Цифрова безпека в ГО: реальний кейс і 6 правил, які варто впровадити вже зараз

Кейс МКФ для ГО “Рада жінок Донеччини”

У багатьох організаціях правила цифрової безпеки живуть десь між "усі знають, нащо це проговорювати" і "ніхто не записав".

Ми допомогли команді перевести це в чіткі, прикладні правила для щоденної роботи.

Трохи контексту: хто і навіщо

ГО "Рада жінок Донеччини" реалізує соціально важливі проєкти для забезпечення рівних прав і можливостей у громадах. Це означає: персональні дані вразливих людей, контакти бенефіціарів, та інша інформація, яка в чужих руках може завдати реальної шкоди.

До початку роботи частина процесів залишалася неформалізованою: доступи передавалися у робочому порядку, правила зберігання даних відрізнялися залежно від людини, фіксованого алгоритму дій на випадок інциденту не було. Багато що працювало, але трималося на пам'яті й внутрішньому відчутті контролю. Поки хтось не йде у відпустку.

Що зробили

Команда МКФ розробила Політику цифрової безпеки, яка адаптована саме під реалії громадського сектору. У фінальному документі зафіксували:

• правила створення й зберігання паролів

• обов'язкову двофакторну автентифікацію

• принципи розподілу доступів

• порядок роботи з конфіденційними даними

• процедури дій у разі витоку або підозри на злам

• правила безпечної внутрішньої та зовнішньої комунікації

Тепер "скинь пароль у робочий чат" офіційно під забороною. 😁

Тепер перейдемо до найцікавішого.

Гайд: 6 правил цифрової безпеки для вашої ГО

Ці правила сформульовані на основі тренінгу для команди "Ради жінок Донеччини". Вони підходять будь-якій організації, що працює з персональними даними людей.

1. Визначте рівень даних, перш ніж щось зробити

Перш ніж надіслати файл, опублікувати пост чи дати колезі доступ до папки – одна секунда на питання: "Який рівень у цих даних?"

Система проста: три рівні, як світлофор.

Рівень 1 (Низька чутливість) – загальна інформація, публічні анонси. Якщо вона потрапить до сторонніх, шкоди не буде.

Рівень 2 (Підвищена чутливість) – внутрішні документи, робочі плани, бюджети, звіти. Потребують обмеженого доступу.

Рівень 3 (Висока чутливість) – персональні дані бенефіціарок, фінансова інформація, паролі. Витік цих даних – це катастрофа для репутації та небезпека для людей.

Важливо: якщо не впевнені, який це рівень – ставтеся до даних як до Рівня 3. Краще зайва обережність, ніж витік.

Окремий крок, який варто зробити вже зараз: пропишіть у себе в організації, які саме дані належать до кожного рівня, і призначте відповідальну особу, яка координує захист, консультує команду та реагує, якщо щось пішло не так. Без конкретної людини навіть найкраща політика безпеки залишається просто документом у папці.

2. Паролі: не "qwerty" і не стікер під клавіатурою

Безпечний пароль повинен містити мінімум 10 символів, великі та малі літери, цифри й спеціальні символи.

Золоте правило: один акаунт – один унікальний пароль. Ніякого повторення між робочою поштою і особистим Facebook. А ще краще – використовуйте менеджер паролів, і більше не доведеться нічого запам'ятовувати.

3. Двофакторна автентифікація: другий замок на дверях

Обов'язково вмикайте 2FA для:

• корпоративної пошти

• хмарних сховищ із чутливими даними

• систем з адміністративними правами

Як це працює: вводите пароль, підтверджуєте вхід кодом із застосунку (наприклад, Google Authenticator) або SMS.

4. Доступи: тільки те, що потрібно саме зараз

Принцип простий: людина має доступ лише до тих папок і систем, які потрібні для її поточної роботи. Не більше.

Коли доступ припиняється:

• людина перейшла на інший проєкт – старі доступи закриваються

• робота завершена – доступ архівується

• співпраця закінчилась – доступи блокуються в день завершення (це стандартна процедура безпеки, а не прояв недовіри)

• кожні 6 місяців відповідальна особа перевіряє актуальність усіх доступів

5. Месенджери: тільки для координації, не для файлів

Telegram, Viber та інші месенджери – виключно для оперативної координації ("Зустрічаємось о 10:00") та обговорення робочих питань без надсилання документів.

Категорично заборонено передавати через месенджери:

• персональні дані бенефіціарів і персоналу

• фінансові звіти та грантові угоди

• будь-які дані Рівня 2 та 3

Чутливі файли – тільки через корпоративну пошту або хмарне сховище.

6. Що робити, якщо щось пішло не так

Алгоритм "Зупинись – Зафіксуй – Повідом":

1. Зупиніться. Припиніть будь-які дії в акаунті. Не намагайтеся "полагодити" все самостійно – можна видалити цифрові докази.

2. Зафіксуйте. Коротко запишіть: що сталося, коли ви це помітили і які файли могли постраждати.

3. Повідомте. Негайно напишіть відповідальній особі або керівнику.

Важливо: краще повідомити про "хибну тривогу", ніж приховати реальний інцидент.

Наостанок

Цифрова безпека не тримається на одній людині. Кожен член команди відповідає за свої паролі, свої пристрої та свої дії з даними. Відповідальна особа координує і допомагає, керівництво приймає стратегічні рішення, але перша лінія захисту – кожен з вас.

Команда МКФ