Incidenthantering på SoftOne
I dataskyddsförordningen (GDPR) krävs att personuppgiftsincidenter, rapporteras till Datainspektionen inom 72 timmar. För att kunna uppfylla de nya skyldigheterna enligt förordningen är det viktigt att ha tillräckliga rutiner på plats för att kunna upptäcka, rapportera och utreda personuppgiftsincidenter.
Vad är en incident?
Om en programrelaterad incident inträffar kan det innebära att det blir en personuppgiftsincident. Ett problem i SoftOnes program som genererar felaktiga data eller saknad data kategoriseras som en programrelaterad incident. Skulle denna data innehålla personuppgifter blir det även en personuppgiftsincident. Det kan också bli en personuppgiftsincident om en säkerhetsincident leder till obehörigt röjande av eller obehörig åtkomst till de behandlade personuppgifterna.
Incidentprocess
SoftOne har en grupp (Incident Management) som sköter nödvändig samordning, kommunikation och ansvar för att bedöma, reagera på och lära sig av incidenter för att minska risken att det sker igen. Beroende på incidentens karaktär och påverkan involveras de personer som krävs för att hantera incidenten. Processen för hanteringen är grunden för flödet som med kompletterande rutiner tydliggör vem som gör vad och hur situationen ska hanteras.
Vid identifieringen av incident sker en identifiering av vilken typ av incident det är frågan om. I delprocessen Konsekvensanalys sker en analys över omfattningen vilka kunder och användare som påverkas av incidenten och vad konsekvenserna blir. I Åtgärdsprocessen sker bedömning och prioritering av problemet för att säkerhetsställa åtgärdsplan samt verkställandet av åtgärden. Vid en personuppgiftsincident är sammanställning av rapport en aktivitet, där vi utgår ifrån Dataskyddsinspektionens mall som beskriver att vi ska ha med information om:
- Vilken typ av incident det är fråga om
- Vilka kategorier av personer som kan komma att beröras
- Hur många personer det berör
- Vilka konsekvenser incidenten kan få
- Vilka åtgärder man vidtagit för att motverka ev. negativa konsekvenser
Klassificeras incidenten som allvarlig (Major) fungerar processen enligt bilden ovan.
Incident och åtgärder kommuniceras ut till berörda som drabbats. Vid personuppgiftsincident finns anmälan till Datainspektionen som en aktivitet i denna delprocess. Efter att åtgärder är genomförda och berörda har blivit informerade genomförs en erfarenhetsrapport i syfte att förhindra att problemet uppstår igen.