วิธีการปกป้องข้อมูลลูกค้า - และ บริษัท ของคุณ

พวกเราส่วนใหญ่อาจเคยเห็นร้านค้าที่เจ้าหน้าที่รักษาความปลอดภัยของธนาคารยืนเฉยระหว่างการปล้นโดยอธิบายว่าเขาอยู่ที่นั่นเพื่อตรวจตราไม่ใช่ป้องกัน เป็นภาพประกอบที่ดีว่าการที่ธุรกิจต้องคำนึงถึงความสมบูรณ์ของดิจิทัลแบบองค์รวมนั้นสำคัญเพียงใดมากกว่าการคิดทีละชิ้น

ตัวตนทางออนไลน์ของคุณคือใบหน้าที่ บริษัท ของคุณแสดงให้โลกเห็น มันคือเอกลักษณ์ของคุณ และจะบอกลูกค้าเกี่ยวกับความน่าเชื่อถือและความซื่อสัตย์ของคุณได้มากพอ ๆ กับกลยุทธ์ทางธุรกิจ ลูกค้าต้องการทราบว่าพวกเขาสามารถเชื่อถือเนื้อหาของคุณและสิ่งที่อยู่เบื้องหลัง - มันบอกว่ามันหมายถึงอะไรสอดคล้องกันว่าถูกต้องและคุณยืนหยัดเคียงข้างเนื้อหานั้นได้ และพวกเขาต้องการทราบว่าคุณจะปกป้องข้อมูลที่แบ่งปันกับคุณอย่างไร

แม้ว่าการพัฒนานโยบายดิจิทัลอาจไม่ได้อยู่ในอันดับต้น ๆ ของรายการสิ่งที่ต้องใช้เวลาและเวลาและเงินของคุณ แต่ก็ควรเป็นเพราะผลที่ตามมาของการไม่มีนโยบายนั้นน่ากลัว

เหตุใดความสมบูรณ์ของดิจิทัลจึงมีความสำคัญ

เริ่มต้นด้วยการละเมิดข้อมูลเนื่องจากเป็นปัญหาที่มีข่าวพาดหัวมากที่สุด ตั้งแต่นิติเวชและค่าปรับไปจนถึงคดีความและเวลาที่เสียไปค่าใช้จ่ายที่เกี่ยวข้องกับการละเมิดจะเพิ่มขึ้นอย่างรวดเร็ว และนั่นเป็นเพียงจุดเริ่มต้น

ตัวอย่างเช่นการโจมตีแบบปฏิเสธการให้บริการ (DDoS) แบบกระจายอาจทำให้คุณไม่สามารถดำเนินธุรกิจได้ชั่วขณะ และหากการโจมตีทำให้ไซต์ของคุณโหลดช้าลงลูกค้าของคุณอาจไม่ได้ทำธุรกิจกับคุณ การวิจัยแสดงให้เห็นว่าเกือบครึ่งหนึ่งของลูกค้าทั้งหมดจะไม่รอมากกว่าสามวินาทีในการโหลดหน้าเว็บ พวกเขาคลิกไปที่คู่แข่งและจำนวนมากจะไม่กลับมา

จากนั้นก็ขาดความมั่นใจโดยทั่วไป ลูกค้าควรจะไว้วางใจคุณกับธุรกิจของพวกเขาได้อย่างไรเมื่อคุณไม่ได้ดูแลความปลอดภัยดิจิทัลของคุณเอง

ความซื่อสัตย์ทางออนไลน์ของคุณเป็นมากกว่าแค่การปกป้องข้อมูลส่วนบุคคลของผู้ชม (แม้ว่าจะสำคัญเช่นกัน) ต้องใช้นโยบายดิจิทัลแบบองค์รวมหลายแง่มุมซึ่งรวมอยู่ในกระบวนการทางธุรกิจประจำวันของคุณ

ลองดูที่ความหมาย

องค์ประกอบของนโยบายดิจิทัลแบบองค์รวม

การเก็บรวบรวมข้อมูล

แบรนด์ต่างๆอย่างช้าๆ แต่ก็นำความคิดที่มีมากกว่านั้นมาใช้อย่างแน่นอนเมื่อพูดถึงข้อมูล ยิ่งมีจุดข้อมูลมากเท่าไหร่ก็ยิ่งดีใช่ไหม? แม้แต่ในร้านค้าที่มีหน้าร้านก็ยากที่จะซื้อสินค้าโดยไม่ต้องถามชื่อที่อยู่หมายเลขโทรศัพท์อีเมลหรือแม้แต่วันเกิด และแน่นอนว่าธุรกิจของคุณสามารถทำอะไรได้มากมายกับข้อมูลดังกล่าวในแง่ของการแบ่งส่วนตลาดและการวิเคราะห์

แต่…ยิ่งคุณรวบรวมข้อมูลจากผู้ชมได้มากเท่าไหร่คุณและพวกเขาก็จะยิ่งสูญเสียหากคุณประสบการละเมิด ในแง่ธุรกิจคุณต้องทำการวิเคราะห์ความเสี่ยงและผลประโยชน์ หากคุณใช้ข้อมูลทั้งหมดที่รวบรวมมาอย่างแท้จริงและผลตอบแทนจากการลงทุนก็คุ้มค่ากับความเสี่ยง แต่ถ้าคุณเก็บรวบรวมข้อมูลเพียงเพราะทำได้ความเสี่ยงก็มีมากกว่าผลประโยชน์อย่างรวดเร็ว รวบรวมข้อมูลเฉพาะเมื่อมีความสำคัญต่อธุรกิจของคุณ

คำถามที่ถาม:

• เรารวบรวมข้อมูลอะไรจากลูกค้าของเรา? เราเก็บไว้ที่ไหน เราจะรักษาความปลอดภัยได้อย่างไร?
• ใครต้องการข้อมูล (การตลาดการพัฒนาผลิตภัณฑ์ ฯลฯ )? พวกเขาจะทำอย่างไรกับมัน? ผู้อื่นใน บริษัท ของเราสามารถใช้ข้อมูลเดียวกันเพื่อเพิ่มผลประโยชน์ทำให้ความเสี่ยงคุ้มค่าหรือไม่?
• ข้อมูลอะไรบ้างที่เรา ต้อง รวบรวมจากลูกค้าของเราและเหตุใดเราจึงต้องการข้อมูลนั้น
• จุดข้อมูลแต่ละจุดช่วยเสริมหรือสนับสนุนรูปแบบธุรกิจของเราอย่างไร

การจัดเก็บข้อมูล

ผลลัพธ์ตามธรรมชาติของการรวบรวมข้อมูลจำนวนมากคือความต้องการในการจัดเก็บข้อมูลนั้น และข้อมูลที่จัดเก็บถือเป็นความรับผิด คุณต้องการจริงๆที่จะให้ที่อยู่อีเมลและประวัติการซื้อจากคนที่คุณไม่ได้เชื่อมต่อกับในปีที่ผ่าน? การรวบรวมข้อมูลลูกค้าไม่ใช่สถานการณ์สำหรับ“ สักวันหนึ่งมันอาจจะมีประโยชน์” วิธีแก้ไขที่ปลอดภัยที่สุดคือการจัดเก็บเฉพาะข้อมูลที่สำคัญต่อธุรกิจของคุณ

การคิดในลักษณะนี้อาจช่วยได้: ลองนึกภาพว่าคุณมีช่องโหว่และคุณกำลังประชุมแบบเห็นหน้ากับลูกค้าที่ข้อมูลส่วนบุคคลถูกขโมยไป คุณรู้สึกสบายใจแค่ไหนที่มองเห็นลูกค้ารายนั้นและอธิบายความต้องการของคุณสำหรับจุดข้อมูลแต่ละจุด

คำถามที่ถาม:

• เราจัดเก็บข้อมูลอะไร มีเหตุผลทางธุรกิจสำหรับแต่ละจุดข้อมูลหรือไม่
• เราเก็บข้อมูลของเราไว้ที่ไหน? ใครเข้าถึงได้บ้าง มีมาตรการรักษาความปลอดภัยอะไรบ้าง?
• ความเสี่ยงในการเก็บรักษาข้อมูลคืออะไร? ข้อมูลมีจุดเพียงพอที่จะระบุตัวบุคคลได้หรือไม่ ถ้าเป็นเช่นนั้นเรามีภาระผูกพันอะไรกับลูกค้าของเรา?
• หากเราต้องการจัดเก็บข้อมูลหลายจุดเราต้องเก็บไว้นานเท่าใด? (ตัวอย่างเช่นเราจำเป็นต้องเก็บที่อยู่อีเมลของลูกค้าและข้อมูลอื่น ๆ ไว้หลังจากสิ้นสุดช่วงทดลองใช้งานหรือไม่) เราสามารถใช้กระบวนการใดเพื่อให้เกิดขึ้นได้ ข้อมูลควรถูกลบโดยอัตโนมัติหลังจากผ่านไประยะหนึ่งหรือควรมีกระบวนการตรวจสอบโดยเจ้าหน้าที่?
• เซิร์ฟเวอร์ที่จัดเก็บข้อมูลที่ละเอียดอ่อนแยกจากเซิร์ฟเวอร์ของเราบนเครือข่ายที่มีความปลอดภัยน้อยหรือไม่? หรืออาจมีคนเข้าถึงข้อมูลที่ละเอียดอ่อนโดยการเจาะเข้าไปในอุปกรณ์ที่มีความปลอดภัยน้อย

ข้อกำหนดด้านกฎระเบียบ

หนึ่งในความท้าทายที่ยากที่สุดในการดำเนินงานในเศรษฐกิจโลกคือการเรียงลำดับตามกฎและข้อบังคับที่เกี่ยวข้อง ตัวอย่างเช่นสหรัฐอเมริกามีกฎหมายควบคุมการรวบรวมการใช้และการจัดเก็บข้อมูลของลูกค้า หลายรัฐยังมีข้อบังคับของตนเองซึ่งบางรัฐเข้มงวดกว่ากฎหมายของรัฐบาลกลาง และจะยิ่งซับซ้อนมากขึ้นเมื่อธุรกิจของคุณก้าวข้ามพรมแดนของประเทศ

หากต้องการทราบมุมมองเกี่ยวกับความซับซ้อนของกระบวนการนี้ให้นึกถึงบริการบนคลาวด์ซึ่งโดยธรรมชาติแล้วไม่ขึ้นอยู่กับที่ตั้งทางภูมิศาสตร์ นั่นหมายความว่าอย่างไรตามกฎหมาย? ข้อบังคับเกี่ยวกับข้อมูลที่เก็บไว้ในบริการคลาวด์นั้นมีผลบังคับใช้โดยขึ้นอยู่กับว่า บริษัท มีสำนักงานใหญ่อยู่ที่ไหนมีสถานที่ตั้งจริงลูกค้าอาศัยอยู่ที่ไหนหรือเซิร์ฟเวอร์ที่มีข้อมูลทั้งหมดถูกจัดเก็บ หรือทั้งหมดข้างต้น?

นี่เป็นส่วนหนึ่งที่จำเป็นอย่างยิ่งที่จะต้องได้รับคำแนะนำจากผู้เชี่ยวชาญไม่ว่าจะจากทนายความหรือจากผู้เชี่ยวชาญด้านนโยบายดิจิทัล มีเพียงชิ้นส่วนที่เคลื่อนไหวมากเกินไปที่จะแบกรับความเสี่ยงได้มากขนาดนั้น

คำถามที่ถาม:

เตรียมความพร้อมสำหรับการประชุมครั้งแรกกับมืออาชีพโดยจดข้อเท็จจริงและคำถามที่เกี่ยวข้องให้มากที่สุดเท่าที่จะทำได้เช่น:

• เราจะทราบได้อย่างไรว่าเราต้องปฏิบัติตามข้อบังคับใด ตัวอย่างเช่นจะเกิดอะไรขึ้นถ้าเราไม่มีสำนักงานหรือเซิร์ฟเวอร์ในประเทศที่กำหนด แต่เรามีผู้ใช้ที่อาศัยอยู่ที่นั่น? จะเป็นอย่างไรหากเรามีเซิร์ฟเวอร์ที่ใช้ร่วมกันในประเทศหนึ่ง แต่ไม่มีธุรกิจอื่นที่นั่น?
• กฎระเบียบเหล่านี้มีการเปลี่ยนแปลงบ่อยเพียงใดและวิธีใดที่ดีที่สุดในการติดตามการเปลี่ยนแปลงเหล่านี้และรวมเข้ากับนโยบายดิจิทัลของเรา
• บทลงโทษสำหรับการละเมิดครั้งแรกในเขตอำนาจศาลใด ๆ คืออะไร?
• เราจะแน่ใจได้อย่างไรว่าเราไม่ได้ละเมิดกฎหมายความเป็นส่วนตัวของข้อมูลของประเทศใด ๆ
• อะไรคือแนวทางปฏิบัติที่ดีที่สุดที่ บริษัท อื่น ๆ ระบุไว้

การติดตามและตอบสนองเหตุการณ์

การมีนโยบายดิจิทัลที่ดีไม่จำเป็นต้องหยุดยั้งการละเมิด แต่จะช่วยบรรเทาความเสียหายได้อีกนาน สิ่งสำคัญคือต้องมีแผนรับมือกับวิกฤตที่มีทุกอย่างตั้งแต่การค้นพบช่องโหว่ไปจนถึงการสื่อสารสถานการณ์ให้กับลูกค้าของคุณ (ตลอดจนหน่วยงานทางกฎหมายที่เกี่ยวข้อง) นโยบายของคุณควรระบุบุคคลที่รับผิดชอบในแต่ละขั้นตอนของแผนรับมือและรวมถึงการประเมินซ้ำบ่อยๆเพื่อให้แน่ใจว่าแต่ละคนยังคงทำงานเดิมและรู้ว่าต้องทำอะไร

คำถามที่ถาม:

• เราจะตระหนักถึงการละเมิดได้อย่างไร? เรามีระบบที่แจ้งให้เราทราบทันทีเมื่อตรวจพบกิจกรรมที่ผิดปกติหรือเราจะพบเมื่อเราอยู่ในโหมดวิกฤตเท่านั้น?
• เราจะทำอย่างไรเพื่อหยุดการโจมตีเมื่อตรวจพบ ผู้ที่รับผิดชอบในการบรรเทาการโจมตีมีทักษะการฝึกอบรมและเครื่องมือที่เหมาะสมหรือไม่?
• ใครใน บริษัท ต้องได้รับแจ้งและเรียงตามลำดับอย่างไร หากตรวจพบการโจมตีในช่วงข้ามคืนสามารถรอจนถึงเช้าหรือมีผู้ที่ต้องได้รับการแจ้งเตือนทันที?
• หากการโจมตีรุนแรงพอที่จะทำให้งานหยุดชะงักเรามีแผนสำรองหรือไม่? ทุกคนรู้หรือไม่ว่ามันคืออะไรและจะเปิดตัวได้อย่างไร?
• ใช้ข้อบังคับอะไร หน่วยงานใดที่ต้องได้รับแจ้งและมีหน้าที่ทำอะไร
• ใครเป็นผู้รับผิดชอบในการพูดคุยกับสื่อ?
• เราต้องดำเนินการอะไรในนามของลูกค้า (เช่นแจ้งว่าข้อมูลของพวกเขาอาจถูกบุกรุก)

ความเสี่ยงภายนอก

เนื่องจากทุกวันนี้ธุรกิจเชื่อมโยงกันความเสี่ยงไม่ได้มีอยู่แค่ในกำแพงของคุณเอง บุคคลที่สามที่สามารถเข้าถึงเครือข่ายของคุณเป็นแหล่งที่มาของการละเมิดได้ การพิจารณาห่วงโซ่อุปทานของคุณเป็นเรื่องสำคัญและทั่วทั้งเครือข่ายพันธมิตรของคุณเพื่อให้แน่ใจว่าคุณไม่ได้ตั้งใจสร้างนโยบายที่ไม่ได้ตั้งใจเพื่อวัตถุประสงค์ในทางปฏิบัติทั้งหมด

คำถามที่ถาม:

• ฝ่ายใดบ้างที่สามารถเข้าถึงระบบของเรา (ผู้ขายพาร์ทเนอร์การเอาท์ซอร์สที่ปรึกษาฝ่ายสนับสนุนด้านไอทีจากภายนอกผลิตภัณฑ์ SaaS ฯลฯ ) นโยบายดิจิทัลและโปรโตคอลความปลอดภัยมีอะไรบ้าง?
• นโยบายของพันธมิตรภายนอกไปไกลเพียงพอหรือไม่? หรือมีคำถามสำคัญที่ยังไม่ได้รับคำตอบ?
• บริษัท ปฏิบัติตามนโยบายดิจิทัลหรือให้บริการเฉพาะริมฝีปาก?
• ในกรณีของการละเมิดที่เกิดขึ้นโดยเจตนาหรือไม่ผ่านผู้ให้บริการบุคคลที่สามใครเป็นผู้รับผิดชอบ แผนรับมือของใครมีความสำคัญกว่า ใครเป็นผู้รับผิดชอบค่าปรับและค่าชดเชยลูกค้าหากเกี่ยวข้อง
• คำตอบสำหรับคำถามด้านความปลอดภัยของข้อมูลถูกสะกดไว้ในสัญญาของเราหรือไม่

การพัฒนานโยบาย

การรวบรวมข้อมูลเป็นขั้นตอนแรก การเข้าซื้อเพื่อสร้างนโยบายดิจิทัลและอำนาจในการดำเนินการเป็นขั้นตอนต่อไป โดยปกติกระบวนการนี้จะทำงานได้ดีที่สุดกับทีมข้ามสายงานเพื่อให้สามารถแสดงความสนใจทั้งหมดได้

คำถามที่ถาม:

• ใครคือผู้มีส่วนได้ส่วนเสียของเรา? ใครจะได้รับผลกระทบจากนโยบายนี้?
• ต้องจัดการผลประโยชน์ที่ขัดแย้งกันอย่างไร (เช่นกฎหมายเทียบกับการตลาด)
• เรามีทุกสิ่งที่จำเป็นต้องรู้เพื่อกำหนดนโยบายที่ดีหรือไม่? มีใครบ้างที่เราลืมใส่?
• เกิดอะไรขึ้นและเราจะทำอย่างไรเพื่อป้องกันไม่ให้เกิดขึ้น

การบริหารการเปลี่ยนแปลง

มีเพียงไม่กี่คนที่ชอบการเปลี่ยนแปลงและมีคนจำนวนน้อยลงที่ชอบการเปลี่ยนแปลงที่ดูเหมือนจะสุ่มและไม่จำเป็น นั่นเป็นความจริงมากยิ่งขึ้นเมื่อการเปลี่ยนแปลงนั้นทำให้กระบวนการยากขึ้นและใช้เวลานาน การขาย“ เหตุผล” ของนโยบายดิจิทัลเป็นหัวใจสำคัญในการเอาชนะการต่อต้าน

คำถามที่ถาม:

• เราสามารถอธิบายความสำคัญของการมีนโยบายดิจิทัลได้อย่างชัดเจนและสม่ำเสมอหรือไม่ (คำแนะนำ: พนักงานไม่น่าจะยอมรับ“ เพราะทนายความของเราพูดเช่นนั้น” เป็นเหตุผลที่น่าสนใจ)
• งานของใครได้รับผลกระทบจากการเปลี่ยนแปลงเหล่านี้และในทางใดบ้าง? เราจะทำอย่างไรเพื่อชดเชยผลกระทบเชิงลบที่ไม่ได้ตั้งใจ
• พนักงานอาจมองว่าอะไรเป็นข้อเสียของนโยบายดิจิทัลและเราสามารถสื่อสารเพื่อตอบโต้การรับรู้นั้นได้ประโยชน์อะไร

การดำเนินการตามแผน

นี่คือสิ่งที่นโยบายดิจิทัลหลายอย่างผิดพลาด: บริษัท ต่างๆหยุดก่อนถึงเส้นชัย แต่นโยบายที่ไม่เคยนำไปใช้อย่างถูกต้องหรือถูกเพิกเฉยในระดับสากลมีความเสี่ยงมากกว่าการไม่มีนโยบาย นั่นเป็นเพราะนโยบายให้หลักฐานที่เป็นเอกสารว่า บริษัท ของคุณตระหนักถึงความเสี่ยง

คำถามที่ถาม:

• นโยบายอยู่ที่ไหน? พนักงานรู้ได้อย่างไรว่าจะหาได้จากที่ไหนเมื่อต้องการ? พวกเขาสามารถเข้าถึงได้ทันทีหรือต้องขออนุญาตในการเข้าถึงไฟล์หรือไม่?
• นโยบายใช้งานง่ายหรือไม่? มีสารบัญที่พนักงานสามารถใช้เพื่อตรงไปยังส่วนที่เหมาะสมได้หรือไม่? ค้นหาได้หรือไม่
• ใครสามารถเปลี่ยนแปลงเอกสารได้และบุคคลที่ไม่ได้รับอนุญาตให้เปลี่ยนแปลงในทางเทคนิคมีการป้องกันไม่ให้ดำเนินการหรือไม่
• เราจะทำให้นโยบายใช้งานง่ายขึ้นได้อย่างไร? เราสามารถให้รายการตรวจสอบหรือวิซาร์ดแก่พนักงานได้หรือไม่? เราสามารถรวมเข้ากับกระบวนการทางธุรกิจของเราเพื่อให้การปฏิบัติตามกฎระเบียบเกิดขึ้นเบื้องหลังได้หรือไม่? เราจะทำให้พนักงานปฏิบัติตามนโยบายได้ง่ายและยากต่อการละเมิดได้อย่างไร

ติดตาม

“ มีนโยบายดิจิทัล” ไม่ใช่สิ่งที่คุณสามารถขีดฆ่ารายการสิ่งที่ต้องทำได้ เป็นกระบวนการต่อเนื่องที่ต้องกลับมาทบทวนในช่วงหลายปีที่ผ่านมาเนื่องจากผู้คนกระบวนการและเทคโนโลยีเปลี่ยนไป

คำถามที่ถาม:

• เราจะแน่ใจได้อย่างไรว่ามีการใช้นโยบายดิจิทัลของเรา เราจะติดตามการปฏิบัติตามข้อกำหนดได้อย่างไร?
• เราต้องดำเนินการแก้ไขอะไรบ้างหากมีการละเมิดนโยบาย (โดยตั้งใจหรือไม่ก็ตาม)
• เราจะแน่ใจได้อย่างไรว่านโยบายของเราสอดคล้องกับสถานการณ์ที่เปลี่ยนแปลงและภัยคุกคามใหม่ ๆ

สรุป

หากฉันมีความปรารถนาอย่างหนึ่งสำหรับ บริษัท ที่ต้องดิ้นรนกับนโยบายดิจิทัลของพวกเขาก็คือการพิจารณาสถานการณ์แบบองค์รวม คิดว่ามันเหมือนกับการเลี้ยงดู: เราไม่ได้เตรียมลูกของเราสำหรับโรงเรียนอนุบาลแล้วแสดงความยินดีกับตัวเองที่งานทำได้ดี การเลี้ยงลูกเป็นกระบวนการที่พัฒนาขึ้นซึ่งรวมถึงทุกอย่างตั้งแต่โภชนาการการออกกำลังกายไปจนถึงการศึกษาไปจนถึงลักษณะนิสัยและบางครั้งก็ไปจนถึงการเลี้ยงหลาน แม้ว่าคุณอาจไม่รู้สึกหลงใหลในนโยบายดิจิทัลเหมือนกับที่คุณทำเพื่อลูก ๆ ทั้งสองอย่างต้องการการดูแลการดูแลและการเลี้ยงดู

ลงทะเบียนเพื่อ รับจดหมายข่าวกลยุทธ์เนื้อหาสำหรับนักการตลาด รายสัปดาห์ของเรา ซึ่งนำเสนอเรื่องราวและข้อมูลเชิงลึกพิเศษจาก Robert Rose หัวหน้าที่ปรึกษาเนื้อหาของ CMI หากคุณเป็นเหมือนนักการตลาดคนอื่น ๆ ที่เราพบเจอคุณจะรออ่านความคิดของเขาทุกวันเสาร์

ภาพปกโดย Skeeze ผ่าน pixabay.com