Z badań przeprowadzonych na zlecenie firmy HSM w grupie przedsiębiorstw różnych branż wynika, że 23% doradców finansowych nie dysponowało żadnymi wewnętrznymi procedurami z zakresu ochrony danych, a aż 11% pracowników banków wyrzuca dokumenty związane z transakcjami finansowymi bezpośrednio do kosza.
Po pierwsze, stwórz zasady niszczenia danych w biurze
Pierwszym krokiem powinno być stworzenie dokumentu zawierającego szczegółowe wytyczne odnośnie niszczenia danych w firmie, z którym powinien zapoznać się każdy obecny oraz nowozatrudniony pracownik. Następnie należy przeprowadzić szkolenie wyjaśniające szczegóły polityki niszczenia danych oraz uświadamiające zagrożenia wynikające z niewłaściwego zabezpieczania dokumentów i nieprawidłowego ich niszczenia.
Po drugie, zdecyduj czy dane niszczyć na miejscu, czy poza firmą
Niezależnie czy informacje, których chcemy się pozbyć dotyczą działalności naszej firmy czy innych podmiotów, do niszczenia danych należy podejść z należytą starannością. Niszczenie dokumentów w miejscu ich powstawania jest jedynym rozwiązaniem, które zapewnia stuprocentową ochronę danych i eliminuje niebezpieczeństwo dostania się chronionych informacji w niepowołane ręce. Norma DIN 66399 określająca zasady niszczenia nośników danych, zarówno elektronicznych jak i papierowych zdecydowanie wskazuje niszczenie dokumentów w miejscu ich wytwarzania jako rozwiązanie preferowane przed innymi rozwiązaniami. Na rynku działa wiele firm oferujących niszczenie danych. W tym przypadku dane zbierane są w firmie w jednym pojemniku i następnie transportowane do miejsca, w którym są niszczone. Możemy uczestniczyć w niszczeniu naszych dokumentów lub zażądać dowodów, że dane zostały zniszczone. Trzeba pamiętać o tym, że zlecanie tego zadania podmiotom zewnętrznym zawsze wiąże się z ryzykiem wypływu danych w niepowołane ręce, na etapie transportu dokumentów oraz ich niszczenia.
Po trzecie, określ kategorie niszczonych nośników
Warto zadać sobie pytanie, co się dzieje z elektronicznymi nośnikami danych, gdy już ich nie potrzebujemy? Nierzadko pozbywamy się ich bez większej uwagi, sprzedając pośrednikom, na giełdach komputerowych, w serwisach aukcyjnych lub też oddając nieodpłatnie osobom trzecim. Coraz częściej rejestrujemy ważne dane na płytach CD/DVD, nośnikach magnetycznych, dyskach twardych, kartach pamięci, a także w smartfonach, telefonach komórkowych, na pamięciach USB, komputerach, itp. To są często tak samo ważne same informacje jak te zapisane na nośnikach tradycyjnych. Należy pamiętać, iż pamięci elektroniczne mogą pomieścić znacznie więcej danych niż teczka czy segregator stąd świadomość potrzeby ochrony tych nośników winna być jak najwyższa.
Część z nas wcześniej usuwa – teoretycznie – dane, stosując standardowe funkcje kasowania np. formatując dyski. To wręcz zaproszenie dla złodziei informacji, ponieważ odzyskanie i przywrócenie skasowanych danych jest naprawdę dziecinnie proste! Warto uświadomić pracownikom, że poufne i tajne dokumenty zapisane na nośnikach optycznych, magnetycznych czy elektronicznych podlegają takiej samej ochronie jak informacje zapisane na papierze i po zdezaktualizowaniu danych zapisanych na tego typu nośnikach, należy te nośniki zniszczyć za pomocą odpowiedniego urządzenia.
Zorientuj się, na jakich nośnikach zapisywane są dane w Twojej firmie. Wyniki swoich obserwacji weź pod uwagę kupując niszczarkę najlepiej, aby sprzęt umożliwiał niszczenie wszystkich nośników, którymi posługuje się firma. Określ ilości niszczonych różnych nośników danych – może się okazać, że masz do zniszczenia 10-20 płyt CD rocznie – wtedy wystarczy jedno urządzenie w firmie, które umożliwia niszczenie takich nośników. Pozostałe urządzenia nie muszą mieć tej funkcji.
Po czwarte, określ klasy ochrony niszczonych dokumentów
Zanim przystąpimy do niszczenia dokumentów, należy rozpoznać jakiego rodzaju dokumenty są w firmie wytwarzane, co zdeterminuje ich klasę ochrony. W każdej firmie, w różnych działach powstają różnego rodzaju dokumenty a stopień ich ważności i tajności jest uzależniony od klasy ochrony. W zależności od nadanej klasy ochrony dokumenty powinny być niszczone w urządzeniu spełniającym adekwatny do klasy ochrony stopień bezpieczeństwa. Istnieją trzy klasy ochrony odpowiednio dla zwykłej, zwiększonej i bardzo wysokiej ochrony danych. Każda klasa ochrony wskazuje 3 stopnie bezpieczeństwa.
Po piąte, wybierz urządzenia adekwatne do określonej klasy ochrony dokumentów
Dobieraj urządzenia odpowiednie dla danej klasy ochrony danych. Każda klasa ochrony wskazuje odpowiednie dla niej trzy stopnie bezpieczeństwa oraz definiuje 7 stopni tajności. Stopnie te różnią się rozdrobnieniem niszczonego materiału. Im wyższy stopień tajności, tym większe poczucie bezpieczeństwa. O klasach ochrony oraz stopniach bezpieczeństwa mówi wspomniana wyżej norma DIN 66399.
Po szóste, określ miejsca niszczenia dokumentów oraz model urządzeniowy działów
Należy przemyśleć lokalizację miejsca niszczenia dokumentów biorąc pod uwagę klasy i poziomy ochrony oraz stopnie bezpieczeństwa, jakich wymagają poszczególne dokumenty i nośniki. W praktyce wygląda to tak, że każdy dział firmy wytwarza i gromadzi jakieś dane, zatem dla każdej takiej jednostki powinno być wyznaczone odrębne miejsce ich niszczenia. Warto zadbać, aby takie miejsce nie było zbyt daleko oddalone od stanowisk pracy. Pośpiech, brak czasu, a czasami zwykłe ludzkie lenistwo mogą spowodować, że ważny dokument zamiast do niszczarki, trafi do kosza na śmieci np. przedarty na pół. Perspektywa długiej wyprawy na drugi koniec biura może skutecznie zniechęcać pracowników do poprawnego niszczenia dokumentów. Zatem jeśli odpowiadasz za bezpieczeństwo niszczenia danych w biurze również musisz wziąć pod uwagę tzw. „czynnik ludzki”.
Dla departamentów gromadzących najbardziej poufne i tajne informacje, wymagające zwiększonej lub bardzo wysokiej ochrony, takich jak dział kadr czy biuro zarządu powinna zostać udostępniona niszczarka o najwyższym poziomie bezpieczeństwa.
autor: Marcin Sobaniec
