S požadavky GDPR musí pomocihome.zcu.cz/.../5_mdsap_prezentace_gdpr_it_mezi_paragrafy_2017_v2.pdfPage 3 Příprava na GDPR prakticky GDPR nezačne platit příští rok … už rok
Post on 12-Oct-2020
4 Views
Preview:
Transcript
Page 1
Štěpán Nadrchal, senior konzultant GDPR
Ondřej Diviš, senior konzultant
S požadavky GDPR musí pomoci
informační technologie
Page 2
MDS Advanced Program Tech
MDSap je zkratka MDS Advanced Program Tech • MDSap je součástí MiDiS Holding se sídlem v Dubai
• Jsme SAP partnerem pro oblast Database&Technology, Business Intelligence a pokročilé analýzy v regionech Střední Evropa, Střední východ a Turecko
• „Gold“ partner SAPu – jsme mezi 10 SAP partnery EMEA (6,7 mil EUR)
MDSap v České republice zajišťuje: • Prodej Sybase a SAP produktů z uvedených oblastí;
• Technickou podporu v českém jazyce;
• SAP autorizovaná školení;
• Konzultace související s produkty SAP a Sybase;
• BI projekty, analytické projekty, prediktivní modely,
návrhy datových modelů, EA, datovou integraci,
Podpora zavádění GDPR a implementace Data Governance a Data Quality
MDSap Reference • Komerční banka, Česká spořitelna, ČSOB Pojišťovna, Česká Pojišťovna, Raiffeisenbank,
Home Credit, Commerzbank, GE Money Bank, Česká pošta, Letiště Praha, DHL Information Services, O2, Vodafone, KUPEG, etc.
Central &
Eastern
Europe
Middle
East
Africa
Page 3
Příprava na GDPR
prakticky
GDPR nezačne platit příští rok
… už rok platí!
Deadline: 25. května 2018
Někdo jsi a něco znáš,
k tomu i dost vyděláš,
ve slovníku najít zkus
význam slova „GDPR".
na motivy písně
M. Rejchrta
Page 4
Jak nejlépe využít „čas přípravy“
Srovnat realitu s teorií • Činnosti se dělají jinak, než je v procesních mapách
• Každý má „svůj“ postup, který je tolerován
• Výjimek je tolik, že vytvářejí alternativní opakované postupy
Doplnit prázdná místa na mapě enterprise
architektury • Procesy, které nejsou oficiálně stanoveny
• Přístupy k datům, které nikdo nehlídá
• Smlouvy o outsourcingu, které osobní údaje neřeší
Uklidit staré „smetí“ • Skartace je často neznámým pojmem
• Data o zaměstnancích obsahují všechno možné mnoho let
dozadu
• Informační systémy už léta neznají příkaz DELETE FROM….
Kdyby se vážně bral už
současný zákon 101 /
2000 moc práce by firmy
neměly
§13:
Správce a zpracovatel
jsou povinni …, aby
nemohlo
dojít k … nahodilému
přístupu k osobním
údajům …
Page 5
Jak si popsat organizaci pro
potřeby analýzy o.ú.
Procesní model
• Činnosti
• Role
• Přiřazení rolí pozicím
Informační model
• [nejen] osobní údaje
• Umístění (včetně duplicit)
• Informační toky
• Životní cyklus
• Potřebnost
Aplikační model
• Přístupová práva
• Zabezpečení dat
• Rozhraní a jejich
používání
Technologický model
• Ochrana dat na úrovni
administrace
• Zálohování a archivace
Procesy a používané osobní údaje
Úložiště informací
Zájemce navštíví
salon značky
Zájemce si vyžádá
informace emailem
Kontakt na zájmce
poskytne importér
Představení nabídky
Vytvoření cenové kalkulace
Poskytnutí předváděcí jízdy Zapůjčení předváděcího /
náhradního vozu
Uzavření smlouvy o prodeji
Prodej pojištění k vozidlu Poskytnutí leasingu k
prodávaném vozu
Uzavření smlouvy a vstupu
do Klokočka klubu
Evidence půjčení
předváděcího /
náhradního vozu
Písemná smlouva o
pojištění
Písemné dokumenty k
prodeji vozu
Smlouva a členství v
klubu
Adresná nabídka vozu
Písemná smlouva o
finančním leasingu
Kopie osobních dokladů
se souhlasem klienta
Smlouva o financování Smlouva o pojištění
Údaje značky o
vlastníkovi vozidla
Poptávka zájemce o
nabídku / předváděcí
jízdu u značky
Záznam klienta o
souhlasu s využíváním
osobních údajů
Záznam o výpůjčce
vozu
Účetní doklad/záznam
Kontakt osoby
Vůz zákazníkovi
prodán
IS CARISPoskytovatel
financování
Poskytovatel pojištěníZnačka
Záznam o členství v
klubu
Sdílený filesystem
Page 6
Průběh analýzy
životní cyklus
životní cyklus
Krok 1: Poznat proces
Krok 1a: Poznat i všechny jeho
varianty
Krok 2: Identifikovat data obsahující
osobní údaje
Krok 3: Určit jejich životní cyklus
Krok 4: Definovat právní
zdůvodnění údajů i
životního cyklu
Prodej ojetého vozu
Prodej vozu
Specifikacepoptávky
klienta
Nabídka vozu zaktuální nabídky
ojetých vozů
Odstraněnípoptávky
klienta
Poskytnutípředváděcí
jízdyZákazníkpoptáváojetý vůz
Nabídka vozuna základěpoptávky
Obchodník sojetými vozy
Zájmce ruší
pptávku
Poptávka klientana ojetý vůz
Přehledpředváděcích
jízd ojetých vozů
čas
Prodej vozu
?
Page 7
Průběh analýzy
životní cyklus
životní cyklus
Krok 1: Poznat proces
Krok 1a: Poznat i všechny jeho
varianty
Krok 2: Identifikovat data obsahující
osobní údaje
Krok 3: Určit jejich životní cyklus
Krok 4: Definovat právní
zdůvodnění údajů i
životního cyklu
Prodej ojetého vozu
Prodej vozu
Specifikacepoptávky
klienta
Nabídka vozu zaktuální nabídky
ojetých vozů
Odstraněnípoptávky
klienta
Poskytnutípředváděcí
jízdyZákazníkpoptáváojetý vůz
Nabídka vozuna základěpoptávky
Obchodník sojetými vozy
Zájmce ruší
pptávku
Poptávka klientana ojetý vůz
Přehledpředváděcích
jízd ojetých vozů
čas
Prodej vozu
?
Page 8
Výstup analýzy
Procesy a používané osobní údaje
Úložiště informací
Zájemce navštíví
salon značky
Zájemce si vyžádá
informace emailem
Kontakt na zájmce
poskytne importér
Představení nabídky
Vytvoření cenové kalkulace
Poskytnutí předváděcí jízdy Zapůjčení předváděcího /
náhradního vozu
Uzavření smlouvy o prodeji
Prodej pojištění k vozidlu Poskytnutí leasingu k
prodávaném vozu
Uzavření smlouvy a vstupu
do Klokočka klubu
Evidence půjčení
předváděcího /
náhradního vozu
Písemná smlouva o
pojištění
Písemné dokumenty k
prodeji vozu
Smlouva a členství v
klubu
Adresná nabídka vozu
Písemná smlouva o
finančním leasingu
Kopie osobních dokladů
se souhlasem klienta
Smlouva o financování Smlouva o pojištění
Údaje značky o
vlastníkovi vozidla
Poptávka zájemce o
nabídku / předváděcí
jízdu u značky
Záznam klienta o
souhlasu s využíváním
osobních údajů
Záznam o výpůjčce
vozu
Účetní doklad/záznam
Kontakt osoby
Vůz zákazníkovi
prodán
IS CARISPoskytovatel
financování
Poskytovatel pojištěníZnačka
Záznam o členství v
klubu
Sdílený filesystem
Page 9
Problémy s IT systémy
Koupený systém
Dodavatel GDPR neřeší
Použití podle návodu je
nereálné
Dodavatel není k mání
Vlastní systém / implementace
Chybí kapacity
Chybí know-how
Nejsou priority
Page 10
Požadavky na IT systémy
Zabezpečení
Pseudonymizace
Znepřístupnění
• Uživatelům
• Administrátorům
Podmínky outsourcingu
Kontrola datových toků
Řízení životního cyklu
Redukce údajů
Odstraňování
Správa produktů a smluv
Řízení obchodní sítě
Monitoring a hodnocení
obchodu
Obchodní síť - FE pro
poskytovatele SÚSlužby pro
komunikaci s
obchodní sítí
Produktový katalog Správa smluv Řízení smluvních
dokumentů
FE pro poradenská místa
FE pro klentské
pracoviště
CRM
Komunikace s
klientem
Produktová historie
Správa produktů a smluv
Řízení obchodní sítě
Monitoring a hodnocení
obchodu
Obchodní síť - FE pro
poskytovatele SÚSlužby pro
komunikaci s
obchodní sítí
Produktový katalog Správa smluv Řízení smluvních
dokumentů
FE pro poradenská místa
FE pro klentské
pracoviště
CRM
Komunikace s
klientem
Produktová historie
Page 11
Ochrana informací je věcí kultury
organizace
Nejvíce datových úniků je přes pracovníky
• Vágní přístup k procesům – informace se nechrání
• Ochrana není na celý proces
• Neřešená administrace systémů
• Podceněný outsourcing
„Povalující“ se data, která vůbec neměla existovat
• nedodržování procesů
• Univerzální reporty
• Centrální databáze „osoba“ se všemi podrobnostmi
Pracovníci pro práci nemusí vidět „všechno“, jak byli dosud zvyklí
• Systémy vyvíjené obrazovkově, nikoli procesně
• Manažer má všechna práva podřízených
Page 12
Cílová rovinka - diskuse
Děkuji za pozornost,
Štěpán P. Nadrchal
Page 13
PowerDesigner pro GDPR?
CASE nástroj
• Procesy
• Data
• Aplikace
• Enterprise architektura
• Požadavky, XML,…
Propojení různorodých oblastí
Dokumentace a vývoj, Dopadové analýzy
Snadná rozšiřitelnost pro specifické požadavky
Page 14
GDPR – osobní data
Přímá
• Jméno, příjmení, pohlaví, věk, datum narození, email, tel.číslo, další
identifikátory přiřazené státem (rodné číslo,…)
Nepřímá
• Jakákoliv data přiřaditelná k osobě skrze referenční integritu
• IP adresa, záznamy o prodejích, historie prohlížení, GPS sledování,…
Citlivá osobní data
• Rasa, etnický původ, politické názory, náboženství, členství v odborech,
zdravodní a duševní stav, sexuální orientace, trestní záznamy, genetické
informace, biometrické informace,…
Page 15
Ukázka
Propojení procesních a datových modelů
Kontext procesu (systémy, role, služby,…)
Identifikace a označení osobních údajů
Informace o formátu a úložišti dat
Konfigurace a využití dopadové analýzy
Page 16
Na závěr
Propojení různých oblastí/modelů v PD
Bohaté možnosti customizace
Schopnost výrazně pomoci s GDPR
Page 17
top related