Czy analizę ryzyka należy prowadzić w sposób ciągły, czy wystarczy przeprowadzić ją jednorazowo dla wszystkich procesów?
ODPOWIEDŹ
Analizę ryzyka należy prowadzić w sposób iteracyjny, absolutnie nie wystarczy przeprowadzić jej jednorazowo. Traktowanie wdrożenia środków bezpieczeństwa i szacowania ryzyka jako działania jednorazowego, w którym brakuje późniejszej weryfikacji po pierwszej analizie, jest powszechnym błędem i nieprawidłowym podejściem, niezgodnym z wymogami Urzędu Ochrony Danych Osobowych.
Wdrożenie przez administratora odpowiednich środków technicznych i organizacyjnych powinno przybrać postać procesu na każdym etapie cyklu życia danych, w ramach którego organizacja regularnie dokonuje przeglądu i w razie potrzeby uaktualnia przyjęte zabezpieczenia.
Konieczność ciągłego prowadzenia analizy i monitorowania środowiska wynika z kilku kluczowych faktów:
- Nowe zagrożenia i ryzyka mogą zmaterializować się lub ujawnić samoistnie, w sposób całkowicie niezależny od działań samego administratora, co wymusza konieczność regularnej weryfikacji adekwatności wdrożonych rozwiązań.
- Podczas cyklu życia danych następują zmiany w procesach biznesowych, systemach informatycznych czy u dostawców usług (podmiotów przetwarzających), co każdorazowo wymaga ponownej oceny ryzyka.
- Same przepisy RODO (art. 32 ust. 1 lit. d) wymuszają obowiązek regularnego testowania, mierzenia i oceniania skuteczności wdrożonych środków bezpieczeństwa. Działania te muszą być planowane w sposób świadomy i dokonywane w określonych przedziałach czasowych (według harmonogramu), a nie wyłącznie w sposób doraźny.
