01
Dlaczego zakaz nie wystarcza
Jeżeli pracownik musi szybko podsumować dokument, przygotować tłumaczenie lub odpowiedź, wybierze narzędzie, które zna. Zakaz bez alternatywy przesuwa użycie poza widoczność organizacji.
Pierwszym krokiem jest anonimowe rozpoznanie zastosowań: jakie zadania są wykonywane, jakie dane są wklejane i których funkcji brakuje w zatwierdzonych systemach. Celem nie jest kara, lecz ograniczenie ryzyka.
02
Dane, których nie należy wklejać
Zasady muszą być krótkie i oparte na przykładach. Dane osobowe, tajemnica przedsiębiorstwa, niepubliczne umowy, kod, dane klientów i szczegóły bezpieczeństwa wymagają kontroli dostawcy oraz podstawy użycia.
Warto oznaczyć klasy danych i wskazać, które mogą trafić do zatwierdzonego narzędzia, które wymagają anonimizacji, a które są zabronione.
03
Bezpieczna alternatywa
Organizacja powinna wybrać narzędzia z odpowiednimi warunkami biznesowymi, kontrolą kont, ustawieniami retencji, możliwością audytu i jasną informacją o wykorzystaniu danych.
- logowanie firmowe i odbieranie dostępu;
- ograniczenie integracji i dodatków;
- zasady pracy z plikami oraz danymi;
- lista dozwolonych przypadków użycia;
- kontakt do osoby oceniającej nowe zastosowania.
04
Monitoring bez nadmiernej kontroli
Mierz liczbę zatwierdzonych zastosowań, zgłoszone incydenty, najczęstsze potrzeby i skuteczność szkolenia. Monitorowanie nie powinno polegać na zbieraniu pełnej treści każdej rozmowy, jeśli nie jest to konieczne.
Zasady trzeba regularnie aktualizować. Narzędzia, warunki dostawców i sposób pracy zmieniają się szybciej niż tradycyjna polityka IT.
ŹRÓDŁA
Sprawdzone materiały źródłowe
Stan informacji zweryfikowano w dniu publikacji. W sprawach prawnych zakres obowiązków zawsze należy odnieść do konkretnej organizacji i zastosowania.