Rozwiązanie dla branży
System dla sygnalistów w firmie IT i nowych technologiach
Bezpieczny proces dla rozproszonych zespołów, pracy zdalnej, dostępu uprzywilejowanego oraz spraw związanych z danymi i bezpieczeństwem produktów.
Specyfika sektora
Kanał zgłoszeń dopasowany do realnej organizacji pracy
Firmy technologiczne działają w rozproszonych zespołach i powierzają pracownikom szeroki dostęp do kodu, danych oraz infrastruktury klientów. Zgłoszenie może dotyczyć zarówno relacji w pracy, jak i bezpieczeństwa produktu albo nieuprawnionego wykorzystania informacji. Kanał musi być niezależny od narzędzi, których dotyczy potencjalne naruszenie.
- Praca zdalna
- Procedura i kanał powinny być dostępne dla osób pracujących z różnych lokalizacji i stref czasowych.
- Dostęp uprzywilejowany
- Zgłoszenia mogą obejmować administratorów, dane klientów, kod źródłowy i krytyczną infrastrukturę.
- Szybki wzrost
- Struktura odpowiedzialności zmienia się wraz z zespołem, inwestorami i nowymi rynkami.
Zakres zgłoszeń
Jakich spraw może dotyczyć zgłoszenie?
Ustawowy katalog naruszeń określa art. 3 ust. 1. Organizacja może dodatkowo objąć procedurą wewnętrzną naruszenia regulacji lub standardów etycznych spełniających warunki art. 3 ust. 2; do tak rozszerzonego zakresu nie stosuje się przepisów o zgłoszeniach zewnętrznych i ujawnieniu publicznym.
Przykłady z katalogu ustawowego
Zakres art. 3 ust. 1 zależy od przedmiotu konkretnej informacji.
- naruszenia bezpieczeństwa sieci i systemów teleinformatycznych
- naruszenia ochrony prywatności i danych osobowych
- korupcja
- naruszenia bezpieczeństwa produktów i ich zgodności z wymogami
Możliwy dodatkowy zakres procedury
Te sprawy są objęte procedurą tylko wtedy, gdy organizacja rozszerzyła ją zgodnie z art. 3 ust. 2.
- naruszenia praw własności intelektualnej
- konflikty interesów niezwiązane z korupcją
- dyskryminacja lub molestowanie w pracy zdalnej
- naruszenia wewnętrznych standardów bezpieczeństwa
Proces w jednym miejscu
Od przyjęcia zgłoszenia do udokumentowania działań
Lex Signal wspiera organizację procesu. Ostateczny zakres procedury, upoważnienia i decyzje w sprawie działań następczych pozostają po stronie podmiotu.
- Poufny kanał
- Do informacji mają dostęp wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego.
- Jedna historia sprawy
- Zgłoszenie, komunikacja i informacje o działaniach pozostają uporządkowane.
- Terminy i rejestr
- System pomaga pilnować potwierdzenia, informacji zwrotnej i wymaganych danych rejestru.
Podstawa prawna
Obowiązek zależy od organizacji, nie wyłącznie od nazwy branży
Co do zasady rozdział o zgłoszeniach wewnętrznych stosuje się do podmiotu, na rzecz którego według stanu na 1 stycznia lub 1 lipca pracę zarobkową wykonuje co najmniej 50 osób. Pracowników liczy się w przeliczeniu na pełne etaty, a do liczby włącza się również określone osoby świadczące odpłatną pracę na innej podstawie. Wyjątek od progu dotyczy wyłącznie działalności wskazanej w art. 23 ust. 3 i objętej wymienionymi tam aktami UE. Mniejszy podmiot może ustalić procedurę dobrowolnie na podstawie art. 24 ust. 2.
Procedurę warto dopasować do struktury i profilu działalności. Jest to dobra praktyka, a art. 25 ust. 2 pkt 2 pozwala dodatkowo wskazać charakterystyczne dla organizacji czynniki ryzyka. Obowiązkiem jest natomiast ochrona poufności i niedopuszczenie osób nieupoważnionych do informacji objętych zgłoszeniem.
Art. 23 ust. 1–3, art. 24 ust. 2, art. 25 ust. 2 pkt 2 oraz art. 27 ustawy z 14 czerwca 2024 r. o ochronie sygnalistów.
Sprawdź obowiązujący tekst ustawyWdrożenie
Jak dopasowujemy system do specyfiki branży
- 01
Oddzielamy kanał od infrastruktury
Zgłoszenie pozostaje dostępne nawet wtedy, gdy sprawa dotyczy firmowych kont lub administratorów.
- 02
Ustalamy kompetencje
Definiujemy udział compliance, bezpieczeństwa, HR i prawników bez udostępniania sprawy wszystkim zespołom.
- 03
Skalujemy proces
Kategorie, upoważnienia i komunikaty można rozwijać wraz z organizacją oraz jej rynkami.
Najczęstsze pytania
System sygnalistów w firmie IT i nowych technologiach
Czy kanał zgłoszeń zastępuje system obsługi incydentów IT?
Nie. Incydent techniczny może wymagać natychmiastowej reakcji operacyjnej, a zgłoszenie naruszenia odrębnej ochrony i działań następczych. Obie ścieżki powinny być jasno opisane.
Czy pracownik zdalny może dokonać zgłoszenia poza VPN?
Tak. Kanał może być dostępny przez przeglądarkę bez łączenia się z firmową siecią i bez korzystania ze służbowej skrzynki.
Jak obsłużyć sprawę dotyczącą administratora systemów?
Należy przewidzieć alternatywne osoby upoważnione oraz kanał niezależny od infrastruktury kontrolowanej przez osobę, której dotyczy zgłoszenie.