Artykuł partnera
Sektor rekrutacji B2B przetwarza dane należące do najbardziej wrażliwych zasobów informacyjnych klienta – struktury wynagrodzeń, pełne bazy systemów ATS oraz strategiczne plany kadrowe. Dla zagranicznych koncernów, które outsourcują procesy rekrutacyjne, każdy zewnętrzny dostawca HR stanowi potencjalny punkt podatności w łańcuchu dostaw danych. Właśnie dlatego akredytacja ISO 27001 przestała być opcjonalnym wyróżnikiem, a stała się warunkiem wejścia do przetargu.
Certyfikacja ISO 27001 jako odpowiedź na ryzyko w łańcuchu dostaw danych rekrutacyjnych
Ogólne rozporządzenie o ochronie danych (RODO) nakłada na administratorów oraz podmioty przetwarzające dane rekrutacyjne obowiązek wdrożenia środków technicznych i organizacyjnych adekwatnych do ryzyka. Agencje rekrutacyjne przetwarzające dane kandydatów z Unii Europejskiej podlegają tym samym rygorom co ich zagraniczni zleceniodawcy, niezależnie od miejsca siedziby dostawcy. Sankcje przewidziane za naruszenie tych przepisów liczone są od globalnego obrotu grupy kapitałowej, a nie od przychodów lokalnego oddziału, co dla dużych koncernów oznacza ryzyko liczone w milionach euro.
W praktyce zakres danych uznawanych za krytyczne jest szerszy, niż zakładają niedoświadczeni dostawcy usług kadrowych. Poza danymi osobowymi kandydatów obejmuje on również benchmarki wynagrodzeń, listy klientów objętych poufnym executive search oraz wewnętrzną korespondencję dotyczącą planów restrukturyzacji zatrudnienia. Dyrektywa NIS2 rozszerza obowiązek ochrony takich informacji o wymogi dotyczące cyberbezpieczeństwa całego łańcucha dostaw, obejmując coraz szerszy krąg podmiotów świadczących usługi istotne dla funkcjonowania klienta.
Konsekwencje naruszenia bezpieczeństwa danych rekrutacyjnych mają charakter natychmiastowy i wielowymiarowy. Wyciek bazy kandydatów lub ujawnienie struktur wynagrodzeń prowadzi zwykle do trzech równoległych skutków: zerwania kontraktu międzynarodowego, trwałej utraty reputacji na rynku oraz sankcji finansowych nakładanych przez organy nadzorcze.
Systemowe zarządzanie ryzykiem według normy ISO 27001
Deklaratywna polityka prywatności, opisana w dokumencie wewnętrznym, nie jest wystarczającym dowodem dojrzałości operacyjnej. Audytorzy zagranicznych koncernów oczekują udokumentowanego, systemowego podejścia do zarządzania ryzykiem informacyjnym. System Zarządzania Bezpieczeństwem Informacji zgodny z normą ISO 27001 wymaga ciągłego nadzoru nad czterema obszarami, takimi jak:
- kontrola dostępu do baz danych kandydatów i systemów ATS, ograniczająca krąg osób uprawnionych do zasady niezbędności;
- procedury bezpiecznego przetwarzania oraz anonimizacji danych osobowych na każdym etapie procesu rekrutacyjnego;
- plany ciągłości działania (Business Continuity) na wypadek cyberataku typu ransomware lub innego incydentu bezpieczeństwa;
- rygorystyczny nadzór nad podwykonawcami i zewnętrznymi rekruterami, którzy mają dostęp do danych kandydatów.
Taki zakres weryfikacji sprawia, że certyfikat potwierdza stosowanie procedur w codziennej pracy organizacji. Cykliczne audyty nadzorujące wymuszają na dostawcy HR ciągłe doskonalenie zabezpieczeń. Dla działu zakupów klienta oznacza to możliwość odwołania się do jednego, aktualnego dokumentu zamiast każdorazowego zlecania własnego audytu bezpieczeństwa.
Certyfikacja ISO 27001 jako przepustka do międzynarodowych przetargów
Międzynarodowe przetargi B2B coraz częściej zastępują ankiety bezpieczeństwa jednym dokumentem, certyfikatem wydanym przez akredytowaną, niezależną jednostkę. Zamiast odpowiadać na dziesiątki szczegółowych pytań działu zakupów klienta, dostawca przedstawia dowód, że jego system zarządzania bezpieczeństwem informacji został zweryfikowany przez zewnętrzny podmiot, niezwiązany z żadną ze stron transakcji.
Jednostką prowadzącą tego rodzaju niezależną weryfikację jest między innymi Bureau Veritas, którego audyt w ramach certyfikacji ISO 27001 potwierdza zarówno wdrożenie odpowiednich zabezpieczeń, jak i ich realne stosowanie w praktyce operacyjnej. Dla zagranicznego partnera to drastyczne skrócenie czasu badania due diligence oraz przeniesienie części odpowiedzialności dowodowej na niezależnego audytora, a nie na dział prawny zleceniodawcy.
Dla polskich agencji rekrutacyjnych świadczących usługi na rzecz zagranicznych koncernów certyfikat ISO 27001 działa jak paszport eksportowy – otwiera dostęp do przetargów, w których brak niezależnej weryfikacji dyskwalifikuje ofertę już na etapie wstępnej selekcji.
Wdrożenie normy ISO 27001 w agencji rekrutacyjnej lub spółce technologicznej z obszaru HR jest konkretną inwestycją w ochronę marży operacyjnej. Stabilność relacji z zagranicznymi zleceniodawcami zależy dziś od zdolności udokumentowania dojrzałości operacyjnej, a to wymaga systemu, który podlega niezależnej, cyklicznej weryfikacji, nie jednorazowej deklaracji zgodności. W długiej perspektywie to właśnie zdolność do przedstawienia takiego dowodu decyduje, czy firma pozostanie wiarygodnym ogniwem międzynarodowego łańcucha dostaw, czy zostanie z niego wyłączona.
