Un fost coleg, un cont uitat
Cineva pleacă din echipă. Parola de administrator a serverului de mail rămâne exact cum era în ultima zi de lucru — acces neautorizat, tehnic vorbind, din prima zi de după.
// Cadru legal
Ce spune legea despre parolele firmei tale
GDPR nu cere doar să „aveți grijă” de datele pe care le procesați — cere să puteți dovedi asta. Iată exact ce înseamnă asta pentru modul în care gestionați parolele echipei, cu sau fără un manager de parole dedicat.
// Problema tăcută
Nu e nevoie de un atac ca să ajungi în fața unei anchete
Autoritatea de supraveghere nu întreabă „ați fost atacați sofisticat?”. Întreabă „ce măsuri tehnice aveați?”. Aceste situații, extrem de comune, nu au un răspuns bun.
Un mesaj, o captură de ecran
O parolă de administrator ajunge într-un grup de mesagerie „doar pentru câteva minute”. Fără jurnal, nimeni nu poate spune ulterior cine a văzut-o.
Un Excel, partajat de prea multe ori
„Parole.xlsx” circulă pe mai multe calculatoare, fără criptare și fără nicio evidență despre cine l-a deschis vreodată.
// Cadru legal
Ce cere GDPR, articol cu articol
Nu e nevoie să citești tot regulamentul. Cinci articole ating direct modul în care o firmă gestionează parole și acces la date.
Art. 5(1)(f)
Integritate și confidențialitate
Datele personale trebuie procesate astfel încât să fie protejate împotriva accesului neautorizat sau ilegal, folosind măsuri tehnice adecvate — inclusiv criptare.
Art. 25
Protecția datelor din proiectare
„Privacy by design”: măsurile tehnice de protecție trebuie gândite din start, nu adăugate ulterior, ca reacție la un incident.
Art. 32
Securitatea prelucrării
Impune explicit criptarea datelor, capacitatea de a restabili rapid accesul la date în caz de incident și testarea periodică a măsurilor de securitate.
Art. 33/34
Notificarea breșelor de securitate
În caz de incident, autoritatea (și uneori persoanele afectate) trebuie notificate în 72 de ore. Fără un jurnal de acces, nici nu poți ști ce s-a întâmplat, darămite să notifici la timp.
Art. 5(2)
Responsabilitate (accountability)
Nu e suficient să respectați regulile — trebuie să puteți demonstra că le respectați, cu dovezi concrete, nu doar cu o declarație de intenție.
Amenzile GDPR pot ajunge până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală — oricare este mai mare (Art. 83). Dincolo de amendă, expunerea reală este adesea reputațională și contractuală: tot mai mulți parteneri B2B cer, contractual, dovada unor măsuri concrete de securitate a datelor înainte de a semna un contract.
Acest material are scop informativ și nu reprezintă consultanță juridică. Pentru o evaluare completă a conformității GDPR a firmei tale, discută cu un specialist în protecția datelor sau cu un responsabil DPO.
// Cum ajută CloudSeif
Ce poate face CloudSeif — și ce nu
CloudSeif nu vă face automat conformi cu GDPR. Dar vă dă exact ce lipsește dintr-un Excel cu parole.
Criptare reală, nu doar o parolă de fișier
Măsura tehnică pe care Art. 32 o cere explicit — nu un fișier Excel „protejat cu parolă”, ușor de spart, ci criptare pe mai multe straturi. Detalii tehnice →
Dovada „cine a văzut ce, și când”
Un jurnal imuabil, hash-chained, e exact dovada de care ai nevoie ca să respecți principiul responsabilității din Art. 5(2) — și ca să răspunzi rapid unei notificări de breșă. Vezi jurnalul de acces →
Revocare imediată a accesului
Când un coleg pleacă, retragerea accesului rotește automat cheile — nu doar „șterge un rând dintr-un tabel”. Vezi cum funcționează →
Ce rămâne responsabilitatea firmei
Proceduri interne de offboarding, contracte cu partenerii, evaluarea impactului asupra protecției datelor și, adesea, un responsabil DPO — CloudSeif e un instrument tehnic, nu un departament juridic.
// Întrebări frecvente
Întrebări frecvente despre CloudSeif și GDPR
Nu. CloudSeif este un instrument tehnic care acoperă o parte din cerințele articolului 32 din GDPR — criptare, control al accesului, capacitate de recuperare rapidă. Conformitatea completă include și proceduri interne, contracte cu partenerii și, de multe ori, un responsabil cu protecția datelor. Pentru o evaluare completă, discutați cu un specialist în protecția datelor.
Administratorul retrage accesul sau elimină utilizatorul din seif. CloudSeif rotește automat cheile secretelor la care avea acces, astfel încât nicio copie veche a datelor să nu mai poată fi folosită de fosta persoană.
Doar administratorul principal al contului. Jurnalul este inserabil, nu editabil, iar fiecare înregistrare este legată criptografic de cea anterioară, astfel încât o modificare ascunsă este detectabilă.
Codul de 40 de caractere este afișat o singură dată, la generare, și trebuie păstrat pe hârtie, într-un plic sigilat, în seiful fizic al firmei. Aparține companiei, nu unei persoane anume.
Continuă lectura
Pune ordine în parolele firmei, înainte să fie nevoie
Un jurnal de acces imuabil și criptare reală — exact ce lipsește dintr-un Excel cu parole.