Kevesebb mint 9 hónap múlva életbe lép az új európai uniós adatvédelmi rendelet, a GDPR, amire a vállalatoknak alaposan fel kell készülniük. A Trend Micro nemrégiben végzett felmérése arra mutatott rá, hogy a felsővezetők nem kezelik elég komolyan a szabályozást, ezért túlzott magabiztossággal állnak a megfelelőséghez kapcsolódó kérdésekhez. Sok helyen nincsenek tisztában azzal, pontosan milyen adatokat érint az előírás, és az esetleges bírságok mértékét sem mérik fel megfelelően.

GDPR-tudatosság

A 11 (európai és tengerentúli) országban, több mint 1100 informatikai döntéshozó bevonásával készített kutatás eredményei alapján a GDPR alapelvei széles körben ismertek. A cégvezetők jelentős része, 95 százaléka tudja, hogy meg kell felelnie a rendeletnek, és 85 százalékuk áttekintette annak követelményeit. Emellett a vállalatok 79 százaléka biztos abban, hogy az általuk kezelt adatok a lehető legnagyobb biztonságban vannak. A Gartner azonban azt vetíti előre, hogy 2018 végére a vállalatoknak még több mint 50 százaléka nem fog teljesen megfelelni a GDPR követelményeinek. 

A vezetők tehát látszólag tudatosan kezelik a kérdést, ennek ellenére zavar érzékelhető azzal kapcsolatban, hogy pontosan milyen személyazonosításra alkalmas információkat (Personally Identifiable Information – PII) kell védeniük az előírások alapján. A felmérésben részt vevők 64 százaléka például nem tudta, hogy az ügyfelek születési dátuma személyazonosításra alkalmas információnak minősül. Emellett 42 százalékuk nem tekintette ilyen jellegĹą információnak az e-mailes marketing-adatbázisokat, 32 százalékuk a lakcímeket, illetve 21 százalékuk az ügyfelek e-mail címét sem. Az eredmények tehát azt mutatják, hogy a vállalatok pontatlan képpel rendelkeznek saját felkészültségükről és biztonságukról. Ezek az adatok ugyanis elegendő információt biztosítanak a hackerek számára, hogy személyazonosságokat lopjanak, ezért büntetésre számíthat minden olyan vállalat, amely nem gondoskodik a megfelelő védelmükről. 

Az engedetlenség költségei

A felmérés szerint a válaszadók döbbenetesen nagy aránya, 66 százaléka nem foglalkozott azzal, milyen összegĹą bírságra számíthat, ha nem rendelkezik a szükséges biztonsági védelemmel. Mindössze 33 százalékuk ismerte fel, hogy az éves forgalmuk akár négy százalékát is elveszíthetik. Továbbá a szervezetek 66 százaléka gondolja úgy, hogy a szabályok megszegésekor a hírnévből és a márka értékéből veszíthet a legtöbbet, míg 46 a válaszadók százaléka azt állította, hogy egy ilyen esemény a meglévő ügyfélkört befolyásolná a leginkább. Ez a hozzáállás különösen riasztó, ha figyelembe vesszük, hogy szabályszegés esetén a vállalatokat akár bezárásra is kötelezhetik a hatóságok.  

Felelős felek

A kutatás arra is rávilágított, hogy a vállalatok nem biztosak abban, ki a felelős olyan esetben, amikor az EU-s adatok egy Egyesült Államokban mĹąködő szolgáltató hibájából vesznek el. Mindössze 14 százalékuk tudta helyesen megmondani, hogy az adatvesztés minkét fél felelőssége – 51 százalékuk úgy gondolta, a bírság az EU területén mĹąködő adattulajdonost illeti, míg 24 százalékuk úgy vélte, az Egyesült Államokban mĹąködő szolgáltató a hibás.  

Emellett az is kiderült, hogy a vállalatok nem biztosak abban sem, kinek a felelőssége, hogy biztosítsa a rendeletnek való megfelelést. A felmérésben szereplők 31 százaléka úgy gondolja, hogy ez a vezérigazgatóra hárul, míg 27 százalékuk szerint az információbiztonsági vezetőnek és a biztonsági csapatnak kell felelősséget vállalnia. Ennek ellenére a vállalatok mindössze 21 százalékánál vesz ténylegesen részt a felsővezetés a felkészülésben, 65 százaléknál az informatikai részleg irányítja a folyamatot.

A szükséges technológia

Miközben a fenyegetések egyre kifinomultabbá válnak, a vállalatok gyakran nem rendelkeznek a védekezéshez szükséges szakértelemmel. A GDPR előírja a cégek számára, hogy a várható kockázatoknak megfelelő, korszerĹą technológiákat alkalmazzanak. Ennek ellenére a szervezeteknek mindössze 34 százaléka vezetett be fejlett megoldásokat a behatolók azonosítására, 33 százalékuk fektetett be adatszivárgás elleni technológiákba, és 31 százalékuk alkalmaz titkosítási megoldásokat. 

„A GDPR előírásainak teljesítéséhez a vállalatoknak többrétegĹą védelemre van szükségük. Ehhez minden szükséges támogatást biztosít számukra a Trend Micro XGen security megoldása, amely a személyes adatok számára a teljes vállalati infrastruktúrában védelmet nyújt. Az eszköz minden olyan környezetre optimalizált, amelyben adatok tárolhatók, legyen szó akár fizikai vagy virtuális környezetről, felhőről vagy éppen konténerekről. Az XGen platform a Trend Micro összes megoldását lefedi, az összekapcsolt mĹąködésnek köszönhetően pedig képes azonnal riasztást küldeni és jelentést készíteni az esetleges adatszivárgásokról” – foglalta össze György László, a Trend Micro magyarországi területi képviselője.

A kutatásról

A kutatást a Trend Micro az Opinium vállalattal együttmĹąködésben készítette a szervezetek GDPR-felkészültségéről 2017. május 22. és június 28. között. A felmérés során 11 ország (Amerikai Egyesült Államok, Egyesült Királyság, Franciaország, Olaszország, Spanyolország, Hollandia, Németország, Lengyelország, Svédország, Ausztria és Svájc) több mint 500 alkalmazottat foglalkoztató vállalatainak informatikai döntéshozóival készítettek összesen 1132 online interjút. A felmérésre válaszolók felső- vagy középvezetői pozíciót töltenek be többféle iparágban, beleértve a kiskereskedelmet, a pénzügyi szolgáltatásokat, az állami szektort, a médiaipart és az építőipart.