Adatmegőrzési és selejtezési szabályzat – KKV

Az Adatmegőrzési és selejtezési szabályzat – KKV (P14S szabályzat) kifejezetten kis- és középvállalkozások (KKV-k) számára készült, figyelembe véve az ilyen szervezetek korlátait és sajátos felelősségeit. A szabályzat teljes mértékben KKV-kra van adaptálva: a szabályzatgazda az ügyvezető, és nem feltételez speciális szerepköröket, mint például a biztonsági műveleti központ (SOC) vagy az információbiztonsági vezető (CISO), miközben biztosítja az olyan vezető keretrendszereknek való megfelelést, mint az ISO/IEC 27001:2022, a GDPR és a kapcsolódó szabályozások. A szabályzat elsődleges célja egyértelmű, kikényszeríthető szabályok meghatározása az információk megőrzésére és biztonságos selejtezésére, biztosítva, hogy a nyilvántartásokat csak addig tartsák meg, ameddig azt jogszabály, szerződéses megállapodás vagy üzleti igény előírja. E követelmények teljesülése után az információt visszafordíthatatlanul meg kell semmisíteni. A szabályzat hangsúlyozza a jogi kitettség és az operatív kockázat minimalizálásának fontosságát a jogosulatlan vagy redundáns adatmegőrzés megelőzésével. Kiemeli továbbá a jól irányított megőrzés és selejtezés előnyeit az auditfelkészültség, a költségcsökkentés és a rendszer teljesítményének javítása szempontjából. KKV-k esetében a szabályzat gyakorlati eszközt ad a digitális és papíralapú adateszközök felelős kezeléséhez, függetlenül az IT-csapat méretétől. Az átfogó hatókör magában foglalja a nyilvántartások minden típusát, az üzleti dokumentumokat, az operatív naplókat, a pénzügyi fájlokat, a személyes adatokat, és minden tárolóközegre kiterjed: a helyi meghajtóktól és felhőben üzemeltetett rendszerektől a papíralapú tárolásig és a biztonsági mentésekig. Valamennyi munkatárs, vállalkozó és harmadik fél szolgáltató, akik szervezeti adatokat kezelnek, a szabályzat hatálya alá tartoznak. A szabályzat az adat-életciklus minden szakaszát lefedi a létrehozástól a biztonságos selejtezésig vagy megsemmisítésig. Kulcselem a szerepkörök és felelősségek egyértelmű elhatárolása. Az ügyvezető jóváhagyást ad, biztosítja az összhangot a jogi és üzleti kockázatokkal, valamint kezeli a kivételeket és a jogi zárolás és törlési felfüggesztés eseteit. A kijelölt Adattulajdonosok adatkategóriánként kerülnek kijelölésre, és felelősek az osztályozásért, a megőrzési időszakok meghatározásáért és a törlések engedélyezéséért; továbbá támogatják az auditfolyamatokat. Az IT-támogató szolgáltató vagy belső IT-felelős feladata a rendszerek konfigurálása a megőrzési szabályokhoz, a selejtezési naplózáshoz és a biztonságos törléshez, beleértve a biztonsági mentéseket és archívumokat is. A munkavállalók és vállalkozók kötelesek betartani a szabályzatot, elkerülni a nem megfelelő megőrzést, jelenteni a gazdátlan adatokat, és kizárólag jóváhagyott rendszereket használni adattárolásra. Az alapvető irányítási követelmények középpontjában egy részletes Megőrzési nyilvántartás fenntartása áll, amely felsorolja a nyilvántartáskategóriákat, a hozzárendelt időtartamokat, a selejtezési módokat, a jogi indokolást és az adattulajdonosokat. E nyilvántartást évente, illetve releváns jogi vagy üzleti kiváltó mechanizmusok esetén felül kell vizsgálni. A selejtezési módok az Adatosztályozás alapján kerülnek kiválasztásra, biztonságos eljárások alkalmazásával, például keresztvágásos iratmegsemmisítéssel, kriptográfiai törléssel vagy az adathordozók fizikai megsemmisítésével. A jogi zárolás és törlési felfüggesztés kifejezetten részletezett: alkalmazása esetén megakadályozza a törlést a tervezett megőrzési időszaktól függetlenül, és havi felülvizsgálatot igényel. A szabályzat előírja a munkatársak képzését és az éves frissítő képzést a tudatosság biztosítása érdekében. A kivételek szigorúan kontrolláltak, dokumentálási, jóváhagyási, felülvizsgálati és indokolható lejárati folyamatokkal. A kikényszerítési mechanizmusok közé tartoznak a rendszeres auditok, a szúrópróbaszerű ellenőrzések és a szabályszegések szigorú következményei, beleértve a szerződés megszüntetését vagy – személyes adatok nem megfelelő kezelése esetén – a szabályozói jelentéstételi kötelezettségek teljesítését. Összességében ez a szabályzat biztosítja, hogy egy KKV jogszerűen, megfelelőségi, auditálható és erőforrás-hatékony módon működhessen akkor is, ha nem állnak rendelkezésre fejlett IT-biztonsági szerepkörök. Kifejezetten az ISO/IEC 27001:2022 és az adatvédelmi jogszabályok követelményeihez igazodik, és szükségtelen komplexitás nélkül ad robusztus alapot az adat-életciklus-kezeléshez.