Sådan findes persondata med datamapping-værktøj

Et datamapping-værktøj er et stykke software, der hjælper organisationer med at opbygge en visuel fremstilling af deres data, med henblik på at give et overskueligt overblik af data i organisationen. Visse datamapping-værktøjer kan også bruges til at finde personlige oplysninger i filer, mails og billeder. I denne blog finder du svaret på, hvordan et datamapping-værktøj kan hjælpe jer med at lokalisere jeres følsomme data og overholde GDPR.

Guiden her skal give et indblik i hvordan processen for at arbejde med et datamapping-værktøj er, og hvad værktøjet kan bruges til at lokalisere personlige oplysninger. Vejledningen tager udgangspunkt i vores eget datamapping-værktøj, DataMapper.

Når man rydder op med et datamapping-værktøj bør opgaven deles op i to; der er den første del af oprydningen, som er tilrettelæggelsen. Denne del varetages af en administrator. Dernæst er der selve oprydningsarbejdet, som udføres af den enkelte medarbejder. Vi anbefaler disse 4 trin, når man skal rydde op med et datamapping-værktøj:

1. Vælg datasystemer (admin)
2. Virksomhedsscan (admin)
3. Afgræns oprydningen (admin)
4. Oprydning (bruger)

Start med at vælge de datasystemer, hvor I mistænker, at I opbevarer følsomme data. Det vil typisk være lokale diske, cloud-løsninger, mail-klient m.m. Når datasystemerne er valgt igangsætter admin et scan af hele virksomhedens data.

Efter det indledende virksomhedscan, bør administrator fokusere på at få et overblik over virksomhedens følsomme data. Her anbefaler vi, at man følger disse 4 trin:

1. Filer: Få et overblik over jeres filer med følsomt indhold; hvor mange filer med risiko og hvor mange med høj-risiko er der fundet? Er der flere eller færre end forventet? Er der følsomme data, der opbevares flere steder? Hvilke typer filer indeholder mest risikabelt data? Er der nogle termer og kategorier, som man skal udelades eller tilføjes?
2. Datasystemer: I hvilket datasystem er de fleste filer fundet? Vurder om dette system er sikkert. Bør I begrænse adgangen til dette system for at mindske risici?
3. Medarbejdere: Hvilke medarbejdere og afdelinger har de største mængder af følsomme data? Er der nogle arbejdsprocesser, som bør ændres?
4. Oprydningsplan: Der bør udarbejdes en oprydningsplan, som bør være afstemt med jeres privatlivspolitik. Bestem, blandt andet, hvor længe filer opbevares, hvor følsomme data skal opbevares etc. Udpeg den eller de medarbejdere, der skal have ansvaret for at rydde op i de delte foldere i jeres datasystemer. Udarbejd også en plan for, hvordan brugerne skal rydde op; skal de foretage hele oprydningen på én gang eller skal det foregå i bidder?

Når I har fået vished over mængden af persondata, I har liggende, så forsøg at bruge dette som pejlemærke fremover og arbejd jer nedad løbende.

Næste skridt handler for administrator om at tilrettelægge oprydningen i forhold til til den indsigt virksomhedsscannet har givet. Vi ser ofte, at når en bruger scanner sine data, kommer der rigtig mange filer med følsomt indhold. Det kan virke som en overvældende opgave. Derfor anbefaler vi, at man nøjes med et udsnit af al den data, man er i besiddelse af. Det kan man gøre på 3 måder:

1. Termer: Bestem, hvilke følsomme termer, der skal søges efter og hvilke skal udelades. Dette kan især være nyttigt, hvis der optræder mange “falske positiver” i resultaterne. En falsk positiv er en fil, som er blevet scannet og som indeholder følsomt indhold, men har i realiteten ikke følsomt indhold. Det kunne eksempelvis være en mail, hvori der står “Ingen stress”. Er der andre termer, som ikke normalt betragtes som følsomme, så inkluder dem i scannet.
2. Kategorier: Angiv, hvilke følsomme kategorier der skal søges efter og hvilke skal udelades. Dette er anvendeligt, hvis I kun ønsker at scanne for politiske følsomme oplysninger eller ikke ønsker at scanne for fagforeningsoplysninger eksempelvis.
3. Filtre: Implementer filtre for brugerne. Det kan være, at I vil starte med alt data i et specifik datasystem, at I kun vil fokusere på højrisiko-filer, eller at I kun vil koncentrere jer om filer, der er over 5 år gamle etc.