Az információszivárgás megelőzésének módszerei - Milyen belső szabályzatokat kell kidolgozni?

Az információszivárgás végzetes károkat okozhat a vállalati tevékenységekben. Ezért fontos, hogy belső védelmi intézkedéseket hozzunk létre.

Konkrétan ilyen lehet például a vállalati szabályzatok kidolgozása és azoknak megfelelő működés. De milyen konkrét vállalati szabályzatokat kellene kidolgozni? Ebben a cikkben a vállalatok jogi felelőseinek magyarázzuk el, hogyan csökkenthető az információszivárgás kockázata a vállalati szabályzatok kidolgozásával.

Mi az információszivárgással kapcsolatos belső szabályzat?

Az információszivárgás bármikor, bármilyen körülmények között bekövetkezhet. Ezért fontos, hogy előre kidolgozzunk egy alapos belső szabályzatot, amely felkészít minket az információszivárgás eshetőségére.

Továbbá, ha netán bekövetkezne az információszivárgás, a már előre meghatározott belső szabályzat szerinti megfelelő reagálás lehetővé teszi az információszivárgásból eredő károk minimalizálását.

Alapvető irányelvek meghatározása

Először is, egy vállalatnak meg kell határoznia az alapvető irányelveit az információszivárgás kezelésére. Ez segít tisztázni, hogy milyen politikát követ a vállalat az információszivárgás esetén.

Az alapvető irányelvek között például a következő tartalmakat lehet meghatározni:

• A vállalat és a vezetők felelősségére vonatkozó rendelkezések
• A jogszabályok és egyéb előírások betartására vonatkozó rendelkezések
• A belső mechanizmusok kialakítására vonatkozó rendelkezések
• Az információkezelésre vonatkozó rendelkezések
• A munkavállalókra irányuló intézkedésekre vonatkozó rendelkezések
• Az információszivárgás esetén alkalmazandó intézkedésekre vonatkozó rendelkezések
• Az alapvető irányelvek rendszeres felülvizsgálatára vonatkozó rendelkezések

Az alapvető irányelvek nem csak a belső szabályzat részét képezik, hanem a külső kommunikációban is használhatók, mint például a “Japán Adatvédelmi Irányelvek”. Az alapvető irányelvek nyilvánosságra hozatala segíthet bemutatni a vállalat elkötelezettségét az információszivárgás megelőzése iránt, ami hozzájárulhat a társadalmi bizalom növeléséhez.

Természetesen nem elegendő csak meghatározni az alapvető irányelveket. Szükséges, hogy azok illeszkedjenek a vállalat valós helyzetéhez, és fontos, hogy a meghatározott alapvető irányelvek szerint működjenek.

Kapcsolódó cikk: Mire kell figyelni a “Japán Személyes Adatvédelmi Törvény” alapján készített adatvédelmi irányelvek létrehozásakor?[ja]

Információvédelmi szabályzat

A vállalati szabályzat tartalmában fontos szerepet játszik az információvédelemmel kapcsolatos rendelkezések meghatározása.

Az információvédelemmel kapcsolatos tartalmak például a következők lehetnek:

Információszivárgás kockázatának elemzése

Ha az információszivárgás kockázatát nem elemzik megfelelően, nem lehet megfelelően reagálni a kockázatokra. Ezért fontos, hogy a vállalati szabályzatban meghatározzuk az információszivárgás kockázatának elemzésével kapcsolatos rendelkezéseket.

A vállalat által birtokolt információk nyilvántartása és adatbázisba rendezése

Ha a vállalat nem ismeri pontosan a birtokában lévő információkat, nehéz lehet megfelelően kezelni azokat. Az információk adatbázisba rendezésével lehetővé válik azok megfelelő kezelése.

Az információ kezelőjének meghatározása

Ha a vállalati szabályzatban meghatározzuk az információ kezelőjét, minimalizálható az információ felhasználásának területe, és csökkenthető az információszivárgás kockázata.

Az információ közzétételének és szolgáltatásának eljárásának meghatározása

Ha a vállalati szabályzatban pontosan meghatározzuk az információ közzétételével és szolgáltatásával kapcsolatos eljárásokat, biztosítható, hogy az eljárásokat követően működik a rendszer. Ezáltal elkerülhető, hogy a munkavállalók saját belátásuk szerint használják fel a vállalat információit, ami végül az információszivárgás megelőzéséhez vezethet.

Korlátozni az információ külső felé történő kivitelét

Ha a vállalati szabályzatban meghatározzuk az információ külső felé történő kivitelével kapcsolatos rendelkezéseket, megakadályozható, hogy az információ feleslegesen kerüljön ki a külső szférába, ami bizonyos mértékben hozzájárul az információszivárgás megelőzéséhez.

Az információvédelmi rendszer ellenőrzésének meghatározása

Az nem elegendő, ha a vállalat kialakít egy információvédelmi rendszert, ha azt nem működtetik megfelelően.

Ezért a vállalati szabályzatban fontos lehet meghatározni, hogy az ellenőrzési céloktól független szervezet végezzen ellenőrzést az információvédelmi rendszerrel kapcsolatban.

Személyi irányítási szabályok

Az információszivárgás esetén előfordulhat, hogy az információt kezelő személy hibája (emberi hiba) okozza a problémát. Ezért fontos, hogy a belső szabályzatban meghatározzuk az információt kezelő személyekkel kapcsolatos szabályokat.

Ezeket a személyi irányítási szabályokat például a munkaügyi szabályzatban vagy a titkos információk kezelésének szabályzatában is meghatározhatjuk.

Például a következő tartalmakat határozhatjuk meg:

Információk titoktartási kötelezettsége

A belső szabályzatban meghatározhatjuk a munkavállalókra vonatkozó információk titoktartási kötelezettségét. Az információk titoktartási kötelezettségének meghatározásával a munkavállalók szerződéses kötelezettségként vállalhatják a titoktartást.

Ezenkívül a munkavállalók számára elvárható, hogy tudatosítsák az információk titoktartási kötelezettségét.

Az információk célján kívüli felhasználásának tilalma

Az információk titoktartási kötelezettsége elsősorban azt jelenti, hogy nem szabad információkat szivárogtatni. Azonban ezen túlmenően, az információk célján kívüli felhasználásának tilalmát is határozhatjuk meg, ami hatékony lehet az információszivárgás megelőzésében.

Titoktartási nyilatkozat benyújtása munkába lépéskor

A munkavállalók számára előírhatjuk, hogy munkába lépéskor nyújtsanak be titoktartási nyilatkozatot, amely tartalmazza a titoktartási kötelezettséget és az információk célján kívüli felhasználásának tilalmát.

A munkába lépéskor benyújtott nyilatkozat nemcsak a szerződéses felelősségvállalást jelenti, hanem azt is, hogy a munkavállalók számára tudatosítjuk az információszivárgás megelőzésének fontosságát.

Titoktartási nyilatkozat benyújtása munkából való kilépéskor

A munkavállalók számára nemcsak a munkaviszony alatt kell megakadályozniuk az információszivárgást, hanem a munkából való kilépés után is.

Ezért munkából való kilépéskor előírhatjuk, hogy nyújtsanak be egy nyilatkozatot, amely szerint a munkaviszony alatt megszerzett információkat a munkából való kilépés után sem szivárogtatják ki. Ez azért fontos, mert a belső szabályzat alapvetően csak a munkavállalókra van hatással, és a munkából való kilépés után már nincs hatálya.

Információszivárgás megelőzésére vonatkozó munkavállalói oktatás

A munkavállalóktól nyilatkozatok beszerzésével bizonyos mértékig tudatosíthatjuk az információszivárgás megelőzésének fontosságát, de a nyilatkozatok önmagukban nem feltétlenül elegendőek ahhoz, hogy a munkavállalók felismerjék az információszivárgás súlyosságát.

Ezért érdemes lehet a belső szabályzatban meghatározni, hogy rendszeres időközönként vállalati képzéseket tartunk, és oktatást biztosítunk a munkavállalóknak az információszivárgás megelőzéséről.

Fizikai irányítási szabályok

Az információszivárgás megelőzése érdekében szükséges egy olyan fizikai környezet kialakítása, ahol az információk szivárgása nehezen valósulhat meg.

Például a belső szabályzatban az információkezelési tartalmak között a következők meghatározása is szóba jöhet:

Belépési és kilépési irányítás az információkat tároló helyiségekben

Az információkezelési szempontból fontos területeket a vállalaton belül biztonsági zónákba kell osztani, és az egyes zónák belépési és kilépési irányítását, valamint a zárások kezelését kell végrehajtani, hogy csökkentsük az információkhoz való fizikai hozzáférést.

Az információkhoz való fizikai hozzáférés csökkentése révén csökkenthető az információszivárgás kockázata.

Hozzáférés a szerverhez

Ha az információkat szerveren tárolják, a belső szabályzatban korlátozható a szerverhez való hozzáférés jogosultsága.

Ha a munkavállalók könnyen hozzáférhetnek az információkhoz, az információszivárgás kockázata növekszik, ezért a szerverhez való hozzáférés korlátozása hatékony módszer az információszivárgás megelőzésére.

Dokumentumok és egyéb adathordozók kezelése

A belső szabályzatban fontos meghatározni az információk tényleges kezelésének és tárolásának részletes szabályait.

Például, ha az információk papír alapon vannak, fontos lehet, hogy azokat zárható szekrényben tárolják, és hogy az információkat megtekinthető helyiséget hozzanak létre, ahonnan az információkat nem lehet kivinni.

IT eszközök használatára vonatkozó szabályzat

Az internet fejlődése és a távmunka növekedése miatt egyre gyakrabban használunk IT eszközöket információcserére.

Ezért a belső szabályzatban érdemes lehet meghatározni az alábbiakat az IT eszközök használatával kapcsolatban:

Az eljárás, amikor a cég IT eszközöket bocsát rendelkezésre

Először is, ha a cég számítógépet vagy más IT eszközt bocsát rendelkezésre, fontos, hogy nyomon kövessük, ki és mikor kapta meg az eszközt.

Ezenkívül fontos, hogy a cég által IT eszközt kapott személyek ne használják az eszközöket olyan környezetben, ahol könnyen előfordulhat információszivárgás. Ezért fontos, hogy rendszeresen ellenőrizzük az eszközök használatát.

Saját eszköz használata (BYOD) eljárás

A távmunka növekedésével egyre több esetben használják a munkavállalók saját IT eszközeiket munkájuk során. Ha a PC vagy USB memória a munkavállaló saját tulajdona, lehetséges, hogy nincsenek megfelelő biztonsági intézkedések.

Ezenkívül, mivel ezek a munkavállalók általában használt IT eszközök, előfordulhat, hogy a munkával kapcsolatos információk kezelése során a munkavállalók nem érzik a veszélyt, és a kezelés nem megfelelő lehet.

Ezért a belső szabályzatban érdemes lehet meghatározni, hogy ha a cég engedélyezi a munkavállalóknak a saját eszközök (BYOD) használatát, akkor milyen eljárásokat és tilalmakat kell betartaniuk a saját eszközök (BYOD) használatához.

Egyéb információszivárgási szabályok

Másrészt, az információszivárgásra vonatkozó belső szabályzatban a következőket is meghatározhatjuk:

Szabályok a személyes SNS használatára

Az SNS-eket valós néven vagy anonim módon lehet használni, de az anonim használat esetén előfordulhat, hogy az anonimitás miatt könnyelműen posztolnak az SNS-en. Ezenkívül előfordulhat, hogy könnyedén posztolnak, azt gondolva, hogy nem sok ember fogja látni, és ha ez “felgyullad”, sok ember szeme elé kerülhet.

Mivel az SNS-nek nagy terjesztési ereje van, ha információszivárgás történik, az információ pillanatok alatt elterjedhet.

Ezért a belső szabályzatban meghatározhatók a munkavállalók SNS használatára vonatkozó szabályok is.

Például az SNS használatának célját “üzleti célú” és “üzleti célon kívüli (személyes)” kategóriákra oszthatjuk, és az üzleti célú használat esetén előírhatjuk a kérelmek és jóváhagyások benyújtását, valamint a “felgyulladás” esetén történő jelentést. Még ha a használat nem üzleti célú is, tilos a cég titkos információinak vagy a törvénybe ütköző dolgoknak a közzététele, és ha információszivárgás veszélye áll fenn vagy “felgyullad”, akkor jelentést kell tenni.

Az információszivárgás elleni védekezés a csoportvállalatok egészében történik

Ha a cég nagy, előfordulhat, hogy több csoportvállalat is létezik. A csoportvállalatok között titkos információk cserélhetnek, de nem feltétlenül rendelkezik az egész csoport azonos szintű biztonsággal.

Ezért például vannak olyanok, akik megpróbálnak jogosulatlan hozzáférést végezni a szülővállalatnál gyengébb biztonságú leányvállalathoz, és jogtalanul információt szerezni.

Ezért fontos, hogy a csoportvállalatok ne külön-külön védekezzenek az információszivárgás ellen, hanem egységesen védekezzenek az információszivárgás ellen.

Összefoglalás: Kérjen tanácsot ügyvédtől az információszivárgásra vonatkozó belső szabályzatokkal kapcsolatban

A fentiekben a vállalatok jogi felelősei számára ismertettük, hogyan lehet csökkenteni az információszivárgás kockázatát a belső szabályzatok kidolgozásával. Az információszivárgás megelőzése érdekében fontos, hogy széles körben hajtsunk végre intézkedéseket a különböző szempontok figyelembevételével.

Az ilyen intézkedésekre vonatkozó belső szabályzatokat szakértői szempontok figyelembevételével kell gondosan megvizsgálni. A belső szabályzatok kidolgozásakor javasoljuk, hogy forduljon tanácsért szakértői ismeretekkel rendelkező ügyvédhez.

Kapcsolódó cikk: A vállalatok személyes információinak szivárgása és a kártérítési kockázat[ja]

Intézkedéseink bemutatása irodánk részéről

A Monolis Jogi Iroda egy olyan jogi iroda, amely magas szakmai szinten rendelkezik az IT, különösen az internet és a jog területén. A belső szabályzatok kidolgozásához szakértői ismeretekre van szükség. Irodánkban a tokiói tőzsdén jegyzett vállalatoktól a startup vállalkozásokig számos ügyben végezünk felülvizsgálatot. Ha problémája van a belső szabályzatokkal kapcsolatban, kérjük, olvassa el az alábbi cikket.

https://monolith.law/contractcreation[ja]