Regelefterlevnad: GDPR och allt däremellan

Säkerhetskraven enligt GDPR

GDPR har stått i fokus både i medierna och i styrelserummen senaste tiden, och det har nästan skickats ut dagliga påminnelser om förordningens finstilta bestämmelser och påföljderna för brister i efterlevnaden. Trots att GDPR är viktigt får vi inte glömma de många andra lagändringar som syftar till att skydda våra kunder och deras data i den digitala eran.

Företagen måste titta inåt och se till att bygga in GDPR-principerna i de processer och arbetsflöden som används - inte bara när det gäller skyddad data utan även de anställda som ska skydda och hantera informationen. CIO:er kan inte bara förlita sig på att IT-avdelningen ska garantera efterlevnaden, de måste säkerställa att medarbetarna i verksamheten känner till lagstiftningen och dess många processer och policyer.

CIO:n, risker och regelefterlevnad

I takt med att dagens organisationer anpassar sig till den nya lagstiftningen så får CIO:n en allt viktigare roll, där regelefterlevnaden får högsta prioritet. Ta ISO Compliance (27001) som exempel, en uppsättning standarder för informationssäkerhet som täcker både människor, processer och teknik. Precis som GDPR så gör ISO Compliance (27001) att organisationer måste utvärdera både risker och affärskontinuitet, göra tester och utföra granskningar. IT-avdelningen kan inte göra det här själva, hela företaget måste samverka. Oavsett vilket kontor det gäller så ligger ansvaret på samtliga, vare sig de hanterar stora datavolymer varje dag eller helt enkelt skriver ut viktig information ibland.

Det finns även kommande lagändringar där IT-avdelningen får bära hela ansvaret. PCI DSS (PCI Data Security Standard) är ett regelverk för tekniska och operativa systemkomponenter som ingår i eller är anslutna till data om betalkortsinnehavare. Det står stora böter på spel, så IT-avdelningen måste noggrant följa en trestegsprocess för att bedöma kortinnehavarnas data, IT-resurser och affärsprocesser vid kreditkortsbetalningar, rätta till brister i datalagringen och sammanställa rapporter åt relevanta banker och kortutgivare. Dessutom måste de skydda och testa kritiska datakontroller samtidigt som de ska säkerställa att betalterminaler, system och lösningar hålls skyddade.

De här regeländringarna innebär att interoperabiliteten är viktigare än någonsin. PSD2 främjar konkurrensen på marknaden, så för att behålla sin konkurrenskraft måste företagets CIO se till att IT-infrastrukturen är tillräckligt flexibel för att kunna hantera appar från tredje part, så att verksamheten kan dra nytta av både interna och externa innovationer.

Eftersom datatillväxten är exponentiell är det oerhört viktigt att förstå gällande regler och använda de rutiner som behövs i verksamheten. Företagets CIO måste leda arbetet med att översätta och förmedla den komplicerade datalagstiftningen i företaget och samtidigt fostra en säkerhetsinriktad kultur. Då är det ett måste att hålla sig ajour med de senaste lagändringarna.