วิธีสร้างนโยบายการเก็บรักษาข้อมูลที่ช่วยให้ธุรกิจปฏิบัติตามข้อกำหนด

ธุรกิจต่าง ๆ เก็บรวบรวมข้อมูลจำนวนมหาศาลในระหว่างการดำเนินงาน แต่ไม่ค่อยได้ตรวจสอบหรือแม้กระทั่งลบข้อมูล

นโยบายการเก็บรักษาข้อมูลกำหนดระยะเวลาที่ธุรกิจเก็บข้อมูลประเภทต่าง ๆ เหตุผลที่เก็บ ผู้ที่สามารถเข้าถึงข้อมูลได้ และวิธีลบข้อมูลเมื่อไม่มีความจำเป็นต้องใช้อีกต่อไป สำหรับธุรกิจขนาดเล็กและขนาดกลาง นโยบายนี้เป็นหนึ่งในวิธีที่ใช้งานได้จริงที่สุดในการลดความเสี่ยงในการปฏิบัติตามข้อกำหนด โดยไม่ทำให้การดำเนินงานประจำวันซับซ้อนจนเกินไป

หลายบริษัทเก็บข้อมูลไว้นานเกินจำเป็นเนื่องจากรู้สึกว่าการลบมีความเสี่ยง ประวัติลูกค้าเก่า ๆ ยังคงอยู่ใน CRM ไฟล์ของอดีตพนักงานยังคงอยู่ในไดรฟ์ที่แชร์ สัญญาต่าง ๆ ตกค้างอยู่ในกล่องขาเข้าเป็นเวลาหลายปี ตารางคำนวณที่ส่งออกถูกบันทึกไว้ “เผื่อกรณีจำเป็น” เมื่อเวลาผ่านไป ธุรกิจจึงลงเอยด้วยการจัดเก็บข้อมูลที่ระบุตัวบุคคลได้ (PII) บันทึกทางการเงิน และข้อมูลภายในมากกว่าที่สามารถควบคุมดูแลได้อย่างเหมาะสม

เรื่องดังกล่าวทำให้เกิดปัญหาภายใต้ GDPR หลักการจำกัดพื้นที่จัดเก็บหมายความว่าไม่ควรเก็บข้อมูลส่วนบุคคลไว้นานเกินความจำเป็นสำหรับวัตถุประสงค์ที่เก็บรวบรวม นโยบายการเก็บรักษาช่วยเปลี่ยนหลักการนั้นให้เป็นระบบที่ใช้งานได้จริง: สิ่งที่เก็บรักษาไว้นานแค่ไหน จัดเก็บไว้ที่ใด ใครเป็นเจ้าของ วิธีลบออก และวิธีป้องกันการเข้าถึงข้อมูลที่เก็บรักษาไว้

เรื่องนี้มีความสำคัญเนื่องจากรหัสผ่านที่คาดเดาง่ายยังคงเป็นหนึ่งในช่องโหว่ที่พบบ่อยที่สุดสำหรับธุรกิจทุกขนาด และข้อมูลที่เก็บรักษาไว้จะยังคงมีความเสี่ยงหากการควบคุมการเข้าถึงไม่รัดกุมพอ

นโยบายการเก็บรักษาข้อมูลคืออะไร?

ทำไมนโยบายการเก็บรักษาข้อมูลจึงมีความสำคัญ?

ข้อมูลประเภทใดบ้างที่ต้องกำหนดกำหนดการเก็บรักษา?

ข้อกำหนดการเก็บรักษาข้อมูลของสหราชอาณาจักร: สิ่งที่ SMB ควรทราบ

เทมเพลตนโยบายการเก็บรักษาข้อมูลสำหรับ SMB

การควบคุมการเข้าถึงและข้อมูลที่เก็บรักษาไว้

ข้อผิดพลาดที่พบบ่อยเกี่ยวกับนโยบายการเก็บรักษาข้อมูล

เปลี่ยนกฎการเก็บรักษาข้อมูลให้เป็นแนวทางปฏิบัติในชีวิตประจำวัน

นโยบายการเก็บรักษาข้อมูลคืออะไร?

นโยบายการเก็บรักษาข้อมูลคือชุดกฎที่กำหนดระยะเวลาที่ควรเก็บรักษาข้อมูลประเภทต่าง ๆ ไว้ในธุรกิจ และสิ่งที่จะเกิดขึ้นเมื่อสิ้นสุดระยะเวลาการเก็บรักษา โดยปกติจะครอบคลุมถึงข้อมูลส่วนบุคคล ประวัติลูกค้า ไฟล์พนักงาน เอกสารทางการเงิน สัญญา การสื่อสาร บันทึกการดำเนินงาน และเอกสารสำคัญทางธุรกิจ

นโยบายที่มีประโยชน์ควรตอบคำถามสี่ข้อต่อไปนี้:

• มีข้อมูลประเภทใดบ้างที่จัดเก็บไว้?
• ทำไมจึงต้องเก็บรักษาข้อมูลนั้นไว้?
• ควรเก็บรักษาข้อมูลไว้นานเท่าใด?
• จะลบ ทำให้เป็นข้อมูลนิรนาม หรือเก็บถาวรข้อมูลอย่างปลอดภัยได้อย่างไร?

GDPR ไม่ได้กำหนดเวลาเฉพาะเจาะจงสำหรับข้อมูลทุกประเภท ดังนั้นองค์กรจึงต้องตัดสินใจว่าข้อมูลใดที่จำเป็นสำหรับวัตถุประสงค์ของตน บันทึกเหตุผลดังกล่าว และเตรียมพร้อมที่จะอธิบายเหตุผลนั้น

นโยบายการเก็บรักษาข้อมูลเป็นมากกว่ารายการวันที่ แต่เป็นบันทึกการตัดสินใจที่อยู่เบื้องหลังวันที่เหล่านั้น หากมีผู้ถามว่าเหตุใดจึงเก็บข้อมูลลูกค้าไว้เป็นเวลาสามปี หรือเหตุใดประวัติผู้สมัครจึงถูกลบหลังจากผ่านไปหกเดือน ธุรกิจต้องสามารถระบุเหตุผลที่ชัดเจนได้

ทำไมนโยบายการเก็บรักษาข้อมูลจึงมีความสำคัญ?

นโยบายการเก็บรักษาช่วยในเรื่องการปฏิบัติตามกฎระเบียบ ความปลอดภัย และความชัดเจนในการดำเนินงาน โดยช่วยปกป้องธุรกิจในสามวิธีด้วยกัน:

• ลดจำนวนข้อมูลที่อาจรั่วไหลในกรณีที่เกิดการละเมิดข้อมูล
• ลดความเสี่ยงทางกฎหมายและการปฏิบัติตามข้อกำหนดจากการเก็บข้อมูลไว้นานเกินจำเป็น
• ลดค่าใช้จ่ายเกี่ยวกับพื้นที่จัดเก็บข้อมูลที่เชื่อมโยงกับบันทึกที่ล้าสมัย 

ในแง่ของการปฏิบัติตามกฎระเบียบ นโยบายนี้รองรับข้อผูกพันในการเก็บรักษาข้อมูลของ GDPR โดยแสดงให้เห็นว่าธุรกิจไม่ได้เก็บข้อมูลส่วนบุคคลไว้อย่างไม่มีกำหนดโดยไม่มีเหตุผล ในสหราชอาณาจักร ICO ระบุอย่างชัดเจนว่าไม่ควรเก็บรักษาข้อมูลส่วนบุคคลไว้ในลักษณะ “เผื่อกรณีจำเป็น” แต่ควรเก็บไว้เฉพาะตราบเท่าที่จำเป็นสำหรับวัตถุประสงค์ที่เกี่ยวข้องเท่านั้น

ในแง่ของความปลอดภัย ข้อมูลที่ไม่จำเป็นน้อยลงหมายถึงความเสี่ยงที่ลดลง หากธุรกิจประสบปัญหาการละเมิดข้อมูล ทุกประวัติลูกค้าที่ล้าสมัย ไฟล์เงินเดือนเก่า ข้อมูลส่งออกที่ไม่ได้ใช้ หรือไฟล์แนบในกล่องขาเข้าที่ถูกลืม อาจเพิ่มปริมาณข้อมูลที่ได้รับผลกระทบ

นั่นคือสาเหตุที่การเก็บรักษาข้อมูลควรเป็นส่วนหนึ่งของแนวทางปฏิบัติในวงกว้างในการป้องกันการละเมิดข้อมูล ระยะเวลาในการเก็บรักษาข้อมูลส่งผลโดยตรงต่อความเสี่ยง ยิ่งเก็บบันทึกที่ไม่จำเป็นไว้ในระบบนานเท่าใด ผู้โจมตีก็ยิ่งมีโอกาสเข้าถึง ขโมย หรือเปิดเผยข้อมูลเหล่านั้นได้มากขึ้นเท่านั้น

ในแง่ของการดำเนินงาน กฎการเก็บรักษาข้อมูลจะช่วยลดการเดา พนักงานควรทราบว่าต้องเก็บอะไรไว้ จัดเก็บไว้ที่ใด เมื่อใดควรลบ และใครเป็นผู้ตัดสินใจ เรื่องนี้มีความสำคัญอย่างยิ่งสำหรับทีมที่กำลังเติบโตซึ่งข้อมูลอาจกระจายอยู่ตามอีเมล พื้นที่จัดเก็บข้อมูลบนคลาวด์ ระบบทรัพยากรบุคคล ซอฟต์แวร์การเงิน CRM ไดรฟ์ที่แชร์ และแพลตฟอร์มของผู้ให้บริการ

ข้อมูลประเภทใดบ้างที่ต้องกำหนดกำหนดการเก็บรักษา?

กำหนดการเก็บรักษาข้อมูลเป็นส่วนที่ใช้งานจริงของนโยบายการเก็บรักษาข้อมูล โดยจะจับคู่หมวดหมู่ข้อมูลแต่ละประเภทกับระยะเวลาการเก็บรักษา เจ้าของข้อมูล ตำแหน่งพื้นที่จัดเก็บ วิธีการลบ มาตรการป้องกันการละเมิดข้อมูล และเหตุผลในการเก็บรักษา

SMB ควรเริ่มต้นด้วยหมวดหมู่ข้อมูลที่ใช้เป็นประจำทุกวัน

ประวัติพนักงาน

ประวัติพนักงานไม่ได้ใช้ตรรกะการเก็บรักษาเดียวกันทั้งหมด บางประเภทต้องเก็บรักษาไว้เนื่องจากข้อกำหนดตามกฎหมาย บางประเภทอาจจำเป็นสำหรับการระงับข้อพิพาท และบางประเภทจะเก็บไว้เฉพาะเมื่อมีเหตุผลทางธุรกิจที่ชัดเจนเท่านั้น

ตัวอย่างเช่น ACAS(หน้าต่างใหม่) ระบุว่านายจ้างต้องเก็บประวัติการลาหยุดไว้เป็นเวลาอย่างน้อยหกปีนับจากวันที่จัดทำ ขณะที่คำแนะนำของ GOV.UK(หน้าต่างใหม่) เกี่ยวกับบันทึกข้อมูลบุคลากรระบุว่า ควรเก็บข้อมูลพนักงานไว้ตราบเท่าที่ธุรกิจมีความจำเป็นที่ชัดเจนเท่านั้น จากนั้นจึงทำลายอย่างปลอดภัย

ข้อมูลลูกค้าและผู้มีโอกาสเป็นลูกค้า

ข้อมูลลูกค้าอาจรวมถึงรายละเอียดผู้ติดต่อ ประวัติการซื้อ ตั๋วฝ่ายสนับสนุน ข้อมูลการเรียกเก็บเงิน สัญญา บันทึกบัญชี และประวัติการสื่อสาร ข้อมูลผู้มีโอกาสเป็นลูกค้าอาจรวมถึงข้อมูลผู้สนใจทำการตลาด การลงทะเบียนกิจกรรม การสมัครสมาชิกจดหมายข่าว และบันทึกการขาย

เก็บข้อมูลลูกค้าไว้ตราบเท่าที่จำเป็นสำหรับการให้บริการ ปฏิบัติตามข้อผูกพันในสัญญา จัดการข้อพิพาท ปฏิบัติตามกฎเกณฑ์ทางบัญชี หรือปฏิบัติตามข้อกำหนดทางกฎหมาย ข้อมูลการตลาดต้องได้รับการดูแลเป็นพิเศษเนื่องจากความยินยอม ผลประโยชน์อันชอบธรรม การขอยกเลิกการเป็นสมาชิก และข้อจำกัดด้านวัตถุประสงค์ ล้วนส่งผลต่อระยะเวลาในการเก็บรักษาข้อมูล

บันทึกทางการเงินและภาษี

บันทึกทางการเงินรวมถึงใบแจ้งหนี้ ใบเสร็จ บันทึกเงินเดือน รายการเดินบัญชีธนาคาร การเคลมค่าใช้จ่าย บันทึกภาษีมูลค่าเพิ่ม บันทึกทางบัญชี เอกสารภาษี สัญญาและใบสั่งซื้อ รายงานการตรวจสอบบัญชี บันทึกบัตรเครดิตและเงินกู้ และบันทึกสวัสดิการพนักงานหรือเงินบำนาญในกรณีที่เกี่ยวข้อง

ในหลายประเทศ กฎหมายบริษัทและภาษีจะกำหนดระยะเวลาขั้นต่ำในการเก็บรักษาบันทึกทางบัญชีและการเงิน แม้ว่าระยะเวลาที่แน่นอนจะแตกต่างกันไปตามประเทศและประเภทของบริษัทก็ตาม

สัญญาและเอกสารทางกฎหมาย

สัญญา ขอบเขตงาน ข้อตกลงกับผู้ให้บริการ ข้อตกลงกับลูกค้า สัญญาเช่า และการโต้ตอบทางกฎหมาย อาจจำเป็นต้องเก็บรักษาไว้ตลอดระยะเวลาของสัญญาและระยะเวลาหลังจากนั้นในกรณีที่เกิดข้อพิพาท

ระยะเวลาที่แน่นอนขึ้นอยู่กับสัญญา อายุความ ข้อกำหนดของภาคส่วน และคำแนะนำทางกฎหมาย นโยบายควรระบุเจ้าของบันทึกเหล่านี้ ซึ่งโดยปกติจะเป็นฝ่ายกฎหมาย ฝ่ายการเงิน ฝ่ายดำเนินงาน หรือฝ่ายบริหาร

การสื่อสารทางอีเมลและเอกสารภายใน

อีเมลธุรกิจมักเป็นจุดทดสอบนโยบายการเก็บรักษาข้อมูล กล่องขาเข้าสามารถเก็บสัญญา ข้อมูลส่วนบุคคล ไฟล์แนบ การร้องเรียนของลูกค้า ใบแจ้งหนี้ ข้อมูลผู้สมัคร รหัสผ่าน และการตัดสินใจทางธุรกิจที่เป็นความลับ

กำหนดการเก็บรักษาควรกำหนดสิ่งที่ควรอยู่ในอีเมล สิ่งที่ควรย้ายไปยังระบบที่ได้รับอนุมัติ และกำหนดเวลาที่ควรลบหรือเก็บถาวรข้อความเก่า ตรรกะเดียวกันนี้สามารถนำไปใช้กับเอกสารภายใน รายงานที่ส่งออก ตารางคำนวณ โฟลเดอร์ที่แชร์ และไฟล์แนบในการแชท แต่นโยบายก็จำเป็นต้องมีกลไกการบังคับใช้ด้วย

กฎการเก็บรักษาข้อมูลควรเชื่อมโยงกับระบบที่ได้รับอนุมัติ การตั้งค่าการลบอัตโนมัติหากทำได้ กฎการเก็บถาวร และการตรวจสอบความเป็นเจ้าของข้อมูล เพื่อไม่ให้ข้อมูลตกค้างอยู่ตลอดไปเพียงเพราะไม่มีใครดำเนินการเมื่อสิ้นสุดระยะเวลาการเก็บรักษา

ข้อมูลยืนยันตัวตน บันทึกการเข้าถึง และบันทึกเกี่ยวกับระบบความปลอดภัย

การเก็บรักษาข้อมูลยังนำไปใช้กับบันทึกความปลอดภัยด้วย ซึ่งอาจรวมถึงบันทึกการเข้าถึง เส้นทางการตรวจสอบ บันทึกรหัสผ่าน รหัสกู้คืน กิจกรรมของผู้ดูแลระบบ รายงานเหตุการณ์ และบันทึกการยืนยันตัวตน

บันทึกความปลอดภัยบางประเภทจำเป็นต้องเก็บรักษาไว้สำหรับการสืบสวน การปฏิบัติตามกฎระเบียบ หรือการตรวจสอบการดำเนินงาน บันทึกอื่น ๆ ควรเก็บรักษาไว้ตามวัตถุประสงค์ที่กำหนดและระยะเวลาที่บันทึกไว้เท่านั้น จากนั้นจึงลบหรือเก็บถาวรตามนโยบาย โดยเฉพาะอย่างยิ่งเมื่อเผยให้เห็นการทำงานของระบบหรือเปิดเผยรายละเอียดการเข้าถึงที่ละเอียดอ่อน

การเก็บรักษาข้อมูล การจัดการข้อมูลยืนยันตัวตน และการควบคุมการเข้าถึงมีความซ้อนทับกัน: บันทึกความปลอดภัยที่เก็บรักษาไว้จำเป็นต้องมีการควบคุมการเข้าถึงที่รัดกุม เนื่องจากสามารถเปิดเผยการทำงานของระบบของธุรกิจได้

ข้อกำหนดการเก็บรักษาข้อมูลของสหราชอาณาจักร: สิ่งที่ SMB ควรทราบ

ข้อกำหนดการเก็บรักษาข้อมูลของสหราชอาณาจักรมีความหลากหลาย ขึ้นอยู่กับประเภทของข้อมูล เหตุผลในการเก็บรักษา ตลอดจนข้อผูกพันทางกฎหมาย ภาษี สัญญา หรือทางธุรกิจที่อยู่เบื้องหลัง

สำหรับการเก็บรักษาข้อมูลของ GDPR จุดเริ่มต้นคือการจำกัดพื้นที่จัดเก็บ: ควรเก็บข้อมูลส่วนบุคคลไว้ตราบเท่าที่จำเป็นสำหรับวัตถุประสงค์เท่านั้น UK GDPR ไม่ได้กำหนดระยะเวลาที่แน่นอนสำหรับทุกหมวดหมู่ ดังนั้นธุรกิจจึงต้องกำหนดระยะเวลาการเก็บรักษาของตนเองและอธิบายเหตุผลประกอบ

บันทึกบางประเภทมีกฎเกณฑ์ที่ชัดเจนกว่า โดยทั่วไปบริษัทจำกัดจำเป็นต้องเก็บรักษาบันทึกทางบัญชีไว้เป็นเวลาหกปีนับจากสิ้นสุดปีงบประมาณที่เกี่ยวข้อง และบางครั้งอาจนานกว่านั้นในสถานการณ์เฉพาะ บันทึกข้อมูลบุคลากรจะแตกต่างกันไปตามประเภทบันทึก ดังนั้นควรจัดหมวดหมู่ข้อมูลการจ้างงานที่ละเอียดอ่อนอย่างรอบคอบและตรวจสอบร่วมกับคำแนะนำทางกฎหมายหรือทรัพยากรบุคคลเมื่อจำเป็น

ท้ายที่สุดแล้ว เป็นไปไม่ได้ที่จะนำระยะเวลาการเก็บรักษาเดียวกันไปใช้กับทุกสิ่ง ควรแยกข้อมูลตามหมวดหมู่ กำหนดเหตุผลในการเก็บรักษา และบันทึกเอกสารอธิบายว่าเหตุใดแต่ละระยะเวลาจึงเหมาะสม

เทมเพลตนโยบายการเก็บรักษาข้อมูลสำหรับ SMB

ใช้โครงสร้างนี้เป็นเทมเพลตนโยบายการเก็บรักษาข้อมูลอย่างง่าย ปรับข้อความให้เข้ากับธุรกิจ ภาคส่วน และข้อกำหนดทางกฎหมาย

1. วัตถุประสงค์และขอบเขต

สำเนาเทมเพลต: นโยบายการเก็บรักษาข้อมูลนี้อธิบายวิธีที่ [Company Name] จัดเก็บ เก็บรักษา เก็บถาวร ลบ และปกป้องข้อมูลธุรกิจและข้อมูลส่วนบุคคล นโยบายนี้จะนำไปใช้กับพนักงาน ผู้รับเหมา ผู้ให้บริการ ระบบ และบริการที่รวบรวม ประมวลผล จัดเก็บ หรือเข้าถึงข้อมูลของบริษัท

2. หมวดหมู่ข้อมูล

สำเนาเทมเพลต: [Company Name] จัดกลุ่มข้อมูลออกเป็นหมวดหมู่ต่าง ๆ รวมถึงข้อมูลลูกค้า ข้อมูลผู้มีโอกาสเป็นลูกค้า ประวัติพนักงาน บันทึกทางการเงิน สัญญา บันทึกการดำเนินงาน บันทึกเกี่ยวกับระบบความปลอดภัย และการสื่อสารภายใน แต่ละหมวดหมู่ต้องมีเจ้าของ ตำแหน่งพื้นที่จัดเก็บ ระยะเวลาการเก็บรักษา และวิธีการลบ

3. กำหนดการเก็บรักษา

สำเนาเทมเพลต: ต้องเก็บรักษาข้อมูลไว้ตราบเท่าที่จำเป็นสำหรับวัตถุประสงค์ทางธุรกิจ ทางกฎหมาย ตามกฎระเบียบ ตามสัญญา หรือเพื่อความปลอดภัยเท่านั้น แต่ละหมวดหมู่ข้อมูลต้องได้รับการระบุไว้ในกำหนดการเก็บรักษาพร้อมกับระบุระยะเวลาการเก็บรักษาและเหตุผลที่กำหนดไว้

ตัวอย่างกำหนดการ:

หมวดหมู่ข้อมูล	ตัวอย่างบันทึกข้อมูล	แนวทางการเก็บรักษาข้อมูลที่แนะนำ	เจ้าของ	วิธีการลบ
ข้อมูลลูกค้า	บันทึกบัญชี ตั๋วฝ่ายสนับสนุน ประวัติการบริการ	เก็บรักษาไว้ในระหว่างที่ความสัมพันธ์กับลูกค้ายังคงดำเนินอยู่ จากนั้นจึงเก็บไว้เฉพาะเท่าที่จำเป็นสำหรับวัตถุประสงค์ทางกฎหมาย ตามสัญญา หรือเพื่อข้อพิพาท	ฝ่ายดำเนินงานหรือฝ่ายดูแลลูกค้า	ลบหรือทำให้เป็นข้อมูลนิรนามจาก CRM และระบบฝ่ายสนับสนุน
บันทึกทางการเงิน	ใบแจ้งหนี้ ใบเสร็จ บัญชีเงินเดือน เอกสารภาษี	โดยทั่วไปจะเก็บไว้เป็นเวลาหกปีหลังจากปีงบประมาณที่เกี่ยวข้อง เว้นแต่จะจำเป็นต้องเก็บรักษาข้อมูลไว้นานกว่านั้น	ฝ่ายการเงิน	เก็บถาวรอย่างปลอดภัย จากนั้นจึงลบ
ประวัติพนักงาน	สัญญา บัญชีเงินเดือน ประวัติการลาหยุด ไฟล์ทรัพยากรบุคคล	เก็บรักษาข้อมูลตามประเภทของบันทึก กฎระเบียบตามกฎหมาย และความจำเป็นทางธุรกิจ	ฝ่ายทรัพยากรบุคคลหรือฝ่ายดำเนินงาน	ลบอย่างปลอดภัยจากระบบทรัพยากรบุคคลและพื้นที่จัดเก็บข้อมูลที่แชร์
สัญญา	ข้อตกลงกับลูกค้า สัญญากับผู้ให้บริการ ขอบเขตงาน	เก็บไว้ตลอดระยะเวลาของสัญญาบวกกับระยะเวลาการระงับข้อพิพาทที่กำหนด	ฝ่ายกฎหมาย ฝ่ายการเงิน หรือฝ่ายบริหาร	เก็บถาวรอย่างปลอดภัย จากนั้นจึงลบ
บันทึกเกี่ยวกับระบบความปลอดภัย	บันทึกการเข้าถึง กิจกรรมของผู้ดูแลระบบ บันทึกเหตุการณ์	เก็บรักษาไว้สำหรับการสืบสวน ความปลอดภัย และความจำเป็นในการรับผิดชอบ จากนั้นจึงลบหรือเก็บถาวรตามความเสี่ยง	ฝ่ายไอทีหรือผู้ดูแลระบบความปลอดภัย	ลบหรือเก็บถาวรอย่างปลอดภัย
ข้อมูลการตลาด	รายชื่อผู้สนใจ รายชื่อจดหมายข่าว บันทึกแคมเปญ	เก็บไว้ตราบเท่าที่มีวัตถุประสงค์ที่ถูกต้องและปฏิบัติตามกฎการระงับการติดต่อ	ฝ่ายการตลาด	ลบ ทำให้เป็นข้อมูลนิรนาม หรือระงับการติดต่อตามความเหมาะสม

4. การควบคุมการเข้าถึง

สำเนาเทมเพลต: การเข้าถึงข้อมูลที่เก็บรักษาไว้ต้องจำกัดเฉพาะบุคคลที่จำเป็นต้องใช้ตามบทบาทหน้าที่ของตน ข้อมูลที่ละเอียดอ่อนต้องจัดเก็บไว้ในระบบที่ได้รับอนุมัติ ได้รับการปกป้องด้วยการยืนยันตัวตนที่รัดกุม และได้รับการตรวจสอบอย่างสม่ำเสมอ ต้องไม่ใช้ข้อมูลยืนยันตัวตนที่แชร์เพื่อเข้าถึงข้อมูลที่เก็บรักษาไว้ เว้นแต่จะได้รับการจัดการผ่านโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจที่ได้รับอนุมัติ

ส่วนนี้คือจุดที่การเก็บรักษาข้อมูลเชื่อมต่อโดยตรงกับการจัดการข้อมูลยืนยันตัวตน ข้อมูลที่ต้องเก็บรักษาไว้ยังคงต้องการการปกป้อง หากสัญญารายเก่า ไฟล์เงินเดือน ประวัติลูกค้า หรือบันทึกความปลอดภัยยังคงสามารถเข้าถึงได้โดยผู้ที่ไม่มีความจำเป็นต้องใช้อีกต่อไป นโยบายการเก็บรักษาข้อมูลจะเป็นการแก้ปัญหาเพียงครึ่งเดียวเท่านั้น

โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจรองรับการควบคุมการเข้าถึงโดยช่วยให้ทีมสร้างข้อมูลยืนยันตัวตนที่รัดกุม จัดเก็บอย่างปลอดภัย และแชร์การเข้าถึงเฉพาะกับบุคคลที่ได้รับอนุญาตเท่านั้น Proton Pass for Business ช่วยให้ทีมจัดการข้อมูลยืนยันตัวตนในห้องนิรภัยที่เข้ารหัสและใช้การแชร์ที่ปลอดภัย ข้อมูลที่เก็บรักษาไว้จึงมีโอกาสน้อยลงที่จะรั่วไหลผ่านการใช้รหัสผ่านซ้ำหรือการเข้าถึงที่ไม่เป็นทางการ

5. การลบและการทำลาย

สำเนาเทมเพลต: เมื่อสิ้นสุดระยะเวลาการเก็บรักษา ต้องลบข้อมูลอย่างปลอดภัย ทำให้เป็นข้อมูลนิรนาม หรือเก็บถาวรตามกำหนดการเก็บรักษา บันทึกที่เป็นกระดาษต้องถูกทำลายหรือทิ้งอย่างปลอดภัย บันทึกดิจิทัลต้องถูกลบออกจากระบบที่ได้รับอนุมัติ ไดรฟ์ที่แชร์ การสำรองข้อมูลตามความเหมาะสม และตำแหน่งพื้นที่จัดเก็บข้อมูลที่ไม่มีการจัดการใด ๆ ควรมีเอกสารบันทึกการลบสำหรับข้อมูลที่ละเอียดอ่อน พนักงานควรทราบด้วยว่าไม่ควรจัดเก็บข้อมูลไว้ที่ใด เช่น ไดรฟ์ส่วนตัว ตารางคำนวณที่ไม่ได้รับอนุมัติ หรือเธรดการแชท หากหมวดหมู่ข้อมูลอยู่ภายใต้หัวเรื่องการระงับการทำลายข้อมูลทางกฎหมาย ข้อพิพาท การตรวจสอบบัญชี หรือการสืบสวน ต้องหยุดชั่วคราวการลบข้อมูลจนกว่าฝ่ายกฎหมายหรือฝ่ายบริหารจะอนุมัติขั้นตอนต่อไป

6. ความรับผิดชอบ

สำเนาเทมเพลต: แต่ละหมวดหมู่ข้อมูลต้องมีเจ้าของที่รับผิดชอบในการตัดสินใจเก็บรักษา ตรวจสอบการเข้าถึง ลบ และอัปเดตนโยบาย พนักงานมีหน้าที่รับผิดชอบในการจัดเก็บข้อมูลในระบบที่ได้รับอนุมัติ และรายงานข้อมูลที่คิดว่าล้าสมัย ซ้ำซ้อน หรือจัดเก็บไว้ผิดที่

7. ความถี่ในการตรวจสอบ

สำเนาเทมเพลต: นโยบายและกำหนดการเก็บรักษานี้จะได้รับการตรวจสอบอย่างน้อยปีละครั้ง หรือเร็วกว่านั้นหาก [Company Name] มีการแนะนำระบบใหม่ เปลี่ยนแปลงข้อผูกพันทางกฎหมาย ประสบปัญหาเหตุการณ์ด้านความปลอดภัย หรือเปลี่ยนแปลงวิธีรวบรวมหรือประมวลผลข้อมูลส่วนบุคคล

การควบคุมการเข้าถึงและข้อมูลที่เก็บรักษาไว้

นโยบายการเก็บรักษาข้อมูลไม่ควรแยกออกจากการควบคุมการเข้าถึง การเก็บข้อมูลไว้ด้วยเหตุผลที่ถูกต้องไม่ได้หมายความว่าทุกคนควรจะสามารถเข้าถึงข้อมูลนั้นได้

ข้อมูลที่เก็บรักษาไว้มักรวมถึงข้อมูลที่ละเอียดอ่อน: ไฟล์พนักงาน ประวัติลูกค้า เอกสารภาษี สัญญา บันทึกความปลอดภัย และรายงานเหตุการณ์ หากไม่มีการจัดการการเข้าถึง ข้อมูลที่เก่ากว่าอาจตกเป็นเป้าหมายได้ง่ายในระหว่างการโจมตีบัญชี นอกจากนี้ยังอาจสร้างความเสี่ยงภายในหากพนักงานสามารถเปิดดูบันทึกที่ไม่เกี่ยวข้องกับบทบาทหน้าที่ของตนได้

การควบคุมการเข้าถึงควรตอบคำถามต่อไปนี้:

• ใครสามารถเข้าถึงหมวดหมู่ข้อมูลที่เก็บรักษาไว้แต่ละหมวดหมู่ได้บ้าง?
• ระบบใดบ้างที่จัดเก็บข้อมูลนั้น?
• ข้อมูลยืนยันตัวตนใดบ้างที่ปกป้องข้อมูลนั้น?
• เปิดใช้งาน MFA หรือไม่?
• มีการควบคุมข้อมูลยืนยันตัวตนที่แชร์หรือไม่?
• มีการตรวจสอบการเข้าถึงครั้งล่าสุดเมื่อใด?
• จะเกิดอะไรขึ้นเมื่อมีคนลาออกหรือเปลี่ยนบทบาทหน้าที่?
• ผู้ให้บริการและซัพพลายเออร์ที่เป็นบุคคลที่สามได้รับอนุญาตให้เข้าถึงหรือไม่ และมีการควบคุมการเข้าถึงหรือไม่?

การเก็บรักษาข้อมูลเชื่อมต่อกับ การจัดการข้อมูลยืนยันตัวตน สำหรับการป้องกันการละเมิดข้อมูล การควบคุมการเข้าถึงยังช่วยลดขอบเขตความเสียหายด้วย หากผู้โจมตีโจมตีบัญชีใดบัญชีหนึ่ง ก็ไม่ควรเข้าถึงข้อมูลลูกค้าที่เก็บถาวรไว้ สัญญาเก่า หรือประวัติพนักงานที่มีมาหลายปีได้โดยอัตโนมัติ การสร้างนโยบายรหัสผ่าน⁠สามารถช่วยให้ทีมกำหนดกฎเกณฑ์สำหรับการสร้างรหัสผ่าน การแชร์ การจัดการการเข้าถึง และการยืนยันตัวตนได้

สำหรับการป้องกันการละเมิดข้อมูล การควบคุมการเข้าถึงยังช่วยลดขอบเขตความเสียหายด้วย หากผู้โจมตีโจมตีบัญชีใดบัญชีหนึ่ง ก็ไม่ควรเข้าถึงข้อมูลลูกค้าที่เก็บถาวรไว้ สัญญาเก่า หรือประวัติพนักงานที่มีมาหลายปีได้โดยอัตโนมัติ คู่มือของ Proton เกี่ยวกับการป้องกันการละเมิดข้อมูลสำหรับธุรกิจ อธิบายว่าเหตุใดการจำกัดการเข้าถึงและลดการเปิดเผยข้อมูลที่ไม่จำเป็นจึงมีความสำคัญก่อนที่จะเกิดเหตุการณ์ขึ้น

โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ เช่น Proton Pass for Business ยังสามารถช่วยให้ทีมควบคุมและตรวจสอบการเข้าถึงข้อมูลยืนยันตัวตนที่ปลดล็อกข้อมูลที่เก็บรักษาไว้ได้ ด้วยการจัดการแบบรวมศูนย์ การแชร์ที่ปลอดภัย และความเป็นเจ้าของที่ชัดเจนยิ่งขึ้นผ่านแผงผู้ดูแลระบบ

ข้อผิดพลาดที่พบบ่อยเกี่ยวกับนโยบายการเก็บรักษาข้อมูล

SMB หลายแห่งมีความคุ้นเคยในการเก็บรักษาข้อมูลอย่างไม่เป็นทางการอยู่แล้ว แต่ไม่มีนโยบายที่เชื่อถือได้ ข้อผิดพลาดที่พบบ่อยที่สุดนั้นเกิดขึ้นได้ง่าย เช่น การเก็บข้อมูลมากเกินไป การนำกฎเกณฑ์เดียวไปใช้กับทุกบันทึก การลืมสำเนาข้อมูลในระบบที่ใช้ประจำทุกวัน การลบข้อมูลโดยไม่ได้ตรวจสอบการระงับการทำลายข้อมูลทางกฎหมาย หรือการปล่อยให้มีคนเข้าถึงข้อมูลที่เก็บรักษาไว้มากเกินไป

ข้อผิดพลาด	ทำไมจึงสร้างความเสี่ยง	สิ่งที่ควรทำแทน
การเก็บทุกอย่างไว้ตลอดไป	การจัดเก็บข้อมูล “เผื่อกรณีจำเป็น” อาจเพิ่มความเสี่ยงในการปฏิบัติตามกฎระเบียบและความเสี่ยงจากการละเมิดข้อมูล	เก็บรักษาข้อมูลไว้เฉพาะเมื่อมีเหตุผลทางกฎหมาย สัญญา ความปลอดภัย หรือทางธุรกิจที่ชัดเจนเท่านั้น
การใช้ระยะเวลาการเก็บรักษาแบบเดียวกันสำหรับทุกสิ่ง	บันทึกทางการเงิน ไฟล์พนักงาน ข้อมูลผู้สนใจทำการตลาด สัญญา และบันทึกต่าง ๆ มีวัตถุประสงค์การใช้งานที่แตกต่างกัน	กำหนดระยะเวลาการเก็บรักษาตามหมวดหมู่ข้อมูล
การลืมอีเมล ตารางคำนวณ และข้อมูลส่งออก	สำเนาข้อมูลอาจยังคงตกค้างอยู่ในกล่องขาเข้า โฟลเดอร์ดาวน์โหลด ไดรฟ์ที่แชร์ หรือไฟล์ที่ไม่มีการจัดการ	รวมตำแหน่งพื้นที่จัดเก็บข้อมูลสำรองไว้ในนโยบายด้วย
การลบโดยไม่ได้ตรวจสอบการระงับการทำลายข้อมูลทางกฎหมาย	ข้อมูลบางอย่างอาจจำเป็นต้องเก็บรักษาไว้สำหรับการระงับข้อพิพาท การตรวจสอบบัญชี การสืบสวน หรือข้อผูกพันตามกฎระเบียบ	เพิ่มขั้นตอนการตรวจสอบก่อนลบข้อมูล
การเพิกเฉยต่อการเข้าถึงข้อมูลที่เก็บรักษาไว้	ข้อมูลที่เก็บรักษาไว้ยังคงมีความเสี่ยงที่จะรั่วไหลได้หากมีผู้เข้าถึงข้อมูลมากเกินไป	มอบหมายเจ้าของข้อมูล จำกัดสิทธิ์การใช้งาน และตรวจสอบการเข้าถึงอย่างสม่ำเสมอ

เปลี่ยนกฎการเก็บรักษาข้อมูลให้เป็นแนวทางปฏิบัติในชีวิตประจำวัน

นโยบายที่นำไปใช้ได้จริงจะเริ่มต้นด้วยข้อมูลที่ธุรกิจมีอยู่แล้ว และเปลี่ยนให้เป็นกำหนดการที่ผู้คนสามารถปฏิบัติตามได้ แต่ละหมวดหมู่ควรมีเหตุผลในการเก็บรักษา เจ้าของข้อมูล ความถี่ในการตรวจสอบ และกระบวนการลบที่ชัดเจน ในขณะที่ข้อมูลนั้นยังคงอยู่ในระบบ การเข้าถึงควรจำกัดเฉพาะผู้ที่จำเป็นต้องใช้งานจริง ๆ เท่านั้น

สำหรับ SMB หลายแห่ง การจัดการข้อมูลยืนยันตัวตนเป็นหนึ่งในส่วนที่ปรับปรุงได้ง่ายที่สุด รหัสผ่านที่คาดเดายาก การแชร์ที่ปลอดภัย และการควบคุมการเข้าถึงจะช่วยให้มั่นใจได้ว่าข้อมูลที่เก็บรักษาไว้จะพร้อมใช้งานเฉพาะผู้ที่จำเป็นต้องใช้เท่านั้น

ควบคุมผู้ที่สามารถเข้าถึงข้อมูลที่เก็บรักษาไว้ในธุรกิจด้วยโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจที่ปลอดภัย