En forklaring af forebyggelsesforanstaltninger mod informationslækage: Hvad bør indholdet af interne regler være?

Informationslækager kan potentielt forårsage katastrofale skader på virksomhedens aktiviteter. Derfor er det vigtigt at have forebyggende foranstaltninger på plads internt.

Specifikt kan man overveje at etablere interne regler og følge dem i praksis. Men hvilke specifikke interne regler bør man så etablere? I denne artikel vil vi forklare, hvordan man kan udarbejde interne regler for at reducere risikoen for informationslækager, målrettet mod virksomhedens juridiske ansvarlige.

Hvad er interne regler vedrørende informationslækage?

Informationslækage kan ske når som helst og under hvilke som helst omstændigheder. Derfor er det vigtigt at have solide interne regler på plads i forvejen for at være forberedt på informationslækage.

Desuden, selv i det usandsynlige tilfælde, at en informationslækage skulle opstå, kan skaderne minimeres ved at reagere passende i overensstemmelse med de foruddefinerede interne regler.

Udarbejdelse af grundlæggende politikker

Det første skridt for en virksomhed er at udarbejde en grundlæggende politik for håndtering af informationslækager for at gøre virksomhedens holdning klar.

Den grundlæggende politik kan for eksempel indeholde følgende elementer:

• Indhold relateret til virksomhedens og ledelsens ansvar
• Indhold relateret til overholdelse af love og regler
• Indhold relateret til opbygning af interne systemer
• Indhold relateret til informationsstyring
• Indhold relateret til initiativer over for medarbejdere
• Indhold relateret til håndtering af informationslækager
• Indhold relateret til regelmæssig revision af den grundlæggende politik

Den grundlæggende politik kan ikke kun betragtes som en intern regel, men kan også anvendes på samme måde som en privatlivspolitik, hvor den grundlæggende politik offentliggøres eksternt. Ved at offentliggøre den grundlæggende politik eksternt kan virksomheden demonstrere sin høje bevidsthed om informationslækager, hvilket kan bidrage til at forbedre virksomhedens sociale tillid.

Det er dog selvfølgelig ikke nok bare at fastsætte en grundlæggende politik. Det er nødvendigt at fastsætte en grundlæggende politik, der passer til virksomhedens faktiske situation, og det er vigtigt at følge den fastsatte grundlæggende politik.

Relateret artikel: Hvad er nøglepunkterne ved udarbejdelse af en privatlivspolitik under hensyntagen til den japanske lov om beskyttelse af personlige oplysninger?

Bestemmelser om beskyttelse af information

Det kan overvejes at fastsætte bestemmelser om beskyttelse af information som en del af virksomhedens interne regler.

Indholdet vedrørende beskyttelse af information kan for eksempel omfatte følgende elementer:

Analyse af risikoen for informationslækage

Hvis der ikke foretages en tilstrækkelig risikoanalyse af informationslækage, vil det ikke være muligt at reagere passende på risikoen. Derfor er det vigtigt at fastsætte bestemmelser om analyse af risikoen for informationslækage i virksomhedens interne regler.

Forståelse og databasering af informationen virksomheden besidder

Det kan være svært for en virksomhed at administrere informationen den besidder, hvis den ikke har et klart overblik over den. Ved at databasere informationen virksomheden besidder, bliver det muligt at administrere informationen korrekt.

Fastlæggelse af hvem der skal håndtere informationen

Ved at fastsætte i virksomhedens interne regler, hvem der skal håndtere informationen virksomheden besidder, kan omfanget af informationens anvendelse begrænses til et minimum, og risikoen for informationslækage kan reduceres.

Fastlæggelse af procedurer for offentliggørelse og levering af information

Ved at fastsætte klare regler i virksomhedens interne regler for offentliggørelse og levering af informationen virksomheden besidder, sikres det, at procedurerne følges. Dette kan forhindre situationer, hvor medarbejdere bruger virksomhedens information baseret på deres egen vurdering, hvilket i sidste ende kan bidrage til at forhindre informationslækage.

Begrænsning af udtagning af information til eksterne parter

Ved at fastsætte regler i virksomhedens interne regler om udtagning af informationen virksomheden besidder til eksterne parter, kan det forhindres, at information unødigt tages ud til eksterne parter, hvilket kan have en vis effekt på forebyggelsen af informationslækage.

Fastlæggelse af regler for revision af informationssikkerhedssystemet

Selvom en virksomhed har etableret et informationssikkerhedssystem, er det meningsløst, hvis systemet ikke følges.

Derfor kan det overvejes at fastsætte i virksomhedens interne regler, at en uafhængig enhed skal foretage revisioner af informationssikkerhedssystemet.

Regler for personalehåndtering

Informationslækager kan opstå på grund af fejl (menneskelige fejl) begået af personer, der håndterer information. Derfor kan det være relevant at fastsætte regler om personer, der håndterer information, i virksomhedens interne regler.

Disse regler for personalehåndtering kan også fastsættes i arbejdsregler eller regler for fortrolighedsstyring.

For eksempel kan følgende indhold overvejes:

Fortrolighedspligt for information

I virksomhedens interne regler kan det overvejes at fastsætte regler om fortrolighedspligt for information rettet mod medarbejdere. Ved at fastsætte en fortrolighedspligt for information, kan medarbejdere pålægges en kontraktlig forpligtelse til at overholde fortrolighedspligten.

Desuden kan det forventes, at medarbejdere vil blive mere bevidste om fortrolighedspligten for information.

Forbud mod brug af information til andre formål

Fortrolighedspligten for information indebærer først og fremmest, at information ikke må lækkes. Men ud over dette kan det også være effektivt at fastsætte regler, der forbyder brug af information til andre formål for at forhindre informationslækage.

Fortrolighedserklæring ved ansættelse

En metode kan være at kræve, at medarbejdere indgiver en fortrolighedserklæring, der inkluderer fortrolighedspligt og forbud mod brug af information til andre formål, ved ansættelse.

En fortrolighedserklæring ved ansættelse har både til formål at pålægge medarbejderen en kontraktlig forpligtelse og at gøre medarbejderen mere bevidst om at forhindre informationslækage.

Fortrolighedserklæring ved fratrædelse

For medarbejdere er det ikke kun nødvendigt at forhindre informationslækage under ansættelsen, men også efter fratrædelse.

Derfor kan det overvejes at kræve, at medarbejdere indgiver en fortrolighedserklæring ved fratrædelse, der forpligter dem til ikke at lække information, de har fået kendskab til under ansættelsen, efter fratrædelse. Dette skyldes, at virksomhedens interne regler i princippet kun har virkning over for medarbejdere, og ikke har nogen virkning efter fratrædelse.

Medarbejderuddannelse om informationslækage

Ved at indhente en fortrolighedserklæring fra medarbejdere kan man i nogen grad øge bevidstheden om informationslækage. Men en fortrolighedserklæring alene er ikke nødvendigvis tilstrækkelig til at gøre medarbejdere bevidste om alvoren af informationslækage.

Derfor kan det være nyttigt at fastsætte i virksomhedens interne regler, at der skal gennemføres virksomhedsinterne kurser med jævne mellemrum for at uddanne medarbejdere i at forhindre informationslækage.

Regler for fysisk håndtering

For at forhindre informationslækage er det nødvendigt at opbygge et miljø, hvor information fysisk er svær at lække.

For eksempel kan følgende indhold overvejes som en del af de interne regler for informationshåndtering:

Kontrol af adgang til rummet, hvor informationen opbevares

Det kan overvejes at klart definere sikkerhedsområder i virksomheden i forhold til den information, der håndteres, og at reducere fysisk adgang til informationen ved at styre adgangen til og fra disse områder og låse dem.

Ved at reducere den fysiske adgang til informationen kan man forvente at sænke risikoen for informationslækage.

Adgang til serveren

Hvis informationen er gemt på en server, kan det overvejes at begrænse adgangsrettighederne til serveren i de interne regler.

Hvis alle medarbejdere nemt kan få adgang til informationen, øges risikoen for informationslækage. Derfor kan det siges, at det er effektivt at begrænse adgangen til serveren, hvor informationen gemmes, for at forhindre informationslækage.

Håndtering af dokumenter og andre medier

Det er også vigtigt at fastlægge specifikke regler for håndtering og opbevaring af informationen, når den faktisk håndteres i de interne regler.

For eksempel, hvis informationen er på papir, kan det overvejes at opbevare den i et aflåseligt skab, eller at etablere et rum til gennemsyn af informationen og fastsætte, at den ikke kan tages med ud i andre rum.

Regler for brug af IT-udstyr

I dag er brugen af IT-udstyr til informationsudveksling steget på grund af udviklingen af internettet og en stigning i fjernarbejde.

Derfor kan det være relevant at fastsætte følgende regler for brugen af IT-udstyr i virksomhedens interne regler.

Procedure ved udlån af IT-udstyr fra virksomheden

Først og fremmest er det vigtigt at holde styr på, hvem der har lånt hvilket IT-udstyr og hvornår, når man låner IT-udstyr som computere fra virksomheden.

Desuden er det vigtigt at holde øje med, hvordan IT-udstyret bruges af dem, der har lånt det fra virksomheden, for at sikre, at det ikke bruges i et miljø, hvor der er stor risiko for lækage af information. Dette kan gøres ved regelmæssigt at overvåge brugen.

Procedure for brug af personlige enheder (BYOD)

Med en stigning i hjemmearbejde er der også flere tilfælde, hvor medarbejdere bruger deres personlige IT-enheder til arbejde. I tilfælde af personlige enheder som computere og USB-sticks er der ikke nødvendigvis tilstrækkelige sikkerhedsforanstaltninger på plads.

Desuden kan medarbejdere, der bruger deres sædvanlige IT-enheder, have en svagere fornemmelse af risikoen ved at håndtere arbejdsrelaterede oplysninger, hvilket kan føre til utilstrækkelig styring.

Derfor kan det være relevant at fastsætte procedurer og forbud for brugen af personlige enheder (BYOD) i virksomhedens interne regler, hvis virksomheden tillader medarbejderne at bruge deres personlige enheder (BYOD).

Bestemmelser om yderligere informationslækager

Derudover kan følgende ting overvejes i interne regler om informationslækager.

Bestemmelser om personlig brug af SNS (Social Networking Services)

Der er SNS, der bruges med rigtige navne, og dem, der bruges anonymt. I tilfælde af anonymitet kan der være en tendens til let at lave indlæg på SNS på grund af anonymiteten. Desuden kan der være tilfælde, hvor du poster med en let følelse af, at det ikke vil blive set af mange mennesker, og hvis det bliver viral, vil det blive set af mange mennesker.

SNS har en stor spredningskraft, så hvis der opstår en informationslækage, er der en risiko for, at den vil sprede sig i et øjeblik.

Derfor kan det overvejes at fastsætte regler for medarbejdernes brug af SNS i interne regler.

For eksempel kan du opdele formålet med at bruge SNS i “forretningsformål” og “ikke-forretningsformål (privat)”, og i tilfælde af forretningsformål kan du kræve ansøgning/godkendelse og rapportering i tilfælde af viralitet. Selv for ikke-forretningsformål kan det overvejes at forbyde at skrive virksomhedens fortrolige information og ting, der overtræder loven, og kræve rapportering i tilfælde af mulig informationslækage eller viralitet.

Informationslækageforanstaltninger skal træffes af hele gruppen

Hvis virksomheden er stor, kan der være flere gruppevirksomheder. Der kan være en udveksling af fortrolige oplysninger mellem gruppevirksomheder, men det er ikke nødvendigvis tilfældet, at hele gruppen har samme sikkerhedsniveau.

Derfor kan der være nogen, der tænker på at få adgang til og ulovligt erhverve information fra et datterselskab, der har svagere sikkerhed end moderselskabet.

For at håndtere en sådan situation er det vigtigt, at gruppevirksomhederne ikke tager individuelle foranstaltninger mod informationslækager, men at gruppevirksomhederne tager foranstaltninger mod informationslækager sammen.

Opsummering: Konsulter en advokat om interne regler vedrørende informationslækage

Vi har her forklaret, til virksomhedens juridiske ansvarlige, om udviklingen af interne regler for at reducere risikoen for informationslækage. For at forhindre informationslækage er det vigtigt at implementere foranstaltninger fra forskellige vinkler.

Der er behov for omhyggelig overvejelse med et professionelt synspunkt om sådanne interne regler vedrørende foranstaltninger. Vi anbefaler at konsultere en advokat med specialviden, når du udvikler interne regler.

Relaterede artikler: Risikoen for lækage af personlige oplysninger i virksomheder og risikoen for erstatning for skader

Introduktion til vores firmas tiltag

Monolis Advokatfirma er et advokatfirma med høj ekspertise inden for IT, især internettet og lovgivning. Professionel viden er afgørende, når man udarbejder interne regler. Vores firma håndterer revisioner af forskellige sager, fra virksomheder noteret på Tokyo-børsen (japansk: 東証上場企業) til opstartsvirksomheder. Hvis du har problemer med interne regler, kan du henvise til artiklen nedenfor.

https://monolith.law/contractcreation[ja]