Pematuhan PDPA dari Sisi IT di Malaysia: Audit, Pembaikan dan Operasi Berterusan

Kenapa PDPA bukan hanya dokumen

Banyak syarikat menganggap pematuhan PDPA selesai apabila dasar privasi ditulis dan dimuat naik ke laman web. Dokumen itu penting, tetapi ia tidak bermakna apa-apa jika sistem sebenar tidak sepadan. Dasar yang menyatakan akses dihadkan kepada kakitangan yang dibenarkan tidak benar jika semua orang dalam syarikat mempunyai akses pentadbir.

Di sinilah kerja IT masuk. Data peribadi terletak dalam sistem CRM, pengurusan sumber manusia, perakaunan, e-mel dan storan awan. Ada yang berpindah antara sistem tanpa sesiapa merekodkannya, dan sebahagian disimpan lebih lama daripada yang sepatutnya. Sebelum sebarang dasar boleh dipercayai, seseorang perlu memetakan semua ini.

Ringkasnya: firma guaman menulis dasar, kami melaksanakannya dalam sistem. Kami boleh bekerja sebelah menyebelah dengan peguam anda, atau berunding dengan rakan firma guaman jika anda belum ada.

Program tiga fasa: audit, pembaikan, operasi

Kerja disusun dalam program tiga fasa. Anda hanya membayar untuk fasa yang diperlukan, dan tidak semua syarikat perlu bermula dengan fasa pertama atau menamatkan ketiga-tiganya.

• Fasa pertama, audit: penilaian keperluan DPO, inventori data merentasi semua sistem, semakan kawalan akses dan enkripsi, analisis jurang berbanding pindaan PDPA 2024, peta hala tuju pembaikan yang diutamakan dan laporan ringkasan untuk lembaga pengarah
• Fasa kedua, pembaikan: dasar disediakan (privasi, pengekalan, prosedur akses subjek data, iaitu individu yang datanya anda kendalikan), pustaka templat DPA untuk rundingan dengan vendor, pengelogan audit diaktifkan, pelan tindak balas pelanggaran data serta latihan, dan semakan pemindahan rentas sempadan
• Fasa ketiga, operasi: DPO sebagai perkhidmatan yang mengendalikan permintaan subjek data, penyelarasan pelanggaran, hubungan dengan Pesuruhjaya Perlindungan Data Peribadi dan semakan pematuhan berkala
• Latihan kakitangan dan simulasi pancingan data, termasuk penyepaduan dengan proses orientasi sumber manusia dan latihan mengikut peranan

Apa yang diliputi audit dari sudut IT

Audit dari sudut operasi IT melihat perkara yang sering terlepas pandang apabila audit dibuat dari sudut undang-undang sahaja. Pertama, inventori dan pemetaan aliran data merentasi sistem seperti CRM, sistem HR, perakaunan, e-mel dan storan awan.

Kedua, audit kawalan akses: siapa boleh melihat data peribadi apa, dan sama ada akaun yang terlalu berkuasa wujud. MFA dikuatkuasakan pada sistem pentadbiran, HR dan kewangan. Ketiga, enkripsi semasa penyimpanan dan penghantaran, serta pengekalan dan pemadaman data yang selamat.

Keempat, daftar pemproses pihak ketiga dan perjanjian pemprosesan data. Kelima, keupayaan mengesan pelanggaran, kesedaran pekerja dan daya tahan terhadap pancingan data. Keenam, semakan pemindahan data rentas sempadan, terutamanya apabila data Microsoft 365 atau Google Workspace disimpan di luar negara.

Perniagaan yang memerlukan sisi IT PDPA

Perkhidmatan ini sesuai untuk perniagaan yang mengendalikan data peribadi pelanggan, pekerja atau pesakit, dan yang mahu sistem mereka sepadan dengan dasar yang ditulis. Ia juga berguna apabila pelanggan korporat meminta bukti kawalan data daripada pembekal mereka.

Sama ada perniagaan anda perlu melantik DPO bergantung pada jumlah dan jenis data yang dikendalikan, serta sektor anda. Penilaian keperluan DPO dibuat sebagai sebahagian daripada audit awal, dan kami mengesyorkan anda mengesahkan keputusan akhir dengan penasihat undang-undang.

Jika anda hanya mahu templat dasar atau nasihat undang-undang semata-mata, anda mungkin lebih sesuai dengan firma guaman. Nilai kami muncul apabila dasar itu perlu dijadikan benar dalam sistem.

Senarai semak IT PDPA dalam 10 minit

Soalan ya atau tidak ini bersifat teknikal dan bukan nasihat undang-undang. Jika anda menjawab tidak atau tidak pasti bagi mana-mana satu, itulah tempat terbaik untuk memulakan audit.

• Adakah semua akaun admin menggunakan MFA?
• Adakah akaun pekerja yang berhenti ditutup dalam satu hari bekerja?
• Adakah anda tahu sistem mana menyimpan data peribadi pelanggan dan pekerja?
• Adakah sandaran disulitkan dan pernah diuji pulih?
• Adakah pengelogan audit diaktifkan pada sistem yang memegang data peribadi?
• Adakah anda ada pelan bertulis jika berlaku pelanggaran data, dan siapa yang dihubungi dahulu?

Dari audit ke peta hala tuju

Kami bermula dengan perbualan tentang cara syarikat anda mengendalikan data: sistem apa digunakan, siapa mempunyai akses dan apa yang berlaku apabila pekerja berhenti. Daripada situ kami mencadangkan audit berskop, dengan hasil yang boleh dibaca oleh pengurusan atasan dan boleh dilaksanakan oleh pasukan teknikal.

Hasil audit ialah peta hala tuju yang diutamakan. Anda tidak perlu membetulkan semuanya serentak. Risiko paling tinggi diutamakan dan pembaikan dijadualkan mengikut bajet dan keupayaan pasukan anda.

Semasa pembaikan, kami menyediakan dokumen bersama perubahan teknikal yang menjadikannya benar: akses berasaskan peranan, MFA, enkripsi dan pengelogan audit. Dokumen tanpa perubahan sebenar dalam sistem tidak banyak membantu, dan perubahan tanpa dokumen pula sukar dipertahankan.

Bagi fasa operasi, DPO sebagai perkhidmatan mengendalikan tugas berulang, dan semakan berkala memastikan sistem tidak menyimpang selepas beberapa bulan.

Pelanggaran data dan tindak balas

Pelan tindak balas pelanggaran data menetapkan aliran kerja pemberitahuan, pokok keputusan untuk pemberitahuan kepada Pesuruhjaya dan templat komunikasi kepada subjek data. Pelan ini diuji melalui latihan supaya pasukan tahu apa yang perlu dilakukan sebelum kecemasan berlaku.

Kami tidak menyebut tempoh pemberitahuan atau jumlah denda di sini kerana ia boleh berubah. Lihat bahagian sempadan di bawah dan sahkan kewajipan semasa dengan penasihat undang-undang anda.

Apa yang kami sediakan ialah bahagian teknikal: log yang diperlukan untuk menyiasat, garis masa insiden dan rekod tindakan pembaikan, yang boleh diberikan kepada penasihat undang-undang dan pihak berkuasa yang berkaitan. Jika insiden sedang berlaku sekarang, lihat halaman tindak balas insiden ransomware di bahagian pautan berkaitan.

Bagaimana setiap fasa disebut harga

Setiap fasa disebut harga secara berasingan. Harga sebenar bergantung pada bilangan sistem, bilangan pekerja, jumlah data dan sama ada anda memerlukan satu fasa atau ketiga-tiganya, dan disahkan dalam cadangan bertulis selepas perbincangan awal.

Cadangan memisahkan kerja audit, kerja pembaikan dan perkhidmatan berulang seperti DPO sebagai perkhidmatan. Jika pembaikan memerlukan lesen baharu, contohnya untuk MFA atau pengelogan audit, kos lesen itu ditunjukkan sebagai baris sendiri.

Sempadan antara kerja IT dan nasihat undang-undang

TechFix bukan firma guaman. Kami tidak memberikan nasihat undang-undang, tidak mengeluarkan pengesahan pematuhan dan tidak menjanjikan bahawa sesuatu program menghalang tindakan penguatkuasaan. Anda perlu mengesahkan kewajipan dengan penasihat undang-undang yang layak.

Dari sisi teknikal pula, kami tidak menyediakan pemulihan data. Data peribadi yang hilang tanpa sandaran dirujuk kepada makmal pakar, dan sebab itu sandaran serta pengelogan menjadi sebahagian daripada fasa pembaikan.

Mulakan dengan perbualan tentang data anda

Ceritakan cara syarikat anda mengendalikan data peribadi melalui WhatsApp atau borang di halaman versi Inggeris. Kami akan membalas dengan soalan dan cadangan skop untuk fasa pertama, dan tiada komitmen perlu dibuat pada peringkat itu.

Halaman berkaitan

• Keselamatan siber PKSKawalan akses, e-mel dan peranti.
• Servis IT terurusAkses pekerja yang berhenti ditutup mengikut senarai semak.
• Penilaian keselamatan siberSemakan kawalan teknikal sebelum pembaikan.
• Tindak balas ransomwarePembendungan dahulu jika insiden sedang berlaku.
• Pengurusan MDM dan BYODData syarikat pada telefon dan laptop pekerja.
• Pelupusan aset ITPemadaman data selamat sebelum peranti dilupuskan.
• IT untuk firma guamanSokongan IT untuk rakan dari bidang guaman.
• Sokongan pelayanSandaran dan pengelogan audit.
• Hubungi TechFix