GDPR如約而至，企業(yè)需有備無患

我們生活在日新月異的快節(jié)奏社會。在過去的十年，數(shù)據(jù)極大“改變”了我們的生活。但是在不久的將來，數(shù)據(jù)可能會“顛覆”我們的生活。在這一趨勢當(dāng)中，企業(yè)和組織必須要作出犧牲和改變，才能與時俱進(jìn)、檢驗(yàn)并緊跟新技術(shù)、與科技俱進(jìn)。

緣于對網(wǎng)絡(luò)安全、數(shù)據(jù)安全的重視，《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱“網(wǎng)絡(luò)安全法”）在2017年6月1日起正式施行，對企業(yè)加強(qiáng)網(wǎng)絡(luò)安全建設(shè)提出了要求和約束。對于走出國門的國內(nèi)企業(yè)和入駐中國的全球企業(yè)來說，除了中國的網(wǎng)絡(luò)安全法，還需要了解近日正式施行的歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）。

或許對大家來說，GDPR已不是一個陌生的概念。相反，它早就滲透到了人們的生活當(dāng)中。因?yàn)樵缭?012年，歐盟委員會便提出立法倡議通過GDPR，意在對1995年的數(shù)據(jù)保護(hù)條例作出全面改革。從立法倡議到具體方案，GDPR的落地經(jīng)歷了一段艱難而又漫長的旅程。很快，它將以驚人的速度進(jìn)入人們的生活。在歷經(jīng)了無數(shù)的會談磋商、實(shí)況報道、建議聽取與辯論探討后，GDPR的過渡期已在2018年5月結(jié)束。因此，任何企業(yè)組織違反條例的行為都將面臨嚴(yán)厲處罰。

在兩年的過渡期間，人們已經(jīng)對GDPR的規(guī)定有了一定的了解。雖然條例所涉及的法令和文件之多令人驚訝，但鑒于條例影響范圍之廣，這也就不足為奇了。

新頒布的GDPR條例適用于所有處理及儲存歐盟公民個人數(shù)據(jù)的企業(yè)，并將對它們的數(shù)據(jù)處理方式帶來深刻影響。而在如今這個無邊界的數(shù)據(jù)時代中，GDPR也必將影響到歐洲之外的企業(yè)。也就是說，任何與歐洲合作伙伴有往來的企業(yè)都將受到GDPR管制。

值得關(guān)注的是，違反GDPR的企業(yè)組織需要支付高額罰金：罰金為前一財年全球總營業(yè)額的4%，或最高2000萬歐元，以較高的數(shù)額為準(zhǔn)。那么，確認(rèn)企業(yè)是否合規(guī)就顯得至關(guān)重要。甚至，確認(rèn)兩次、三次、四次……再多次都不為過。畢竟，不是所有企業(yè)都有能力承擔(dān)因“冒險”或“心存僥幸”而導(dǎo)致企業(yè)違規(guī)并產(chǎn)生的天價罰金。

除此之外，以下幾點(diǎn)還需引起企業(yè)的廣泛關(guān)注：

上下一心，“全面戒備”

在GDPR全面正式啟動之際，一些企業(yè)或組織正在或已經(jīng)任命了專門負(fù)責(zé)數(shù)據(jù)保護(hù)的人員。近來，IT PRO網(wǎng)站上刊登的一篇文章便分析了企業(yè)和組織爭先恐后任命數(shù)據(jù)保護(hù)專員的現(xiàn)象。

雖然一些企業(yè)進(jìn)度稍有落后，但任命數(shù)據(jù)保護(hù)專家無疑是“一石二鳥”的明智之舉。一方面，在這一特殊時期，數(shù)據(jù)保護(hù)專員能在為確保企業(yè)滿足GDPR合規(guī)要求提供支持。另一方面，他們還是數(shù)據(jù)保護(hù)的行家。數(shù)據(jù)保護(hù)專員能為企業(yè)提供數(shù)據(jù)備份和使用相關(guān)工具的專業(yè)建議，降低企業(yè)在遭受數(shù)據(jù)攻擊時可能蒙受的損失。

哪怕沒有任命數(shù)據(jù)保護(hù)專員的打算，企業(yè)也需讓所有雇員意識到，GDPR條例的實(shí)施關(guān)系到每一個人。換句話說，企業(yè)或組織內(nèi)的所有關(guān)鍵利益相關(guān)方都應(yīng)清楚新條例的要求與效力，以及GDPR將對企業(yè)組織運(yùn)行產(chǎn)生的影響。

組織數(shù)據(jù)審計

到了這一關(guān)鍵時刻，所有企業(yè)都應(yīng)清楚自身儲存?zhèn)€人數(shù)據(jù)的內(nèi)容、地點(diǎn)、方式、來源、儲存這些數(shù)據(jù)的原因以及獲取數(shù)據(jù)的方式。因?yàn)檫@些可能就是地方GDPR執(zhí)行機(jī)構(gòu)關(guān)心的問題。

那些不夠了解自身所儲存處理的數(shù)據(jù)的企業(yè)最好盡快做好準(zhǔn)備，對上述問題作出解釋。尤其在2018年5月之后，所有企業(yè)都需對自己的數(shù)據(jù)處理活動作出合理解釋。而對于那些違反條例或無法備份托管數(shù)據(jù)保證數(shù)據(jù)安全的企業(yè)，官方絕不會寬大處理。高額的罰金并非玩笑。很快，就會有違規(guī)的企業(yè)成為“前車之鑒”，以儆效尤。

重審個人隱私權(quán)

GDPR帶來了一系列重大改變，其中之一便是公民將對個人數(shù)據(jù)享有更大的權(quán)利。隨著GDPR的實(shí)施，人們將會更加意識到自身的數(shù)據(jù)權(quán)利。

不僅個人的存在感會大大提升，民眾還將有權(quán)獲取個人數(shù)據(jù)，或要求企業(yè)為其提供個人數(shù)據(jù)（以他們能理解的格式）。反觀企業(yè)，為了不在滿足民眾數(shù)據(jù)需求上花費(fèi)過多精力，并且在必要時能夠找到所需數(shù)據(jù)，企業(yè)需確保使用合理方法為每個數(shù)據(jù)點(diǎn)定位。

制定方案應(yīng)對數(shù)據(jù)泄露

根據(jù)GDPR的數(shù)據(jù)泄露通知要求，企業(yè)必須在發(fā)現(xiàn)數(shù)據(jù)泄露的72小時內(nèi)通知相關(guān)部門。但是在發(fā)生數(shù)據(jù)泄露后，企業(yè)往往為配合各項(xiàng)調(diào)查、采取補(bǔ)救措施而焦頭爛額。所以，72小時很可能轉(zhuǎn)瞬而過。

因此，企業(yè)最好事先制定合理的方案。如此一來，未來一旦發(fā)生數(shù)據(jù)泄露，企業(yè)便能迅速察覺、報告并采取相關(guān)措施。

在這一情況下，各類軟件工具的作用就得到了凸顯——一些軟件工具能夠幫助企業(yè)更加精準(zhǔn)地定位備份數(shù)據(jù)的儲存地點(diǎn)，進(jìn)而為企業(yè)提交合規(guī)報告節(jié)省寶貴的時間；而修復(fù)軟件能輕松解決相關(guān)數(shù)據(jù)因惡意軟件無法使用的問題。

Veeam公司建議所有客戶進(jìn)行一次GDPR差距分析，評估在合規(guī)方面的現(xiàn)狀。從數(shù)據(jù)流映射開始，提供所有個人可識別信息（PII）的位置，開始評估過程，包括誰有權(quán)訪問，在哪里提高效率，數(shù)據(jù)應(yīng)移動到哪里等等。接下來，分析會提供更多協(xié)助用戶制定GDPR合規(guī)計劃的信息，這些用戶既會有要走出去的國內(nèi)企業(yè)，也有將入駐中國的全球企業(yè)。

在當(dāng)代社會，數(shù)據(jù)正在成為我們最寶貴的財富。毫無疑問，企業(yè)應(yīng)在提升數(shù)據(jù)可用性、數(shù)據(jù)質(zhì)量、數(shù)據(jù)安全方面不斷改進(jìn)，在壯大業(yè)務(wù)的同時保證合規(guī)。