Det er nå bare dager igjen av den nasjonale kampanjen for informasjonssikkerhet i regi av Norsk senter for informasjonssikring (NorSIS). Den pågår hele oktober med målsetting om å skape en tryggere digital hverdag. De kaller det en dugnad og tilbyr råd og opplæring. Hva har virksomheten deres gjort? Har dere for eksempel benyttet sikkerhetsmåneden til å rydde i arkiver og redusert risikoen for at personopplysninger og annen sensitiv informasjon skal komme på avveie?

De aller fleste av oss tar det for gitt at sykehus og helseforetak har full kontroll på sensitiv informasjon og at de har gode rutiner som fungerer, slik at personlige opplysninger ikke havner på avveie. Men hvor gode er egentlig helsevesenet på dette området generelt?

Skal du ut å reise i forbindelse med jula? Hva gjør du med boardingpasset etterpå? Legger det i lommen på setet foran eller kaster det i avfallskurven på flyplassen på vei ut? Er du kanskje blant dem som tar bilde av boardingpasset og legger ut som reisehilsen til alle kjente på instagram? Det kan være risikabelt og i verste fall en invitasjon til hacking. Strekkodene på boardingpasset inneholder personopplysninger det er lett å kopiere.

En ung kvinne leverte ganske nylig sekker med notatbøker til en gjenvinningsstasjon. En tid etterpå fikk hun melding fra en bruktbutikk i Polen om at bøkene hadde havnet hos dem, hvor de også fant navnet hennes. Ubehagelig syntes hun det var. Dette hendte en privatperson, men kunne noe slikt skjedd i deres virksomhet? For eksempel fordi dere fortsatt har papirkurver ved skrivebordene hvor dokumenter kastes og derfra går i søpla til en gjenvinningsstasjon? Kvinnens historie er et eksempel på hvor lett informasjon man ikke ønsker spredd, kan komme på avveie. Vil man hindre det, kan papirkurvene byttes ut med plomberte beholdere og alle dokumenter makuleres før de går til gjenvinning.

Å bruke hammer eller drill for å ødelegge harddisker i håp om å fjerne innhold er nok ikke vanlig på arbeidsplasser. Men er de slettemetodene dere har, gode nok? Og hender det at sensitive dokumenter blir kastet i papirkurven? Det er i så fall risikabelt. Da er sjansene ganske store for at uvedkommende får tilgang til dem. Derfor kan det være lurt å bruke den nasjonale sikkerhetsmåneden NorSIS arrangerer i oktober, til en gjennomgang av sletterutiner og ta en dugnad for å hindre at sensitive data kommer på avveie.

Om kort tid er det ett år siden EUs personvernforordning (GDPR) ble en del av den norske personopplysningsloven. I løpet av det året har Datatilsynet gitt norske virksomheter millionbøter for brudd på personvernet. Er dere trygge på at dere ikke får bøter? Kanskje det kan være en idé å ta en gjennomgang av rutiner og tiltak på grunnlag av erfaringene etter et år med strengere personvern? Har dere for eksempel en sikker makuleringsløsning når GDPR-kravet om sletting skal oppfylles?  

Denne gangen har jeg lyst til å bruke blogginnlegget mitt til å fortelle litt om oss selv. Som dere vet, stiller GDPR nye krav om personvern til alle norske virksomheter og pålegger dem nye plikter. Det er krav og plikter vi også tar på alvor. Derfor har vi nå investert i økt sikkerhet og nye løsninger som skal tilfredsstille kravene ved sletting av personopplysninger og andre sensitive data. Vi har også laget en ny web-side som forteller om tjenestene og sikkerheten vår.

Hvor ofte har du selv glemt igjen eller funnet dokumenter andre har lagt fra seg ved kopimaskiner eller printere i virksomheten din? Har disse inneholdt personopplysninger eller andre sensitive data? I så fall kan det være en fare for at uvedkommende får tilgang til informasjon de ikke burde,  og  som de kan misbruke. 

Har du hørt om «VG-testen»? Den består i å svare på hva det vil føre til hvis en hendelse i virksomheten du har ansvaret for, kommer på forsiden av VG. Konsekvensene kan bli ubehagelige hvis hendelsen er negativ. Eksempelvis kan det skje hvis sensitive data kommer på avveie på grunn av brudd på informasjonssikkerheten. Hvis du vil unngå det, må jeg spørre:  - Har du fortsatt papirkurven ved skrivebordet ditt? Havner dokumenter der, kan veien være kort til uheldige medieoppslag.

Med nytt høyt bøtenivå etter at EUs personvernforordning (GDPR) ble en del av personopplysningsloven, er det viktig å hindre at personopplysninger kommer på avveie. Derfor  kan det være lurt å gå gjennom de rutinene dere har for sletting av sensitive dokumenter og spørre dere selv om de er effektive og sikre nok. Vær klar over at effektiv og sikker makulering dreier seg om mer enn å velge makuleringsmaskin.