CISO и ДЛЗД: направете предаването на отговорности ясно

Екипите по сигурност и по защита на личните данни често разглеждат една и съща система от различни посоки. CISO пита дали достъпът, устойчивостта и третирането на риска са адекватни. Длъжностното лице по защита на данните (ДЛЗД) съветва относно законосъобразното обработване, правата на физическите лица, защитните мерки и съответствието със законодателството за защита на данните. Работата им се припокрива, но правомощията им не бива да стават взаимозаменяеми.

За ръководството практическият въпрос не е просто кой заема всяка длъжност. Въпросът е кой предоставя фактите, кой съветва, кой изпълнява и кой взема отговорното решение. Тези разграничения имат значение, когато се пуска продукт, сменя се доставчик или инцидент налага действия, преди разследването да е приключило.

Работещото разпределение дава на двете функции ранна видимост, като същевременно запазва независимостта на ДЛЗД. То също така изяснява, че назначаването на специалисти, вътрешни или външни, не прехвърля отговорността на администратора за решенията относно обработването.

Разграничете мандатите, преди да определите хората

Отговорностите на CISO зависят от управлението на организацията. Длъжността може да описва ръководител, който оглавява функцията по сигурност, специалист, който поддържа система за управление на информационната сигурност, или консултант на непълно работно време. Служителят по информационна сигурност може да има по-тесен обхват на правомощията. Определете мандата, вместо да приемате, че длъжността го урежда.

ДЛЗД има конкретни законови задачи и защити съгласно членове 37–39 от ОРЗД. Те включват информиране и съветване, наблюдение на спазването, съветване относно оценките на въздействието върху защитата на данните, сътрудничество с надзорния орган и изпълнение на ролята на звено за контакт с него. ДЛЗД трябва да се отчита пряко пред най-висшето ниво на ръководството и да не получава указания във връзка с изпълнението на тези задачи.

Сигурността обхваща повече от личните данни. Атака с рансъмуер, засягаща инженерни чертежи или производственото планиране, е въпрос на сигурността, дори когато не са засегнати лични данни. Защитата на личните данни обхваща повече от сигурността: добре защитена база данни все пак може да съдържа информация, събрана без адекватно правно основание или съхранявана ненужно.

Общата територия включва основаните на риска технически и организационни мерки, изисквани от член 32 от ОРЗД. Контролите на достъпа, договореностите за възстановяване и тестването могат да подпомагат и двете функции. Общите доказателства са полезни; те не правят основните оценки идентични.

Установете кои роли действително са нужни на вашата организация

Оценявайте изискванията за назначаване на ДЛЗД отделно от планирането на персонала

ДЛЗД не е задължително за всяка организация. Съгласно член 37 от ОРЗД назначаване се изисква за публичните органи или структури, с изключение на съдилищата, и за организациите, чиито основни дейности включват мащабно редовно и систематично наблюдение или мащабно обработване на данни от специални категории или на лични данни, свързани с присъди и нарушения.

Не свеждайте тази оценка до размера на компанията. Сравнително малка организация може да има дейности по обработване, които налагат назначаване, докато броят на служителите сам по себе си не отговаря на критерия на ОРЗД. Националното право може да налага допълнителни изисквания за назначаване. В Германия оценете допълнителните национални правила, вместо да разчитате изключително на член 37 или на запомнен праг за броя на служителите.

Пазете оценка на назначаването, която посочва съответните юридически лица, дейностите по обработване, юрисдикциите, мотивите за заключението и събитията, които биха задействали повторна оценка. Нова услуга за наблюдение, придобиване или преминаване към обработване на чувствителни данни може да промени отговора.

Когато не се изисква ДЛЗД, все пак разпределете отговорностите за защита на личните данни. Правните основания, прозрачността, обработката на права, сигурността и задълженията за отчетност не изчезват. Използвайте официалната длъжност ДЛЗД обмислено: доброволното назначаване трябва да се третира като истинска роля на ДЛЗД, а не просто като етикет за административно лице за контакт.

Разграничете отговорността за сигурността от универсално изискване за CISO

Не съществува единно изискване на ОРЗД за назначаване на лице с длъжност CISO. Други секторни или национални правила може да влияят на управлението на сигурността, затова ги оценете отделно.

ISO/IEC 27001 изисква да бъдат възложени отговорности и правомощия за ISMS в определения обхват; той не предписва универсална длъжност. Договорите с клиенти също може да изискват посочено лице за контакт по сигурността, определени отговорности или конкретни доказателства за увереност.

За организациите в обхвата членове 20–23 от NIS2 уреждат надзора от ръководството, мерките за управление на киберсигурността и докладването на инциденти. NIS2 се прилага чрез националното право, а приложимостта зависи от сектора, размера, услугата и правилата за включване, а не само от броя на служителите. За дейностите в Германия използвайте насоките на BSI за NIS2 наред с приложимото законодателство.

Затова решението на ръководството е двустранно: определете правните и договорните изисквания, след което осигурете ресурси за работата по сигурността, необходима за функционирането на бизнеса. Длъжност без правомощия, капацитет и достъп не решава нито един от двата проблема.

Проверявайте конфликтите на интереси спрямо действителните правомощия за вземане на решения

Член 38, параграф 6 от ОРЗД позволява на ДЛЗД да изпълнява и други задачи, при условие че те не водят до конфликт на интереси. Съчетаването на роли не е автоматично забранено, но изисква съществена оценка. Основното опасение е дали лицето определя целите и средствата на обработването, по които след това трябва независимо да съветва или да наблюдава.

Проучете правомощията, свързани с предложеното назначаване:

• Може ли лицето да решава защо се събират данни за служители или клиенти?
• Може ли да избира инструменти за наблюдение, да определя техния обхват или да решава за съхранението?
• Одобрява ли системи или договорености за обработване, а не само съветва?
• Би ли наблюдавало решения, които само е взело в друга роля?
• Може ли да повдига опасения директно пред ръководството без конфликтен стимул?

CISO, който одобрява договорености за наблюдение на служители, има различен профил на конфликт от консултант по сигурността, който дава препоръки без правомощия за вземане на решения. Висшите роли в ИТ, човешките ресурси и ръководството заслужават особено внимание, но длъжностите сами по себе си не са пълна оценка.

Документирайте задълженията по другата роля, делегираните правомощия, линиите на отчитане и защитните мерки. Преразглеждайте оценката, когато отговорностите се променят. Заместник или независим проверяващ може да помогне за непрекъснатостта и увереността, но не поправя автоматично несъвместимо назначаване.

Като практическа препоръка разделете ролите, когато функцията по сигурност има съществени правомощия по отношение на обработването на лични данни. Не обосновавайте двойно назначаване единствено с това, че компанията е малка или лицето е доверено. Доверието не премахва самопроверката или конкуриращите се отговорности.

Външните назначения изискват същото внимание. Възлагането на външен изпълнител може да осигури независимост от вътрешните линии на отчитане, но конфликти все пак могат да възникнат чрез припокриващи се мандати или стимули на доставчика.

Определете предаването на работа около повтарящите се дейности

Матрицата на отговорностите трябва да описва решения и резултати, а не само участие. Избягвайте редове с текст „сигурността и защитата на личните данни носят обща отговорност“, без да е посочено кой трябва да действа следващ.

Следното е практическа отправна точка, а не законово разпределение на всяко задължение:

Промени в продукта: направете първото предаване достатъчно рано, за да има значение

За нова клиентска платформа отговорният бизнес собственик трябва да посочи предвидената цел и решенията относно обработването. Предоставете кратко описание на промяната, обхващащо категориите данни, засегнатите хора, системите, доставчиците, достъпа, съхранението и очакваната дата на внедряване. Включете схема на потока от данни, когато тя улеснява разбирането на подредбата.

След това сигурността оценява заплахите и защитите: привилегирования достъп, удостоверяването, разделянето, журналите, архивирането и възстановяването, както и доказателствата, необходими преди пускането. Специалистите по защита на личните данни оценяват правното основание, прозрачността, свеждането до минимум, съхранението, отношенията при обработването и дали се изисква ОВЗД. Съгласно член 35 от ОРЗД оценка на въздействието върху защитата на данните (ОВЗД) се изисква, когато обработването е вероятно да доведе до висок риск; консултирайте се с ДЛЗД, когато такова е определено.

Предаването трябва да води до изрични констатации, а не до отделни необяснени одобрения. Запишете съвета на ДЛЗД, когато е относим, бизнес решението, условията за пускане и отговорното лице за всяко оставащо действие. Ако ръководството не следва съвета, запазете мотивите му и ескалирайте неизяснените правни опасения. Приемането на бизнес риск не може да направи незаконосъобразното обработване законосъобразно.

Задайте събития за преглед, като нови чувствителни данни, наблюдение на служители, променени цели, съществено разширен достъп или нов доставчик. Това е по-полезно от изискването за еднакви документи при всяка дребна промяна в интерфейса.

Включване на доставчици: разделете увереността в сигурността от законосъобразността на обработването

Бизнес собственикът трябва да посочи услугата, засегнатите данни и какво действително ще прави доставчикът. Сигурността оценява относимата увереност, договореностите за достъп, подкрепата при инциденти и устойчивостта. Защитата на личните данни оценява дали доставчикът е обработващ, самостоятелен администратор или друг участник в договореността за обработване.

Когато се прилага член 28, договорът трябва да съдържа изискваните условия за обработващия. Международните предавания изискват отделна оценка; споразумението за обработване или предпочитаното местоположение на хостинга не решава този въпрос.

Договорете се кой набавя липсващите доказателства и кой договаря промените в договора. Честа грешка е въпросникът за сигурност да се третира като пълен преглед, като ролите при обработването, подизпълнителите, изтриването и предаванията остават неразгледани. Друга грешка е договарянето на условия за защита на личните данни без разбиране на реалния технически достъп на доставчика.

Резултатът трябва да посочва каква услуга и конфигурация са оценени, приетите условия, отворените въпроси и събитията за повторна оценка. Съществените промени в достъпа, подизпълнителите или местата на обработване трябва да достигат до двете функции.

Инциденти: обменяйте факти, преди да има сигурност

При подозирано нарушение сигурността разследва, докато защитата на личните данни оценява последиците за засегнатите хора и за уведомяването. Нито един от екипите не бива да чака готов доклад, преди да сподели относимата информация.

Първото предаване трябва да посочва какво се е случило, кога е открито, какви системи и данни може да са засегнати, дали са засегнати поверителността, цялостността или наличността, какво ограничаване е извършено и какво остава неизвестно. Определете някой да поддържа хронологията и да актуализира двете функции при промяна на фактите.

Съгласно член 33 от ОРЗД администраторът трябва да уведоми надзорния орган без ненужно забавяне и, когато това е осъществимо, не по-късно от 72 часа след узнаването, освен ако не е вероятно нарушението да породи риск за правата и свободите на хората. Обработващият трябва да уведоми администратора без ненужно забавяне. Запишете оценката на момента на узнаването; не приемайте, че всеки първоначален сигнал стартира законовия срок или че е необходима пълна криминалистична сигурност, преди да се действа.

Член 34 може да изисква съобщаване на засегнатите хора, когато съществува висок риск, при спазване на изключенията в него. Договорете се кой координира сроковете, подготвя уведомленията, разрешава комуникациите и съхранява доказателствата. Документирайте нарушенията на сигурността на личните данни, включително мотивите, когато уведомяването се счита за ненужно. Липсващите факти може да наложат уведомяване на етапи, а не мълчание, докато разследването продължава.

При инцидент, засягащ субект в обхвата, оценете паралелно дали той достига приложимия праг за докладване на значителен инцидент по NIS2. Директивата предвижда ранно предупреждение в рамките на 24 часа, уведомление за инцидента в рамките на 72 часа и по правило окончателен доклад в рамките на един месец от уведомлението; проверете националните и секторните правила. Това са различни задействащи събития и адресати от тези по ОРЗД, а не един взаимозаменяем процес на докладване.

Искания за упражняване на права: дръжте оперативната подкрепа отделно от отговорността за отговора

Исканията за упражняване на права често изискват подкрепа от сигурността и ИТ за пропорционална проверка на самоличността, намиране на информацията, защита на данните на трети лица и сигурно предаване на отговора. Защитата на личните данни координира правната оценка, със съвет от ДЛЗД, когато е подходящо. Администраторът остава отговорен за отговора.

Съгласно член 12 от ОРЗД обичайният срок за отговор е един месец. Удължаване с още два месеца може да е възможно, когато е необходимо, като уведомлението и причините се предоставят в рамките на първия месец. Исканията по правило са безплатни, с ограничени условия за такси или отказ.

Запишете кой отговаря за срока, кои системи трябва да бъдат претърсени и кой одобрява разкриването. Не изисквайте по подразбиране прекомерни документи за самоличност и не позволявайте технически експорт да се превърне в непрегледан отговор. Общ оперативен процес може да свърже оценката на защитата на личните данни с търсенето и контролите при предаването, описани в обработката на искания за достъп от субекти на данни.

Избирайте вътрешни или външни назначения според капацитета и достъпа

Член 37, параграф 6 от ОРЗД изрично позволява ролята на ДЛЗД да се изпълнява от служител или въз основа на договор за услуги. Ръководството по сигурността също може да бъде осигурено външно като организационна договореност, при спазване на приложимите изисквания и с ясен мандат.

Вътрешното ДЛЗД може да познава бизнеса в дълбочина и да има лесен достъп до колегите. Организацията все пак трябва да осигури експертиза, ресурси, защитено време, независимост и заместване. Външното ДЛЗД може да донесе специализиран опит и допълнителен капацитет, но се нуждае от надежден канал към промените в продуктите, договорите, оценките и инцидентите. Нито един от моделите не работи, ако ДЛЗД научава за решенията едва след тяхното изпълнение.

Сравнявайте общите оперативни нужди, а не само заплатата спрямо абонаментното възнаграждение. Вземете предвид обучението, специализираните съвети, заместването при отсъствие, времето за координация, пиковете в проектите и таксите за дейности извън обхвата. Няма надеждно универсално правило, че външното осигуряване е по-евтино.

При външни мандати договорете:

• Посочени лица за контакт, заместници, пътища за ескалация и достъп до най-висшето ръководство.
• Кои прегледи, срещи, обучения и подкрепа при инциденти са включени.
• Договорености за отговор, съобразени със спешната и рутинната работа.
• Как ще се документират и съхраняват информацията, съветите и решенията.
• Поверителност, граници на достъпа, справяне с конфликти и договорености при прекратяване.

Ако един доставчик осигурява и двете функции, проверете кой изпълнява всеки мандат и как се управляват конфликтите. Отделните имена в една оферта не са достатъчни, ако едно и също лице контролира и преглежда решенията за обработването.

Назначете вътрешен координатор с правомощия да получава информация и да следи изпълнението. Външните специалисти не могат да оценяват неразкрити системи или да налагат действия, за които никой вътре не отговаря. Ръководството запазва решенията за бюджета и бизнес приоритетите, а администраторът запазва отчетността по ОРЗД съгласно член 24.

Съобразете договореността с натоварването

За по-малка организация без задължение за назначаване на ДЛЗД може да е подходящо да има посочен отговорник за защитата на личните данни и отговорник за сигурността, със специализирани съвети на разположение за трудни въпроси. Това е различно от официалното назначаване на някого като ДЛЗД.

Когато се изисква ДЛЗД, но вътрешните кандидати имат конфликтни оперативни правомощия, заслужава си да се обмисли външно назначение. Съчетайте го с вътрешна отговорност за изпълнението, вместо да очаквате доставчикът да изпълнява всяка задача по защита на личните данни.

Когато увереността, изисквана от клиентите, налага изграждане на ISMS, а вътрешният опит в сигурността е ограничен, външно ръководство по сигурността може да подкрепи първоначалната работа. Решете кой ще поддържа оценките на риска, доказателствата и докладването пред ръководството след това; проектният ангажимент не бива да оставя празнина в отговорностите, когато приключи.

Утвърдена организация може да поддържа и двете функции вътрешно, при условие че защитава независимостта на ДЛЗД и разпределя достатъчен капацитет. Решението трябва да следва действителното натоварване, компетентност и правомощия, а не предположението, че вътрешното винаги е по-добро или външното винаги е по-лесно.

Практически пример: производител подготвя клиентски портал

Да разгледаме илюстративен производител с 200 служители, малък ИТ екип и планиран портал за клиентска поддръжка и техническо обслужване на машини. Да приемем, че порталът ще съдържа данни за контакт с клиенти, истории на обслужването и записи за дейността на техниците. Клиентите изискват и документирано управление на сигурността. Това са хипотетични факти, а не правно заключение за всеки производител с такъв размер.

Ръководството първо възлага отделни оценки на изискванията за назначаване на ДЛЗД и на приложимостта на секторните правила за киберсигурност. То не извежда обхвата по NIS2 само от броя на служителите. Преглежда също съществуващото назначаване на ИТ директора като ДЛЗД, защото този директор избира системите и одобрява тяхната експлоатация.

След оценка на конфликтите и капацитета компанията назначава външно ДЛЗД и ръководител по сигурността на непълно работно време. ИТ директорът отговаря за техническото изпълнение, директорът по обслужването отговаря за целите на обработването в портала и бизнес изискванията, а вътрешен координатор поддържа регистъра на действията. Управителят спонсорира решенията и разрешава споровете за ресурси.

По време на проектирането сигурността препоръчва подробно журналиране на дейността за разследване на злоупотреби. Защитата на личните данни установява, че журналите разкриват и поведението на техниците. Директорът по обслужването обяснява оперативната нужда; сигурността предлага ограничен достъп и определено използване за разследвания; защитата на личните данни оценява необходимостта, прозрачността и съхранението. Съветът на ДЛЗД се записва, преди отговорният собственик да реши конфигурацията. ДЛЗД не одобрява дизайна на журналирането вместо ръководството.

Записът за пускането съдържа описанието на потока от данни, оценката на доставчика, констатациите за сигурността, резултата от предварителната проверка за ОВЗД, действията по защита на личните данни и приетите условия за пускане. Всяко неприключено действие има отговорно лице и срок.

След това ръководството провежда симулационно упражнение с компрометиран акаунт в портала. Сигурността предоставя първоначален пакет с факти; защитата на личните данни оценява възможните вреди; координаторът следи сроковете за оценка; а упълномощеният ръководител отговаря за комуникациите. Упражнението разкрива, че данните за спешен контакт с външното ДЛЗД липсват в процедурата при инциденти. Отстраняването на този малък пропуск прави предаването използваемо под натиск.

Направете сътрудничеството подлежащо на преглед, без да споделяте всичко

Осигурете на разногласията посочен път за ескалация. Техническите компромиси може да отиват при собственика на услугата и спонсора от ръководството; неизяснените опасения за съответствието трябва да достигат до най-висшето ниво на ръководството чрез независимия канал за отчитане на ДЛЗД. Запазвайте различните мнения, вместо да пренаписвате записа така, че да внушава съгласие.

Споделяйте само информацията, от която всяка роля се нуждае, особено при чувствителни разследвания. ДЛЗД трябва да има достъп до относимата информация за обработването съгласно член 38 от ОРЗД, но това не оправдава разпространението на необработени записи за служители или криминалистични материали до всеки участник в проекта. Използвайте граници на достъпа и подходящо заличени обобщения, без да задържате факти, необходими за оценката.

Ръководството трябва да преглежда няколко оперативни сигнала: промени, изпълнени преди консултация, просрочени действия след даден съвет, инциденти с късна междуфункционална ескалация и повтаряща се несигурност относно правомощията за вземане на решения. Те разкриват провалите в управлението по-ясно от преброяването на политики или срещи.

Практичният преглед от ръководството трябва да завършва с решения, а не само с актуализирани доклади. Ако оценките многократно пристигат късно, променете събитието за приемане на проекти. Ако действията остават отворени, защото екипите нямат капацитет, разпределете ресурси или преразгледайте плана за изпълнение. Ако никой не може да посочи вземащия решение, коригирайте делегирането, преди да приемете поредно пускане.

Поддържайте получения запис компактен: въпросът, относимите съвети по сигурността и защитата на личните данни, отговорното решение, мотивите за него, отговорните за действията и дата за преглед. Разграничавайте пропуск в доказателствата от внедрен контрол, който се е провалил. Те изискват различни последващи действия, дори когато и двата се появяват като отворена задача.

Въпроси, които ръководството трябва да изясни изрично

Трябва ли ДЛЗД да одобрява всяко пускане?

ОРЗД определя консултативна и наблюдателна роля, а не универсално изискване ДЛЗД да одобрява пусканията. Организацията може да въведе контролни точки за консултация, но трябва да разграничава консултацията от правомощието на бизнес собственика да вземе решение за пускане. Проведената консултация също не доказва, че обработването е законосъобразно.

Могат ли доказателствата за сигурност да удовлетворят прегледите по защита на личните данни?

Могат да ги подкрепят. Записи от прегледи на достъпа или тестове за възстановяване могат да послужат за оценка по член 32. Те не доказват правно основание, адекватна прозрачност или обоснован срок на съхранение. Определете какво твърдение доказва всеки елемент, вместо да третирате един пакет доказателства като одобрение за всичко.

Започнете с два процеса и малка следа от доказателства

Започнете с промените в продуктите и обработката на инциденти. За всеки от тях посочете отговорния за приемането, необходимата информация, събитията за преглед, правомощията за вземане на решения, пътя за ескалация и договореностите за заместване. Тествайте и двата с реалистични случаи, преди да разширите матрицата.

Secani свързва изисквания, доказателства, отговорни лица, задачи и решения от прегледи в общ контекст. За фокусиран обхват на услуга екипите могат да моделират поддържащите системи и доставчици, да прикачат доказателства към изискванията или решенията, които те подкрепят, и да превърнат въпросите от прегледа без отговор във възложена работа. Планирайте границите на достъпа за вътрешни и външни участници; документираната роля за OSCAL API предоставя само достъп за валидиране. Поддържайте човешкия преглед изричен за предложенията с помощта на ИИ и запазвайте източниците, коментарите, одобренията и времевите отметки.

Практичната следваща стъпка е съвместна среща с бизнес собственика, ръководителя по сигурността, екипа по защита на личните данни и ДЛЗД. Преминете през предложените предавания с една предстояща промяна и един правдоподобен инцидент. Където групата не може да посочи кой действа следващ, подобрете процеса преди следващия спешен случай.