GDPR給物聯(lián)網(wǎng)發(fā)展帶來了巨大的挑戰(zhàn)。Kate O Flaherty提出了企業(yè)物聯(lián)網(wǎng)10點計劃，旨在保護您的企業(yè)，尤其是您的客戶。一旦歐盟的一般數(shù)據(jù)保護條例(GDPR)于2018年5月25日生效，企業(yè)如果發(fā)生數(shù)據(jù)泄露可能要面臨高達年收入百分之四的罰款，同時，英國也會將其納入法律條文范圍。在信息時代，尤其是Facebook /劍橋Analytica“違規(guī)”等丑聞發(fā)生之后，監(jiān)管機構(gòu)更是非常重視數(shù)據(jù)保護。

　　對于物聯(lián)網(wǎng)(IoT)而言，GDPR合規(guī)性更具挑戰(zhàn)性，因為獲得在物聯(lián)網(wǎng)網(wǎng)絡中處理個人數(shù)據(jù)的知情同意可能很困難。此外，GDPR主張“隱私設計”，這是物聯(lián)網(wǎng)設備之前所不悉知的，盡管最近行業(yè)和政府在積極采取行動來改變這種情況。

　　但遵守并不是不可能的，事實上，物聯(lián)網(wǎng)企業(yè)在保護數(shù)據(jù)方面更加積極，隨著用戶信任的增加，商業(yè)獲益也將增加，GDPR可能會扮演競爭區(qū)分的角色。

　　那么，在GDPR法規(guī)實施之前，企業(yè)必須考慮的10件事情是什么?

　　1、了解您收集和處理的數(shù)據(jù)

　　專家建議物聯(lián)網(wǎng)應用企業(yè)評估他們收集的信息是否為個人數(shù)據(jù)。但請注意：如果您不收集個人信息，那并不意味著您不在法規(guī)的約束范圍之內(nèi)。

　　正如EMEA安全培訓專家、網(wǎng)絡安全倡導總監(jiān)Adrian Davis所指出的那樣：“如果您僅僅是從物聯(lián)網(wǎng)設備收集傳感器數(shù)據(jù)，不要以為您不受GDPR約束，你應該知道你的數(shù)據(jù)在哪里、它是如何受到保護的以及如果出現(xiàn)問題該怎么辦?！?/p>

　　安全支付供應商Nuggets創(chuàng)始人兼首席執(zhí)行官Alastair Johnson認為一些企業(yè)需要重新考慮他們?nèi)绾未鎯?shù)據(jù)。他認為諸如客戶端加密和區(qū)塊鏈等技術可能有助于保護企業(yè)。

　　“在發(fā)生數(shù)據(jù)泄露事件時，這種類型的技術堆棧可以減輕企業(yè)可能面臨有關GDPR的罰款風險：企業(yè)數(shù)據(jù)庫中沒有存儲任何用戶數(shù)據(jù)供惡意者偷盜?！?/p>

　　2、了解知情同意

　　根據(jù)GDPR要求，在處理個人數(shù)據(jù)時必須征得知情同意。但是，律師事務所Shulmans LLP的助理Helen Goldthorpe指出，處理數(shù)據(jù)有幾個方面，其中知情同意“僅僅是其中一個”，另外還包括合同要求和合法利益，例如，數(shù)據(jù)是否用于維護員工安全。

　　3、知曉知情同意和GDPR適用于整個供應鏈

　　安全企業(yè)Clearswift的高級副總裁Guy Bunker說，許多物聯(lián)網(wǎng)企業(yè)沒有意識到客戶可以撤銷知情同意并且有“被遺忘的權(quán)利”(讓他們的所有數(shù)據(jù)永久被刪除)。 當知情同意撤回時，您的供應商也必須刪除此信息。

　　“物聯(lián)網(wǎng)企業(yè)需要思考的不僅僅是獲得知情同意，他們需要考慮如果撤回知情同意并且客戶要求刪除所有的數(shù)據(jù)時會產(chǎn)生什么影響。在某些情況下，你可能需要做大量的工作。”

　　4、記錄你所做的一切，以達到GDPR的要求

　　這些法規(guī)要求企業(yè)記錄他們所有的數(shù)據(jù)處理過程。(ISC)2的Davis說，這樣做的好處在于：“如果你有問題并接受調(diào)查，你可以證明你做了所有應該做的事情，但它還是出狀況了。”

　　事實上，正如科技研究集團Gigaom的分析師Jon Collins所解釋的那樣，GDPR的出臺并不是為了找企業(yè)的麻煩，它的目的是防止濫用數(shù)據(jù)。他說：“知曉你的所作所為，說出你正在做的事情，并且按照你所說的去做，這是一個非常好的檢查方法，如果你是那種真正希望做正確事情的企業(yè)組織，那么監(jiān)管就不會找你的麻煩?！?/p>

　　5、意識到隱私設計的重要性

　　隱私設計是GDPR的規(guī)定之一，在物聯(lián)網(wǎng)中，不僅僅是后端系統(tǒng)，對所有的設備和軟件都同樣適用。

　　Synopsys Software Integrity Group安全策略師Steve Giguere解釋說：“僅通過保護物聯(lián)網(wǎng)設備無法實現(xiàn)GDPR合規(guī)性，因為它們通常僅僅只是更大生態(tài)系統(tǒng)的一部分?！?/p>

　　“安全和隱私政策必須建立并應用于收集個人信息的物聯(lián)網(wǎng)設備以及傳輸和處理數(shù)據(jù)的網(wǎng)絡和后端系統(tǒng)?！?/p>

　　Shulmans LLP的Goldthorpe補充說，產(chǎn)品“需要從頭開始開發(fā)”。例如，她說：“您應該有能力刪除數(shù)據(jù)以符合主體訪問權(quán)限。”

　　“另外，請盡早了解設備如何收集數(shù)據(jù)，因此如果被問到，你才知道如何進行解釋。使用較舊的設備時，請決定是否需要一并收集該數(shù)據(jù)?！?/p>

　　6、基本的安全方法將有助于您遵守合規(guī)性

　　Clearswift的Bunker說，基本的安全方法，例如確保所有系統(tǒng)都是打補丁的非常重要?！坝捎谖锫?lián)網(wǎng)世界很脆弱，保持這些系統(tǒng)的最新狀態(tài)非常重要，但這些基本的東西常常被忽視。即使你擁有世界上最好的系統(tǒng)，如果有人仍然在內(nèi)部犯錯誤，那就可能造成違規(guī)?！?/p>

　　Gigaom的Collins說，這也適用于制造系統(tǒng)?！叭绻悻F(xiàn)在還沒有考慮到確保這些安全性，那么你最好快點開始。”

　　“許多物聯(lián)網(wǎng)企業(yè)只考慮到非常低級別的數(shù)據(jù)安全性，例如加密，他們沒有考慮更復雜的攻擊，例如拒絕服務(DoS)和數(shù)據(jù)被操縱，以及圍繞此過程的一些其他流程?！?/p>

　　7、將GDPR看作是一個商業(yè)競爭區(qū)分因素

　　正如我們在劍橋Analytica和Facebook丑聞中看到的那樣，信任是數(shù)據(jù)保護未來不可或缺的一部分。Bunker表示：“GDPR并不是用來罰款的，而是用于增加企業(yè)的信任度，如果你做得對，那信任就會增加，從而獲得競爭優(yōu)勢。”

　　8、記住GDPR合規(guī)性時刻在進行

　　即使你認為你的企業(yè)組織已經(jīng)符合了監(jiān)管要求，重要的是要記住GDPR合規(guī)不是終點，它時刻都正在進行中?！霸谀承┓矫?，這更有價值，”Bunker說。

　　這不僅僅是符合要求即可，而是應該越來越好。

　　9、考慮聘請數(shù)據(jù)保護官員

　　數(shù)據(jù)保護官員(DPO)將是公共當局的強制性要求，對于任何其核心活動包括大規(guī)模定期和系統(tǒng)監(jiān)測數(shù)據(jù)的企業(yè)來說，都是強制性要求。

　　這意味著任何大規(guī)模的物聯(lián)網(wǎng)使用企業(yè)都可能需要聘用DPO作為GDPR合規(guī)的一部分，當然，這需要一位高級責任人。

　　在進行任命時，Goldthorpe建議組織應該采取措施避免任何利益沖突：“理想情況下，如果您是一個大型企業(yè)，將DPO置于合規(guī)職能范圍內(nèi)是合理的?！?/p>

　　10、隨時準備作出回應

　　Davis說，隨時準備好經(jīng)過測試、排練和更新的管理計劃用于應對任何違規(guī)行為也是明智之舉。 “GDPR可能通知你在72小時內(nèi)需要提交報告 ，那么無論如何你都應該這樣做。”

　　準備您的回復也適用于GDPR的其他方面，例如主體訪問請求。作為其中的一部分，Bunker問道：“如果有人提出了主體訪問請求，那么作為一個企業(yè)，您可以多快得到這些數(shù)據(jù)并作出回應?”

　　業(yè)界觀點

　　正如Kate O'Flaherty和我們的專家小組所說的那樣，請記?。篏DPR不是一個終點，而是一個持續(xù)的過程。

　　還有一點我們需要考慮：請記住，許多消費者可能會將GDPR視為一個維護自己權(quán)益的機會 ，特別是在揭示Facebook對通話數(shù)據(jù)的記錄以及劍橋分析企業(yè)的丑聞之后。

　　鑒于類似的新聞報道，不可避免某些客戶可能會要求查看證據(jù)，證明數(shù)據(jù)是為了自己的利益而收集的(GDPR的進一步規(guī)定)并且用于合理的目的。其他人可能會堅持將他們的數(shù)據(jù)從系統(tǒng)中永久刪除。從5月25日起，你將別無選擇，只能照做。

　　畢竟，GDPR的引入是為了保護消費者和公民的權(quán)益，重新調(diào)整信息經(jīng)濟中的平衡，監(jiān)管機構(gòu)認為這種平衡遠遠超出了企業(yè)的商業(yè)利益，并且防止大規(guī)模竊取私人數(shù)據(jù)。