Spiegazione delle misure di prevenzione delle perdite di informazioni: contenuto delle norme interne da stabilire

La fuga di informazioni può causare danni potenzialmente fatali alle attività aziendali. Pertanto, è importante creare misure preventive interne.

In particolare, si potrebbe considerare l’implementazione di regolamenti interni e l’operatività in conformità con essi. Ma quali regolamenti interni dovrebbero essere stabiliti specificamente? In questo articolo, spiegheremo come sviluppare regolamenti interni per ridurre il rischio di fuga di informazioni, rivolgendoci ai responsabili legali delle aziende.

Cos’è il regolamento interno relativo alla divulgazione di informazioni

Non si può mai sapere quando e in che modo si verificherà una fuga di informazioni. Pertanto, è importante prepararsi per una tale eventualità creando un solido regolamento interno in anticipo.

Inoltre, nel caso improbabile che si verifichi una fuga di informazioni, è possibile minimizzare i danni derivanti da tale fuga rispondendo adeguatamente in conformità con il regolamento interno precedentemente stabilito.

Stabilire una Politica di Base

Innanzitutto, come azienda, è possibile considerare di stabilire una politica di base sulla divulgazione di informazioni per chiarire come si intende affrontare tale questione.

La politica di base potrebbe includere, ad esempio, i seguenti punti:

• Contenuti relativi alla responsabilità dell’azienda e dei dirigenti
• Contenuti relativi al rispetto delle leggi e delle regolamentazioni
• Contenuti relativi alla creazione di un sistema interno
• Contenuti relativi alla gestione delle informazioni
• Contenuti relativi agli sforzi nei confronti dei dipendenti
• Contenuti relativi alla risposta in caso di divulgazione di informazioni
• Contenuti relativi alla revisione periodica della politica di base

Per quanto riguarda la politica di base, oltre all’aspetto del regolamento interno, si può anche considerare di operare in modo simile a una politica sulla privacy, rendendo pubblica la politica di base. Rendendo pubblica la politica di base, si può dimostrare l’alta consapevolezza dell’azienda nei confronti della divulgazione di informazioni, il che può anche contribuire a migliorare la fiducia sociale.

Tuttavia, è ovvio che non ha senso stabilire una politica di base solo per il gusto di farlo. È necessario stabilire una politica di base che si adatti alla realtà dell’azienda e, inoltre, è importante operare in conformità con la politica di base stabilita.

Articolo correlato: Quali sono i punti da considerare quando si crea una politica sulla privacy tenendo conto della legge giapponese sulla protezione dei dati personali?[ja]

Regolamenti sulla protezione delle informazioni

È possibile considerare di stabilire regolamenti interni riguardanti la protezione delle informazioni.

Per quanto riguarda la protezione delle informazioni, si potrebbero considerare, ad esempio, le seguenti disposizioni:

Analisi del rischio di fuga di informazioni

Se non viene effettuata un’adeguata analisi del rischio di fuga di informazioni, non sarà possibile adottare misure adeguate in base al rischio. Pertanto, è importante stabilire nei regolamenti interni le disposizioni relative all’analisi del rischio di fuga di informazioni.

Comprensione e database delle informazioni possedute dall’azienda

Se l’azienda non comprende adeguatamente le informazioni che possiede, sarà difficile gestirle adeguatamente. Inoltre, mettendo in un database le informazioni possedute dall’azienda, sarà possibile gestire adeguatamente le informazioni.

Definizione del gestore delle informazioni

Definendo nei regolamenti interni il gestore delle informazioni possedute dall’azienda, sarà possibile limitare al minimo l’ambito di utilizzo delle informazioni e ridurre il rischio di fuga di informazioni.

Definizione delle procedure di divulgazione e fornitura delle informazioni

Se nei regolamenti interni si stabiliscono chiaramente le procedure relative alla divulgazione e alla fornitura delle informazioni possedute dall’azienda, verranno effettuate operazioni in conformità con tali procedure. Pertanto, sarà possibile evitare situazioni in cui i dipendenti utilizzano le informazioni dell’azienda sulla base del loro giudizio, il che potrebbe prevenire la fuga di informazioni.

Limitazione del trasferimento delle informazioni all’esterno

Se nei regolamenti interni si stabiliscono le disposizioni relative al trasferimento delle informazioni possedute dall’azienda all’esterno, sarà possibile prevenire situazioni in cui le informazioni vengono trasferite inutilmente all’esterno, il che potrebbe avere un certo effetto nella prevenzione della fuga di informazioni.

Definizione dell’audit del sistema di protezione delle informazioni

Anche se l’azienda ha stabilito un sistema di protezione delle informazioni, non ha senso se non viene effettuata un’operazione in conformità con tale sistema.

Pertanto, nei regolamenti interni, si potrebbe considerare di stabilire che un ente indipendente dall’oggetto dell’audit effettui un audit sul sistema di protezione delle informazioni.

Regolamenti sulla gestione delle risorse umane

Le fughe di informazioni possono verificarsi a causa di errori umani da parte di coloro che gestiscono le informazioni. Pertanto, è possibile considerare di stabilire regolamenti interni riguardanti le persone che gestiscono le informazioni.

Inoltre, è possibile considerare di stabilire questi regolamenti sulla gestione delle risorse umane all’interno del regolamento del lavoro o del regolamento sulla gestione delle informazioni riservate.

Ad esempio, si potrebbe considerare di stabilire il seguente contenuto:

Obbligo di riservatezza delle informazioni

Nei regolamenti interni, si può considerare di stabilire contenuti riguardanti l’obbligo di riservatezza delle informazioni per i dipendenti. Stabilendo l’obbligo di riservatezza delle informazioni, è possibile imporre ai dipendenti un obbligo di riservatezza in base al contratto.

Inoltre, si può aspettare di sensibilizzare i dipendenti sull’obbligo di riservatezza delle informazioni.

Divieto di utilizzo delle informazioni per scopi non previsti

L’obbligo di riservatezza delle informazioni, in primo luogo, riguarda il non divulgare le informazioni. Tuttavia, oltre a ciò, è efficace per prevenire la fuga di informazioni anche stabilire un divieto di utilizzo delle informazioni per scopi non previsti.

Accordo di riservatezza al momento dell’assunzione

Per i dipendenti, si può considerare di stabilire un metodo che richiede la presentazione di un accordo di riservatezza che include l’obbligo di riservatezza e il divieto di utilizzo delle informazioni per scopi non previsti al momento dell’assunzione.

L’accordo al momento dell’assunzione ha il significato di imporre una responsabilità contrattuale e, allo stesso tempo, di sensibilizzare i dipendenti sulla prevenzione delle fughe di informazioni.

Accordo di riservatezza al momento del ritiro

Per i dipendenti, è necessario non solo prevenire la fuga di informazioni durante il periodo di impiego, ma anche dopo il ritiro.

Pertanto, si può considerare di richiedere la presentazione di un accordo al momento del ritiro che prevede di non divulgare le informazioni apprese durante il periodo di impiego anche dopo il ritiro. Questo perché i regolamenti interni, in linea di principio, hanno effetto solo sui dipendenti e non hanno effetto dopo il ritiro.

Educazione dei dipendenti sulla fuga di informazioni

Attraverso l’ottenimento di un accordo dai dipendenti, è possibile sensibilizzare in una certa misura sulla prevenzione delle fughe di informazioni, ma un accordo da solo non è necessariamente sufficiente per far comprendere ai dipendenti la gravità della fuga di informazioni.

Quindi, stabilire nei regolamenti interni di condurre periodicamente corsi di formazione aziendale e fornire ai dipendenti un’educazione per prevenire la fuga di informazioni può essere utile.

Regolamento sulla gestione fisica

Per prevenire la fuga di informazioni, è necessario creare un ambiente in cui le informazioni siano fisicamente difficili da perdere.

Ad esempio, nel regolamento interno, si potrebbe considerare di stabilire contenuti relativi alla gestione delle informazioni, come i seguenti:

Gestione degli accessi alla stanza dove vengono conservate le informazioni

È possibile ridurre l’accesso fisico alle informazioni stabilendo chiaramente le zone di sicurezza in base alle informazioni gestite all’interno dell’azienda e gestendo l’accesso e la chiusura a chiave di ciascuna zona.

Riducendo l’accesso fisico alle informazioni, si può sperare di ridurre il rischio di fuga di informazioni.

Accesso al server

Se le informazioni sono conservate su un server, si potrebbe considerare di limitare l’autorizzazione ad accedere al server nel regolamento interno.

Se tutti i dipendenti possono facilmente accedere alle informazioni, il rischio di fuga di informazioni aumenta di conseguenza. Pertanto, limitare l’accesso al server dove vengono conservate le informazioni può essere efficace per prevenire la fuga di informazioni.

Gestione di documenti e altri supporti

Nel regolamento interno, è importante stabilire concretamente i contenuti relativi alla gestione e alla conservazione quando si gestiscono effettivamente le informazioni.

Ad esempio, se le informazioni sono su supporto cartaceo, si potrebbe considerare di conservarle in un armadietto con serratura e di stabilire una stanza per la consultazione delle informazioni, in modo che non possano essere portate in altre stanze.

Regolamento sull’uso delle apparecchiature IT

Recentemente, a causa dello sviluppo di Internet e dell’aumento del lavoro remoto, le occasioni per scambiare informazioni utilizzando apparecchiature IT stanno aumentando.

Per questo motivo, nel regolamento interno, si può considerare di stabilire contenuti come i seguenti riguardo all’uso delle apparecchiature IT.

Procedura per ricevere apparecchiature IT in prestito dall’azienda

Innanzitutto, quando si riceve in prestito apparecchiature IT come computer dall’azienda, è importante gestire chi ha ricevuto il prestito e quando.

Inoltre, è importante capire come vengono utilizzate le apparecchiature IT da coloro che le hanno ricevute in prestito dall’azienda, per verificare se non le stanno utilizzando in un ambiente in cui le informazioni sono facilmente trapelate, ad intervalli regolari.

Procedura per l’uso di dispositivi personali (BYOD)

A causa dell’aumento del lavoro da casa, ci sono sempre più casi in cui i dipendenti utilizzano i loro dispositivi IT personali per il lavoro. Nel caso di PC o memorie USB di proprietà dei dipendenti, potrebbe non esserci necessariamente una sicurezza adeguata.

Inoltre, dato che si tratta di dispositivi IT che si utilizzano normalmente, i dipendenti potrebbero perdere la sensazione di crisi che stanno gestendo informazioni relative al lavoro, e la gestione potrebbe diventare insufficiente.

Per questo motivo, nel regolamento interno, si può considerare di stabilire una procedura e delle proibizioni per l’uso di dispositivi personali (BYOD) nel caso in cui l’azienda permetta ai dipendenti di utilizzarli.

Regolamenti relativi ad altre fughe di informazioni

Oltre a quanto sopra, è possibile considerare di stabilire le seguenti cose nei regolamenti interni relativi alle fughe di informazioni.

Regolamenti sull’uso personale dei social network

Esistono social network che si utilizzano con il proprio nome reale e altri in modo anonimo. Nel caso di utilizzo anonimo, c’è la possibilità che si possa postare facilmente sui social network proprio perché si è anonimi. Inoltre, ci sono casi in cui si posta con un atteggiamento leggero pensando che non cadrà sotto gli occhi di molte persone, e se questo diventa virale, finirà per essere visto da molte persone.

I social network hanno un grande potere di diffusione, quindi se si verifica una fuga di informazioni, c’è il rischio che si diffonda in un batter d’occhio.

Pertanto, nei regolamenti interni, si può considerare di stabilire le regole relative all’uso dei social network da parte dei dipendenti.

Ad esempio, si potrebbe dividere l’uso dei social network in “scopo lavorativo” e “scopo non lavorativo (privato)”, e nel caso di scopo lavorativo, si potrebbe richiedere l’approvazione e la segnalazione in caso di incendio. Anche se è per scopi non lavorativi, è possibile proibire la scrittura di informazioni riservate dell’azienda o di cose che violano le leggi e obbligare a segnalare se c’è la possibilità di una fuga di informazioni o se diventa virale.

Le misure contro le fughe di informazioni sono intraprese da tutte le società del gruppo

Se l’azienda è di grandi dimensioni, potrebbero esserci più società del gruppo. C’è anche la possibilità che le informazioni riservate vengano scambiate tra le società del gruppo, ma non è detto che tutto il gruppo abbia lo stesso livello di sicurezza.

Pertanto, ad esempio, ci sono persone che pensano di accedere illegalmente a una sussidiaria con una sicurezza più debole rispetto alla società madre e di ottenere illegalmente le informazioni.

Per affrontare questa situazione, è importante che le società del gruppo non prendano misure contro le fughe di informazioni in modo disordinato, ma che le società del gruppo lavorino insieme per prendere misure contro le fughe di informazioni.

Riassunto: Consultare un avvocato per le norme interne relative alle perdite di informazioni

Abbiamo spiegato come sviluppare le norme interne per ridurre il rischio di perdite di informazioni, rivolgendoci ai responsabili legali delle aziende. Per prevenire le perdite di informazioni, è importante implementare misure da vari punti di vista.

È necessario un esame attento e professionale delle norme interne relative a tali misure. Quando si sviluppano le norme interne, consigliamo di consultare un avvocato con competenze specialistiche.

Articolo correlato: Il rischio di perdite di informazioni personali nelle aziende e il risarcimento dei danni[ja]

Presentazione delle misure adottate dal nostro studio legale

Lo Studio Legale Monolis è uno studio legale altamente specializzato in IT, in particolare nell’intersezione tra Internet e diritto. La creazione di regolamenti interni richiede una conoscenza specialistica. Nel nostro studio, ci occupiamo della revisione di vari casi, dalle aziende quotate alla Borsa di Tokyo alle startup. Se avete problemi con i regolamenti interni, si prega di fare riferimento all’articolo sottostante.