W związku z nowymi regulacjami (GDPR) zmienia się odpowiedzialność Administratora danych, zaleca się przeprowadzenie analizy luk (GAP Analysis) oraz analizy ryzyka jako pierwszego etapu dostosowania do nowych przepisów. Proponujemy wykonanie analizy ryzyka zgodnie z ISO 27005.

Rozsądnym punktem wyjścia dla podmiotów przetwarzających jest zbadanie bieżących praktyk w zakresie przetwarzania danych poprzez audyt, obejmujący:

• kategorie informacji HR aktualnie przetwarzanych przez organizację (np. Dane dotyczące wynagrodzeń, informacje dotyczące osób ubiegających się o pracę, wszelkie specjalne kategorie danych, takie jak informacje na temat różnorodności);
• jakie informacje o zasobach informacji są udostępniane (np. Firmy z grupy, dostawcy świadczeń innych firm);
• jak i gdzie są przechowywane informacje (np. Pliki elektroniczne lub papierowe, w centralnych systemach HR, w plikach lokalnych, w chmurze);
• czy dane HR podlegają automatycznemu przetwarzaniu (np. W trakcie procesu rekrutacji);
• ile przechowywane są informacje;
• wszelkie transgraniczne przekazywanie danych dotyczących zasobów ludzkich (poza Europejskim Obszarem Gospodarczym (EOG)); oraz różnice w praktyce w różnych jednostkach biznesowych i krajach.
• testy bezpieczeństwa systemów informatycznych

Wyniki audytu i analizy luki pomogą zidentyfikować kluczowe obszary ryzyka i co należy zrobić, aby uzyskać zgodności z wymaganiami GDPR. Pracodawcy powinni także rozważyć, jak rozwinąć kwestie dotyczące prywatności w systemach HR od samego początku i na bieżąco, aby móc spełnić zasadę „prywatność z założenia jest standardem”

Wysiłki w realizacji wymogów dotyczących GDPR będą wysokie; Nie wszystkie wymagania mogą być racjonalnie spełnione na raz. Firma będzie musiała ocenić, jakiego rodzaju działania w zakresie przetwarzania danych mają największe zagrożenie dla (i) działalności firmy i / lub (ii) praw podmiotów, których dane dotyczą, oraz (iii) ryzyka, które najprawdopodobniej doprowadzą do wysokich kar pieniężnych i Zasobów. Wysiłki w zakresie zapewnienia zgodności z ochroną danych powinny być wyższe w przypadku ryzykownych działań związanych z przetwarzaniem i niższych w przypadku mniej ryzykownych działań związanych z przetwarzaniem.

Przedmiotem prac będących zakresem oferty jest zbadanie i ocena poziomu bezpieczeństwa badanych wewnętrznych komponentów systemu oraz zinwentaryzowanie problemów mających wpływ na bezpieczeństwo przetwarzania danych osobowych. Na tym etapie dokonywana jest analiza założeń i architektury rozwiązań informatycznych oraz identyfikacja procesów biznesowych, w których przetwarzane są dane osobowe i wrażliwe.

Zakres Analizy ukierunkowany jest na ocenę bezpieczeństwa informacji wrażliwych, ze szczególnym uwzględnieniem danych osobowych w świetle rozporządzenia parlamentu UE GDPR. Analiza obejmuje identyfikację wrażliwych aktywów, takich jak wrażliwe systemy, dane i procesy, wykrycie luk bezpieczeństwa i obszarów podatnych na zagrożenia wraz z identyfikacją i klasyfikacją powiązanego potencjalnego ryzyka.