IT mantentze-lanak
eta DBEO

Ez du hitz horiekin esaten: erregelamenduak ez ditu mantentze-kontratuak aipatzen. Exijitzen duena da datuak babesteko neurri tekniko eta antolakuntza-neurri egokiak aplikatzea, eta etengabe aplikatzen direla frogatzeko gai izatea, ez dokumentu bat sinatu zen egunean bakarrik. Praktikan, neurri tekniko horietako asko informatika dira: babeskopiek funtzionatzea eta leheneratzen direla egiaztatzea, sistemak eguneratuta egotea, sarbideak kontrolatuta egotea eta norbait enpresatik joaten denean kentzea, eta gorabehera bat detektatzeko eta harekin zer egin jakiteko benetako gaitasuna izatea. Horietako ezer ez da bere kabuz mantentzen denborarekin: gaur ondo konfiguratutako sistema bat hondatu egiten da gero inork berrikusten ez badu. Horregatik, informatika mantentze-lanak ez dira araudia betetzeari gehitutako kapritxo tekniko bat; hilabetez hilabete bizirik mantentzen duen zatia dira, behin sinatutako paper bihurtu beharrean.

Bai, eta hori da gehien harritzen gaituena gainerakoan DBEOko dokumentazioa ordenan duten enpresetan sinatu gabe aurkitzean. Zure informatika-hornitzailea bezeroen, pazienteen edo langileen datuak dauzkaten ekipoetan sartzen bada —eta laguntza teknikoa emateko sartzen da, noizean behin bada ere—, datu pertsonalak tratatzen ari da zure kontura. Horrek tratamenduaren arduradun bihurtzen du, eta harreman hori zerbitzu-kontratutik aparteko kontratu batek arautu behar du: zein datu uki ditzakeen, zein helburutarako, zein konfidentzialtasun eskatzen dien bere langileei, zein segurtasun-neurri aplikatzen dituen, azpikontratatu dezakeen eta zein baldintzatan, eta zer gertatzen den datuekin harremana amaitzen denean. Hornitzaile serio batek berak eskaintzen du, zuk eskatu beharrik gabe. Zurea harritu egiten bada kontratu horri buruz galdetzean, horrek jada zerbait esaten dizu gainerako betebeharrak zurekin nola betetzen dituen.

Datu pertsonalak suntsitzea, galtzea, aldatzea edo baimenik gabe haietara sartzea dakarren edozein gorabehera hartzen da arrailatzat: zerbitzaria zifratzen duen ransomware bat, zifratu gabe lapurtutako ordenagailu eramangarri bat, bezeroen datuak dituen mezu bat behar ez zen bati bidalia, baita arrazoirik gabe espedienteak kontsultatzen dituen langile bat ere. Ez da beharrezkoa asmorik egotea, ezta datuak enpresatik ateratzea ere. Gorabeherak eragindako pertsonen eskubideentzat benetako arriskua dakarrenean, kontrol-agintaritzari jakinarazi behar zaio bidegabeko atzerapenik gabe eta, erreferentzia gisa, horren berri izan eta 72 orduko epean. Inprobisatzeko epe laburra da; beraz, komeni da aldez aurretik erabakita izatea: nork ebaluatzen duen arriskua, nork idazten duen jakinarazpena eta nork abisatzen dien eragindakoei behar izanez gero. Dokumentatzea ere derrigorrezkoa da, azkenean arriskua txikitzat jotzen delako jakinarazten ez bada ere: erregistrorik ez izatea bera huts bat da.

Zati bat da, eta ez erreklamazio edo ikuskapen bat dagoenean aldea egiten duena. Ia enpresa batek ere ez du dokumentatuta gainerakoari eusten diona: nork duen zein sistematarako sarbidea eta zergatik, zer egiten den zehazki norbait enpresatik joaten den egunean, zein maiztasunekin egiaztatzen den babeskopiak benetan leheneratzen direla eta ez prozesua exekutatu dela bakarrik, eta zer egingo litzatekeen lehen orduetan segurtasun-alarma bat jotzen badu. DBEO betetzea ez da antibirusa eta babeskopiak instalatuta izatea; biak dabiltzala eta datu bakoitzera nor sartzen den erabakitzeko irizpide bat dagoela frogatu ahal izatea da. Dokumentazio-zati hori da lehenik eskatzen dena kontrol-agintaritzaren aurrean erantzun behar izanez gero, eta lehenik ahazten dena ere, egunerokoan ez baitu arazo ikusgarririk ematen, bat-batean ematen duen arte.

Betebeharrak berak dira tamaina edozein dela ere; aldatzen dena da haiek betetzeko modu proportzionala, ez bete behar diren ala ez. Enpresa oso txiki batek ez du ehun langileko enpresa batek behar duen egitura bera behar, baina bai funtsezko berme berak: datuak babestuta egotea, hori frogatu ahal izatea eta nor zertara sartzen den gutxieneko kontrol bat izatea. Askotan ahazten den ñabardura bat dago: enpresaren tamainak ez du ezer esaten kudeatzen dituen datuen sentikortasunaz. Bi laguneko bulego batek edo klinika txiki batek osasun- edo ekonomia-datu delikatuagoak tratatzen dituzte eskaerak eta fakturak bakarrik kudeatzen dituzten enpresa handi askok baino. Zure jardueragatik zein eskakizun-maila dagokizun zehazki zalantza baduzu, datuen babesean aditua den bati egiteko galdera da; informatikaren mende dagoena —babeskopiak, sarbideak, zifratzea—, berriz, berdin aplikatzen da zure tamaina edozein dela ere.

Erantzun-denbora da norbaitek abisua artatzeko behar duena: telefonoa hartzea, txartela irekitzea, begiratzen ari direla baieztatzea. Konponketa-denbora da arazoa benetan konponduta egoteko behar dena, eta askoz luzeagoa izan daiteke pieza bat eskatu, babeskopia handi bat leheneratu edo hirugarren batekin koordinatu behar bada. Mantentze-kontratu ia guztiek lehena konprometitzen dute idatziz, zifra argiekin, eta bigarrena «ahalik eta lasterren» generiko batean uzten dute, ezer zehatzik konprometitzen ez duena. Aldeak garrantzia du benetan pairatzen duzuna delako: hamabost minututan erantzuteak ez du askorako balio sistemak dei horren ondoren sei ordu geroago erorita jarraitzen badu. Sinatu aurretik komeni da esplizituki galdetzea bietatik zein konprometitzen den, zein zifrarekin, eta zer gertatzen den betetzen ez bada. Erantzunaz bakarrik hitz egiten badute, ziurrenik lehen begiratuan dirudiena baino gutxiago saltzen ari zaizkizu.

Azpiegitura eta arrisku gutxi dituen enpresa oso txiki batentzat zentzuzkoa izan daiteke, batez ere hasieran. Arazoa denborarekin agertzen da: ordu solteak zerbaitek huts egin duenean eskatzen dira; beraz, uneko sua itzaltzen gastatzen dira beti, eta inoiz ez prebentzioan, hain zuzen ere sua sortzea saihesten duena. Babeskopiak berrikustea, eguneraketak egiaztatzea, sarbideak berrikustea edo DBEOko dokumentazioa eguneratuta mantentzeak ez du dei urgenterik sortzen; beraz, orduka ordaintzen den ereduan ez da inoiz egiten, aukerarik ez dagoelako. Hala ere orduka aukeratzen baduzu, zentzuzkoa da urtean kopuru finko bat esplizituki gordetzea berrikuspen prebentiborako, aurrekontutik soberan geratzearen zain egon gabe. Enpresa hazten den edo datu sentikorragoak kudeatzen dituen bezain laster, lan prebentibo hori barne hartzen duen kuota bat merkeagoa izan ohi da berandu erreakzionatzean aurrezten diren orduak baino.

Kontratuan idatziz aurreikusita egon behar du, ez hornitzailez aldatzea erabakitzen duzun egunean inprobisatuta. Gutxienez hiru gauza jaso behar ditu: irteten den hornitzaileak sarbidea izan zuen datuak itzultzea edo ezabatzea, sistemaren kredentzialak, pasahitzak eta dokumentazio teknikoa ematea, eta domeinuen, lizentzien eta hodeian kontratatutako kontuen benetako titularra nor den baieztatzea. Azken puntu hori dirudiena baino ohikoagoa da: ez da arraroa domeinuak edo posta-lizentziak hornitzailearen izenean erregistratuta aurkitzea eta ez enpresaren izenean, eta horrek aldaketa erraz bat blokeo luze bihurtzen du. Gainera, gaizki egindako kontratuak edo zuzenean existitzen ez direnak agerian geratzen diren unea da: ez bada inoiz ezer sinatu, ez dago ezer itzulketa hori eskatzeko. Horregatik komeni da klausula hori berrikustea erabili behar izan aurretik, ez premiaz behar denean.