Data Security Plus »

Zachowanie zgodności z ustawą POPI
za pomocą programu DataSecurity Plus

Ustawa o ochronie danych osobowych (zwana również ustawą POPI lub POPIA) to ustawa uchwalona przez parlament Republiki Południowej Afryki. Reguluje ona sposób, w jaki lokalne i zagraniczne organizacje gromadzą, wykorzystują, przechowują, usuwają i w inny sposób przetwarzają dane osobowe w Republice Południowej Afryki.


Program ManageEngine DataSecurity Plus pomaga spełnić wymagania ustawy POPI poprzez:

  • odnajdowanie danych osobowych znajdujących się w środowiskach przechowywania przedsiębiorstwa,
  • monitorowanie aktywności użytkowników w plikach zawierających dane poufne,
  • ochrona plików przed przypadkowymi i złośliwymi wyciekami danych,
  • lepszy wgląd w uprawnienia zabezpieczeń i przechowywanie plików;
  • usprawnienie inspekcji POPIA dzięki szczegółowym raportom,

i nie tylko.

 

E-BOOK

Dowiedz się, jak wykrywać, monitorować i chronić dane osobowe, aby zapewnić zgodność z rozporządzeniem RODO za pomocą programu DataSecurity Plus.

Pobierz e-booka  

Korzyści z programu DataSecurity Plus pomagające osiągnąć zgodność z POPIA

Ta tabela zawiera listę różnych sekcji POPIA, które spełnia program DataSecurity Plus.

Postanowienia sekcji POPIA Wymagane działania Korzyści z programu DataSecurity Plus

Sekcja 10

Dane osobowe mogą być przetwarzane tylko wtedy, gdy są odpowiednie, istotne i nie wykraczają poza cel, dla którego są przetwarzane.

 Upewnij się, że nie gromadzisz danych osobowych, które nie są potrzebne do Twoich działań.
Przechowywane dane osobowe powinny być przetwarzane wyłącznie przez tych pracowników, którzy potrzebują dostępu do nich w celu wykonywania swojej pracy.
Odnajdowanie danych:
Lokalizuje dane osobowe przechowywane przez organizację. Następnie tworzy spis, pozwalając administratorom sprawdzić, czy przechowywane są tylko niezbędne dane.

Analiza uprawnień:
Tworzy listę użytkowników, którzy mają dostęp do danych, wraz ze szczegółowymi informacjami na temat działań, które każdy użytkownik może na nich wykonać.

Analiza danych ROT:
Identyfikuje stare, nieaktualne i niezmodyfikowane pliki oraz gwarantuje, że dane osobowe nie są przechowywane po upływie zamierzonego okresu przechowywania.

Sekcja 11 ust. 4

Jeśli osoba, której dane dotyczą, sprzeciwiła się przetwarzaniu danych osobowych, podmiot odpowiedzialny nie może już przetwarzać tych danych osobowych.

 Znalezienie wszystkich przypadków takich danych osobowych i podjęcie niezbędnych działań w celu zaprzestania ich przetwarzania.
Dopasowywanie słów kluczowych:
Identyfikuje dane pasujące do docelowego słowa kluczowego, umożliwiając dokładne i szybkie wyszukanie danych osobowych, które mają zostać usunięte.

Automatyzacja odpowiedzi:
Po znalezieniu dopasowania słowa kluczowego, administratorzy mogą zautomatyzować jego usuwanie, poddać kwarantannie lub wykonać niestandardową akcję w celu ograniczenia jego użycia poprzez wykonanie plików wsadowych.

Sekcja 14 ust. 1

Zapisy danych osobowych nie mogą być przechowywane dłużej niż jest to konieczne do osiągnięcia celu, dla którego dane zostały zebrane lub następnie przetworzone.

 Organizacje nie powinny przechowywać danych osobowych dłużej niż jest to konieczne i powinny przeprowadzać okresowe przeglądy w celu zidentyfikowania i usunięcia danych przechowywanych poza zamierzonym okresem.
Analiza plików:
Pomaga w tworzeniu zasad przechowywania danych, wyszukując zbędne, przestarzałe i trywialne dane w magazynach danych i usuwając pliki, w przypadku których upłynął okres przechowywania.

Sekcja 14 ust. 2

Rekordy danych osobowych mogą być przechowywane przez okresy dłuższe niż te, o których mowa w podsekcji (14 ust. 1) do celów historycznych, statystycznych lub badawczych, jeśli podmiot odpowiedzialny ustanowił odpowiednie zabezpieczenia przed wykorzystaniem rejestrów do jakichkolwiek innych celów.

 Przechowując wrażliwe dane osobowe przez dłuższy czas, organizacje muszą wdrożyć mechanizmy kontroli w celu zapewnienia bezpieczeństwa, integralności i poufności danych.
Monitorowanie integralności plików:
  1. Przeprowadza inspekcje każdej udanej i nieudanej próby utworzenia, odczytu, zapisu, usunięcia, zmiany uprawnień, przeniesienia, zmiany nazwy, skopiowania lub wklejenia pliku — w czasie rzeczywistym.
  2. Utrzymuje szczegółowy dziennik inspekcji w celu szczegółowej analizy i udokumentowania zgodności z wymogami regulacyjnymi.

Bezpieczeństwo danych:
  1. Wyzwala natychmiastowe alerty w przypadku podejrzanie dużej liczby zmian w plikach lub gdy użytkownik modyfikuje krytyczny plik w godzinach innych niż biznesowe.
  2. Blokuje próby wydobycia poufnych plików za pośrednictwem punktów końcowych.

Skuteczna ocena uprawnień:
Pomaga zapewnić poufność danych poprzez skuteczną analizę uprawnień. W ten sposób administratorzy danych mogą sprawdzić, czy użytkownicy nie mają więcej uprawnień niż jest to wymagane dla ich roli.

Sekcja 14 ust. 4

Podmiot odpowiedzialny musi zniszczyć lub usunąć zapis danych osobowych lub zanonimizować je tak szybko, jak to możliwe, gdy podmiot odpowiedzialny nie jest już upoważniony do przechowywania zapisu.

 Należy usunąć poufne dane osobowe, jeśli upłynie okres ich przedawnienia, jeśli nie ma dalszej potrzeby ich przetwarzania lub jeśli osoba, której dane dotyczą, złoży wniosek o ich usunięcie.
Odnajdowanie danych:
Identyfikuje dane osobowe przechowywanych przez Twoją organizację poprzez dopasowanie słów kluczowych i wyrażeń regularnych oraz usunięcie ich z pamięci przedsiębiorstwa.

Analiza danych ROT:
Identyfikuje i automatyzuje usuwanie starych plików.

Sekcja 14 ust. 6

Podmiot odpowiedzialny musi ograniczyć przetwarzanie danych osobowych.

 Należy sprawdzić, czy dostęp do wrażliwych danych osobowych jest ograniczony, gdy są one przedmiotem sporu, i udzielać dostępu tylko wtedy, gdy jest to konieczne.
Zasada najniższego poziomu uprawnień (POLP):
  1. Monitoruje zmiany uprawnień, wyświetla listę aktywnych uprawnień, identyfikuje pliki, do których dostęp może uzyskać każdy pracownik, wyszukuje użytkowników z uprawnieniami „Pełna kontrola”, ocenia podatność plików na ataki i nie tylko, pomagając we wdrożeniu POLP.
  2. Możesz generować te raporty o uprawnieniach, gdy jest to wymagane, lub skonfigurować harmonogramy dostarczania raportów, aby okresowo sprawdzać uprawnienia do plików.

Sekcja 15 ust. 1

Dalsze przetwarzanie danych osobowych musi być zgodne z celem, dla którego zostały one zebrane.

 Wdrożenie środków mających na celu wykrycie i ograniczenie anomalii w wykorzystywaniu danych osobowych.
Natychmiastowe powiadomienia, automatyczne reagowanie:
  1. Wyzwala alerty, gdy działania użytkowników na serwerach plików, klastrach trybu failover, serwerach grup roboczych lub stacjach roboczych naruszają skonfigurowane zasady obsługi danych.
  2. Możesz również wykonywać skrypty w celu automatycznego wyłączania komputerów, sesji użytkowników końcowych i nie tylko.

Sekcja 16 ust. 1

Podmiot odpowiedzialny musi podjąć racjonalnie wykonalne kroki w celu zagwarantowania, że dane osobowe są kompletne, dokładne, niewprowadzające w błąd i w razie potrzeby aktualizowane.

 Identyfikacja i weryfikacja poprawności danych osobowych przechowywanych przez organizację.
Odnajdowanie danych:
  1. Wykorzystuje funkcję odnajdowania danych w celu znalezienia danych osobowych z wykorzystaniem unikatowego zestawu słów kluczowych, np. krajowego numeru identyfikacyjnego, danych karty kredytowej, identyfikatory e-mail itp.
  2. Zapewnia szczegółowe raporty o lokalizacji danych osobowych i przypisanych do nich uprawnień.

Analiza danych ROT:
Lokalizuje pliki starsze niż wiek podany przez użytkownika, co pomaga w znalezieniu danych, które wymagają aktualizacji.

Sekcja 17

Podmiot odpowiedzialny musi prowadzić dokumentację wszystkich operacji przetwarzania.

 Śledzenie każdego działania wykonanego na danych osobowych od ich zebrania do usunięcia.
Monitorowanie zmian w plikach:
  1. Inspekcje zmian dokonanych na plikach i folderach w czasie rzeczywistym z informacjami o tym, kto, kiedy i skąd uzyskał dostęp do danego pliku.
  2. Dostarcza szczegółowe raporty na potrzeby inspekcji zgodności.
  3. Utrzymuje szczegółowy dziennik inspekcji w celu dalszej analizy i spełnienia wymogów zgodności.

Sekcja 19 ust. 1

Podmiot odpowiedzialny musi zabezpieczyć integralność i poufność danych osobowych znajdujących się w jego posiadaniu lub pod jego kontrolą poprzez podjęcie odpowiednich, uzasadnionych środków technicznych i organizacyjnych w celu zapobiegania

  1. utracie, uszkodzeniu lub nieuprawnionemu zniszczeniu danych osobowych; oraz
  2. bezprawnemu dostępowi do danych osobowych lub ich przetwarzania.
 Wdrożenie rozwiązania ochrony przed utratą danych (DLP), aby zapobiec przypadkowemu lub złośliwemu wyciekowi poufnych danych osobowych.
Analiza uprawnień:
Wyświetla listę wszystkich użytkowników, którzy mogą uzyskać dostęp do pliku zawierającego dane osobowe, w celu sprawdzenia, czy wymagają danego uprawnienia.

Ochrona przed utratą danych w punktach końcowych:
  1. Monitoruje użycie wymiennych urządzeń pamięci masowej w punktach końcowych.
  2. Blokuje przenoszenie poufnych plików na urządzenia USB lub za pośrednictwem poczty e-mail jako załączniki.
  3. Zapobiega przypadkowym wyciekom danych, uruchamiając systemowe monity o ryzyku przenoszenia krytycznych danych.
  4. Skraca czas reakcji na zdarzenia dzięki natychmiastowym alertom i zautomatyzowanemu mechanizmowi reagowania na zagrożenia.

Wykrywanie oprogramowania wymuszającego okup i reagowanie na nie:
Identyfikuje potencjalne ataki wymuszające okup i automatycznie wyłącza zainfekowane serwery, poddaje kwarantannie uszkodzone pliki i ogranicza rozprzestrzenianie się oprogramowania wymuszającego okup.

Sekcja 19 ust. 2

Strona odpowiedzialna musi podjąć uzasadnione środki w celu

  1. zidentyfikowania wszystkich racjonalnie przewidywalnych wewnętrznych i zewnętrznych zagrożeń dla danych osobowych znajdujących się w jej posiadaniu lub pod jej kontrolą,
  2. ustanowienia i utrzymywania odpowiednich zabezpieczeń przed zidentyfikowanymi zagrożeniami,
 identyfikacji i oceny zagrożeń dla danych osobowych przechowywanych przez organizację, wdrożenia środków ograniczających ryzyko.
Ocena zagrożeń dla danych:
Oblicza ocenę ryzyka dla plików zawierających dane osobowe poprzez analizę ich uprawnień, liczby i rodzaju naruszonych reguł wraz ze szczegółami inspekcji i nie tylko.

Ochrona przed utratą danych w punktach końcowych:
Klasyfikuje krytyczne pliki biznesowe na podstawie ich poufności i zapobiega ich wyciekowi za pośrednictwem poczty e-mail, nośników USB, drukarek itp.

Sekcja 22 ust. 2

Powiadomienie o naruszeniu musi uwzględniać wszelkie środki niezbędne do określenia zakresu naruszenia i przywrócenia integralności systemu informatycznego podmiotu odpowiedzialnego.

 Kryminalistyczne badanie potencjalnych przyczyn i zakresu naruszenia danych.
Szczegółowe dzienniki inspekcji:
Utrzymuje kompletny dziennik inspekcji każdego działania prowadzącego do naruszenia danych, co pomaga w skutecznej analizie głównej przyczyny i zakresu naruszenia danych.

Sekcja 23 ust. 1

Osoba, której dane dotyczą, ma prawo do

  1. złożenia wniosku do podmiotu odpowiedzialnego o potwierdzenie, czy posiada on jej dane osobowe; oraz
  2. złożenia wniosku do podmiotu odpowiedzialnego o udostępnienie rejestru lub opisu jej danych osobowych przechowywanych przez podmiot odpowiedzialny, w tym informacji o tożsamości wszystkich stron, które mają lub miały dostęp do tych informacji.
 Lokalizowanie i udostępnianie wszystkich informacji o osobie, której dane dotyczą, przechowywanych przez organizację wraz z informacjami o osobach, które uzyskały do nich dostęp.
Odnajdowanie danych:
  1. Lokalizuje wystąpienia danych osobowych przechowywanych na serwerach plików Windows i w klastrach trybu failover.
  2. Skanuje w poszukiwaniu krajowych numerów identyfikacyjnych, danych kart kredytowych, identyfikatorów e-mail i ponad pięćdziesięciu innych rodzajów poufnych danych osobowych za pomocą wstępnie skonfigurowanych reguł i zasad wykrywania danych.

Analiza uprawnień zabezpieczeń:
Sprawdza, kto ma jakie uprawnienia do plików zawierających dane osobowe.

Inspekcje dostępu do plików:
Przeprowadza inspekcje działań użytkowników na plikach i dostarcza szczegółowych informacji o tym, kiedy i skąd uzyskano dostęp do jakiego pliku.

Sekcja 24 ust. 1

Osoba, której dane dotyczą, może zażądać od podmiotu odpowiedzialnego poprawienia lub usunięcia swoich danych osobowych znajdujących się w jego posiadaniu.

 Lokalizowanie i korygowanie wszystkich niedokładnych informacji o osobie, której dane dotyczą.
Usuwanie danych, którym sprzeciwia się osoba, której dane dotyczą.
Odnajdowanie danych:
Wykorzystuje funkcję odnajdowania danych w celu znalezienia danych osobowych konkretnej osoby i może wykonywać pliki wsadowe w celu ich usunięcia lub przeniesienia do bezpiecznej lokalizacji w celu dalszego przetwarzania.

Sekcja 26

Podmiot odpowiedzialny nie może przetwarzać danych osobowych dotyczących przekonań religijnych lub filozoficznych, rasy lub pochodzenia etnicznego, przynależności do związków zawodowych, przekonań politycznych, zdrowia lub życia seksualnego, informacji biometrycznych lub zachowania przestępczych osoby, której dane dotyczą, chyba że jest to dozwolone na mocy sekcji 27-31 POPIA.

 Organizacje nie mogą gromadzić ani przechowywać opisanych danych osobowych bez niezbędnego upoważnienia.
Odnajdowanie danych:
Skanuje magazyny danych w poszukiwaniu zawartości pasującej do wyrażenia regularnego lub zestawu słów kluczowych. Pomaga to organizacjom nieposiadającym niezbędnych uprawnień wykrywać i korygować przypadki naruszenia odpowiednich danych osobowych oraz unikać kar za nieprzestrzeganie przepisów.

Ocena zagrożeń dla danych:
Raporty o plikach zawierających dane osobowe wraz ze szczegółowymi informacjami na temat ich lokalizacji, tego, kto ma do nich dostęp, ich oceny ryzyka i nie tylko.

Zastrzeżenie: Pełna zgodność z POPIA wymaga wielu różnych rozwiązań, procesów, ludzi i technologii. Niniejsza strona służy wyłącznie celom informacyjnym i nie powinna być traktowana jako porada prawna w zakresie zgodności z ustawą POPIA. Firma ManageEngine nie udziela żadnych gwarancji, wyraźnych, dorozumianych ani ustawowych, dotyczących informacji zawartych w niniejszym materiale.

Zapewnij bezpieczeństwo danych i zgodność z PC

Program DataSecurity Plus pomaga spełnić wymagania wielu przepisów dotyczących zgodności, chroniąc magazynowane, przetwarzane i przesyłane dane.

Szukasz ujednoliconego rozwiązania SIEM, które ma również zintegrowane funkcje DLP? Wypróbuj Log360 już dziś!

30-dniowa bezpłatna wersja próbna