Firmy během svého provozu shromažďují neuvěřitelné množství dat, ale málokdy se pozastaví nad tím, aby je zkontrolovaly, nebo dokonce smazaly.
Zásady uchovávání dat definují, jak dlouho vaše firma uchovává různé typy informací, proč je uchovává, kdo k nim může přistupovat a jak by měly být smazány, když už nejsou potřeba. Pro malé a střední podniky je to jeden z nejpraktičtějších způsobů, jak snížit riziko nesouladu s předpisy bez nadměrného komplikování každodenního provozu.
Mnoho společností uchovává data déle, než je nutné, protože smazání vnímají jako riskantní. Staré záznamy o zákaznících zůstávají v CRM. Soubory bývalých zaměstnanců zůstávají na sdílených discích. Smlouvy leží v doručené poště po celá léta. Exportované tabulky se ukládají „pro jistotu“. V průběhu času tak firma nakonec ukládá více osobně identifikovatelných údajů (PII), finančních záznamů a interních informací, než dokáže řádně spravovat.
To představuje problém z hlediska GDPR. Zásada omezení uložení znamená, že osobní údaje by neměly být uchovávány déle, než je nezbytné pro účel, pro který byly shromážděny. Zásady uchovávání pomáhají přeměnit tuto zásadu ve fungující systém: co uchováváte, jak dlouho, kde se data nacházejí, kdo je jejich vlastníkem, jak se odebírají a jak je chráněn přístup k uchovávaným datům.
To je důležité, protože slabá hesla zůstávají jednou z nejčastějších zranitelností pro firmy všech velikostí a uchovávaná data jsou v případě slabého řízení přístupu stále vystavena riziku.
Co jsou zásady uchovávání dat?
Proč jsou zásady uchovávání dat důležité?
Jaký druh dat vyžaduje plán uchovávání?
Požadavky na uchovávání dat ve Spojeném království: co by měly malé a střední podniky vědět
Šablona zásad uchovávání dat pro malé a střední podniky
Řízení přístupu a uchovávaná data
Časté chyby v zásadách uchovávání dat
Převeďte pravidla uchovávání dat do každodenní praxe
Co jsou zásady uchovávání dat?
Zásady uchovávání dat jsou souborem pravidel, která definují, jak dlouho mají být různé kategorie dat ve firmě uchovávány a co se stane po skončení doby uchovávání. Obvykle se vztahují na osobní údaje, záznamy o zákaznících, soubory zaměstnanců, finanční dokumenty, smlouvy, komunikaci, provozní záznamy a dokumenty klíčové pro chod firmy.
Užitečné zásady by měly odpovědět na tyto čtyři otázky:
- Jaké typy dat uchováváme?
- Proč je potřebujeme uchovávat?
- Jak dlouho bychom je měli uchovávat?
- Jak je bezpečně smažeme, anonymizujeme nebo archivujeme?
GDPR nestanovuje konkrétní časové limity pro každý typ dat, takže organizace se musí samy rozhodnout, co je pro jejich účely nezbytné, toto odůvodnění zdokumentovat a být připraveny ho obhájit.
Zásady uchovávání dat jsou víc než jen seznam dat. Je to záznam o rozhodnutích, která za těmito daty stojí. Pokud se někdo zeptá, proč byla data zákazníků uchovávána po dobu tří let nebo proč byly záznamy uchazečů smazány po šesti měsících, musí být firma schopna uvést jasný důvod.
Proč jsou zásady uchovávání dat důležité?
Zásady uchovávání dat pomáhají zajistit soulad s předpisy, bezpečnost a provozní přehlednost. Firmu chrání třemi způsoby:
- Snižují množství dat, která by mohla být vystavena při úniku informací
- Snižují právní rizika a rizika nesouladu s předpisy vyplývající z uchovávání informací déle, než je nutné
- Snižují náklady na úložiště spojené se zastaralými záznamy.
Z pohledu souladu s předpisy podporují povinnosti uchovávání dat podle GDPR tím, že ukazují, že vaše firma neuchovává osobní údaje po neomezenou dobu bez důvodu. Ve Spojeném království úřad ICO jasně uvádí, že osobní údaje by neměly být uchovávány „pro jistotu“, ale pouze po dobu nezbytnou pro příslušný účel.
Z bezpečnostního hlediska znamená méně zbytečných dat menší vystavení riziku. Pokud Vaše firma utrpí únik informací, každý zastaralý záznam o zákazníkovi, starý mzdový soubor, nepoužitý export nebo zapomenutá příloha v doručené poště může zvýšit množství dotčených informací.
Proto by mělo být uchovávání součástí vašeho širšího přístupu k prevenci úniků informací. To, jak dlouho data uchováváte, přímo ovlivňuje míru ohrožení: čím déle zůstávají nepotřebné záznamy ve vašich systémech, tím více jich může útočník ukrást, zneužít nebo k nim přistupovat.
Z provozního hlediska snižují pravidla uchovávání nutnost dohadů. Zaměstnanci by měli vědět, co uchovávat, kam to ukládat, kdy to smazat a kdo o tom rozhoduje. To je důležité zejména pro rostoucí týmy, kde mohou být data rozptýlena v e-mailech, cloudových úložištích, HR systémech, finančním softwaru, CRM, sdílených discích a platformách prodejců.
Jaký druh dat vyžaduje plán uchovávání?
Plán uchovávání dat je praktickou součástí zásad uchovávání dat. Přiřazuje každou kategorii dat k době uchovávání, vlastníku, umístění úložiště, způsobu smazání, opatřením na ochranu před únikem informací a důvodu pro jejich uchovávání.
Malé a střední podniky by měly začít s kategoriemi dat, které používají každý den.
Záznamy o zaměstnancích
Záznamy o zaměstnancích se neřídí stejnou logikou uchovávání. Některé je nutné uchovávat kvůli zákonným požadavkům, jiné proto, že mohou být potřeba k řešení sporů, a další pouze tehdy, existuje-li k tomu jasný obchodní důvod.
Například organizace ACAS(nové okno) uvádí, že zaměstnavatelé musí uchovávat záznamy o dovolené po dobu nejméně šesti let od data jejich pořízení, zatímco pokyny portálu GOV.UK(nové okno) k personálním záznamům uvádějí, že informace o zaměstnancích by se měly uchovávat pouze tak dlouho, dokud pro ně má firma jasné využití, a poté by měly být bezpečně zlikvidovány.
Údaje o zákaznících a potenciálních zákaznících
Údaje o zákaznících mohou zahrnovat kontaktní údaje, historii nákupů, tikety podpory, fakturační údaje, smlouvy, záznamy o účtech a historii komunikace. Údaje o potenciálních zákaznících mohou zahrnovat marketingové kontakty, registrace na události, odběry newsletterů a poznámky k prodeji.
Uchovávejte data zákazníků tak dlouho, jak je potřebujete k poskytování služeb, plnění smluvních závazků, řešení sporů, dodržování účetních pravidel nebo plnění zákonných požadavků. Marketingová data vyžadují zvláštní péči, protože souhlas, oprávněný zájem, žádosti o zrušení předplatného a omezení účelu ovlivňují to, jak dlouho by měla být uchovávána.
Finanční a daňové záznamy
Mezi finanční záznamy patří faktury, potvrzení, mzdové záznamy, bankovní výpisy, vyúčtování výdajů, záznamy o DPH, účetní záznamy, daňová dokumentace, smlouvy a objednávky, zprávy o auditu, záznamy o platebních kartách a úvěrech a případně záznamy o zaměstnaneckých výhodách nebo penzích.
V mnoha jurisdikcích stanovují obchodní a daňové zákony minimální dobu pro uchovávání účetních a finančních záznamů, i když přesná délka se liší podle země a typu společnosti.
Smlouvy a právní dokumenty
Smlouvy, zadávací dokumentace, dohody s dodavateli, klientské smlouvy, nájemní smlouvy a právní korespondence mohou vyžadovat uchování po dobu trvání smlouvy a po určitou dobu poté pro případ sporů.
Přesná doba závisí na smlouvě, promlčecích lhůtách, požadavcích odvětví a právním poradenství. Zásady by měly definovat vlastníka těchto záznamů, kterým je obvykle právní oddělení, finance, provoz nebo vedení.
E-mailová komunikace a interní dokumenty
Firemní e-mail je často místem, kde se zásady uchovávání dat prověřují. Doručená pošta může obsahovat smlouvy, osobní údaje, přílohy, stížnosti zákazníků, faktury, informace o uchazečích, hesla a důvěrná obchodní rozhodnutí.
Plán uchovávání by měl definovat, co patří do e-mailu, co by mělo být přesunuto do schváleného systému a kdy by měly být staré zprávy smazány nebo archivovány. Stejná logika platí pro interní dokumenty, exportované zprávy, tabulky, sdílené složky a přílohy chatů. Zásady však také potřebují mechanismus vymáhání.
Pravidla uchovávání by měla být provázána se schválenými systémy, automatickým nastavením smazání, je-li to proveditelné, pravidly archivace a kontrolami vlastnictví, aby data nezůstávala v systémech po neomezenou dobu jen proto, že po skončení doby uchovávání nikdo nejednal.
Přihlašovací údaje, záznamy o přístupu a bezpečnostní logy
Uchovávání dat se vztahuje také na bezpečnostní záznamy. To může zahrnovat přístupové logy, záznamy o auditech, záznamy o heslech, kódy pro obnovení, aktivitu správce, hlášení o incidentech a záznamy o ověření.
Některé bezpečnostní záznamy je nutné uchovávat pro účely vyšetřování, souladu s předpisy nebo provozního přezkumu. Jiné by měly být uchovávány pouze pro definovaný účel a po zdokumentovanou dobu a poté smazány nebo archivovány v souladu se zásadami, zejména pokud odhalují fungování Vašich systémů nebo citlivé detaily přístupu.
Uchovávání dat, správa přihlašovacích údajů a řízení přístupu se překrývají: uchovávané bezpečnostní záznamy vyžadují silné řízení přístupu, protože mohou odhalit fungování vašich firemních systémů.
Požadavky na uchovávání dat ve Spojeném království: co by měly malé a střední podniky vědět
Požadavky na uchovávání dat ve Spojeném království se liší. Závisí na typu dat, důvodu jejich uchovávání a právních, daňových, smluvních nebo obchodních závazcích, které za nimi stojí.
Pro uchovávání dat podle GDPR je výchozím bodem omezení uložení: osobní údaje by měly být uchovávány pouze po dobu nezbytnou pro daný účel. Britské nařízení GDPR nemá jedno pevné období pro každou kategorii, takže firmy si musí nastavit vlastní doby uchovávání a zdůvodnit je.
Některé záznamy mají jasnější pravidla. Společnosti s ručením omezeným obecně musí uchovávat účetní záznamy po dobu šesti let od konce účetního období, ke kterému se vztahují, a za určitých okolností i déle. Personální záznamy se liší podle typu záznamu, proto by měly být citlivé údaje o zaměstnancích pečlivě kategorizovány a v případě potřeby přezkoumány na základě právního poradenství nebo poradenství v oblasti lidských zdrojů.
Jednu dobu uchovávání nakonec nelze použít na všechno. Data by měla být rozdělena podle kategorií, měl by být definován důvod jejich uchovávání a zdokumentováno, proč je každé období vhodné.
Šablona zásad uchovávání dat pro malé a střední podniky
Použijte tuto strukturu jako jednoduchou šablonu zásad uchovávání dat. Přizpůsobte text své firmě, odvětví a právním požadavkům.
1. Účel a rozsah
Kopie šablony: Tyto zásady uchovávání dat vysvětlují, jak společnost [Company Name] ukládá, uchovává, archivuje, maže a chrání firemní a osobní údaje. Vztahují se na zaměstnance, dodavatele, prodejce, systémy a služby, které shromažďují, zpracovávají, ukládají nebo přistupují k firemním datům.
2. Kategorie dat
Kopie šablony: Společnost [Company Name] sdružuje data do skupin, včetně údajů o zákaznících, údajů o potenciálních zákaznících, záznamů o zaměstnancích, finančních záznamů, smluv, provozních záznamů, bezpečnostních logů a interní komunikace. Každá kategorie must mít svého vlastníka, umístění úložiště, dobu uchovávání a způsob smazání.
3. Plán uchovávání
Kopie šablony: Data se smí uchovávat pouze po dobu vyžadovanou pro obchodní, právní, regulační, smluvní nebo bezpečnostní účely. Každá kategorie dat musí být uvedena v plánu uchovávání s definovanou dobou uchovávání a důvodem.
Příklad plánu:
| Kategorie dat | Příklady záznamů | Doporučený přístup k uchovávání | Vlastník | Způsob smazání |
| Údaje o zákaznících | Záznamy o účtech, tikety podpory, historie služeb | Uchovávejte po dobu, kdy je vztah se zákazníkem aktivní, poté uchovávejte pouze po dobu nezbytnou pro právní, smluvní účely nebo účely řešení sporů | Provoz nebo péče o zákazníky | Smazat nebo anonymizovat z CRM a systémů podpory |
| Finanční záznamy | Faktury, potvrzení, mzdy, daňové dokumenty | Obecně uchovávejte po dobu šesti let po příslušném finančním roce, pokud není vyžadováno delší uchovávání | Finance | Bezpečně archivovat, poté smazat |
| Záznamy o zaměstnancích | Smlouvy, mzdy, záznamy o dovolené, soubory HR | Uchovávat na základě typu záznamu, zákonných pravidel a obchodní potřeby | HR nebo provoz | Bezpečně smazat z HR systémů a sdíleného úložiště |
| Smlouvy | Klientské smlouvy, smlouvy s dodavateli, zadávací dokumentace | Uchovávat po dobu trvání smlouvy plus definované období pro řešení sporů | Právní oddělení, finance nebo vedení | Bezpečně archivovat, poté smazat |
| Bezpečnostní logy | Přístupové logy, aktivita správce, záznamy o incidentech | Uchovávat pro účely vyšetřování, zabezpečení a odpovědnosti, poté smazat nebo archivovat na základě rizika | IT nebo vlastník zabezpečení | Bezpečně smazat nebo archivovat |
| Marketingová data | Kontakty, seznamy newsletterů, záznamy o kampaních | Uchovávat po dobu, kdy existuje platný účel a jsou respektována pravidla potlačení | Marketing | Smazat, anonymizovat nebo případně potlačit |
4. Řízení přístupu
Kopie šablony: Přístup k uchovávaným datům musí být omezen na osoby, které jej potřebují pro svou roli. Citlivá data musí být uložena ve schválených systémech, chráněna silným ověřením a pravidelně kontrolována. Sdílené přihlašovací údaje se nesmí používat k přístupu k uchovávaným datům, pokud nejsou spravovány prostřednictvím schváleného firemního správce hesel.
V této části se uchovávání dat přímo propojuje se správou přihlašovacích údajů. Data, která je nutné uchovávat, stále vyžadují ochranu. Pokud staré smlouvy, mzdové soubory, záznamy o zákaznících nebo bezpečnostní logy zůstanou přístupné lidem, kteří je již nepotřebují, řeší zásady uchovávání pouze polovinu problému.
Firemní správce hesel podporuje řízení přístupu tím, že týmům pomáhá vytvářet silné přihlašovací údaje, bezpečně je ukládat a sdílet přístup pouze s oprávněnými osobami. Služba Proton Pass for Business pomáhá týmům spravovat přihlašovací údaje v šifrovaných trezorech a využívat bezpečné sdílení, čímž snižuje pravděpodobnost vystavení uchovávaných dat v důsledku opakovaně používaných hesel nebo neformálního přístupu.
5. Smazání a likvidace
Kopie šablony: Po skončení doby uchovávání musí být data bezpečně smazána, anonymizována nebo archivována v souladu s plánem uchovávání. Papírové záznamy musí být skartovány nebo bezpečně zlikvidovány. Digitální záznamy musí být smazány ze schválených systémů, sdílených disků, případně ze záloh a jakýchkoli nespravovaných umístění úložiště. Smazání by mělo být u citlivých dat zdokumentováno. Zaměstnanci by také měli vědět, kam informace neukládat, jako jsou osobní disky, neschválené tabulky nebo chatovací vlákna. Pokud se na kategorii dat začne vztahovat právní omezení, spor, audit nebo vyšetřování, musí být smazání pozastaveno, dokud právní oddělení nebo vedení neschválí další krok.
6. Odpovědnost
Kopie šablony: Každá kategorie dat musí mít vlastníka odpovědného za rozhodování o uchovávání, kontrolu přístupu, smazání a aktualizaci zásad. Zaměstnanci jsou odpovědní za ukládání dat ve schválených systémech a hlášení dat, o kterých se domnívají, že jsou zastaralá, duplicitní nebo uložená na nesprávném místě.
7. Periodicita přezkumu
Kopie šablony: Tyto zásady a plán uchovávání budou přezkoumávány nejméně jednou ročně, a dříve v případě, že společnost [Company Name] zavede nové systémy, změní své právní závazky, zaznamená bezpečnostní incident nebo změní způsob shromažďování nebo zpracování osobních údajů.
Řízení přístupu a uchovávaná data
Zásady uchovávání dat by nikdy neměly být oddělovány od řízení přístupu. Uchovávání dat z pádného důvodu neznamená, že by k nim měl mít přístup kdokoli.
Uchovávaná data často obsahují citlivé informace: soubory zaměstnanců, záznamy o zákaznících, daňové doklady, smlouvy, bezpečnostní logy a hlášení o incidentech. Pokud je přístup nespravovaný, mohou se starší data stát snadným cílem při kompromitování účtu. Může to také představovat interní riziko, pokud mohou zaměstnanci otevírat záznamy, které nesouvisejí s jejich rolí.
Řízení přístupu by mělo odpovědět na otázky:
- Kdo může přistupovat k jednotlivým kategoriím uchovávaných dat?
- Které systémy je ukládají?
- Které přihlašovací údaje je chrání?
- Je aktivováno MFA?
- Jsou sdílené přihlašovací údaje kontrolovány?
- Kdy byl přístup naposledy kontrolován?
- Co se stane, když někdo odejde nebo změní roli?
- Je přístup umožněn externím prodejcům a dodavatelům ze třetích stran a je kontrolován?
Uchovávání dat je propojeno se správou přihlašovacích údajů. V rámci prevence úniků informací snižuje řízení přístupu také rozsah škod. Pokud útočník kompromituje jeden účet, neměl by automaticky získat přístup k letitým archivovaným zákaznickým datům, starým smlouvám nebo záznamům o zaměstnancích. Vytvoření zásad pro hesla může týmům pomoci definovat pravidla pro vytváření hesel, sdílení, správu přístupu a ověření.
V rámci prevence úniků informací snižuje řízení přístupu také rozsah škod. Pokud útočník kompromituje jeden účet, neměl by automaticky získat přístup k letitým archivovaným zákaznickým datům, starým smlouvám nebo záznamům o zaměstnancích. Průvodce společnosti Proton k ochraně před únikem informací pro firmy vysvětluje, proč je omezení přístupu a snížení zbytečného vystavení rizikům důležité ještě předtím, než k incidentu dojde.
Firemní správce hesel, jako je Proton Pass for Business, může také pomoci týmům kontrolovat a kontrolovat přístup k přihlašovacím údajům, které odemykají uchovávaná data, a to díky centralizované správě, bezpečnému sdílení a jasnějšímu vlastnictví prostřednictvím panelu správce.
Časté chyby v zásadách uchovávání dat
Mnoho malých a středních podniků již má neformální návyky v oblasti uchovávání dat, ale chybí jim spolehlivé zásady. Nejobvyklejších chyb se lze dopustit snadno: uchovávání příliš velkého množství dat, uplatňování jednoho pravidla na každý záznam, zapomínání kopií v běžných systémech, mazání bez kontroly právních omezení nebo ponechání uchovávaných dat přístupných příliš mnoha lidem.
| Chyba | Proč to představuje riziko | Co dělat místo toho |
| Uchovávání všeho navždy | Ukládání dat „pro jistotu“ může zvýšit riziko nesouladu s předpisy a míru ohrožení při úniku informací. | Uchovávejte data pouze tehdy, existuje-li k tomu jasný právní, smluvní, bezpečnostní nebo obchodní důvod. |
| Používání jedné doby uchovávání pro všechno | Finanční záznamy, soubory zaměstnanců, marketingové kontakty, smlouvy a logy slouží k různým účelům. | Definujte doby uchovávání podle kategorie dat. |
| Zapomínání na e-maily, tabulky a exporty | Kopie mohou zůstat v doručené poště, složkách se staženými soubory, sdílených discích nebo nespravovaných souborech. | Zahrňte do zásad sekundární umístění úložiště. |
| Mazání bez kontroly právních omezení | Některá data může být nutné uchovat pro případ sporů, auditů, vyšetřování nebo z důvodu regulačních povinností. | Před smazáním přidejte krok kontroly. |
| Ignorování přístupu k uchovávaným datům | Uchovávaná data mohou být stále ohrožena, pokud k nim má přístup příliš mnoho lidí. | Přiřaďte vlastníky, omezte oprávnění a přístup pravidelně kontrolujte. |
Převeďte pravidla uchovávání dat do každodenní praxe
Praktické zásady začínají u dat, která vaše firma již uchovává, a mění je v plán, kterým se lidé mohou řídit. Každá kategorie by měla mít důvod k uchovávání, vlastníka, periodicitu přezkumu a jasný proces smazání. Dokud tato data zůstávají ve vašich systémech, přístup by měl zůstat omezen na osoby, které je skutečně potřebují.
Pro mnoho malých a středních podniků je správa přihlašovacích údajů jednou z nejsnazších oblastí, kde lze dosáhnout zlepšení. Silná hesla, bezpečné sdílení a řízený přístup pomáhají zajistit, aby uchovávaná data byla k dispozici pouze lidem, kteří je potřebují.
Kontrolujte, kdo může přistupovat k uchovávaným datům ve vaší firmě, pomocí zabezpečeného firemního správce hesel.
