En tant que professionnel des réseaux et de la sécurité, J. (J-Dot) Bendonis connecte activement les gens en toute sécurité grâce à la technologie depuis plus de 20 ans. Chez Check Point, il assiste et informe ses clients sur leurs options en matière de cybersécurité; allant des meilleures pratiques à l'architecture avancée et aux futurs états de conception.
Dans cette interview informative et exclusive de CyberTalk, J. Bendonis partage des informations sur la confidentialité des données des employés et exactement ce que vous devez savoir.
JB: Les problèmes de confidentialité des employés sont malheureusement partout sur le lieu de travail. Pensez aux informations personnelles identifiables (PII) de base nécessaires à la paie, aux selfies sur le lieu de travail, à l'équipement pour les employés distants expédiés directement à leur domicile et aux médias sociaux. Chacun de ces éléments a ses propres problèmes de confidentialité.
JB: Commencez par informer simplement les employés, dans un langage simple. Expliquez pourquoi vous collectez et stockez certaines informations. Allez au-delà de simplement dire "la réglementation l'exige". Assurez-vous que les employés se sentent en sécurité dans leur travail et que l'entreprise les soutient en matière de confidentialité. Si les employés savent comment leurs données sont stockées, même sans détails, ils apprennent ce qu'implique la protection de leur propre vie privée. Cela se transforme en un moment éducatif pour les employés, qui deviennent alors plus protecteurs de leurs propres données. Une fois que les employés commenceront à traiter leurs propres données avec plus de soin, ils traiteront à leur tour les données de leur employeur (sous toutes leurs formes) avec soin.
JB: Chaque organisation devrait détailler, en langage clair, ses politiques de collecte et de conservation des données sur les employés. Par exemple, si vous deviez quitter l'entreprise, quelles informations conserveraient-ils sur vous? À titre personnel, un de mes anciens employeurs a subi une violation de l'un de ses fournisseurs tiers, ce qui a entraîné la fuite de mes informations des années après mon départ de cette entreprise. De plus, une politique bien définie en matière de médias sociaux est essentielle. Plus que de simplement dire ‘tu ne diffameras pas l'entreprise", les employeurs doivent être plus inclusifs dans le comportement général. Des politiques telles que: comme pas de selfies sur le lieu de travail, et toutes les caméras ou enregistrements pendant les réunions doivent être entièrement consensuels pour toutes les parties impliquées.
JB: La politique de rétention est essentielle. De plus, les éléments qui ne sont pas pertinents pour l'emploi doivent être remis en question de manière approfondie. Par exemple, pourquoi mon employeur aurait-il besoin de savoir si je suis célibataire ou divorcé? Les deux ont le même statut en ce qui concerne l'assurance maladie et le statut de déclaration de revenus aux États-Unis, alors pourquoi l'entreprise devrait-elle le savoir? Je crois qu'une entreprise devrait collecter le moins de données possible pour remplir ses fonctions, donc un employé devrait toujours demander. Il y a des éléments dont chaque entreprise aura besoin: Nom, date de naissance, SSN/ TaxID, adresse du domicile, numéro de téléphone (seulement 1), contact d'urgence. Pour des articles comme les soins de santé et les impôts, célibataire/ marié uniquement.
JB: Les employeurs doivent absolument supprimer tous les enregistrements non requis pour les impôts. La Security and Exchange Commission (SEC) des États-Unis exige que les dossiers des employeurs soient vérifiables pendant 7 ans, ils devront donc conserver les données pertinentes sur les employés pendant cette période. Une fois ces 7 années écoulées, ces informations doivent être purgées. De plus, bien que les entreprises soient tenues de fournir ces informations, il n'est PAS nécessaire qu'elles soient accessibles en ligne. L'archivage des données, idéalement hors ligne, est une bonne idée. Tous les autres dossiers, tels que les informations sur les ressources humaines et les informations sur les soins de santé, doivent être supprimés de leurs systèmes. Cela supprime deux risques différents: évidemment le risque pour l'employé, mais cela réduit également le profil de risque pour l'entreprise. Personne ne peut voler des informations que vous n'avez pas. Enfin, des directives claires sur ce que l'entreprise conservera doivent être présentées aux employés afin que ceux-ci sachent exactement quelles informations l'entreprise conservera après le départ.
JB: Évidemment, le traitement des données des employés est un must. La formation devrait également couvrir quelles informations sont des données spécifiques aux employés. Il doit également inclure des termes et des définitions clairs pour des cas tels que: Ce qui doit et ne doit pas être publié sur les réseaux sociaux, et ne pas utiliser votre adresse e-mail professionnelle pour des activités non professionnelles (c'est-à-dire, n'utilisez pas votre e-mail professionnel pour faire des achats sur Amazon).
JB: Cela dépendrait entièrement de l'origine des images de surveillance. Si c'est le hall d'entrée et qu'il y a un panneau qui dit "Souriez, vous êtes devant la caméra", je ne pense pas que les données soient vraiment critiques car elles ne devraient rien capturer de sensible. Si ces caméras peuvent voir le parking, il doit être sécurisé, crypté et stocké en toute sécurité. Pourquoi? L'enregistrement et le stockage de la marque, du modèle et du numéro de plaque d'immatriculation des voitures des employés peuvent entraîner un problème de confidentialité pour les employés. À mon avis, ce que les caméras capturent est vraiment important. S'ils se trouvent dans un endroit qui ne peut pas voir les informations au-delà de qui va et vient, ce n'est probablement pas sensible. De plus, la résolution de la caméra ne doit jamais être une excuse. La technologie de la caméra est constamment mise à jour. Les caméras seront probablement mises à niveau régulièrement et les nouvelles technologies captureront plus d'informations. En général, il serait préférable pour les organisations de traiter tous les enregistrements vidéo de surveillance avec le même niveau de confidentialité que pour toute information personnelle numérique.
Enfin, pour recevoir davantage d'actualités, de meilleures pratiques et d'analyses de pointe en matière de cybersécurité, veuillez vous inscrire au CyberTalk.org bulletin d'information.
Post Ce qu'il faut savoir: Protéger les données des employés sur votre lieu de travail apparu en premier sur CyberTalk.