Κυριαρχία δεδομένων στην ΕΕ: ρωτήστε ποιος μπορεί να έχει πρόσβαση στα τεκμήρια

Τα τεκμήρια συμμόρφωσης μπορούν να αποκαλύψουν την αρχιτεκτονική, ανεπίλυτες αδυναμίες, πληροφορίες για το προσωπικό, εξαρτήσεις από προμηθευτές και το ιστορικό περιστατικών. Η επιλογή του πού θα φυλάσσονται αυτά τα τεκμήρια αξίζει την ίδια προσοχή με την επιλογή του πού φυλάσσονται τα δεδομένα των πελατών. Σε ορισμένες περιπτώσεις, ένα αποθετήριο τεκμηρίων δίνει πιο συμπυκνωμένη εικόνα της επιχείρησης από οποιοδήποτε μεμονωμένο παραγωγικό σύστημα.

Για τη διοίκηση, η κυριαρχία δεδομένων στην ΕΕ είναι επομένως ζήτημα προμηθειών και λογοδοσίας: ποιος μπορεί να έχει πρόσβαση σε αυτές τις πληροφορίες, υπό ποια εξουσία, και τι συμβαίνει αν χρειαστεί να αποχωρήσουμε;

Μια ευρωπαϊκή περιοχή φιλοξενίας είναι χρήσιμη πληροφορία. Δεν είναι πλήρης απάντηση. Η απόφαση πρέπει να καλύπτει την αλυσίδα υπηρεσιών, τη νομική έκθεση, την τεχνική πρόσβαση και τη δυνατότητα διατήρησης αξιοποιήσιμων αρχείων εκτός της πλατφόρμας.

Ξεκινήστε από τις πληροφορίες που εμπιστεύεστε

Μια πλατφόρμα συμμόρφωσης μπορεί να περιέχει διαγράμματα δικτύου, επανεξετάσεις πρόσβασης, αναφορές ευπαθειών, απογραφές επεξεργασίας, εκτιμήσεις κινδύνου και διερευνήσεις περιστατικών. Συνολικά, τα αρχεία αυτά περιγράφουν τόσο τον τρόπο λειτουργίας του οργανισμού όσο και το πού χρειάζονται βελτίωση οι άμυνές του.

Περιέχουν επίσης διαφορετικά είδη ευαισθησίας. Μια επανεξέταση πρόσβασης εργαζομένων περιλαμβάνει δεδομένα προσωπικού χαρακτήρα. Μια αναφορά δοκιμής διείσδυσης μπορεί να αποκαλύπτει εκμεταλλεύσιμες αδυναμίες. Μια απόφαση της διοίκησης μπορεί να καταγράφει μια εμπορική εξάρτηση ή έναν αποδεκτό κίνδυνο. Οι κατηγορίες αυτές απαιτούν διαφορετικό χειρισμό ακόμη κι όταν βρίσκονται στον ίδιο χώρο εργασίας.

Πριν συγκρίνετε πωλητές, δημιουργήστε μια μικρή απογραφή τεκμηρίων. Για κάθε κατηγορία, καταγράψτε τον σκοπό, την ευαισθησία, τον υπεύθυνο, τους προβλεπόμενους αναγνώστες, την απαίτηση διατήρησης και το αν χρειάζεται καθόλου να μεταφορτωθεί το πρωτότυπο έγγραφο.

Για παράδειγμα, μια επανεξέταση ελέγχου μπορεί να χρειάζεται απόδειξη ότι η αποκατάσταση ολοκληρώθηκε και όχι την πλήρη τεχνική αναφορά που περιγράφει κάθε ευπάθεια. Ένα απόσπασμα με αποκρύψεις μπορεί μερικές φορές να αποδείξει το απαιτούμενο γεγονός μειώνοντας την έκθεση. Η απόκρυψη δεν πρέπει να αφαιρεί το πλαίσιο που χρειάζεται για την αξιολόγηση του τεκμηρίου.

Πρόκειται για πρακτική σύσταση, όχι για καθολική απαίτηση να αντικαθίστανται τα πρωτότυπα με περιλήψεις. Ο στόχος είναι ο χειρισμός των τεκμηρίων να γίνεται συνειδητά, αντί να αφήνεται κάθε αίτημα ελέγχου να διευρύνει επ' αόριστον το αποθετήριο.

Διαχωρίστε την τοποθεσία, τον έλεγχο και τη νομική συμμόρφωση

Η τοποθεσία των δεδομένων αφορά το πού βρίσκονται. Η κυριαρχία αφορά επίσης τον έλεγχο, την πρόσβαση, τη νομική έκθεση και τη δυνατότητα μεταφοράς ή συνέχισης της χρήσης των πληροφοριών. Κανένας από τους δύο όρους δεν πρέπει να αντιμετωπίζεται ως πιστοποιητικό συμμόρφωσης.

Οι διαστάσεις αυτές αλληλεπιδρούν, αλλά δεν είναι εναλλάξιμες. Μια υπηρεσία που φιλοξενείται στην ΕΕ μπορεί να περιλαμβάνει προσωπικό υποστήριξης ή επεξεργασία εκτός ΕΕ. Ένας πωλητής ευρωπαϊκής ιδιοκτησίας μπορεί να εξαρτάται από υποδομές, παρακολούθηση ή υπηρεσίες ΤΝ που λειτουργούν άλλες οντότητες. Η ιδιοκτησία από μόνη της δεν αποδεικνύει ότι κάθε διαδρομή πρόσβασης είναι αποδεκτή.

Ομοίως, η έκθεση σε άλλη δικαιοδοσία δεν σημαίνει ότι η κοινολόγηση είναι αναπόφευκτη ούτε ότι η υπηρεσία είναι αυτομάτως παράνομη. Αξιολογήστε τις σχετικές οντότητες, το εφαρμοστέο δίκαιο, την πρακτική πρόσβαση και τις εγγυήσεις. Όπου η υποχρεωτική κοινολόγηση είναι ουσιώδης για την απόφαση, ζητήστε νομική συμβουλή αντί να βασίζεστε σε μια ετικέτα εθνικότητας ή σε μια διαβεβαίωση πωλήσεων.

Κατανοήστε ποιοι κανόνες εφαρμόζονται πράγματι

Ο ΓΚΠΔ δεν επιβάλλει γενικό κανόνα ότι όλα τα δεδομένα προσωπικού χαρακτήρα πρέπει να παραμένουν στην ΕΕ. Απαιτεί κατάλληλη νομική βάση και σύννομη επεξεργασία, που περιλαμβάνει την ασφάλεια, τις ρυθμίσεις με εκτελούντες την επεξεργασία και, όπου εφαρμόζονται, τις απαιτήσεις για διεθνείς διαβιβάσεις.

Για ένα αποθετήριο συμμόρφωσης που περιέχει δεδομένα προσωπικού χαρακτήρα, προσδιορίστε τους ρόλους των μερών και εξετάστε τους όρους επεξεργασίας του άρθρου 28 όπου υπάρχει σχέση εκτελούντος την επεξεργασία. Αξιολογήστε χωριστά τις ρυθμίσεις διαβίβασης του Κεφαλαίου V. Η υπογραφή μιας συμφωνίας επεξεργασίας δεν λύνει το ζήτημα των διαβιβάσεων, και η επιλογή μιας περιοχής αποθήκευσης στην ΕΕ δεν εξαλείφει την ανάγκη να εξεταστεί η πρόσβαση από το εξωτερικό ή η περαιτέρω επεξεργασία.

Το άρθρο 32 απαιτεί ασφάλεια κατάλληλη προς τον κίνδυνο. Η κρυπτογράφηση μπορεί να είναι σημαντικό μέτρο, αλλά ο ΓΚΠΔ δεν προβλέπει έναν ενιαίο σχεδιασμό κρυπτογράφησης για κάθε αποθετήριο. Το άρθρο 48 αφορά επίσης αποφάσεις δικαστηρίων ή διοικητικών αρχών τρίτων χωρών που απαιτούν διαβίβαση ή κοινολόγηση· δεν πρέπει να διαβάζεται ως καθολική ασπίδα κατά της πρόσβασης από το εξωτερικό.

Άλλες υποχρεώσεις εξαρτώνται από τον οργανισμό. Η NIS2, που ενσωματώνεται μέσω εθνικού δικαίου, περιλαμβάνει εποπτεία από τη διοίκηση και μέτρα ασφάλειας της εφοδιαστικής αλυσίδας για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής της. Ο DORA θεσπίζει υποχρεώσεις για τον κίνδυνο από τρίτους παρόχους ΤΠΕ για τις χρηματοοικονομικές οντότητες που καλύπτονται. Κανένας από τους δύο δεν πρέπει να περιορίζεται σε μια γενική οδηγία να αγοράζετε ευρωπαϊκό λογισμικό.

Η ευρωπαϊκή πολιτική για την κυριαρχία και οι συζητήσεις για τις δημόσιες προμήθειες χρειάζονται επίσης προσεκτική ερμηνεία. Διαχωρίστε τις θεσπισμένες υποχρεώσεις από τις προτάσεις, τις πολιτικές διακηρύξεις, τα κριτήρια προμηθειών και τα συστήματα πιστοποίησης. Οι απαιτήσεις της Γαλλίας και της Γερμανίας δεν πρέπει να αντιμετωπίζονται ως εναλλάξιμες ούτε ως αυτομάτως εφαρμοστέες σε κάθε ιδιωτική επιχείρηση στην Ευρώπη.

Ζητήστε από τους νομικούς συμβούλους και το τμήμα προμηθειών να τεκμηριώσουν τις συγκεκριμένες εθνικές, τομεακές και πελατειακές απαιτήσεις που επηρεάζουν την αγορά σας. Μια έκθεση διασφάλισης cloud μπορεί να συμβάλει στα τεκμήρια, αλλά δεν κρίνει το ζήτημα της κυριαρχίας. Για παράδειγμα, ο κατάλογος C5 του BSI αφορά ελέγχους cloud και βεβαίωση· δεν είναι γενική πιστοποίηση κυριαρχίας.

Χαρτογραφήστε ολόκληρη την αλυσίδα υπηρεσιών

Το πιο χρήσιμο έγγραφο για την αγορά είναι ένας χάρτης χειρισμού τεκμηρίων. Δείχνει πώς οι πληροφορίες εισέρχονται στην υπηρεσία, ποια συστήματα τις επεξεργάζονται, ποιος μπορεί να έχει πρόσβαση σε αυτές και πώς εξέρχονται.

Ζητήστε απαντήσεις για την παραγωγική αποθήκευση, τα αντίγραφα αναπαραγωγής, τα αντίγραφα ασφαλείας, την αποκατάσταση από καταστροφή, τα αρχεία καταγραφής εφαρμογών, την παρακολούθηση, τα αιτήματα υποστήριξης και τα προσωρινά αντίγραφα για την αντιμετώπιση προβλημάτων. Συμπεριλάβετε τις εξαγωγές και τις ειδοποιήσεις μέσω email: ένα ευαίσθητο εύρημα μπορεί να διαφύγει από το προβλεπόμενο όριο μέσω μιας ειδοποίησης, ακόμη κι αν το συνημμένο του παραμένει εντός της πλατφόρμας.

Για κάθε στοιχείο, καταγράψτε:

• Τη λειτουργούσα οντότητα και τον ρόλο της.
• Τις κατηγορίες δεδομένων που λαμβάνει και τον σκοπό της επεξεργασίας.
• Τις τοποθεσίες αποθήκευσης και επεξεργασίας, συμπεριλαμβανομένων των τοποθεσιών απομακρυσμένης πρόσβασης.
• Τις εξουσιοδοτημένες ομάδες πρόσβασης και τυχόν περαιτέρω παρόχους που εμπλέκονται.
• Τη διατήρηση, τη διαγραφή και τον χειρισμό των αντιγράφων ασφαλείας.
• Τους συμβατικούς όρους που διέπουν τη δραστηριότητα.

Διακρίνετε τον προμηθευτή υποδομών ενός παρόχου από έναν εργολάβο υποστήριξης ή από έναν πάροχο επεξεργασίας ΤΝ. Οι λειτουργίες και η πρόσβασή τους μπορεί να διαφέρουν ουσιωδώς. Μια λίστα με λογότυπα πωλητών δεν υποκαθιστά αυτόν τον χάρτη.

Εξετάστε επίσης τη διαχείριση αλλαγών. Πώς θα ενημερωθείτε για έναν νέο υπεργολάβο επεξεργασίας, μια αλλαγμένη τοποθεσία επεξεργασίας ή μια αναθεωρημένη ρύθμιση υποστήριξης; Ποια δικαιώματα επανεξέτασης ή αντίρρησης υπάρχουν και τι συμβαίνει αν η προτεινόμενη αλλαγή συγκρούεται με τις απαιτήσεις σας; Μια ικανοποιητική αξιολόγηση σήμερα χρειάζεται έναν μηχανισμό εντοπισμού αλλαγών αύριο.

Αντιμετωπίστε την επεξεργασία ΤΝ ως ξεχωριστή διαδρομή κοινολόγησης

Η επανεξέταση τεκμηρίων με υποβοήθηση ΤΝ μπορεί να εισαγάγει έναν ακόμη πάροχο και μια ακόμη πολιτική διατήρησης. Μια λειτουργία που συνοψίζει μια αναφορά περιστατικού μπορεί να μεταδίδει την αναφορά, το εξαγόμενο κείμενο, προτροπές, μεταδεδομένα ή διαγνωστικές πληροφορίες πέρα από την κύρια εφαρμογή.

Ρωτήστε τι φτάνει στον πάροχο ΤΝ, για ποιον σκοπό και υπό ποιους συμβατικούς όρους. Επιβεβαιώστε στην τρέχουσα συμφωνία τη χρήση για εκπαίδευση μοντέλων, τη διατήρηση, την ανθρώπινη πρόσβαση, τις τοποθεσίες επεξεργασίας και την περαιτέρω επεξεργασία. Μην υποθέτετε ότι ένας εταιρικός λογαριασμός ή μια δήλωση «χωρίς εκπαίδευση» σημαίνει επίσης χωρίς διατήρηση ή χωρίς πρόσβαση υποστήριξης.

Ξεκαθαρίστε αν οι λειτουργίες ΤΝ είναι προαιρετικές και αν μπορούν να εφαρμοστούν περιορισμοί σε ευαίσθητο υλικό. Αν η πλατφόρμα δεν μπορεί να επιβάλει το απαιτούμενο όριο, μια εσωτερική οδηγία να μη μεταφορτώνονται έγγραφα περιορισμένης πρόσβασης μπορεί να είναι υπερβολικά εύθραυστη για συνήθη χρήση.

Μια πρακτική επανεξέταση πρέπει να παρακολουθεί ένα αντιπροσωπευτικό έγγραφο μέσα από τη λειτουργία. Προσδιορίστε την πηγή, το περιεχόμενο που μεταδίδεται, το αποτέλεσμα, τα αρχεία που διατηρούνται και τους αξιολογητές. Οι παραγόμενες περιλήψεις μπορεί να περιέχουν οι ίδιες ευαίσθητες πληροφορίες, επομένως ανήκουν στον χάρτη χειρισμού.

Η ανθρώπινη επανεξέταση παραμένει απαραίτητη για τα συμπεράσματα που αφορούν τεκμήρια. Αποτελεί ξεχωριστή εγγύηση από τους περιορισμούς επεξεργασίας: η έγκριση μιας περίληψης που δημιουργήθηκε από ΤΝ δεν εγκρίνει αναδρομικά μια μη αποδεκτή κοινολόγηση της πηγής της.

Ρωτήστε ποιος μπορεί πράγματι να αποκρυπτογραφεί και να διαχειρίζεται

Η κρυπτογράφηση προστατεύει τις πληροφορίες μόνο εντός των ορίων του σχεδιασμού και της λειτουργίας της. Η κρυπτογράφηση κατά τη μεταφορά προστατεύει τις συνδέσεις· η κρυπτογράφηση σε κατάσταση ηρεμίας προστατεύει τα αποθηκευμένα δεδομένα υπό συγκεκριμένες παραδοχές απειλών. Καμία από τις δύο δεν εμποδίζει αυτομάτως μια εξουσιοδοτημένη εφαρμογή ή έναν προνομιούχο χειριστή να διαβάσει το περιεχόμενο.

Ρωτήστε ποιος ελέγχει τα κλειδιά, ποιος μπορεί να ενεργοποιήσει την αποκρυπτογράφηση και αν οι διαχειριστές μπορούν να αλλάξουν τα δικαιώματα που διέπουν αυτή την πρόσβαση. Μια ρύθμιση με κλειδιά υπό τη διαχείριση του πελάτη μπορεί να βελτιώσει τον έλεγχο, αλλά το αποτέλεσμά της εξαρτάται από την αρχιτεκτονική. Αν η υπηρεσία λαμβάνει συνήθως απλό κείμενο, η κυριότητα των κλειδιών από μόνη της δεν αφαιρεί την πρόσβαση του παρόχου.

Ζητήστε από την τεχνική ομάδα να εξετάσει τον διαχωρισμό, την εναλλαγή, την ανάκληση και την ανάκτηση των κλειδιών, καθώς και τις συνέπειες της απώλειας κλειδιών. Η διοίκηση πρέπει να κατανοεί κάθε συμβιβασμό ως προς τη διαθεσιμότητα πριν τον εγκρίνει. Ένα ισχυρότερο όριο πρόσβασης που καθιστά επίσης μη ανακτήσιμα ουσιώδη τεκμήρια δεν αποτελεί πλήρη λύση συνέχειας.

Η πρόσβαση υποστήριξης αξίζει ιδιαίτερη προσοχή. Αναζητήστε ονομαστικές ταυτότητες, περιορισμένα προνόμια, χρονικά οριοθετημένη εξουσιοδότηση, έγκριση από τον πελάτη όπου ενδείκνυται και ενέργειες που μπορούν να ελεγχθούν. Ρωτήστε πώς λειτουργεί η πρόσβαση έκτακτης ανάγκης και πώς επανεξετάζεται εκ των υστέρων.

Το ερώτημα της αγοράς δεν είναι απλώς αν η πρόσβαση καταγράφεται. Είναι αν ο οργανισμός μπορεί να αποκτήσει αρκετές πληροφορίες για να διερευνήσει ένα συμβάν: ποιος είχε πρόσβαση σε ποιες εγγραφές, πότε, για ποιον λόγο και με ποια εξουσιοδότηση. Συμφωνήστε ποια τεκμήρια θα είναι διαθέσιμα πριν ένα περιστατικό καταστήσει το ερώτημα επείγον.

Κάντε τη φορητότητα μια απαίτηση που δοκιμάζεται

Η φορητότητα είναι μέρος της κυριαρχίας, επειδή ο έλεγχος αποδυναμώνεται όταν η αποχώρηση σημαίνει απώλεια του νοήματος των τεκμηρίων.

Δοκιμάστε μια αντιπροσωπευτική εξαγωγή πριν δεσμευτείτε. Τα αρχεία από μόνα τους μπορεί να μη διατηρούν τις σχέσεις μεταξύ ελέγχων, τεκμηρίων, ευρημάτων, υπευθύνων, εγκρίσεων και αποφάσεων. Ένας φάκελος με PDF μπορεί να διατηρεί τα έγγραφα χάνοντας το αρχείο του τι απέδειξαν και ποιος αποδέχτηκε το συμπέρασμα.

Επιλέξτε ένα δείγμα που περιέχει ένα συνημμένο, τον συνδεδεμένο έλεγχο, ένα σχόλιο επανεξέτασης, μια έγκριση, ένα ανοιχτό εύρημα και τις σχετικές χρονοσφραγίδες. Ζητήστε από κάποιον εκτός της ομάδας υλοποίησης να ανασυνθέσει την απόφαση από την εξαγωγή. Έτσι δοκιμάζεται η αξιοποιησιμότητα και όχι απλώς η ύπαρξη ενός κουμπιού εξαγωγής.

Το OSCAL παρέχει χρήσιμα μοντέλα για φορητές πληροφορίες ασφάλειας. Οι δημοσιευμένες προδιαγραφές του μπορούν να υποστηρίξουν δομημένη ανταλλαγή, αλλά η χρήση ενός ανοιχτού μορφότυπου δεν αποδεικνύει αυτομάτως πληρότητα ή συμβατότητα. Ελέγξτε τις εκδόσεις μοντέλων, τα αναγνωριστικά, τα συνημμένα, τις επεκτάσεις και το αν το σύστημα παραλαβής μπορεί να ερμηνεύσει την εξαγόμενη δομή.

Οι συμβατικοί όροι αποχώρησης έχουν σημασία παράλληλα με τους μορφότυπους. Ορίστε πότε είναι διαθέσιμες οι εξαγωγές, ποια συνδρομή παρέχεται, αν ισχύουν χρεώσεις και για πόσο συνεχίζεται η πρόσβαση μετά τη λήξη. Ρυθμίστε χωριστά τη διαγραφή των ενεργών εγγραφών και τον χειρισμό των αντιγράφων ασφαλείας.

Παράδειγμα: απόφαση για το τι μπορεί να εισέλθει σε ένα αποθετήριο

Ας εξετάσουμε μια ενδεικτική εταιρεία λογισμικού με έδρα στην ΕΕ που επιλέγει μια πλατφόρμα τεκμηρίων. Ας υποθέσουμε ότι το αρχικό της πεδίο περιλαμβάνει επανεξετάσεις πρόσβασης εργαζομένων, ευρήματα δοκιμών ασφάλειας με αποκρύψεις και αρχεία αποφάσεων για περιστατικά. Η εσωτερική της πολιτική απαιτεί αποθήκευση στην ΕΕ για αυτό το πεδίο και ρητή αξιολόγηση κάθε πρόσβασης εκτός ΕΕ. Πρόκειται για υποθέσεις του παραδείγματος, όχι για καθολικές νομικές απαιτήσεις.

Ο πωλητής επιβεβαιώνει παραγωγική αποθήκευση στην ΕΕ. Η περαιτέρω επανεξέταση εντοπίζει μια ξεχωριστή υπηρεσία αιτημάτων υποστήριξης και έναν προαιρετικό πάροχο περιλήψεων ΤΝ. Η ομάδα δεν κηρύσσει την πλατφόρμα αποδεκτή ή μη αποδεκτή μόνο με βάση την απάντηση για τη φιλοξενία.

Αντί γι' αυτό, τεκμηριώνει τρεις αποφάσεις:

Στη συνέχεια, η ομάδα δοκιμάζει αν ευαίσθητα συνημμένα εισέρχονται σε αιτήματα υποστήριξης, επαληθεύει τους προτεινόμενους περιορισμούς πρόσβασης και εξάγει ένα πλήρες αρχείο επανεξέτασης.

Ας υποθέσουμε ότι οι όροι επεξεργασίας ΤΝ παραμένουν ασαφείς. Η διοίκηση μπορεί να εγκρίνει μια στενότερη ανάπτυξη μόνο αν η εξαίρεση από αυτή την επεξεργασία είναι αξιόπιστη. Αν δεν μπορεί να επιβληθεί, το επηρεαζόμενο υλικό μένει εκτός της ανάπτυξης. Το ανεπίλυτο ζήτημα αποκτά υπεύθυνο και προθεσμία απόφασης αντί να χάνεται σε μια γενική βαθμολογία κινδύνου πωλητή.

Το παραδοτέο είναι μια οριοθετημένη έγκριση: καθορισμένες κατηγορίες τεκμηρίων, επιτρεπόμενη επεξεργασία, περιορισμοί, ανοιχτά ερωτήματα και εναύσματα επανεξέτασης. Είναι πιο χρήσιμο από μια ανεπιφύλακτη δήλωση ότι ο πωλητής είναι «κυρίαρχος».

Θέστε την απόφαση υπό την ευθύνη της διοίκησης

Το τμήμα προμηθειών μπορεί να συγκεντρώνει έγγραφα, η ασφάλεια μπορεί να αξιολογεί τους ελέγχους πρόσβασης και το νομικό τμήμα μπορεί να αξιολογεί τις υποχρεώσεις. Η διοίκηση είναι υπεύθυνη για την επιχειρηματική απόφαση σχετικά με την αποδεκτή έκθεση και εξάρτηση. Όπου εμπλέκεται ΥΠΔ, διαφυλάξτε τις ανεξάρτητες συμβουλευτικές αρμοδιότητες και αρμοδιότητες παρακολούθησης του ρόλου αντί να καθιστάτε τον ΥΠΔ υπεύθυνο για τις αποφάσεις επεξεργασίας.

Χρησιμοποιήστε ρητά κριτήρια αποδοχής. Η ασαφής προνομιακή πρόσβαση, οι ανεξήγητες τοποθεσίες επεξεργασίας ή μια μη αξιοποιήσιμη διαδρομή αποχώρησης μπορεί να είναι αποκλειστικοί παράγοντες για ένα ευαίσθητο πεδίο. Άλλα κενά μπορεί να επιτρέπουν μια περιορισμένη ανάπτυξη με τεκμηριωμένους όρους. Καταγράψτε ποιος μπορεί να αποδεχτεί κάθε υπολειπόμενο κίνδυνο και τι θα επέβαλλε επαναξιολόγηση.

Συνηθισμένα λάθη είναι η αποδοχή του «φιλοξενείται στην ΕΕ» χωρίς χάρτη της αλυσίδας υπηρεσιών, η αντιμετώπιση της κρυπτογράφησης ως απόδειξης ότι κανείς άλλος δεν μπορεί να διαβάσει τα δεδομένα και η αναβολή της δοκιμής εξαγωγής μέχρι τη λήξη. Ένα ακόμη είναι η υπόθεση ότι μια πιστοποίηση ή μια έκθεση ελέγχου καλύπτει ακριβώς την υπηρεσία, τη διαδρομή επεξεργασίας και τις κατηγορίες τεκμηρίων που αγοράζονται. Ελέγξτε το πεδίο και τους περιορισμούς.

Μετατρέψτε την αξιολόγηση σε επαναλήψιμη ροή εργασίας

Το Secani συνδέει τα τεκμήρια με απαιτήσεις, ελέγχους, αντικείμενα-στόχους και επανεξετασμένες αποφάσεις, χρησιμοποιώντας ανοιχτά μοντέλα ελέγχων ασφάλειας ως θεμέλιο του προϊόντος. Μια εστιασμένη ροή εργασίας μπορεί να ξεκινήσει με μία υπηρεσία, ονομαστικούς υπευθύνους, τις εξαρτήσεις της από εξωτερικούς παρόχους και τα έγγραφα που στηρίζουν την απόφαση αγοράς. Οι απαντήσεις που λείπουν γίνονται εργασίες· οι προτάσεις με υποβοήθηση ΤΝ παραμένουν προσχέδια που υπόκεινται σε ανθρώπινη επανεξέταση και ιχνηλασιμότητα πηγών.

Κρατήστε τις ρυθμίσεις φιλοξενίας, επεξεργασίας, πρόσβασης και εξαγωγής της επιλεγμένης υπηρεσίας μαζί με την απόφαση αγοράς. Επανεξετάστε αυτό το αρχείο όταν αλλάζουν διαμορφώσεις, υπεργολάβοι επεξεργασίας ή συμβατικοί όροι. Έτσι ο επόμενος αξιολογητής έχει σαφή βάση για να ελέγξει αν η ρύθμιση εξακολουθεί να πληροί τις απαιτήσεις του οργανισμού.

Το πρακτικό επόμενο βήμα είναι να επιλέξετε μία κατηγορία ευαίσθητων τεκμηρίων και να ανιχνεύσετε ολόκληρη τη διαδρομή της. Φέρτε τον χάρτη που προκύπτει, μια δοκιμασμένη εξαγωγή και τα ανεπίλυτα ερωτήματα πρόσβασης στην απόφαση αγοράς. Έτσι η διοίκηση αποκτά μια επανεξετάσιμη βάση για να αποφασίσει ποιος μπορεί να κατέχει τα τεκμήρια και υπό ποιους όρους.