zgodności, takich jak prowadzenie dokumentacji na potrzeby kontroli podatkowej. Należy również znaleźć sposób na sprawdzenie, czy dane są wymagane z jakiegokolwiek innego powodu prawnego, a jeśli nie, usunąć wrażliwe dane z systemu.
SAP stanowi wyzwanie w usuwaniu danych; jako relacyjna baza danych, wrażliwe dane są nierozerwalnie związane z transakcjami biznesowymi. Tak więc tradycyjne sposoby archiwizacji lub usuwania oznaczają konieczność całkowitego usunięcia transakcji i danych podstawowych.
EPI-USE Labs zapewnia alternatywę w postaci Data Redact, usuwając PII z rekordów, ale pozostawiając integralność referencyjną rozwiązania. Data Disclose zapewnia skuteczne mapowanie PII w pliku PDF, umożliwiając wydajny proces reagowania na prawo dostępu.
Weryfikacja danych w systemach nieprodukcyjnych
Każda firma musi przetestować swoje procesy, niezależnie od tego, czy chodzi o coroczne aktualizacje podatku od wynagrodzeń, aktualizację pakietu serwisowego czy nowe dostosowania. Nie chcesz, aby okazało się, że masz problem z nowymi procesami w produkcji; dlatego większość firm wykonuje kopię swoich systemów produkcyjnych i tworzy środowiska testowe.
Liczba środowisk testowych różni się w zależności od firmy, ale typowa konfiguracja obejmuje
- Rozwój z ograniczonymi lub zerowymi rzeczywistymi danymi
- Jakość - ograniczona kopia danych z produkcji
- Pre-produkcja - pełna kopia produkcyjnej bazy danych.
Nowe przepisy dotyczące ochrony danych wrażliwych stanowią, że musisz mieć świadomą i wyraźną zgodę na wykorzystanie danych dotyczących osób, których dane dotyczą. Z naszego doświadczenia wynika, że większość firm nie posiada takiej zgody na wykorzystywanie danych do celów testowych. Nawet jeśli proces uzyskiwania zgody został przeprowadzony, dodatkowym wyzwaniem jest zrozumienie, co należy zrobić w przypadku braku zgody ze strony osoby, której dane dotyczą.
Zalecamy anonimizację danych za pomocą Data Secure, zapewniając bezpośrednią anonimizację danych na miejscu lub możliwość szyfrowania po wyjściu z połączenia z Client Sync, częścią pakietu Data Sync Manager Suite.
Poprawa i zrozumienie ryzyka związanego z prywatnością i bezpieczeństwem danych
Aby rozwiązać problem, trzeba go najpierw zrozumieć. Zarówno w przypadku prywatności, jak i bezpieczeństwa danych, należy zrozumieć ryzyko związane z procesami biznesowymi i zasobami IT.
Przejrzyj swoje procesy biznesowe i zagrożenia bezpieczeństwa. Na przykład, czy pracownicy recepcji lub działu kadr robią notatki podczas rozmów? Jeśli tak, jaki jest proces bezpieczeństwa tych notatek? Czy przestrzegasz najlepszych praktyk w zakresie bezpieczeństwa danych w całej firmie?
Jeśli chodzi o zasoby IT, należy wziąć pod uwagę trzy podstawowe kwestie:
- Zagrożenia zewnętrzne: Bezpieczeństwo sieci i infrastruktury, takie jak zapory ogniowe lub ochrona VPN.
- Zagrożenie wewnętrzne: Ryzyko dostępu do danych w sieci / systemie SAP.
- Ryzyko zgodności: Gdzie znajdują się dane osobowe i jak są zarządzane?
Nasza kompleksowa usługa oceny ochrony danych wrażliwych w SAP zapewnia przejrzystość w zakresie zagrożeń wewnętrznych i zgodności z przepisami dla Twojej firmy.
Zorientowane biznesowo rozwiązania GRC dla SAP
Rozwiązania Governance, Risk and Compliance (GRC) uwzględniają wiele aspektów ryzyka dostępu. Współpracujemy z firmą Soterion, oferując szybką i wydajną analizę ryzyka GRC z wykorzystaniem standardowych zestawów reguł:
- Podział obowiązków (SoD)
- Prywatność: użytkownicy uzyskujący dostęp do wrażliwych danych
- Dostęp do danych w różnych jurysdykcjach
- Ryzyko transakcji krytycznych.
Rozwiązania te można zintegrować z aplikacjami SAP i aplikacjami w chmurze (takimi jak SAP SuccessFactors), aby zapewnić całościowy obraz ryzyka dostępu.
Soterion oferuje również ocenę licencji systemowych, procesów dostępu strażaków i nie tylko.
