9.3 Cloud en social media
beveiliging
reputatieschade
Zakelijke communicatie via de cloud en social media is een lastig geval als het om beveiliging gaat. U neemt immers een dienst bij een andere partij af. Die partij hoort de beveiliging te regelen, maar dat wil natuurlijk niet zeggen dat u geen enkele verantwoordelijkheid heeft op dat gebied. Op het moment dat u besluit digitale communicatiekanalen in te zetten, zult u zich dus moeten buigen over de juridische en informatierisico’s. Grote gevaren zoals juridische consequenties, datadiefstal, datalekken en reputatieschade worden vaak niet goed afgedekt. Social media zoals LinkedIn, Twitter en Facebook en informatie in de cloud vallen gewoon onder de zorgplicht van de gebruiker. U moet al deze informatie dus beschermen; deze valt immers onder de juridische verantwoordelijkheid, net zoals communicatie op papier, via e-mail of in gegevensbestanden.
Welke regels zijn van toepassing?
databescherming
De gevoelige bedrijfsdata die u in de cloud stalt, moeten daar natuurlijk wel veilig staan. Daarom is het zaak om een betrouwbare dienst te kiezen. Om zeker te weten dat uw data op de wettelijk vereiste manieren worden beschermd, moet de leverancier voldoen aan de lokale regelgeving. Een Amerikaanse cloudleverancier moet bijvoorbeeld voldoen aan Amerikaanse databeschermingsregels die overigens niet een-op-een te vertalen zijn naar Nederlandse en Europese equivalenten. U kunt een jurist laten uitzoeken of de regels in het land waar uw cloudleverancier gevestigd is in overeenstemming zijn met de Europese wet.
bewaartermijn
Aan een tweet kunnen rechten worden ontleend, op whatsappjes zit een bewaartermijn. Een klantdocument in Dropbox valt onder de bescherming van persoonsgegevens.
informatieveiligheidsbeleid
monitoring
ECM/ERM
Om te voorkomen dat uw organisatie slachtoffer wordt van datadiefstal, dataverlies en reputatieschade, kunt u de onderstaande stappen nemen om een integraal informatieveiligheidsbeleid op te zetten:
- Wijs verantwoordelijken aan voor informatiemanagement. Afdelingen die zich hiervoor lenen, zijn de afdelingen IT, marketing, personeelszaken of de juridische afdeling.
- Categoriseer de informatie en breng er hiërarchie in aan. Daardoor kunt u uw beleid vooral richten op informatie met hoge prioriteit, gevoeligheid en vertrouwelijkheid.
- Zorg voor beleid rond monitoring, bewaartermijnen en verwijdering. Voer dat bovendien nauwgezet uit. Automatiseer het bewaar- en verwijderingsbeleid.
- Implementeer een systeem voor ECM/ERM (Enterprise Content Management/Enterprise Records Management). Daardoor kunt u niet meer informeel online documenten delen.
- Zorg dat uw beleid duidelijk en overzichtelijk is en zorg dat alle werknemers hiervan op de hoogte zijn en blijven.