Duomenų apsaugos pareigūno profesija Lietuvoje sparčiai populiarėja: specialistų paklausa auga kartu su griežtėjančia priežiūros praktika, o kvalifikuotų žmonių pasiūla vis dar ribota. Šis straipsnis skirtas dviem auditorijoms – tiems, kurie svarsto tokią karjerą, ir įmonių vadovams, norintiems suprasti, ko iš tokio specialisto reikalauti. Nes žinant, iš ko susideda gera kvalifikacija, lengviau ją ir atpažinti.
Ką sako reglamentas apie kvalifikaciją?
Įdomu tai, kad reglamentas neapibrėžia nei privalomo išsilavinimo, nei konkrečių sertifikatų. Jame nurodyta, kad duomenų apsaugos pareigūnas skiriamas remiantis profesinėmis savybėmis, visų pirma – ekspertinėmis duomenų apsaugos teisės ir praktikos žiniomis, proporcingomis įmonės vykdomo duomenų tvarkymo pobūdžiui.
Tai reiškia du dalykus: formalaus „pareigūno diplomo“ nėra, tačiau reikalavimų kartelė kyla kartu su rizikomis. Mažos įmonės pareigūnui pakanka solidaus pagrindo; ligoninės ar banko pareigūnui reikia gilios specializacijos.
Trys žinių stulpai
Teisė
Pagrindas – Bendrasis duomenų apsaugos reglamentas ir jį lydintys nacionaliniai teisės aktai. Tačiau vien perskaityti tekstus neužtenka: būtina sekti Valstybinės duomenų apsaugos inspekcijos praktiką, Europos duomenų apsaugos valdybos gaires ir teismų sprendimus. Būtent praktika parodo, kaip abstraktūs principai taikomi realiose situacijose – nuo vaizdo stebėjimo iki tiesioginės rinkodaros.
Technologijos
Pareigūnui nebūtina programuoti, tačiau jis privalo suprasti, kaip veikia šiuolaikinė IT aplinka: kur fiziškai saugomi duomenys, kas yra šifravimas ir pseudonimizavimas, kaip veikia prieigos valdymas, kokias rizikas kelia debesijos paslaugos ir kaip atrodo tipinė kibernetinė ataka. Be šių žinių specialistas negali nei įvertinti rizikų, nei susikalbėti su IT komanda.
Procesai ir komunikacija
Trečias, dažnai nuvertinamas stulpas – gebėjimas dirbti su žmonėmis. Pareigūnas nuolat balansuoja tarp teisės reikalavimų ir verslo realybės: jam reikia mokyti darbuotojus, įtikinti vadovybę, raminti duomenų subjektus ir profesionaliai bendrauti su priežiūros institucija. Geriausi specialistai išsiskiria būtent šia savybe – jie sudėtingus reikalavimus paverčia paprastais darbiniais sprendimais.
Iš kokių profesijų ateinama?
Į duomenų apsaugos sritį dažniausiai ateinama iš trijų krypčių: teisininkai, kuriems tenka „prisiauginti“ technologinį supratimą; IT ir informacijos saugumo specialistai, kurie gilinasi į teisę; ir atitikties bei kokybės vadybos profesionalai, kuriems duomenų apsauga tampa natūralia specializacijos plėtra.
Nė viena pradinė profesija nesuteikia pranašumo automatiškai – lemia pasirengimas nuolat mokytis, nes ši sritis keičiasi greičiau nei dauguma teisės šakų.
Sertifikatai: naudingi, bet ne stebuklingi
Rinkoje veikia keletas pripažintų tarptautinių sertifikavimo programų, taip pat mokymus rengia Lietuvos universitetai ir specializuotos įstaigos. Sertifikatas rodo, kad žmogus investavo į žinias ir išlaikė egzaminą – tai rimtas pliusas tiek įsidarbinant, tiek konkuruojant dėl klientų.
Vis dėlto verta suprasti ir sertifikatų ribas: jie patvirtina teorinį pagrindą, bet ne praktinę patirtį. Darbdaviui ar klientui, besirenkančiam specialistą, sertifikatas turėtų būti vienas iš kriterijų, o ne vienintelis – šalia jo visada verta klausti apie realiai išspręstas situacijas.
Kaip kaupiama praktinė patirtis?
Tipinis kelias į savarankišką pareigūno darbą atrodo maždaug taip: pirmiausia dirbama komandoje su patyrusiu specialistu arba atitikties padalinyje, atliekant duomenų auditus, rengiant dokumentus ir dalyvaujant incidentų valdyme. Vėliau imamasi atsakomybės už mažesnės rizikos organizacijas, o sukaupus patirtį – ir už sudėtingesnius sektorius.
Vertingiausia patirtis kaupiasi trijose situacijose: valdant realų duomenų saugumo pažeidimą, atstovaujant organizacijai patikrinimo metu ir diegiant apsaugos sistemą nuo nulio. Kandidatas, išgyvenęs visas tris, praktiškai visada vertingesnis už kandidatą su storiausiu sertifikatų aplanku.
Ką tai reiškia verslui, kuris renkasi specialistą?
Įmonei ši informacija naudinga atvirkštine kryptimi – kaip klausimynas vertinant kandidatą ar paslaugos teikėją: kokia jūsų patirtis su mūsų dydžio ir sektoriaus įmonėmis? Ar esate valdę incidentą ir dalyvavę patikrinime? Kaip sekate besikeičiančią praktiką? Kokie jūsų technologiniai pagrindai?
Konkretūs atsakymai su pavyzdžiais rodo tikrą kvalifikaciją; bendros frazės apie „atitikties užtikrinimą“ – tik išmoktą žodyną.
Apibendrinimas
Duomenų apsaugos pareigūnas – profesija, kurioje susitinka teisė, technologijos ir darbas su žmonėmis, o kvalifikaciją apibrėžia ne diplomas, o gebėjimas šiuos tris pasaulius sujungti praktikoje. Tiems, kas svarsto šį kelią, tai perspektyvi ir prasminga specializacija su augančia paklausa. O verslui, ieškančiam specialisto, svarbiausia žinia paprasta: vertinkite ne popierius, o įrodomą patirtį realiose situacijose.
