CISO και ΥΠΔ: ξεκαθαρίστε τα σημεία παράδοσης

Οι ομάδες ασφάλειας και προστασίας δεδομένων εξετάζουν συχνά το ίδιο σύστημα από διαφορετικές οπτικές. Ο CISO ρωτά αν η πρόσβαση, η ανθεκτικότητα και η αντιμετώπιση κινδύνων είναι επαρκείς. Ο ΥΠΔ συμβουλεύει για τη νόμιμη επεξεργασία, τα δικαιώματα των προσώπων, τα μέτρα προστασίας και τη συμμόρφωση με την προστασία δεδομένων. Το έργο τους επικαλύπτεται, αλλά οι εξουσίες τους δεν πρέπει να γίνονται εναλλάξιμες.

Για τη διοίκηση, το πρακτικό ερώτημα δεν είναι απλώς ποιος φέρει κάθε τίτλο. Είναι ποιος παρέχει τα γεγονότα, ποιος συμβουλεύει, ποιος υλοποιεί και ποιος λαμβάνει την απόφαση για την οποία λογοδοτεί. Αυτές οι διακρίσεις έχουν σημασία όταν κυκλοφορεί ένα προϊόν, αλλάζει ένας προμηθευτής ή ένα περιστατικό επιβάλλει δράση πριν ολοκληρωθεί η διερεύνηση.

Μια λειτουργική ρύθμιση δίνει και στις δύο λειτουργίες έγκαιρη ορατότητα, διαφυλάσσοντας παράλληλα την ανεξαρτησία του ΥΠΔ. Καθιστά επίσης σαφές ότι ο διορισμός ειδικών, εσωτερικών ή εξωτερικών, δεν μεταφέρει τη λογοδοσία του υπευθύνου επεξεργασίας για τις αποφάσεις επεξεργασίας.

Διαχωρίστε τις εντολές πριν αναθέσετε ρόλους σε πρόσωπα

Οι αρμοδιότητες ενός CISO εξαρτώνται από τη διακυβέρνηση του οργανισμού. Ο τίτλος μπορεί να περιγράφει ένα ανώτατο στέλεχος που ηγείται μιας λειτουργίας ασφάλειας, έναν ειδικό που λειτουργεί ένα σύστημα διαχείρισης ασφάλειας πληροφοριών ή έναν σύμβουλο μερικής απασχόλησης. Ένας υπεύθυνος ασφάλειας πληροφοριών μπορεί να έχει στενότερο αντικείμενο. Ορίστε την εντολή αντί να υποθέτετε ότι ο τίτλος την καθορίζει.

Ο ΥΠΔ έχει συγκεκριμένα καθήκοντα και προστασίες που προβλέπει ο νόμος σύμφωνα με τα άρθρα 37–39 ΓΚΠΔ. Σε αυτά περιλαμβάνονται η ενημέρωση και η παροχή συμβουλών, η παρακολούθηση της συμμόρφωσης, η παροχή συμβουλών για τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων, η συνεργασία με την εποπτική αρχή και η λειτουργία ως σημείου επικοινωνίας της. Ο ΥΠΔ πρέπει να λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο και να μη λαμβάνει εντολές για την άσκηση αυτών των καθηκόντων.

Η ασφάλεια καλύπτει περισσότερα από τα δεδομένα προσωπικού χαρακτήρα. Μια επίθεση ransomware που πλήττει τεχνικά σχέδια ή τον προγραμματισμό της παραγωγής αποτελεί ζήτημα ασφάλειας ακόμη κι αν δεν εμπλέκονται δεδομένα προσωπικού χαρακτήρα. Η προστασία δεδομένων καλύπτει περισσότερα από την ασφάλεια: μια καλά προστατευμένη βάση δεδομένων μπορεί να περιέχει πληροφορίες που συλλέχθηκαν χωρίς επαρκή νομική βάση ή διατηρούνται χωρίς λόγο.

Το κοινό πεδίο περιλαμβάνει τα τεχνικά και οργανωτικά μέτρα βάσει κινδύνου που απαιτεί το άρθρο 32 ΓΚΠΔ. Οι έλεγχοι πρόσβασης, οι ρυθμίσεις αποκατάστασης και οι δοκιμές μπορούν να υποστηρίζουν και τις δύο λειτουργίες. Τα κοινά τεκμήρια είναι χρήσιμα· δεν καθιστούν όμως ταυτόσημες τις υποκείμενες αξιολογήσεις.

Προσδιορίστε ποιους ρόλους χρειάζεται πράγματι ο οργανισμός σας

Αξιολογήστε τις απαιτήσεις ορισμού ΥΠΔ ανεξάρτητα από τον σχεδιασμό προσωπικού

Ο ΥΠΔ δεν είναι αυτομάτως υποχρεωτικός για κάθε οργανισμό. Σύμφωνα με το άρθρο 37 ΓΚΠΔ, ο ορισμός του απαιτείται για δημόσιες αρχές ή φορείς, με την εξαίρεση των δικαστηρίων, και για οργανισμούς των οποίων οι βασικές δραστηριότητες περιλαμβάνουν είτε τακτική και συστηματική παρακολούθηση σε μεγάλη κλίμακα είτε επεξεργασία σε μεγάλη κλίμακα ειδικών κατηγοριών δεδομένων ή δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα.

Μην περιορίζετε αυτή την αξιολόγηση στο μέγεθος της εταιρείας. Ένας σχετικά μικρός οργανισμός μπορεί να έχει δραστηριότητες επεξεργασίας που ενεργοποιούν την υποχρέωση ορισμού, ενώ ο αριθμός εργαζομένων από μόνος του δεν απαντά στο κριτήριο του ΓΚΠΔ. Το εθνικό δίκαιο μπορεί να επιβάλλει πρόσθετες απαιτήσεις ορισμού. Στη Γερμανία, αξιολογήστε τους πρόσθετους εθνικούς κανόνες αντί να βασίζεστε αποκλειστικά στο άρθρο 37 ή σε ένα όριο αριθμού εργαζομένων που θυμάστε.

Κρατήστε μια αξιολόγηση ορισμού που προσδιορίζει τις σχετικές οντότητες, τις δραστηριότητες επεξεργασίας, τις δικαιοδοσίες, τους λόγους του συμπεράσματος και τα γεγονότα που θα προκαλούσαν επαναξιολόγηση. Μια νέα υπηρεσία παρακολούθησης, μια εξαγορά ή η μετάβαση σε επεξεργασία ευαίσθητων δεδομένων μπορεί να αλλάξει την απάντηση.

Όπου δεν απαιτείται ΥΠΔ, αναθέστε παρ' όλα αυτά αρμοδιότητες προστασίας δεδομένων. Οι υποχρεώσεις για νομικές βάσεις, διαφάνεια, χειρισμό δικαιωμάτων, ασφάλεια και λογοδοσία δεν εξαφανίζονται. Χρησιμοποιήστε συνειδητά τον επίσημο τίτλο ΥΠΔ: ένας προαιρετικός ορισμός πρέπει να αντιμετωπίζεται ως πραγματικός ρόλος ΥΠΔ και όχι απλώς ως ταμπέλα για ένα διοικητικό σημείο επαφής.

Διακρίνετε την ευθύνη για την ασφάλεια από μια καθολική απαίτηση για CISO

Δεν υπάρχει ενιαία απαίτηση του ΓΚΠΔ για τον ορισμό προσώπου με τον τίτλο CISO. Άλλοι τομεακοί ή εθνικοί κανόνες μπορεί να επηρεάζουν τη διακυβέρνηση της ασφάλειας, οπότε αξιολογήστε τους χωριστά.

Το ISO/IEC 27001 απαιτεί να ανατίθενται αρμοδιότητες και εξουσίες για το ΣΔΑΠ εντός του πεδίου εφαρμογής· δεν προβλέπει καθολικό τίτλο θέσης. Οι συμβάσεις με πελάτες μπορεί επίσης να απαιτούν ονομαστικό σημείο επαφής για την ασφάλεια, καθορισμένες αρμοδιότητες ή συγκεκριμένα τεκμήρια διασφάλισης.

Για τους οργανισμούς που εμπίπτουν στο πεδίο εφαρμογής, τα άρθρα 20–23 της οδηγίας NIS2 αφορούν την εποπτεία από τη διοίκηση, τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και την υποβολή αναφορών για περιστατικά. Η NIS2 ενσωματώνεται μέσω εθνικού δικαίου, και η εφαρμογή της εξαρτάται από τον τομέα, το μέγεθος, την υπηρεσία και τους κανόνες υπαγωγής, όχι μόνο από τον αριθμό εργαζομένων. Για δραστηριότητες στη Γερμανία, χρησιμοποιήστε τις οδηγίες του BSI για την NIS2 μαζί με την εφαρμοστέα νομοθεσία.

Η απόφαση της διοίκησης είναι επομένως διττή: προσδιορίστε τις νομικές και συμβατικές απαιτήσεις και στη συνέχεια διαθέστε πόρους για τις εργασίες ασφάλειας που χρειάζονται για τη λειτουργία της επιχείρησης. Ένας τίτλος θέσης χωρίς εξουσία, δυναμικότητα και πρόσβαση δεν λύνει κανένα από τα δύο προβλήματα.

Ελέγξτε τις συγκρούσεις συμφερόντων σε σχέση με τα πραγματικά δικαιώματα λήψης αποφάσεων

Το άρθρο 38 παράγραφος 6 ΓΚΠΔ επιτρέπει στον ΥΠΔ να εκτελεί και άλλα καθήκοντα, εφόσον αυτά δεν οδηγούν σε σύγκρουση συμφερόντων. Ο συνδυασμός ρόλων δεν απαγορεύεται αυτομάτως, απαιτεί όμως ουσιαστική αξιολόγηση. Ο κεντρικός προβληματισμός είναι αν το πρόσωπο καθορίζει σκοπούς και μέσα επεξεργασίας για τα οποία στη συνέχεια πρέπει να συμβουλεύει ή να παρακολουθεί ανεξάρτητα.

Εξετάστε την εξουσία που συνοδεύει τον προτεινόμενο διορισμό:

• Μπορεί το πρόσωπο να αποφασίσει γιατί συλλέγονται δεδομένα εργαζομένων ή πελατών;
• Μπορεί να επιλέξει εργαλεία παρακολούθησης, να ορίσει το πεδίο τους ή να καθορίσει τη διατήρηση;
• Εγκρίνει συστήματα ή ρυθμίσεις επεξεργασίας αντί απλώς να συμβουλεύει;
• Θα παρακολουθούσε αποφάσεις που έλαβε με άλλο ρόλο;
• Μπορεί να θέτει προβληματισμούς απευθείας στη διοίκηση χωρίς αντικρουόμενο κίνητρο;

Ένας CISO που εγκρίνει ρυθμίσεις παρακολούθησης εργαζομένων παρουσιάζει διαφορετικό προφίλ σύγκρουσης από έναν σύμβουλο ασφάλειας που παρέχει συστάσεις χωρίς εξουσία λήψης αποφάσεων. Οι ανώτεροι ρόλοι στο IT, στο ανθρώπινο δυναμικό και στη διοίκηση απαιτούν ιδιαίτερη εξέταση, αλλά οι τίτλοι θέσεων από μόνοι τους δεν αποτελούν πλήρη αξιολόγηση.

Τεκμηριώστε τα καθήκοντα του άλλου ρόλου, τις εκχωρημένες εξουσίες, τις γραμμές αναφοράς και τα μέτρα προστασίας. Επανεξετάστε την αξιολόγηση όταν αλλάζουν οι αρμοδιότητες. Ένας αναπληρωτής ή ένας ανεξάρτητος αξιολογητής μπορεί να βοηθήσει στη συνέχεια και στη διασφάλιση, αλλά δεν θεραπεύει αυτομάτως έναν ασύμβατο διορισμό.

Ως πρακτική σύσταση, διαχωρίστε τους ρόλους όταν η λειτουργία ασφάλειας έχει σημαντική εξουσία στην επεξεργασία δεδομένων προσωπικού χαρακτήρα. Μην αιτιολογείτε έναν διπλό διορισμό μόνο επειδή η εταιρεία είναι μικρή ή το πρόσωπο χαίρει εμπιστοσύνης. Η εμπιστοσύνη δεν αναιρεί τον αυτοέλεγχο ούτε τις ανταγωνιστικές αρμοδιότητες.

Οι εξωτερικοί διορισμοί χρειάζονται την ίδια εξέταση. Η εξωτερική ανάθεση μπορεί να προσφέρει ανεξαρτησία από τις εσωτερικές γραμμές αναφοράς, αλλά συγκρούσεις μπορούν να προκύψουν και από επικαλυπτόμενες εντολές ή από κίνητρα του παρόχου.

Ορίστε τα σημεία παράδοσης γύρω από επαναλαμβανόμενες εργασίες

Ένας πίνακας αρμοδιοτήτων πρέπει να περιγράφει αποφάσεις και παραδοτέα, όχι απλώς συμμετοχή. Αποφύγετε γραμμές που λένε «ασφάλεια και προστασία δεδομένων από κοινού υπεύθυνες» χωρίς να προσδιορίζουν ποιος πρέπει να ενεργήσει στη συνέχεια.

Το παρακάτω είναι ένα πρακτικό σημείο εκκίνησης, όχι μια νομοθετική κατανομή κάθε υποχρέωσης:

Αλλαγές προϊόντος: κάντε την πρώτη παράδοση αρκετά νωρίς ώστε να έχει σημασία

Για μια νέα πλατφόρμα πελατών, ο αρμόδιος επιχειρησιακός υπεύθυνος πρέπει να δηλώσει τον επιδιωκόμενο σκοπό και τις αποφάσεις επεξεργασίας. Παρέχετε ένα σύντομο σημείωμα αλλαγής που καλύπτει τις κατηγορίες δεδομένων, τα επηρεαζόμενα πρόσωπα, τα συστήματα, τους προμηθευτές, την πρόσβαση, τη διατήρηση και την αναμενόμενη ημερομηνία ανάπτυξης. Συμπεριλάβετε ένα σκαρίφημα ροής δεδομένων όπου διευκολύνει την κατανόηση της ρύθμισης.

Στη συνέχεια, η ασφάλεια αξιολογεί απειλές και προστασίες: προνομιακή πρόσβαση, αυθεντικοποίηση, διαχωρισμό, καταγραφή, αντίγραφα ασφαλείας και αποκατάσταση, καθώς και τα τεκμήρια που χρειάζονται πριν από την κυκλοφορία. Οι ειδικοί προστασίας δεδομένων αξιολογούν τη νομική βάση, τη διαφάνεια, την ελαχιστοποίηση, τη διατήρηση, τις σχέσεις επεξεργασίας και το αν απαιτείται ΕΑΠΔ. Σύμφωνα με το άρθρο 35 ΓΚΠΔ, ΕΑΠΔ απαιτείται όταν η επεξεργασία είναι πιθανό να επιφέρει υψηλό κίνδυνο· ζητήστε τη γνώμη του ΥΠΔ όπου έχει οριστεί.

Η παράδοση πρέπει να παράγει ρητά ευρήματα αντί για χωριστές, ανεξήγητες εγκρίσεις. Καταγράψτε τη συμβουλή του ΥΠΔ όπου συντρέχει περίπτωση, την επιχειρηματική απόφαση, τους όρους κυκλοφορίας και τον υπεύθυνο κάθε εκκρεμούς ενέργειας. Αν η διοίκηση δεν ακολουθήσει τη συμβουλή, διατηρήστε το σκεπτικό της και κλιμακώστε τους ανεπίλυτους νομικούς προβληματισμούς. Η αποδοχή επιχειρηματικού κινδύνου δεν μπορεί να καταστήσει νόμιμη μια παράνομη επεξεργασία.

Ορίστε εναύσματα επανεξέτασης, όπως νέα ευαίσθητα δεδομένα, παρακολούθηση εργαζομένων, αλλαγμένους σκοπούς, ουσιωδώς ευρύτερη πρόσβαση ή νέο προμηθευτή. Αυτό είναι πιο χρήσιμο από την απαίτηση πανομοιότυπης τεκμηρίωσης για κάθε μικρή αλλαγή διεπαφής.

Ένταξη προμηθευτών: διαχωρίστε τη διασφάλιση ασφάλειας από τη νομιμότητα της επεξεργασίας

Ο επιχειρησιακός υπεύθυνος πρέπει να προσδιορίσει την υπηρεσία, τα δεδομένα που εμπλέκονται και τι θα κάνει πράγματι ο προμηθευτής. Η ασφάλεια αξιολογεί τη σχετική διασφάλιση, τις ρυθμίσεις πρόσβασης, την υποστήριξη σε περιστατικά και την ανθεκτικότητα. Η προστασία δεδομένων αξιολογεί αν ο προμηθευτής είναι εκτελών την επεξεργασία, ανεξάρτητος υπεύθυνος επεξεργασίας ή άλλος συμμετέχων στη ρύθμιση επεξεργασίας.

Όπου εφαρμόζεται το άρθρο 28, η σύμβαση πρέπει να περιέχει τους απαιτούμενους όρους για τον εκτελούντα την επεξεργασία. Οι διεθνείς διαβιβάσεις απαιτούν ξεχωριστή αξιολόγηση· μια συμφωνία επεξεργασίας ή μια προτιμώμενη τοποθεσία φιλοξενίας δεν απαντά σε αυτό το ερώτημα.

Συμφωνήστε ποιος συγκεντρώνει τα τεκμήρια που λείπουν και ποιος διαπραγματεύεται τις συμβατικές αλλαγές. Ένα συνηθισμένο λάθος είναι να θεωρείται το ερωτηματολόγιο ασφάλειας πλήρης επανεξέταση, ενώ οι ρόλοι επεξεργασίας, οι υπεργολάβοι επεξεργασίας, η διαγραφή και οι διαβιβάσεις μένουν ανεξέταστα. Ένα άλλο είναι η διαπραγμάτευση όρων προστασίας δεδομένων χωρίς κατανόηση της πραγματικής τεχνικής πρόσβασης του προμηθευτή.

Το παραδοτέο πρέπει να προσδιορίζει ποια υπηρεσία και ποια διαμόρφωση αξιολογήθηκαν, τους όρους που έγιναν αποδεκτοί, τα ανοιχτά ερωτήματα και τα εναύσματα επαναξιολόγησης. Οι ουσιώδεις αλλαγές στην πρόσβαση, στους υπεργολάβους επεξεργασίας ή στις τοποθεσίες επεξεργασίας πρέπει να φτάνουν και στις δύο λειτουργίες.

Περιστατικά: ανταλλάξτε γεγονότα πριν υπάρξει βεβαιότητα

Σε περίπτωση πιθανής παραβίασης, η ασφάλεια διερευνά, ενώ η προστασία δεδομένων αξιολογεί τις επιπτώσεις για τα επηρεαζόμενα πρόσωπα και τη γνωστοποίηση. Καμία ομάδα δεν πρέπει να περιμένει μια ολοκληρωμένη αναφορά πριν μοιραστεί τις σχετικές πληροφορίες.

Μια πρώτη παράδοση πρέπει να αναφέρει τι συνέβη, πότε εντοπίστηκε, ποια συστήματα και δεδομένα μπορεί να εμπλέκονται, αν επηρεάστηκε η εμπιστευτικότητα, η ακεραιότητα ή η διαθεσιμότητα, ποιος περιορισμός έχει γίνει και τι παραμένει άγνωστο. Ορίστε κάποιον να τηρεί το χρονολόγιο και να ενημερώνει και τις δύο λειτουργίες καθώς αλλάζουν τα γεγονότα.

Σύμφωνα με το άρθρο 33 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας πρέπει να γνωστοποιεί την παραβίαση στην εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι εφικτό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση, εκτός αν η παραβίαση δεν είναι πιθανό να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων. Ο εκτελών την επεξεργασία πρέπει να ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση. Καταγράψτε την αξιολόγηση του χρόνου γνώσης· μην υποθέτετε ότι κάθε αρχική ειδοποίηση ξεκινά τη νόμιμη προθεσμία ούτε ότι χρειάζεται πλήρης εγκληματολογική βεβαιότητα πριν από τη δράση.

Το άρθρο 34 μπορεί να απαιτεί ανακοίνωση στα επηρεαζόμενα πρόσωπα όταν υπάρχει υψηλός κίνδυνος, με την επιφύλαξη των εξαιρέσεών του. Συμφωνήστε ποιος συντονίζει τις προθεσμίες, προετοιμάζει τις υποβολές, εγκρίνει τις επικοινωνίες και διατηρεί τα τεκμήρια. Τεκμηριώνετε τις παραβιάσεις δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένου του σκεπτικού όταν η γνωστοποίηση κρίνεται περιττή. Τα γεγονότα που λείπουν μπορεί να απαιτούν σταδιακή γνωστοποίηση και όχι σιωπή όσο συνεχίζεται η διερεύνηση.

Για ένα περιστατικό που επηρεάζει οντότητα εντός πεδίου εφαρμογής, αξιολογήστε παράλληλα αν πληροί το εφαρμοστέο κατώφλι αναφοράς σημαντικού περιστατικού της NIS2. Η οδηγία προβλέπει έγκαιρη προειδοποίηση εντός 24 ωρών, γνωστοποίηση περιστατικού εντός 72 ωρών και, κατά κανόνα, τελική έκθεση εντός ενός μήνα από τη γνωστοποίηση· ελέγξτε τους εθνικούς και τομεακούς κανόνες. Πρόκειται για διαφορετικά εναύσματα και αποδέκτες από τον ΓΚΠΔ, όχι για μία εναλλάξιμη διαδικασία αναφοράς.

Αιτήματα άσκησης δικαιωμάτων: διακρίνετε τη λειτουργική υποστήριξη από την ευθύνη για την απάντηση

Τα αιτήματα άσκησης δικαιωμάτων χρειάζονται συχνά υποστήριξη από την ασφάλεια και το IT για την αναλογική επαλήθευση ταυτότητας, τον εντοπισμό πληροφοριών, την προστασία δεδομένων τρίτων και την ασφαλή παράδοση μιας απάντησης. Η προστασία δεδομένων συντονίζει τη νομική αξιολόγηση, με τη συμβουλή του ΥΠΔ όπου ενδείκνυται. Ο υπεύθυνος επεξεργασίας παραμένει υπεύθυνος για την απάντηση.

Σύμφωνα με το άρθρο 12 ΓΚΠΔ, η συνήθης προθεσμία απάντησης είναι ένας μήνας. Παράταση δύο επιπλέον μηνών μπορεί να είναι διαθέσιμη όπου απαιτείται, με ενημέρωση και αιτιολόγηση εντός του πρώτου μήνα. Τα αιτήματα είναι κατά κανόνα δωρεάν, με περιορισμένες προϋποθέσεις για την επιβολή τέλους ή την άρνηση.

Καταγράψτε ποιος είναι υπεύθυνος για την προθεσμία, ποια συστήματα πρέπει να αναζητηθούν και ποιος εγκρίνει την κοινολόγηση. Μη ζητάτε εξ ορισμού υπερβολικά έγγραφα ταυτοποίησης και μην αφήνετε μια τεχνική εξαγωγή να γίνει απάντηση χωρίς επανεξέταση. Μια κοινή λειτουργική διαδικασία μπορεί να συνδέσει την αξιολόγηση της προστασίας δεδομένων με τις αναζητήσεις και τους ελέγχους παράδοσης που περιγράφονται στον χειρισμό αιτημάτων πρόσβασης υποκειμένων των δεδομένων.

Επιλέξτε εσωτερικό ή εξωτερικό διορισμό με βάση τις ικανότητες και την πρόσβαση

Το άρθρο 37 παράγραφος 6 ΓΚΠΔ επιτρέπει ρητά να ασκείται ο ρόλος του ΥΠΔ από μέλος του προσωπικού ή βάσει σύμβασης παροχής υπηρεσιών. Η ηγεσία της ασφάλειας μπορεί επίσης να ανατεθεί εξωτερικά ως οργανωτική ρύθμιση, με την επιφύλαξη των εφαρμοστέων απαιτήσεων και με σαφή εντολή.

Ένας εσωτερικός ΥΠΔ μπορεί να κατανοεί βαθιά την επιχείρηση και να έχει άμεση πρόσβαση στους συναδέλφους. Ο οργανισμός πρέπει παρ' όλα αυτά να παρέχει εμπειρογνωμοσύνη, πόρους, προστατευμένο χρόνο, ανεξαρτησία και αναπλήρωση. Ένας εξωτερικός ΥΠΔ μπορεί να φέρει εξειδικευμένη εμπειρία και πρόσθετη δυναμικότητα, χρειάζεται όμως αξιόπιστη πρόσβαση σε αλλαγές προϊόντων, συμβάσεις, αξιολογήσεις και περιστατικά. Κανένα μοντέλο δεν λειτουργεί αν ο ΥΠΔ μαθαίνει για τις αποφάσεις μόνο μετά την υλοποίησή τους.

Συγκρίνετε τις συνολικές λειτουργικές ανάγκες και όχι μόνο τον μισθό με την αμοιβή συμβολαίου. Λάβετε υπόψη την εκπαίδευση, τις εξειδικευμένες συμβουλές, την αναπλήρωση σε απουσίες, τον χρόνο συντονισμού, τις αιχμές των έργων και τις χρεώσεις για εργασίες εκτός πεδίου. Δεν υπάρχει αξιόπιστος καθολικός κανόνας ότι η εξωτερική ανάθεση είναι φθηνότερη.

Για εξωτερικές εντολές, συμφωνήστε:

• Ονομαστικά σημεία επαφής, αναπληρωτές, διαδρομές κλιμάκωσης και πρόσβαση στο ανώτατο διοικητικό επίπεδο.
• Ποιες επανεξετάσεις, συναντήσεις, εκπαιδεύσεις και υποστήριξη σε περιστατικά περιλαμβάνονται.
• Ρυθμίσεις απόκρισης προσαρμοσμένες σε επείγουσες και συνήθεις εργασίες.
• Πώς θα τεκμηριώνονται και θα διατηρούνται οι πληροφορίες, οι συμβουλές και οι αποφάσεις.
• Εμπιστευτικότητα, όρια πρόσβασης, χειρισμό συγκρούσεων και ρυθμίσεις αποχώρησης.

Αν ένας πάροχος παρέχει και τις δύο λειτουργίες, εξετάστε ποιος εκτελεί κάθε εντολή και πώς διαχειρίζονται οι συγκρούσεις. Διαφορετικά ονόματα σε μια προσφορά δεν αρκούν αν το ίδιο πρόσωπο ελέγχει και επανεξετάζει τις αποφάσεις επεξεργασίας.

Ορίστε έναν εσωτερικό συντονιστή με εξουσία να συγκεντρώνει πληροφορίες και να παρακολουθεί την υλοποίηση. Οι εξωτερικοί ειδικοί δεν μπορούν να αξιολογήσουν συστήματα που δεν τους γνωστοποιήθηκαν ούτε να επιβάλουν ενέργειες για τις οποίες δεν είναι υπεύθυνος κανείς εσωτερικά. Η διοίκηση διατηρεί τις αποφάσεις για τον προϋπολογισμό και τις επιχειρηματικές προτεραιότητες, και ο υπεύθυνος επεξεργασίας διατηρεί τη λογοδοσία κατά τον ΓΚΠΔ σύμφωνα με το άρθρο 24.

Προσαρμόστε τη ρύθμιση στον φόρτο εργασίας

Για έναν μικρότερο οργανισμό χωρίς υποχρέωση ορισμού ΥΠΔ, ένας ονομαστικός υπεύθυνος προστασίας δεδομένων και ένας υπεύθυνος ασφάλειας μπορεί να είναι κατάλληλοι, με διαθέσιμη εξειδικευμένη συμβουλή για δύσκολα ερωτήματα. Αυτό διαφέρει από την ανάθεση σε κάποιον επίσημου ορισμού ως ΥΠΔ.

Όπου απαιτείται ΥΠΔ αλλά οι εσωτερικοί υποψήφιοι έχουν αντικρουόμενη λειτουργική εξουσία, αξίζει να εξεταστεί ένας εξωτερικός διορισμός. Συνδυάστε τον με εσωτερική ευθύνη για την υλοποίηση αντί να περιμένετε από τον πάροχο να εκτελεί κάθε εργασία προστασίας δεδομένων.

Όπου η διασφάλιση προς τους πελάτες απαιτεί δημιουργία ΣΔΑΠ και η εσωτερική εμπειρία στην ασφάλεια είναι περιορισμένη, μια εξωτερική ηγεσία ασφάλειας μπορεί να υποστηρίξει την αρχική εργασία. Αποφασίστε ποιος θα διατηρεί στη συνέχεια τις εκτιμήσεις κινδύνου, τα τεκμήρια και τις αναφορές προς τη διοίκηση· μια ανάθεση έργου δεν πρέπει να αφήνει κενό ευθύνης όταν λήξει.

Ένας εδραιωμένος οργανισμός μπορεί να υποστηρίζει και τις δύο λειτουργίες εσωτερικά, εφόσον προστατεύει την ανεξαρτησία του ΥΠΔ και διαθέτει επαρκή δυναμικότητα. Η απόφαση πρέπει να ακολουθεί τον πραγματικό φόρτο εργασίας, τις ικανότητες και την εξουσία, όχι την υπόθεση ότι το εσωτερικό είναι πάντα καλύτερο ή το εξωτερικό πάντα ευκολότερο.

Παράδειγμα: ένας κατασκευαστής που προετοιμάζει πύλη πελατών

Ας εξετάσουμε έναν ενδεικτικό κατασκευαστή με 200 εργαζομένους, μια μικρή ομάδα IT και μια σχεδιαζόμενη πύλη για την υποστήριξη πελατών και τη συντήρηση μηχανημάτων. Ας υποθέσουμε ότι η πύλη θα περιέχει στοιχεία επικοινωνίας πελατών, ιστορικά σέρβις και αρχεία δραστηριότητας τεχνικών. Οι πελάτες ζητούν επίσης τεκμηριωμένη διακυβέρνηση ασφάλειας. Πρόκειται για υποθετικά γεγονότα, όχι για νομικό συμπέρασμα για κάθε κατασκευαστή αυτού του μεγέθους.

Η διοίκηση αναθέτει πρώτα χωριστές αξιολογήσεις για τις απαιτήσεις ορισμού ΥΠΔ και για την εφαρμογή τομεακών κανόνων κυβερνοασφάλειας. Δεν συνάγει το πεδίο εφαρμογής της NIS2 μόνο από τον αριθμό εργαζομένων. Επανεξετάζει επίσης τον υφιστάμενο ορισμό του διευθυντή IT ως ΥΠΔ, επειδή ο διευθυντής αυτός επιλέγει συστήματα και εγκρίνει τη λειτουργία τους.

Μετά την αξιολόγηση των συγκρούσεων και της δυναμικότητας, η εταιρεία ορίζει εξωτερικό ΥΠΔ και επικεφαλής ασφάλειας μερικής απασχόλησης. Ο διευθυντής IT είναι υπεύθυνος για την τεχνική υλοποίηση, ο διευθυντής σέρβις για τους σκοπούς επεξεργασίας και τις επιχειρηματικές απαιτήσεις της πύλης, και ένας εσωτερικός συντονιστής τηρεί το μητρώο ενεργειών. Ο διευθύνων σύμβουλος υποστηρίζει τις αποφάσεις και επιλύει τις διαφορές για τους πόρους.

Κατά τον σχεδιασμό, η ασφάλεια προτείνει λεπτομερή καταγραφή δραστηριότητας για τη διερεύνηση καταχρήσεων. Η προστασία δεδομένων επισημαίνει ότι τα αρχεία καταγραφής αποκαλύπτουν επίσης τη συμπεριφορά των τεχνικών. Ο διευθυντής σέρβις εξηγεί την επιχειρησιακή ανάγκη· η ασφάλεια προτείνει περιορισμένη πρόσβαση και καθορισμένη χρήση για διερευνήσεις· η προστασία δεδομένων αξιολογεί την αναγκαιότητα, τη διαφάνεια και τη διατήρηση. Η συμβουλή του ΥΠΔ καταγράφεται πριν ο υπεύθυνος που λογοδοτεί αποφασίσει τη διαμόρφωση. Ο ΥΠΔ δεν εγκρίνει τον σχεδιασμό της καταγραφής στη θέση της διοίκησης.

Το αρχείο κυκλοφορίας περιέχει την περιγραφή της ροής δεδομένων, την αξιολόγηση προμηθευτή, τα ευρήματα ασφάλειας, το αποτέλεσμα του προκαταρκτικού ελέγχου για ΕΑΠΔ, τις ενέργειες προστασίας δεδομένων και τους αποδεκτούς όρους κυκλοφορίας. Κάθε εκκρεμής ενέργεια έχει υπεύθυνο και προθεσμία.

Στη συνέχεια, η διοίκηση διοργανώνει μια άσκηση επί χάρτου με έναν παραβιασμένο λογαριασμό της πύλης. Η ασφάλεια παρέχει ένα αρχικό πακέτο γεγονότων· η προστασία δεδομένων αξιολογεί την πιθανή βλάβη· ο συντονιστής παρακολουθεί τις προθεσμίες αξιολόγησης· και ο εξουσιοδοτημένος διευθυντής χειρίζεται τις επικοινωνίες. Η άσκηση αποκαλύπτει ότι τα στοιχεία επικοινωνίας έκτακτης ανάγκης του εξωτερικού ΥΠΔ έλειπαν από τη διαδικασία περιστατικών. Η διόρθωση αυτού του μικρού κενού καθιστά την παράδοση αξιοποιήσιμη υπό πίεση.

Κάντε τη συνεργασία επανεξετάσιμη χωρίς να μοιράζεστε τα πάντα

Δώστε στις διαφωνίες μια ονομαστική διαδρομή κλιμάκωσης. Οι τεχνικοί συμβιβασμοί μπορούν να πηγαίνουν στον υπεύθυνο της υπηρεσίας και στον χορηγό από τη διοίκηση· οι ανεπίλυτοι προβληματισμοί συμμόρφωσης πρέπει να φτάνουν στο ανώτατο διοικητικό επίπεδο μέσω της ανεξάρτητης γραμμής αναφοράς του ΥΠΔ. Διατηρήστε τις διαφορετικές απόψεις αντί να ξαναγράφετε το αρχείο ώστε να υπονοεί συμφωνία.

Μοιραστείτε μόνο τις πληροφορίες που χρειάζεται κάθε ρόλος, ιδίως σε ευαίσθητες διερευνήσεις. Ο ΥΠΔ πρέπει να έχει πρόσβαση στις σχετικές πληροφορίες επεξεργασίας σύμφωνα με το άρθρο 38 ΓΚΠΔ, αλλά αυτό δεν δικαιολογεί τη διανομή ακατέργαστων αρχείων εργαζομένων ή εγκληματολογικού υλικού σε κάθε συμμετέχοντα στο έργο. Χρησιμοποιήστε όρια πρόσβασης και κατάλληλα επεξεργασμένες περιλήψεις, χωρίς να αποκρύπτετε γεγονότα αναγκαία για την αξιολόγηση.

Η διοίκηση πρέπει να επανεξετάζει λίγα λειτουργικά σήματα: αλλαγές που υλοποιήθηκαν πριν από τη διαβούλευση, ενέργειες εκπρόθεσμες μετά από συμβουλή, περιστατικά με καθυστερημένη διαλειτουργική κλιμάκωση και επαναλαμβανόμενη αβεβαιότητα για την εξουσία λήψης αποφάσεων. Αυτά αποκαλύπτουν τις αποτυχίες διακυβέρνησης πιο καθαρά από την καταμέτρηση πολιτικών ή συναντήσεων.

Μια πρακτική επανεξέταση από τη διοίκηση πρέπει να καταλήγει σε αποφάσεις, όχι απλώς σε επικαιροποιημένες αναφορές. Αν οι αξιολογήσεις φτάνουν επανειλημμένα αργά, αλλάξτε το έναυσμα εισαγωγής έργων. Αν οι ενέργειες μένουν ανοιχτές επειδή οι ομάδες δεν έχουν δυναμικότητα, διαθέστε πόρους ή αναθεωρήστε το σχέδιο υλοποίησης. Αν κανείς δεν μπορεί να προσδιορίσει τον λήπτη της απόφασης, διορθώστε την εκχώρηση πριν αποδεχτείτε μια ακόμη κυκλοφορία.

Κρατήστε το αρχείο που προκύπτει συνοπτικό: το ζήτημα, τη σχετική συμβουλή για την ασφάλεια και την προστασία δεδομένων, την απόφαση για την οποία υπάρχει λογοδοσία, το σκεπτικό της, τους υπευθύνους ενεργειών και μια ημερομηνία επανεξέτασης. Διακρίνετε ένα κενό τεκμηρίων από έναν εφαρμοσμένο έλεγχο που απέτυχε. Απαιτούν διαφορετική συνέχεια, ακόμη κι όταν και τα δύο εμφανίζονται ως ανοιχτή εργασία.

Ερωτήματα που η διοίκηση πρέπει να διευθετήσει ρητά

Πρέπει ο ΥΠΔ να εγκρίνει κάθε κυκλοφορία;

Ο ΓΚΠΔ ορίζει έναν συμβουλευτικό ρόλο και ρόλο παρακολούθησης, όχι μια καθολική απαίτηση έγκρισης κυκλοφορίας από τον ΥΠΔ. Ένας οργανισμός μπορεί να θεσπίσει σημεία διαβούλευσης, αλλά πρέπει να διακρίνει τη διαβούλευση από την εξουσία κυκλοφορίας του επιχειρησιακού υπευθύνου. Μια ολοκληρωμένη διαβούλευση επίσης δεν αποδεικνύει ότι η επεξεργασία είναι νόμιμη.

Μπορούν τα τεκμήρια ασφάλειας να καλύψουν τις επανεξετάσεις προστασίας δεδομένων;

Μπορούν να τις υποστηρίξουν. Τα αρχεία επανεξέτασης πρόσβασης ή οι δοκιμές αποκατάστασης μπορεί να τροφοδοτούν μια αξιολόγηση του άρθρου 32. Δεν θεμελιώνουν νομική βάση, επαρκή διαφάνεια ή αιτιολογημένη περίοδο διατήρησης. Προσδιορίστε τον ισχυρισμό που αποδεικνύει κάθε στοιχείο αντί να θεωρείτε ένα πακέτο τεκμηρίων έγκριση για τα πάντα.

Ξεκινήστε με δύο διαδικασίες και μια μικρή αλυσίδα τεκμηρίων

Ξεκινήστε με τις αλλαγές προϊόντος και τον χειρισμό περιστατικών. Ορίστε για καθεμία τον υπεύθυνο υποδοχής, τις απαιτούμενες πληροφορίες, τα εναύσματα επανεξέτασης, την εξουσία λήψης αποφάσεων, τη διαδρομή κλιμάκωσης και τις ρυθμίσεις αναπλήρωσης. Δοκιμάστε και τις δύο με ρεαλιστικές περιπτώσεις πριν επεκτείνετε τον πίνακα.

Το Secani συνδέει απαιτήσεις, τεκμήρια, υπευθύνους, εργασίες και αποφάσεις επανεξέτασης σε ένα κοινό πλαίσιο. Για ένα εστιασμένο πεδίο υπηρεσιών, οι ομάδες μπορούν να μοντελοποιήσουν τα υποστηρικτικά συστήματα και τους παρόχους, να επισυνάψουν τεκμήρια στις απαιτήσεις ή στις αποφάσεις που υποστηρίζουν και να μετατρέψουν τα αναπάντητα ερωτήματα επανεξέτασης σε ανατεθειμένη εργασία. Σχεδιάστε όρια πρόσβασης για εσωτερικούς και εξωτερικούς συνεργάτες· ο τεκμηριωμένος ρόλος OSCAL API παρέχει μόνο πρόσβαση επικύρωσης. Διατηρήστε ρητή την ανθρώπινη επανεξέταση για τις προτάσεις με υποβοήθηση ΤΝ και διατηρήστε πηγές, σχόλια, εγκρίσεις και χρονοσφραγίδες.

Το πρακτικό επόμενο βήμα είναι μια κοινή συνάντηση με τον επιχειρησιακό υπεύθυνο, τον επικεφαλής ασφάλειας, την ομάδα προστασίας δεδομένων και τον ΥΠΔ. Περάστε μια επερχόμενη αλλαγή και ένα εύλογο περιστατικό μέσα από τα προτεινόμενα σημεία παράδοσης. Όπου η ομάδα δεν μπορεί να προσδιορίσει ποιος ενεργεί στη συνέχεια, βελτιώστε τη διαδικασία πριν από την επόμενη επείγουσα περίπτωση.