Sustainable Compliance Danmark

Overvejer du, om du kan bruge Bidens notat til noget i dit arbejde med tredjelandsoverførsler lige nu - så er det her afsnittet for dig.

I denne udgave af Privacy League Live diskuterer vi de praktiske implikationer af det præsidentielle dekret fra Joe Biden, som kom i fredags.

Du får både en hurtig juridisk vurdering fra Data Privacy Specialist hos Wired Relations Anna Dall Pedersen og en mere politisk og organisatorisk vurdering fra Jacob Høedt Larsen.

 Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

I dette afsnit af Privacy League Live giver netværket gode om at få ledelsesopbakning, hvem man kan bruge til awareness-træning .. og om at være ny i GDPR. Jacob Høedt Larsen har en liste på 22 gode råd til dig, der er ny i GDPR.

Du får den her:

1. GDPR er en proces, ikke et projekt
2. Når vi taler om usikre tredjelande, taler vi ikke om Rusland og Colombia - vi taler ALTID om USA
3. Det er Allan Frank fra Datatilsynet, ikke Allan og Frank fra Datatilsynet - de er færre end du tror.
4. GDPR, TIA, DPIA eller som vi siger i branchen LAEF - Lær At Elske Forkortelser
5. Tag læsebrillerne med og advar din røv - der er virkelig meget at læse
6. De bedste instruktører laver trilogier - vi er ikke helt enige om, hvorvidt vi ønsker en Schrems III
7. GDPR er en proces, ikke et projekt
8. Du skal vide, at når der bliver stille i marketing-afdelingen, fordi du træder ind, så er det ikke dig, de ikke kan lide. De hader bare GDPR
9. Du vil opdage, at selvom man har fortalt et menneske en gang, at de ikke må sende personnumre i en mail, så gør de det alligevel. De gør det også, når du har fortalt det 2-3 og 100 gange.
10. Det du ser i øjnene på din kollega, når du siger: “Jamen, det står i politkken” er nok bare forvirring. Han har ikke læst den.
11. GDPR er en proces, ikke et projekt
12. Hvis GDPR var et cykelhjul, ville det nok være et firkantet cykelhjul
13. Helsingør-sagen viser, at det var en fejl at flytte Holger Danske til Skjern
14. Der findes én effektiv slettepolitik i alle virksomheder. Det er den, medarbejderne kører på deres hjerner lige efter den årlige awareness-træning.
15. Du kommer sikkert til at sidde alene, men der er altid hjælp at hente. GDPR tager telefonen og svarer på deres mail, hvis bare du spørger.
16. Husk: Det handler om at beskytte menneskerettigheder
17. GDPR er en proces, ikke et projekt
18. 70 % af alle GDPR-folk tror, deres kollegaer hader dem. Det passer ikke.
19. GDPR er en proces, ikke et projekt
20. Marketing kan godt finde på at behandle personoplysninger uden at fortælle dig om det. Det kan HR også. Og alle andre afdelinger. Du skal ud og have fat i dem.
21. GDPR er en proces, ikke et projekt
22. Og det er virkelig godt at huske på onsdag eftermiddag, når du sidder i dit fjerde projektmøde den uge.

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

IT-sikkerheden bliver mere og mere bundet af regler og lovgivning. Det taler Jacob Høedt Larsen og Jacob Naur, chief legal officer hos UNITAS om i denne podcast, hvor Jacob Naur giver sit bud på både faldgruber og gode råd, når det gælder arbejdet med compliance på it-sikkerhedens område.

Hvis man er en væsentlig eller vigtig virksomhed, så bliver ISO 27001 i praksis lov, og det vil også smitte af på andre virksomheder, som eksempelvis leverer til dem. Det er ikke længere muligt at risikovurdere sig ud af reglerne.

Jacob Naur forudser, at der vil komme meget konkrete krav, når NIS 2 skal implementeres, fordi man har lært af, at man i forbindelse med implementeringen af GDPR gav forholdsvis vide rammer til virksomheder og organisationer.

De 3 Faldgruber i organisationen:
1. Jurister, it-folk og informationssikkerhedsmedarbejdere har Ikke forstand på compliance
2. Compliance er en meget praktisk øvelse, som går på tværs af organisationen
3. Compliance er en proces og ikke et projekt

Der sidder med andre ord en masse dygtige mennesker i organisationen, og så lander NIS 2 eller DORA som et lidt skævt projekt.

Hvad skal man gøre i stedet:
1. Man skal have fornemmelse for samspillet i en organisation. 
2. Hvem skal helt konkret snakke sammen (CFO, it-chefen / CIO, fastlagt den juridiske ramme)
3. Når de mennesker kommer i samme rum, så løser de det.
4. Årshjul. Det er en slags bogholderi
5: Compliance ligger på tværs.

Ledelsens rolle: Jacob Naur spekulerer over, hvordan man involverer ledelsen. Udgangspunktet er, at ledelsen måske ikke ved så meget om GDPR og informationssikkerhed og risikostyring, specielt blandt de nye elever i NIS 2-klassen.

Den rigtige måde at organisere arbejdet med compliance med NIS 2, DORA osv.:
1. Først bør man afklare, om man er sikker på, at man faktisk bliver ramt.
2. Herefter skal it og juristerne sætte sig sammen og blive enige om, hvilke eksisterende processer, vi skal have tilrettet eller forbedret. Hvda gør vi i forvejen, som hjælper os med at leve op til reglerne. Det skal de to grupper blive enige om. De kan med fordel have ISO i baghånden, så de kan vinge af, når de opdager noget, vi allerede gør godt.
3. Målet for arbejdet er hverken IT eller jura - det er, at det skal blive til compliance.
4. Nu skal ledelsen involveres. Projektgruppen kan gå til ledelsen og sige: Vi er 30 % i mål allerede med det, vi gør i dag. 
5. Ledelsen skal så beslutte, hvad rammerne skal være. Vi kan måske leve med at komme 80 % i mål.

Jacob Naurs artikel i Computerworld: https://www.computerworld.dk/art/262038/saadan-skal-du-arbejde-med-compliance-og-it-sikkerhed-i-lyset-af-nis2-gdpr-dora-osv

Jacob Naur (https://www.linkedin.com/in/jacob-naur-67bb901b/) er chief legal officer hos UNITAS, som blander it-sikkerhed og compliance. Se mere om UNITAS her: https://unitas.consulting/

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Det bliver ikke nemt at implementere NIS 2, hvis du er omfattet, men her giver sikkerhedsrådgiver Morten Eeg gode råd til, hvordan du kommer godt i gang i praksis.

Jacob Høedt Larsen spørger Morten, hvordan man kommer godt igang, og han siger, at man skal finde ud af nogle grundlæggende ting:

1. Er vi omfattet?
2. Hvad er det for tjenester, der er omfattet, og hvilke systemer understøtter den tjeneste?
3. Hvor godt er vores sikkerhedsniveau og beredskab på de her systemer?

Vi taler om:
- Fra starten laver vi en indflyvning over de opgaver, der ligger forude for virksomhederne og organisationerne i NIS 2. Én af Mortens vigtige pointer er, at NIS 2 er større end GDPR, og derfor skal man i gang forholdsvis hurtigt, hvis man skal nå implementeringen på 21 måneder. 

- 10:00: Det er faktisk relativt få artikler i NIS 2-direktivet, man som virksomhed behøver at forholde sig til. Det handler om ledelsens rolle, sikkerhedsforanstaltninger, og så skal man kunne indberette hændelser. Morten gennemgår de foranstaltninger, man i hvert fald skal have kigget på.

- 12:50: Taler vi om, hvordan man håndterer sikkerhed hos sine leverandører. Det er nemlig noget, NIS 2 lægger stor vægt på.

- 15:08: Samfundsrisiko. Med NIS 2 kommer der en ny vinkel på risikovurderingerne, nemlig samfundsrisiko. Det er en ny risiko for mange, som kun er vant til at vurdere forretningens risiko (informationssikkerhed) og risikoen for den registrerede (GDPR). Men hvordan går man til det? Det giver Morten gode, praktiske bud på.

- 21:05: Taler vi om, hvordan man organiserer arbejdet. Arbejdet med NIS 2 må nemlig ikke komme til at foregå i siloer.

- 22:16: Taler vi om at skabe et fælles sprog for risiko på tværs af organisationen. Det nytter nemlig ikke noget, at GDPR, jura, IT og forretningen vurderer risikoen forskelligt. Med NIS 2 skal man nemlig i højere grad kunne arbejde med risiko på tværs af organisationen og de tre forskellige typer risici.

- 26:20: Med NIS 2 kan ledelsen i yderste konsekvens blive sat fra bestillingen. Derfor skal den involveres og uddannes. Det taler vi også om, og Morten kommer med gode råd til det arbejde, som mange oplever som svært.

- 29:50: Indberetning af sikkerhedshændelser: Med NIS 2 skal man kunne indberette sikkerhedshændelser inden for 24 timer - hvilket for mange vil kræve døgnbemanding. Dertil kommer, at myndigheden også skal svare tilbage hurtigt. Det bliver en udfordring.

Morten Eeg Ejrnæs Nielsen er sikkerhedsrådgiver hos Globeteam og i sin egen virksomhed. Han har arbejdet med informationssikkerhed og databeskyttelse i praksis i mange forskellige virksomheder og organisationer. Hans vinkel er derfor meget praktisk. Følg ham på Linkedin: https://www.linkedin.com/in/morten-eeg-ejrn%C3%A6s-nielsen/ og hans blog på Computerworld: https://www.computerworld.dk/forfatter/9622

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

I dette afsnit laver vi en liste med de 14 kerneprocesser i en databeskyttelses-funktion. Den får du her. Vi taler også om, hvor grænsen går for, hvad en GDPR-medarbejder kan forventes at vide noget om ... og lidt om samfundsrisici.

Her er listen:

1. Overblik systemer og leverandører
2. Behandlingsaktiviteter
3. Risikostyring og -håndtering
4. Tilsyn med leverandører
5. Tredjelandsoverførsler
6. Årshjul
7. Ledelsesrapportering
8. Hændelsesregistrering og håndtering
9. Sikkerhed og foranstaltninger (ISO og NIS)
10. Besvarelse af indsigtsanmodninger
11. Sletning
12. Logning og kontrol, 
13. indkøb / udvikling af it, herunder privacy by design / default
14. Awareness

Byd gerne ind med dine bud på listen til Jacob Høedt Larsen på hans Linkedin-profil: https://www.linkedin.com/in/jacobhoedtlarsen/

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

I dag kigger vi på data-drevne forretningsmodeller fra mange vinkler: Den europæiske markedsføringsret og databeskyttelsesret, men også de grundlæggende menneskerettigheder og adfærdspsykologien. Det gør vi med udgangspunkt i professor Jan Trzakowskis bog Your Privacy Is Important To U$.

Jan Trzakowski, Ph.D. er professor på Copenhagen Business School, hvor han forsker i markedsføringsret, forbrugerbeskyttelsesret og databeskyttelsesret.

Nu har han skrevet en bog om emnet, som også trækker på grundrettighederne, adfærdspsykologien, markedsføringsteorien og samfundsmæssige problemstillinger. Den hedder Your Privacy Is Important To U$ (som du finder her: https://extuto.dk/#978-87-420-0042-7).

Jan Trzakowski mener blandt andet, at det ikke giver mening at sige, at vi betaler med vores persondata, at "empowerment" er en helt grundlæggende rettighed i både markedsføringsretten og databeskyttelsen - og at forståelse af adfærd, psykologi og marketingteori er vigtigt for at forstå de to retlige områder.

Alt det taler han med Jacob Høedt Larsen om i denne podcast.

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

I dette afsnit af Privacy League Live tackler vi Google Analytics og specielt samarbejdet mellem marketing og GDPR. Vi har inviteret specialisten i digital marketing, Lars Skjoldby.

Vi drøfter først de muligheder, virksomheder har, nu hvor Datatilsynet har sagt, at Google Analytics er vanskeligt at bruge lovligt.

Derefter fortæller Lars Skjoldby om tracking fra marketing-siden.

Til sidst drøfter vi vejen frem og svarer på spørgsmål fra netvæket.

Det her er første led i, at vi i den kommende tid vil arbejde mere med information om tracking, Analytics og alternativer.

Vært: Jacob Høedt Larsen

Gæst: Lars Skjoldby, ejer af Skjoldby & Co., som er specialister i digital markedsføring.

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Vi tror, at Danmark er født med menneskerettigheder i blodet, og derfor behøver man ikke tale om det. Der starter Jacob Høedt Larsens samtale med lektor Ayo Næsborg-Andersen. De to taler om menneskerettigheder i persondataretten.

Ayo Næsborg-Andersen er bekymret for vores brug af kunstig intelligens. Hun siger, at kunstig intelligens ikke er godt, når det bruges til at træffe beslutninger på individniveau. Det taler de om.

“Du kan ikke beskæftige dig med persondataretten uden at beskæftige dig med menneskerettighederne,” siger Ayo Næsborg-Andersen i interviewet, og hun siger, at en god start er at beskæftige sig med dataetikken. Et af hendes eksempler er Chromebook-sagen. Hør mere om, hvor menneskerettighedsbetragtninger ligger som en rød tråd gennem hele persondataforordningen.

Vi taler også om, hvem der bør beskæftige sig med menneskerettighederne.

Ayo Næsborg-Andersen er lektor på SDU med speciale i blandt andet menneskerettigheder og persondataret. Hun skriver ofte på https://holderdetibyretten.wordpress.com/

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Google Analytics, involvering af de registrerede, leverandørtilsyn og Dropbox. Der er mange emner på programmet i dag på Privacy League Live.

1:40: Taler vi om Google Analytics
8:48: Taler vi om at involvere de registrerede
18:22: Taler vi tilsyn med leverandører.
Hvordan løser vi opgaven med tilsyn med leverandører?
Hvis det bliver gjort ordentligt, er tilsyn med leverandører ressourcetungt.
Og… det bliver bestemt ikke bedre, når NIS 2-virksomheder skal til at styre cyberrisikoen i deres “supply chain.”
Vi ved godt, hvad vi skal gøre.
Men det er - med Jan Lemnitzers ord i den her podcast https://lnkd.in/ea5s4c82 - svært at skalere.
Så hvad gør vi, når vi har 40-50 eller flere leverandører?
Det vender vi.
Nogle bud kunne være:
👍🏻 Et nyt rammeværktøj til informationssikkerhed hos SMV’erne
👍🏻Større brug af - og gennemsigtighed hos - ratingfirmaer som Bitsight
👍🏻EU-baserede eller nationale auditerings-virksomheder
👍🏻D-mæarket, måske.
55:00: Vender vi - på et spørgsmål fra en lytter - brugen af Dropbox.

Vi ved godt, hvordan vi skal vurdere og håndtere cyberrisiko blandt vores leverandører, men det er svært og dyrt at skalere.

Det har Jan Lemnitzer, assistant professor på Copenhagen Business School beskæftiget sig med.

Han har fem anbefalinger til, hvordan vi kan hjælpe denne skalering og sikre NIS 2 implementeringen.

1. Issue clear guidelines how the supply chain management requirements in NIS 2 should be interpreted
2. Ensure that regulators in all member states are properly staffed
3. Create a new IT security standard specifically for SMEs 2
4. Create a simple but effective cyber risk auditing system at EU or member state level
5. Establish rules for cyber risk rating agencies to ensure transparency and accountability

Dem diskuterer vi i dette afsnit af Privacy League.

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl