W skrócie (Key Takeaways)
- Zgodność z wymaganiami globalnego gracza: dostosowanie procesów do standardów VGP (poufność, TISAX).
- Kultura 'Security First': wprowadzenie zasad Czystego Biurka, Czystego Ekranu oraz blokady stacji roboczych (Win+L).
- Szczelny system podwykonawstwa: zakaz przetwarzania danych poza UE oraz obowiązkowe umowy UPPD dla każdego tłumacza.
- Infrastruktura: pełna integracja z bezpiecznym środowiskiem Memsource/Phrase i serwerami FTP z szyfrowaniem.
- Efekt: pomyślne przejście weryfikacji dostawcy i rozpoczęcie wieloletniej współpracy przy krytycznych projektach.
Wyzwanie: bilet wstępu do świata Automotive
Rozpoczęcie współpracy z grupą VGP to dla firmy tłumaczeniowej przede wszystkim ogromne wyzwanie operacyjne. Globalni gracze branży motoryzacyjnej stawiają bezpieczeństwo informacji na równi z jakością oferowanych usług. Moim zadaniem było stworzenie systemu, który zabezpieczy tajemnice przedsiębiorstwa – od planów inwestycyjnych po dokumentację techniczną prototypów.
Głównym problemem była specyfika branży tłumaczeniowej: praca na rozproszonych zasobach i korzystanie z zewnętrznych podwykonawców. Musiałem wypracować model, w którym każda osoba w łańcuchu dostaw – od tłumacza po grafika – operuje w ramach zdefiniowanego reżimu bezpieczeństwa, bez utraty wydajności pracy.
Realizacja: dokumentacja, która 'żyje' w procesach
Kluczowym elementem wdrożenia było zapewnienie pełnej rozliczalności poprzez systematyczne prowadzenie rejestrów czynności przetwarzania oraz wdrożenie procedury cyklicznych audytów wewnętrznych, co pozwalało na bieżąco identyfikować i eliminować potencjalne ryzyka w infrastrukturze IT.
Wspólnie z zespołem prawnym opracowałem fundamenty: Politykę Bezpieczeństwa Informacji (PBI) oraz Politykę Ochrony Danych Osobowych (PODO). Nie były to jednak martwe dokumenty „do szuflady”. Wdrożenie objęło realne zmiany w higienie pracy:
- Zasady fizyczne: wprowadzenie rygoru niszczenia notatek w niszczarkach (P-4), zamykania szaf rack, przechowywania dokumentów poufnych w zabezpieczonych przestrzeniach oraz polityki „czystego biurka” i „czystego ekranu”.
- Kontrola podwykonawców: opracowanie autorskich umów podpowierzenia (UPPD), które m.in. bezwzględnie zakazują przetwarzania danych poza terenem UE (reżim EOG).
- Infrastruktura IT: wymuszenie pracy w środowisku Phrase (ówczesny Memsource), które ogranicza możliwość zapisu pamięci tłumaczeniowych na lokalnych dyskach tłumaczy, oraz wdrożenie bezpiecznych kanałów transmisji danych (VPN/SFTP).
- Awareness: przeprowadzenie szkoleń dla personelu oraz podwykonawców, kończących się podpisaniem imiennych upoważnień i zobowiązań do zachowania poufności.
- Server NAS: spełnienie wymogów klienta wymusiło wdrożenie kilku technicznych usprawnień - w kolejnej szafie pojawił się nowy NAS marki QNAP typu rack, pełniący funkcję magazynu, serwera plików i zautomatyzowanego backupu danych oraz migawek.
- VPN & Fibre: na potrzeby szybkiej wymiany danych z klientami oraz między biurami w Poznaniu i Wrocławiu zmieniono dostawcę Internetu i podłączono oba biura do sieci światłowodowej (1000 Mbps). Obie sieci zostały połączone za pośrednictwem tunelu VPN typu site2site.
- Instalacja elektryczna i UPS: do podtrzymania ciągłości działania i ochrony danych na dyskach HDD zainicjowano nowy system zasilania awaryjnego UPS. Dla bezpieczeństwa infrastruktury oraz przetwarzanych danych instalacja elektryczna w poznańskim biurze została kompletnie zmodernizowana.
- Zespół projektowy: koncepcję formalną pod kątem dyrektywy RODO pomogła opracować Marta (radca prawny), nad rozwiązaniami problemów natury technicznej rozmyślał Bartłomiej (informatyk), za bezpieczne połączenie przewodów w rozdzielni i odbiór nowej instalacji elektrycznej odpowiadał Karol (elektryk), a komunikację i podpisywanie UPPD z podwykonawcami przejęła Magda z Anną. Dziękuję wam za wasz wkład i zaangażowanie.
Wynik: zaufanie potwierdzone współpracą
Efektem wdrożenia było nie tylko spełnienie wymogów RODO, ale przede wszystkim uzyskanie statusu zaufanego dostawcy dla klienta o najwyższych wymaganiach. System został zaprojektowany tak, aby był skalowalny – dziś te same procedury chronią dane wszystkich klientów Berlineo. Ten projekt ewidentnie udowodnił, że w nowoczesnej komunikacji technicznej bezpieczeństwo danych jest integralną częścią jakości tłumaczenia.
Z osobistego punktu widzenia możliwość zastosowania teoretycznej wiedzy zdobytej podczas tłumaczenia dokumentacji RODO w środowisku roboczym była ciekawym doświadczeniem. Na własnej skórze poczułem, dlaczego wytyczne UE dotyczące poufności danych wywoływały tyle emocji. Dzięki temu, że zawodowo musiałem zmierzyć się z zadaniem kompleksowej konfiguracji backupu danych, przy okazji zabezpieczyłem moje prywatne dane i cyfrowe pamiątki rodzinne. A układanie przewodów elektrycznych było czystą przyjemnością.
Zweryfikowane odniesienia
