IT 服务管理的 GDPR 速查表

GDPR 与 ITSM

GDPR 于 2018 年 5 月 25 日实施，是欧盟为保护欧盟居民隐私而制定的一项法规。它整合了一系列规则，赋予这些个人对其个人数据的权利。

IT 服务管理 (ITSM) 是每个 IT 基础架构的核心，为企业实现其目标提供所需的 IT 支持。

ITSM 背景下 GDPR 的关键方面

个人数据

与数据主体（已识别或可识别的自然人）有关的任何信息

1. 个人 - 姓名、电话、电子邮件、公司、职位、地址和位置。
2. 访问 - 登录 ID
3. 资产 - IP 地址、MAC 地址、IMEI、UDID

谁是关键参与者？

1. 数据控制者 - 决定如何处理个人数据的人。
2. 数据处理者 - 代表控制者处理数据的人。

您是否在使用 IT 服务台application？

• 如果您使用本地部署的application，您可能同时是数据控制者和数据处理者。
• 如果您使用云application，您是数据控制者，而云供应商是数据处理者。

GDPR 赋予数据主体的关键权利有哪些？

• 透明性
• 访问权
• 被遗忘权
• 更正权
• 通知义务
• 数据可携权
• 反对权
• 限制处理权

受 GDPR 影响的 ITSM 关键方面有哪些？

以下是 GDPR 影响 ITSM 的 8 个关键方面：

1. 用户管理：管理用户、创建用户角色和组、管理访问权限，并维护所有用户的准确数据库。
2. 请求管理：维护请求提交渠道，促进请求履行，并管理完整的请求生命周期。
3. 变更管理：更新旧系统（例如打补丁或软件升级），或创建新系统（例如建立数据中心）。
4. 资产管理：启用、维护、停用并对IT 资产进行盘点。报告：衡量IT 服务台的绩效，并持续提高生产力。
5. 通知与沟通：简化 IT 服务台内外不断流动的信息。
6. 维护活动：跟踪并维护为保障 IT 基础架构整体健康所需的必要重复性任务列表。
7. 集成：与组织中使用的其他工具无缝集成，以实施变更或完成请求。

哪些 IT 服务台实践可能会危及数据隐私？

让我们来看看一些有助于做好 GDPR 合规准备的 IT 服务台实践。

1. 数据请求：

   • 对所有类型的请求使用通用请求模板。
   • 无法区分 PII 和非 PII。

2. 数据访问：

   • 在转发的电子邮件链中共享文件。
   • 未能保护对文件和归档的访问。
   • 在处理请求时将数据暴露给其他团队。
   • 即使不再需要，仍存储或访问用户数据。

3. 通知：

   • 转发邮件链以在相关方及其团队之间共享文件。
   • 向非预期收件人发送自动通知。
   • 在处理请求时将数据暴露给其他团队。

4. 资产处理：

   • 在未实施安全措施的情况下出租资产。
   • 忽视对资产信息访问的审计。
   • 在预定用途完成后忘记撤销远程控制访问权限。

IT 服务台应采取哪些措施来确保数据保护？

1. 数据请求：

   • 识别 PII，以便在删除时不会遗漏。
   • 只收集所需信息。

2. 数据访问：

   • 使用文件共享与其他团队共享信息。
   • 对任何包含 PII 的文件设置密码保护。
   • 加密归档数据。
   • 在删除用户时对个人数据进行匿名化处理。

3. 通知：

   • 创建用于触发通知的角色。
   • 定期审计自动通知设置。
   • 通过用户角色限制查看、编辑或删除数据的权限。

4. 资产处理：

   • 为资产租赁创建安全流程。
   • 维护资产历史记录。
   • 在预期操作完成后立即撤销访问权限。

在 IT 服务台工具中应关注哪些 GDPR 功能？

请查看这份GDPR 功能列表，帮助您开启 GDPR 之旅：

• PII 识别
• 个人数据加密
• 限制数据访问的用户角色
• 数据匿名化
• 活动日志跟踪
• 文件密码保护