Explicarea măsurilor de prevenire a scurgerilor de informații: Ce ar trebui să includă regulamentele interne care trebuie stabilite?

Scurgerile de informații pot provoca daune fatale activităților corporative. Prin urmare, este esențial să se creeze măsuri de prevenire internă.

Concret, se poate considera stabilirea unor regulamente interne și implementarea acestora. Dar care ar fi regulamentele interne specifice pe care ar trebui să le stabilim? În acest articol, vom explica cum să pregătiți regulamentele interne pentru a reduce riscul de scurgeri de informații, adresându-ne responsabililor cu problemele juridice din cadrul companiilor.

Ce sunt regulamentele interne privind scurgerile de informații

Scurgerile de informații pot apărea în orice moment și în orice context, fără a putea fi prevăzute. Prin urmare, este esențial să elaborăm în prealabil regulamente interne solide pentru a ne pregăti pentru scurgerile de informații.

De asemenea, în cazul nefericit în care se produce o scurgere de informații, dacă răspundem corespunzător în conformitate cu regulamentele interne stabilite în prealabil, putem minimiza daunele cauzate de scurgerile de informații.

Elaborarea unei politici de bază

În primul rând, ca organizație, este posibil să luați în considerare elaborarea unei politici de bază privind scurgerile de informații pentru a clarifica modul în care veți răspunde la acestea.

Politica de bază poate include, de exemplu, următoarele elemente:

• Aspecte legate de responsabilitatea companiei și a managerilor
• Aspecte legate de respectarea legilor și a altor reglementări
• Aspecte legate de construirea unui sistem intern
• Aspecte legate de gestionarea informațiilor
• Aspecte legate de angajamentele față de angajați
• Aspecte legate de răspunsul în cazul unei scurgeri de informații
• Aspecte legate de revizuirea periodică a politicii de bază

În ceea ce privește politica de bază, pe lângă aspectul de regulament intern, este posibil să luați în considerare și o abordare similară cu politica de confidențialitate, prin care se face publică politica de bază. Prin dezvăluirea politicii de bază către public, puteți demonstra nivelul ridicat de conștientizare a companiei în ceea ce privește scurgerile de informații, ceea ce poate contribui la îmbunătățirea încrederii sociale.

Desigur, nu are sens să stabiliți doar o politică de bază. Este necesar să stabiliți o politică de bază care să se potrivească cu realitatea companiei și, de asemenea, este important să operați în conformitate cu politica de bază stabilită.

Articolul corelat: Care sunt punctele de verificat la elaborarea unei politici de confidențialitate, luând în considerare Legea japoneză privind protecția datelor personale?[ja]

Regulament privind protecția informațiilor

În cadrul regulamentelor interne, se poate considera stabilirea unor prevederi referitoare la protecția informațiilor.

În ceea ce privește protecția informațiilor, se pot stabili, de exemplu, următoarele aspecte:

Analiza riscului de scurgere a informațiilor

Dacă nu se face o analiză suficientă a riscului de scurgere a informațiilor, nu se poate răspunde adecvat riscului. Prin urmare, este important să se stabilească în regulamentul intern aspecte legate de analiza riscului de scurgere a informațiilor.

Înțelegerea și baza de date a informațiilor deținute de companie

Ca companie, dacă nu înțelegeți bine informațiile pe care le dețineți, va fi dificil să le gestionați corespunzător. De asemenea, prin baza de date a informațiilor deținute de companie, este posibil să gestionați corespunzător informațiile.

Definirea persoanelor care manipulează informațiile

În regulamentul intern, dacă se definește persoana care manipulează informațiile deținute de companie, se poate limita la minimum utilizarea informațiilor și se poate reduce riscul de scurgere a informațiilor.

Stabilirea procedurilor de divulgare și furnizare a informațiilor

În regulamentul intern, dacă se stabilesc clar procedurile și alte aspecte legate de divulgarea și furnizarea informațiilor deținute de companie, se va realiza o operare conformă cu procedurile. Prin urmare, se poate evita situația în care angajații utilizează informațiile companiei doar pe baza propriei judecăți, ceea ce poate duce la prevenirea scurgerilor de informații.

Limitarea scoaterii informațiilor în afara companiei

În regulamentul intern, dacă se stabilesc aspecte legate de scoaterea informațiilor deținute de companie în afara acesteia, se poate preveni situația în care informațiile sunt scoase inutil în afara companiei, ceea ce poate avea un efect semnificativ în prevenirea scurgerilor de informații.

Stabilirea auditului sistemului de protecție a informațiilor

Chiar dacă compania a stabilit un sistem de protecție a informațiilor, nu are sens dacă nu se realizează o operare conformă cu acest sistem de protecție a informațiilor.

Prin urmare, în regulamentul intern, se poate considera stabilirea faptului că o entitate independentă de subiectul auditat va efectua un audit asupra sistemului de protecție a informațiilor.

Regulamente privind gestionarea umană

În cazul scurgerilor de informații, există cazuri în care acestea apar din cauza erorilor umane. Prin urmare, este posibil să se ia în considerare stabilirea unor regulamente interne privind persoanele care manipulează informațiile.

De asemenea, este posibil să se ia în considerare stabilirea acestor regulamente privind gestionarea umană în cadrul regulamentelor de muncă sau a regulamentelor de gestionare a informațiilor confidențiale.

De exemplu, se pot stabili următoarele:

Obligația de confidențialitate a informațiilor

În cadrul regulamentelor interne, se poate lua în considerare stabilirea unei obligații de confidențialitate a informațiilor pentru angajați. Prin stabilirea unei obligații de confidențialitate a informațiilor, este posibil să se impună angajaților o obligație contractuală de confidențialitate.

De asemenea, se poate aștepta la o conștientizare a obligației de confidențialitate a informațiilor de către angajați.

Interzicerea utilizării informațiilor în afara scopului

Obligația de confidențialitate a informațiilor implică în primul rând faptul că informațiile nu trebuie divulgate. Cu toate acestea, în plus față de aceasta, stabilirea unei interdicții privind utilizarea informațiilor în afara scopului poate fi de asemenea eficientă pentru prevenirea scurgerilor de informații.

Declarația de confidențialitate la momentul angajării

Pentru angajați, se poate lua în considerare stabilirea unei metode de a solicita depunerea unei declarații de confidențialitate care include o obligație de confidențialitate și o interdicție privind utilizarea informațiilor în afara scopului la momentul angajării.

Declarația de la momentul angajării are nu numai sensul de a impune o responsabilitate contractuală, ci și de a conștientiza angajații cu privire la prevenirea scurgerilor de informații.

Declarația de confidențialitate la momentul demisiei

Pentru angajați, este necesar nu numai să se asigure că nu divulgați informații în timpul angajării, ci și după demisie.

Prin urmare, se poate lua în considerare solicitarea depunerii unei declarații la momentul demisiei, care stipulează că informațiile cunoscute în timpul angajării nu vor fi divulgate nici după demisie. Acest lucru se datorează faptului că regulamentele interne au în principiu efect numai asupra angajaților și nu au efect după demisie.

Educația angajaților privind scurgerile de informații

Prin obținerea unei declarații de la angajați, se poate realiza o anumită conștientizare a prevenirii scurgerilor de informații, dar o declarație nu este neapărat suficientă pentru a face angajații să recunoască gravitatea cauzării unei scurgeri de informații.

Prin urmare, este util să se stabilească în regulamentele interne că se va oferi educație pentru prevenirea scurgerilor de informații angajaților, de exemplu, prin efectuarea de instruire internă la intervale regulate.

Regulament privind gestionarea fizică

Pentru a preveni scurgerile de informații, este necesar să se construiască un mediu care să reducă posibilitatea de scurgere a informațiilor în mod fizic.

De exemplu, în regulamentul intern, se poate considera stabilirea unor prevederi precum cele de mai jos în ceea ce privește gestionarea informațiilor.

Controlul accesului în camera de stocare a informațiilor

În cadrul companiei, se poate considera reducerea accesului fizic la informații prin stabilirea unor zone de securitate clare în funcție de informațiile gestionate și prin gestionarea accesului și a încuietorilor în fiecare zonă.

Reducerea accesului fizic la informații poate reduce riscul de scurgeri de informații.

Accesul la server

În cazul în care informațiile sunt stocate pe un server, în regulamentul intern, se poate considera limitarea drepturilor de acces la server.

Dacă orice angajat poate accesa ușor informațiile, riscul de scurgeri de informații crește în mod corespunzător, deci limitarea accesului la serverul de stocare a informațiilor poate fi eficientă pentru prevenirea scurgerilor de informații.

Manipularea documentelor și a altor medii

În regulamentul intern, este important să se stabilească în mod concret prevederi privind manipularea și stocarea informațiilor atunci când acestea sunt gestionate în mod efectiv.

De exemplu, în cazul în care informațiile sunt pe suport de hârtie, se poate considera stocarea acestora într-un dulap care poate fi încuiat și stabilirea unei camere pentru vizualizarea informațiilor, în care documentele nu pot fi scoase în alte camere.

Regulament privind utilizarea echipamentelor IT

Recent, oportunitățile de a schimba informații prin intermediul echipamentelor IT au crescut din cauza dezvoltării internetului și a creșterii implementării muncii la distanță.

Prin urmare, în regulamentele interne, se poate considera stabilirea unor conținuturi precum următoarele cu privire la utilizarea echipamentelor IT.

Procedura de împrumut a echipamentelor IT de la companie

În primul rând, atunci când se primește împrumutul de echipamente IT, cum ar fi computerele, de la companie, este important să se gestioneze cine și când a primit împrumutul.

De asemenea, este important să se înțeleagă situația de utilizare la intervale regulate pentru a verifica dacă persoana care a primit împrumutul de echipamente IT de la companie nu le utilizează într-un mediu în care scurgerile de informații sunt ușor de produs.

Procedura de utilizare a dispozitivelor personale (BYOD)

Datorită creșterii muncii la domiciliu, numărul de cazuri în care dispozitivele IT personale ale angajaților sunt utilizate pentru muncă a crescut. În cazul în care PC-urile sau memoriile USB sunt proprietatea personală a angajaților, este posibil ca nu toate măsurile de securitate adecvate să fie luate.

De asemenea, deoarece este un dispozitiv IT pe care îl folosesc în mod obișnuit, angajații pot avea o conștientizare slabă a faptului că gestionează informații legate de muncă și gestionarea poate deveni insuficientă.

Prin urmare, în regulamentele interne, se poate considera stabilirea procedurilor și a interdicțiilor pentru utilizarea dispozitivelor personale (BYOD) în cazul în care compania permite angajaților să utilizeze dispozitivele personale (BYOD).

Regulamente privind alte tipuri de scurgeri de informații

În plus, în regulamentele interne privind scurgerile de informații, se poate lua în considerare stabilirea următoarelor aspecte.

Regulamente privind utilizarea personală a rețelelor sociale

Există rețele sociale care sunt utilizate cu numele real și cele care sunt utilizate în mod anonim. În cazul utilizării anonime, există posibilitatea ca persoanele să posteze ușor pe rețelele sociale datorită anonimatului. De asemenea, există cazuri în care oamenii postează cu o atitudine ușoară, crezând că postarea lor nu va fi văzută de mulți oameni, și dacă aceasta devine virală, ajunge să fie văzută de mulți oameni.

Rețelele sociale au o putere mare de difuzare, astfel că, dacă se produce o scurgere de informații, există riscul ca aceasta să se răspândească rapid.

Prin urmare, în regulamentele interne, se poate lua în considerare stabilirea unor reguli privind utilizarea rețelelor sociale de către angajați.

De exemplu, se poate împărți utilizarea rețelelor sociale în “scopuri de afaceri” și “scopuri non-afaceri (private)”, și în cazul utilizării pentru scopuri de afaceri, se poate impune cererea de aprobare și raportarea în caz de viralizare. Chiar și în cazul utilizării pentru scopuri non-afaceri, se poate interzice scrierea de informații confidențiale ale companiei sau a celor care încalcă legea, și se poate impune raportarea în cazul în care există posibilitatea unei scurgeri de informații sau în caz de viralizare.

Măsurile împotriva scurgerilor de informații sunt luate de întreaga companie de grup

În cazul companiilor de mari dimensiuni, există cazuri în care există mai multe companii de grup. Există posibilitatea ca informații confidențiale să fie schimbate între companiile de grup, dar nu este neapărat cazul ca întregul grup să aibă același nivel de securitate.

Prin urmare, de exemplu, există persoane care încearcă să obțină informații în mod ilegal prin accesarea ilegală a unei filiale cu securitate mai slabă decât compania-mamă.

Pentru a face față acestei situații, este important ca companiile de grup să nu ia măsuri împotriva scurgerilor de informații în mod individual, ci să ia măsuri împotriva scurgerilor de informații ca un grup unit.

Concluzie: Consultați un avocat pentru regulamentele interne privind scurgerile de informații

Am explicat mai sus, pentru responsabilii cu problemele juridice din cadrul companiilor, despre stabilirea regulamentelor interne pentru a reduce riscul de scurgeri de informații. Pentru a preveni scurgerile de informații, este important să implementăm măsuri din diverse unghiuri.

Este necesară o examinare atentă, cu o perspectivă specializată, asupra acestor regulamente interne privind măsurile. Vă recomandăm să consultați un avocat cu cunoștințe specializate atunci când elaborați regulamentele interne.

Articolul corelat: Riscul de scurgeri de informații personale în companii și compensarea pentru daune[ja]

Orientări privind măsurile luate de biroul nostru

Biroul nostru de avocatură Monolis este specializat în IT, în special în aspectele legale ale internetului. Cunoștințele specializate sunt esențiale în stabilirea regulamentelor interne. Biroul nostru se ocupă cu revizuirea unei varietăți de cazuri, de la companii listate pe Bursa de Valori din Tokyo (Tōshō) până la startup-uri. Dacă aveți probleme cu regulamentele interne, vă rugăm să consultați articolul de mai jos.

https://monolith.law/contractcreation[ja]