GDPR og millionbøter her hjemme og i andre land, digital sikkerhet, sikker makulering av sensitive data, hacking og ID-tyveri, informasjonssikkerhet og internkontroll har vært de sentrale temaene i blogginnleggene våre i år. Det viser et tilbakeblikk jeg har tatt når vi nå nærmer oss et nytt år. Disse temaene vil nok også prege neste år, for GDPR-kontrollene vil fortsette.

Skal du ut å reise i forbindelse med jula? Hva gjør du med boardingpasset etterpå? Legger det i lommen på setet foran eller kaster det i avfallskurven på flyplassen på vei ut? Er du kanskje blant dem som tar bilde av boardingpasset og legger ut som reisehilsen til alle kjente på instagram? Det kan være risikabelt og i verste fall en invitasjon til hacking. Strekkodene på boardingpasset inneholder personopplysninger det er lett å kopiere.

Hender det at du på jobben gjør notater eller stikkord på post-it-lapper fra samtaler med andre? Lar du disse ligge på bordplaten eller fester dem på veggen? Eller hender det at andre dokumenter med personopplysninger blir liggende på pulten din når du ikke er der? Ja, da kan det være brudd på personvernreglene i GDPR og medføre bot. En dansk kommune unngikk bot fordi de makulerte post-it-lappene etter kort tid. 

Et eiendomsselskap har satt tysk rekord i GDPR-bot. Da det tyske datatilsynet tok en sjekk hos selskapet, konkluderte de med at det ikke hadde gode nok rutiner for sletting og hadde dessuten ikke slettet personopplysninger som de ikke lenger hadde grunnlag for å ha lagret. Om lag 150 millioner kroner syntes datatilsynet var en passende bot for dette bruddet på EUs personvernforordning GDPR).

Har dere oversikt over hva som finnes av sensitiv informasjon i virksomheten deres? Vet dere hvordan den blir lagret og behandlet i den daglige driften? Og sletter dere informasjonen på en sikker måte når det er nødvendig? Kan dere svare positivt på disse spørsmålene, tyder mye på at dere har god informasjonssikkerhet og sjansene for å unngå økonomisk tap er gode. I motsatt fall kan det være nyttig med en gjennomgang av sikkerhetsrutiner og kanskje samtidig ta en opprydding.

Hvordan behandler din bedrift PCer, laptopper, nettbrett og mobiltelefoner som ansatte bruker både i jobb og privat? Hva skjer når de slutter? Må de levere dem tilbake? Slettes innholdet? Hvis bedriften gir tilskudd til kjøp av mobiltelefon eller nettbrett for at ansatte skal bruke dem også i jobb, hva skjer med dem når de slutter? Blir innholdet slettet? Eller hva skjer når ansatte bytter utstyr? Slettes innhold på det gamle? Digitale lagringsmedier som ikke er i bruk, representerer en risiko for at personopplysninger og andre sensitive data kommer på avveie. Sikker makulering  kan redusere risikoen. 

En av tre norske ledere mener at det er for dyrt å sikre seg helt mot dataangrep. Det viser en undersøkelse gjennomført for Norsk senter for informasjonssikring (NorSIS). En av fem mener dessuten at det er lite sannsynlig at deres virksomhet vil bli utsatt for angrep. Det er vanskelig å tolke dette annerledes enn at for mange er villige til å ta en sikkerhetsrisiko. Et av risikoområdene, som det er enkelt å gjøre noe med, er mangel på sletting eller dårlige sletterutiner. Svikter virksomhetene på dette området, kan det nettopp være årsaken til dataangrep.

En ung kvinne leverte ganske nylig sekker med notatbøker til en gjenvinningsstasjon. En tid etterpå fikk hun melding fra en bruktbutikk i Polen om at bøkene hadde havnet hos dem, hvor de også fant navnet hennes. Ubehagelig syntes hun det var. Dette hendte en privatperson, men kunne noe slikt skjedd i deres virksomhet? For eksempel fordi dere fortsatt har papirkurver ved skrivebordene hvor dokumenter kastes og derfra går i søpla til en gjenvinningsstasjon? Kvinnens historie er et eksempel på hvor lett informasjon man ikke ønsker spredd, kan komme på avveie. Vil man hindre det, kan papirkurvene byttes ut med plomberte beholdere og alle dokumenter makuleres før de går til gjenvinning.

Vi er nå inne i den nasjonale sikkerhetsmåneden oktober. Målet med den er å bidra til en tryggere digital hverdag og hindre at sensitive data kommer på avveie. Da er det kanskje lett å tenke at det bare dreier seg om behandling av digitale data. Slik er det ikke. For å få en trygg digital hverdag er det også viktig med sikker lagring og sletting av papirdokumenter. Kommer de i hendene på uvedkommende, kan informasjon derfra gi muligheter til hacking og ID-tyveri.

Hvordan er det på arbeidsplassen deres? Er det trygt å si fra om egne eller kollegers brudd på bedriftens IT-regler? I så fall tyder det på god informasjonssikkerhet, og dere har har skapt forutsetninger for en trygg digital hverdag. Dessverre er det altfor mange som ikke har det slik.