Юридичні ІТ-документи [закрито]

Мені це було цікаво на минулому тижні, тому що мій великий начальник сказав мені почати слідкувати за всіма речами, які я виправив, як їх виправити тощо. Що є розумним і все роблю. Але тоді на думку прийшло споріднене питання. Яку документацію я маю мати під рукою, що стосується користувачів. Більш конкретно, я розмовляю з точки зору EULA, ToC тощо. (Виправте мене, будь ласка, якщо я вживаю неправильні умови) Або, точніше, про політику, так би мовити, для користувачів та ін. Не можу сказати, що я юридичний експерт, інакше я буду юристом. Навколишнє середовище, в якому перебувають користувачі, досить відсторонено, тому я не бачу проблем. Але припустимо, що коли-небудь повинна виникати проблема, що я повинен написати / мати під рукою?

EDIT: Я дійсно мав би зазначити, що ми є медичним транспортом і маємо облік пацієнтів, тому я знаю, що потрібно щось робити для того, щоб відповідати політиці HIPAA, яку я вважаю. Мені подобається те, що сказав антонізомер набір сценарію "Якщо я дістанусь автобусом" і хочу застосувати це не лише до документації, про яку я зараз пишу, але також і для того, якщо, скажімо, співробітник повинен був викрасти інформацію з сервера або крайових випадків, крадіжка , і т. д. Щодо нашого персоналу, його відносно мало, як у однієї людини з персоналу, жоден юридичний відділ окрім юристів двох власників, і я є єдиною ІТ-персоною з персоналом з хлопцем, який не більше, ніж суперкомп'ютер Mac.

Вам слід співпрацювати зі своїм начальником / персоналом, щоб мати ряд письмових політик, прийнятих наглядовими органами, які визначають, як вирішуються різні питання та що очікується від працівників. Вони можуть змінюватись залежно від бізнесу, але в основному у вас є документи, які б визначали, що є, а що заборонено у вашій мережі та комп'ютерних системах, а також які подальші дії (як проводиться відновлення, що може призвести до припинення тощо). . Тоді вашим працівникам надається матеріал як частина довідника або доповідної записки працівника, можливо, для підписання та зберігання у файлі.

Придумайте сценарії, з якими вам доведеться розібратися з точки зору прийнятного використання в комп'ютерних системах, а потім поговоріть зі своїм начальником про це; якщо у вас немає повноважень звільняти когось, ви повинні працювати над мовою політики разом з іншими керівниками департаментів чи наглядачами. Якщо у вас є юридичний відділ, ви хочете, щоб він також проходив через них, щоб переконатися, що ви не наступаєте на юридичні питання, пов’язані з конфіденційністю або припиненням у вашому регіоні.

В ідеалі у вашому бізнесі вже є деякі підручники з працівниками або матеріали, про які працівники повинні знати, і підтримувати свої столи, тому там може бути якась ідея шаблону, який може працювати для вас.

Наш офіс щойно пройшов це. Однак ми повинні відповідати HIPAA. Ми взяли основу для наших ІТ-стандартів з онлайн-версії і розробили її. Я особисто написав переважну більшість політик. Як @Bart Silverstrim сказав, що вам потрібно буде співпрацювати зі своїм персоналом. Ми були двома особами для наших стандартів док.

Це непросто. Просто йдіть повільно та методично. Почніть зі свого розпорядку дня та запишіть це у списку з пунктиром. Є цілий список ідей, лише зразок нашого

• Класифікація даних
• Управління аналізом ризиків
• Ідентифікатори та рахунки
• безпека персоналу
• Зміна журналу контролю / аудиту
• Апаратне та програмне забезпечення
• BC / DR (кожна компанія повинна мати це незалежно)

Є набагато набагато більше, все залежить від того, як далеко ви хочете зайти.

У нас є ці стандарти (правила), щоб охопити себе у випадку, якщо хтось порушить HIPAA. Тож ми можемо сказати "ей, у нас є ці правила, і ми їх порушили".

Це та рамка, яку ми використовували. Це може також не спрацювати і для вас.

Зараз у нас є чотири документи, якими ми користуємося:

• Прийнятна політика використання - для студентів
• Прийнятна політика використання - для викладачів / співробітників
• Документ про освіту авторських прав - відповідає новій федеральній вимозі до вищої редакції
• Угода про рівень сервісу - детальна інформація про початок і припинення відповідальності ІТ та очікування на час роботи наших сервісів (все ще в стадії розробки, але я думаю, що для багатьох це нескінченний процес).

Звичайно, ми також зберігаємо багато інших записів, але це стосується публічно-правових документів.

Пацієнтські записи - це зовсім інша бальна гра, і моя остання концерт була в медичному рахунку. Звичайно, існує багато додаткових правил, яких ви повинні дотримуватись, але єдиний юридичний документ, який я все-таки нагадую, - це ви повинні отримати та вести юридичний облік дозволу від осіб, перш ніж ви зможете ділитися будь-якою "особою, яка може ідентифікувати інформацію" з іншими сторонами.

Ви вже отримали чудову пораду - кілька думок, характерних для галузі медицини (не всі, що стосуються ІТ, але якщо ви зберігаєте дані пацієнтів в електронному вигляді, існує багато кровоточивості):

• На додаток до вищезгаданої рамки Торе, ви можете використовувати Стандарти безпеки даних платіжних карток (PCI DSS) в якості керівництва для забезпечення інформації про пацієнтів - де б там не було написано "інформація про власників картки" або подібне, думаю, захищені HIPAA, в основному PHI / ePHI.

• Важливо мати достатню документацію для підтвердження відповідності розумним процедурам безпеки (що підтверджує відповідність відповідним частинам PCI-DSS або інших рамок).

• Ви хочете заяву про відповідність HIPAA та політику відповідності HIPAA (детально вказати, хто має доступ до PH / ePHII, за яких обставин тощо).
  Частина цієї політики повинна включати те, як ви підтверджуєте особу запитувачів інформації.
  Окрема частина цієї політики повинна стосуватися того, як ви захищаєте свої резервні копії, інформацію в дорозі тощо.

• З юридичної точки зору, вам також потрібні (і, можливо, вже є) форми конфіденційності, підписані всіма, хто має доступ до цієї інформації - У моїй компанії вони переглядаються та повторно підписуються під час огляду вашої діяльності.
  Переконайтесь, що вони є достатньо широкими для покриття ePHI (електронних записів).