Beleid inzake gegevensinbreuk

Dit privacybeleid is bedoeld om je te helpen begrijpen wat de doelstellingen en de visie van het proces van inbreuken bestrijding zijn

Inhoudsopgave:

• 1.0 Doel
       - Achtergrond
• 2.0 Toepassingsgebied
• 3.0 Beleid
       - Bevestigde diefstal, inbreuk of blootstelling van Web1on1-gegevens
       - Werken met forensische onderzoekers
       - Een communicatieplan ontwikkelen

• 3.2 Eigendom en verantwoordelijkheden
       - Rollen & verantwoordelijkheden

• 4.0 Handhaving
• 5.0 Definities

1.0 Doel

Het doel van het beleid is de doelstellingen en de visie van het proces ter bestrijding van inbreuken vast te stellen. In dit beleid wordt duidelijk omschreven op wie het van toepassing is en onder welke omstandigheden, en het omvat de definitie van een inbreuk, de taken en verantwoordelijkheden van het personeel, normen en maatstaven (bijvoorbeeld om prioriteit aan incidenten te kunnen geven), alsmede mechanismen voor rapportage, herstel en feedback. Aan het beleid moet ruime bekendheid worden gegeven en het moet gemakkelijk beschikbaar zijn voor al het personeel dat zich bezighoudt met de bescherming van de persoonlijke levenssfeer en de beveiliging van gegevens.

Web1on1 Information Security wil met de publicatie van een Data Breach Response Policy veel aandacht besteden aan gegevensbeveiliging en inbreuken op de gegevensbeveiliging en hoe Web1on1's gevestigde cultuur van openheid, vertrouwen en integriteit moet reageren op dergelijke activiteiten. Web1on1 Information Security zet zich in om de werknemers, partners en het bedrijf van Web1on1 te beschermen tegen illegale of schadelijke acties van individuen, bewust of onbewust.

Achtergrond

Dit beleid schrijft voor dat iedereen die vermoedt dat een diefstal, inbreuk of blootstelling van door Web1on1 beschermde gegevens of gevoelige gegevens van Web1on1 heeft plaatsgevonden, onmiddellijk via e-mail een beschrijving van het voorval moet geven aan privacy@web1on1.chat. Dit e-mailadres wordt bewaakt door de Information Security Administrator van Web1on1. Alle gemelde diefstallen, inbreuken op gegevens en blootstellingen zullen worden onderzocht om na te gaan of een diefstal, inbreuk of blootstelling heeft plaatsgevonden. Indien een diefstal, inbreuk of blootstelling heeft plaatsgevonden, zal de Information Security Administrator de geldende procedure volgen.

2.0 Toepassingsgebied

Dit beleid is van toepassing op iedereen die persoonlijk identificeerbare informatie van Web1on1-leden verzamelt, opent, onderhoudt, verspreidt, verwerkt, beschermt, opslaat, gebruikt, verzendt, verwijdert of anderszins behandelt. Alle overeenkomsten met verkopers zullen soortgelijke bepalingen bevatten.

3.0 Beleid

Zodra een diefstal, datalek of blootstelling met door Web1on1 beschermde gegevens of gevoelige gegevens van Web1on1 wordt vastgesteld, begint het proces om alle toegang tot die bron te verwijderen.

De uitvoerend directeur zal een incident response team voorzitten om de inbreuk of blootstelling af te handelen.

Het team bestaat uit leden van:

• IT Infrastructuur.

• IT Applicaties.

• Financiën (indien van toepassing).

• Juridisch.

• Communicatie.

• Abonnee diensten(wanneer abonnee data is aangetast).

• Human Resources.

• De getroffen eenheid of afdeling die het betrokken systeem of de betrokken output gebruikt of waarvan de gegevens mogelijk zijn geschonden of blootgesteld.

• Aanvullende afdelingen, op basis van het betrokken gegevenstype, aanvullende personen als de uitvoerend directeur dat nodig acht.

Bevestigde diefstal, inbreuk of blootstelling van Web1on1-gegevens

De uitvoerend directeur wordt in kennis gesteld van de diefstal, inbreuk of blootstelling. IT zal samen met het aangewezen forensische team de inbreuk of blootstelling analyseren om de hoofdoorzaak vast te stellen.

Werken met forensische onderzoekers

Volgens de cyberverzekering van Web1on1 moet de verzekeraar toegang verlenen aan forensische onderzoekers en deskundigen die zullen bepalen hoe de inbreuk of blootstelling heeft plaatsgevonden, om welke soorten gegevens het gaat, hoeveel interne/externe personen en/of organisaties erbij betrokken zijn, en de inbreuk of blootstelling analyseren om de hoofdoorzaak vast te stellen.

Een communicatieplan ontwikkelen

Werk samen met de communicatie-, juridische en personeelsafdelingen van Web1on1 om te bepalen hoe de inbreuk wordt gecommuniceerd aan: a) interne werknemers, b) het publiek, en c) de direct betrokkenen.

3.2 Eigendom en verantwoordelijkheden

Rollen en verantwoordelijkheden:

- Sponsors - Sponsors zijn de leden van de Web1on1-gemeenschap die de primaire verantwoordelijkheid dragen voor het onderhoud van een bepaalde informatiebron. Sponsors kunnen worden aangewezen door een Web1on1 executive in verband met hun administratieve verantwoordelijkheden, of door de feitelijke sponsoring, verzameling, ontwikkeling of opslag van informatie.

- De Information Security Administrator is een lid van de Web1on1-gemeenschap, aangewezen door de uitvoerend directeur of de directeur Infrastructuur voor informatietechnologie (IT), die in overleg met de betrokken Sponsors administratieve ondersteuning biedt voor de uitvoering van, het toezicht op en de coördinatie van beveiligingsprocedures en -systemen met betrekking tot specifieke informatiebronnen.

- Gebruikers omvatten vrijwel alle leden van de Web1on1-gemeenschap voor zover zij geautoriseerde toegang hebben tot informatiebronnen, en kunnen personeel, trustees, contractanten, consultants, stagiaires, tijdelijke werknemers en vrijwilligers omvatten.

- Het Incident Response Team wordt voorgezeten door het Executive Management en bestaat uit, maar is niet beperkt tot, de volgende afdelingen of hun vertegenwoordigers: IT-infrastructuur, IT-toepassingsbeveiliging, communicatie, juridische zaken, beheer, financiële diensten, ledendiensten, personeelszaken.

4.0 Handhaving

Tegen Web1on1-personeel dat dit beleid overtreedt, kunnen disciplinaire maatregelen worden genomen, tot en met beëindiging van het dienstverband. Een derde partij partnerbedrijf dat in overtreding wordt aangetroffen, kan zijn netwerkverbinding worden beëindigd.

5.0 Definities

Encryptie of versleutelde gegevens - De meest effectieve manier om gegevens te beveiligen. Om een versleuteld bestand te lezen, moet je toegang hebben tot een geheime sleutel of wachtwoord waarmee je het kunt ontsleutelen. Onversleutelde gegevens worden platte tekst genoemd.

Platte tekst –Onversleutelde gegevens.

Hacker – Straattaal voor een computerenthousiasteling, d.w.z. een persoon die er plezier in heeft programmeertalen en computersystemen te leren en vaak kan worden beschouwd als een expert op dat gebied.

Personally Identifiable Information (PII) - Alle gegevens die een specifieke persoon zouden kunnen identificeren. Alle informatie die kan worden gebruikt om de ene persoon van de andere te onderscheiden en die kan worden gebruikt om anonieme gegevens te anonimiseren, komt in aanmerking.

Beschermde gegevens - Zie PII.

Information Resource - De gegevens en informatiemiddelen van een organisatie, afdeling of eenheid.

Safeguards -Tegenmaatregelen, controles die zijn ingesteld om veiligheidsrisico's voor fysieke eigendommen, informatie, computersystemen of andere activa te vermijden, op te sporen, tegen te gaan of tot een minimum te beperken. Beveiligingsmaatregelen helpen het risico van schade of verlies te beperken door een aanval op een activum te stoppen, af te schrikken of te vertragen.

Gevoelige data - Gegevens die gecodeerd of in platte tekst zijn en PII-gegevens bevatten.  Zie PII hierboven. 

Data Breach Procedure