Pracownicy to najcenniejszy z zasobów każdej firmy. Dlatego ich dane osobowe powinny być objęte szczególną ochroną. W jaki sposób firmy powinny wdrażać i wzmacniać zabezpieczenia w kontekście funkcjonowania działów HR? Na jakie zagrożenia IT jest narażone statystyczne przedsiębiorstwo? I wreszcie, jak rozumieć, czym jest cybersecurity w firmie?
Cyberbezpieczeństwo w dziale HR - o czym pamiętać?
Kluczem do zrozumienia, jak rozumieć cyberbezpieczeństwo w dziale HR, jest uświadomienie sobie, że nawet najlepsze technologie są zawodne w obliczu błędów ludzkich.
Dlatego podstawą jest:
- regularne aktualizowanie oprogramowania - również przez pracowników wykonujących zadania w ramach pionu HR,
- ustalenie silnych haseł składających się z dużych i małych liter, a także ze znaków specjalnych i cyfr,
- szkolenie pracowników z zakresu przestrzegania procedur bezpieczeństwa,
- zastosowanie rozwiązań wykorzystujących szyfrowanie danych.
Digitalizacja HR usprawnia pracę, ale bagatelizowanie zasad dotyczących bezpieczeństwa, może ułatwić wyciek danych na zewnątrz. To z kolei oznacza utratę danych, być może niektórych aktywów, a także gwałtowny spadek zaufania i reputacji ze strony klientów i pracowników.
Z jakimi zagrożeniami IT mierzą się firmy w ostatnich latach?
Pakiet zagrożeń, na jakie narażona jest firma (w tym jej dział HR) stale się zmienia. Do niedawna najczęstszymi zagrożeniami były ataki phisingowe, które polegały na wysyłaniu fałszywych maili, mających na celu kradzież danych osobowych, numerów PESEL, a nawet haseł do bankowości internetowej.
Dziś dużo większym zagrożeniem są np. ataki ransomware, które blokują dostęp do danych, żądając jednocześnie okupu, po którego przekazaniu dane mają być rzekomo odblokowane.
Wyzwaniem dla firm są też ataki złośliwego oprogramowania, które infekują systemy oraz kradną dane. Mogą one prowadzić do wycieków danych personalnych i firmowych.
Praktyki bezpieczeństwa w dobie zagrożeń cyberbezpieczeństwa
Przykłady rozwiązań, które mogłyby zwiększyć poziom bezpieczeństwa danych pracowniczych w firmie, można by mnożyć. Oto kilka przykładów dobrych praktyk bezpieczeństwa, dzięki którym można lepiej zabezpieczyć np. elektroniczne paski wynagrodzeń.
- Zabezpieczanie plików hasłem. "Pasek" można spakować do pliku archiwum RAR lub ZIP (np. z innymi dokumentami, takimi jak rozliczenie nadgodzin) i wysłać je w wersji zaszyfrowanej. Odblokowanie dostępu do treści będzie możliwe np. po podaniu czterech ostatnich cyfr numeru PESEL.
- Uniemożliwienie zapisu pliku wprost z przeglądarki i to zarówno za pomocą menu kontekstowego, jak i zaawansowanych narzędzi dla webmasterów lub deweloperów.
- Brak możliwości pobrania danych na "prywatny" nośnik z komputera służbowego lub z pracowniczej skrzynki mailowej. Opcjonalnie - konieczność sformatowania nośnika przed udostępnieniem jego zawartości.
- Zautomatyzowanie wysyłania pasków wynagrodzeń, dzięki czemu unikamy przypadkowego przesłania dokumentu rozliczeniowego do niewłaściwej osoby, zgodnie z założeniami idei workforce management.
Cyberbezpieczeństwo dla HR to także działania o charakterze holistycznym, których celem ma być:
- ograniczenie możliwość wchodzenia na niezabezpieczone strony (np. brak certyfikatu SSL),
- uniemożliwienie pobrania programów z nieautoryzowanych źródeł,
- przenoszenie zbędnych plików do chmury oraz ich zabezpieczenie przed działaniem osób trzecich,
- zabezpieczenie w szczególny sposób niektórych plików ważnych ze względów bezpieczeństwa, takich jak np. payroll.
Bezpieczeństwo danych w HR a autoryzacja logowań
Wiele ataków na zasoby działów HR odbywa się ze strony osób, które już nie pracują w firmie, bądź też - z różnych powodów - chcą jej zaszkodzić. Dlatego stopień dostępu do danych dla każdego pracownika powinien być na bieżąco aktualizowany. Cyberbezpieczeństwo w HR zależy również od takich kwestii jak autoryzacja i zarządzanie czasem pracy. Osoba, która jest zalogowana do systemu, powinna być dokładnie monitorowana pod kątem:
- wykonanych czynności,
- czasu pracy i godziny logowania oraz wylogowania,
- aplikacji, z których korzystała itd.
W takiej sytuacji, jeśli już dojdzie do zdarzenia mogącego naruszyć standardy cyberbezpieczeństwa w firmie, można łatwo ustalić, kto i w jaki sposób wpłynął na ewentualny wyciek danych na zewnątrz.
Eksport usług HR do firm zewnętrznych a cyberbezpieczeństwo
Wdrożenie tych wszystkich (oraz wielu innych) rozwiązań, jest kosztowne i wymaga stosowania czasochłonnych procedur oraz uruchomienia programu szkoleń. Alternatywnym rozwiązaniem jest outsourcing kadr i płac, dzięki któremu cybersecurity w firmie wchodzi na zupełnie nowy poziom jakości. Przejście na usługi wyspecjalizowanej firmy zewnętrznej niesie ze sobą szereg korzyści:
- profesjonalna i bezpieczna, elektroniczna dokumentacja pracownicza, do której nie ma dostępu nikt inny poza uprawnionymi osobami,
- możliwość przechowywania integralnych plików w przestrzeni sieciowej, która zabezpieczona jest wieloetapową autoryzacją,
- rzetelna realizacja usług dodatkowych, takich jak np. elektroniczna lista obecności.
Cyberbezpieczeństwo w HR to obszar, który stale podlega udoskonalaniu. Dlatego, aby nie zostać w tyle, warto powierzyć go specjalistom, którzy dysponują odpowiednim doświadczeniem i umiejętnościami.
