CISO ja andmekaitseametnik: tehke üleandmised selgeks

Turvalisuse ja privaatsuse meeskonnad uurivad sageli sama süsteemi eri suundadest. CISO küsib, kas juurdepääs, toimepidevus ja riskikäsitlus on piisavad. Andmekaitseametnik nõustab seadusliku töötlemise, isikute õiguste, kaitsemeetmete ja andmekaitsenõuete täitmise küsimustes. Nende töö kattub, kuid nende volitused ei tohiks muutuda omavahel asendatavaks.

Juhtkonna jaoks ei ole praktiline küsimus lihtsalt see, kellel on milline ametinimetus. Küsimus on selles, kes esitab faktid, kes nõustab, kes rakendab ja kes teeb vastutava otsuse. Need eristused on olulised, kui käivitatakse toode, vahetub tarnija või intsident sunnib tegutsema enne uurimise lõppu.

Toimiv korraldus annab mõlemale funktsioonile varajase nähtavuse, säilitades samal ajal andmekaitseametniku sõltumatuse. Samuti teeb see selgeks, et spetsialistide määramine – olgu sisemiselt või väliselt – ei kanna üle vastutava töötleja vastutust töötlemisotsuste eest.

Eristage mandaadid enne inimeste määramist

CISO kohustused sõltuvad organisatsiooni juhtimiskorraldusest. Ametinimetus võib tähistada turvafunktsiooni juhtivat tippjuhti, infoturbe juhtimissüsteemi haldavat spetsialisti või osalise tööajaga nõustajat. Infoturbejuhil võib olla kitsam pädevus. Määratlege mandaat, selle asemel et eeldada, et ametinimetus selle paika paneb.

Andmekaitseametnikul on GDPR-i artiklite 37–39 kohased konkreetsed seadusjärgsed ülesanded ja kaitse. Nende hulka kuuluvad teavitamine ja nõustamine, nõuetele vastavuse jälgimine, nõustamine andmekaitsealaste mõjuhinnangute osas, koostöö järelevalveasutusega ja selle kontaktisikuna tegutsemine. Andmekaitseametnik peab alluma otse kõrgeimale juhtimistasandile ega tohi saada juhiseid nende ülesannete täitmise kohta.

Turvalisus hõlmab enamat kui isikuandmeid. Lunavararünnak, mis mõjutab inseneri jooniseid või tootmise planeerimist, on turvaprobleem ka siis, kui isikuandmeid ei ole kaasatud. Privaatsus hõlmab enamat kui turvalisust: hästi kaitstud andmebaas võib ikkagi sisaldada teavet, mis on kogutud ilma piisava õigusliku aluseta või mida säilitatakse põhjendamatult.

Ühine ala hõlmab GDPR-i artikliga 32 nõutavaid riskipõhiseid tehnilisi ja korralduslikke meetmeid. Juurdepääsukontrollid, taastamiskorraldus ja testimine võivad toetada mõlemat funktsiooni. Ühised tõendid on kasulikud; need ei muuda aluseks olevaid hinnanguid identseks.

Tehke kindlaks, milliseid rolle teie organisatsioon tegelikult vajab

Hinnake andmekaitseametniku määramise nõudeid töötajate arvu planeerimisest eraldi

Andmekaitseametnik ei ole automaatselt nõutav igas organisatsioonis. GDPR-i artikli 37 kohaselt on määramine nõutav avaliku sektori asutustele või organitele, arvestades kohtuid puudutavat erandit, ning organisatsioonidele, mille põhitegevus hõlmab kas ulatuslikku korrapärast ja süstemaatilist jälgimist või eriliigiliste isikuandmete või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete ulatuslikku töötlemist.

Ärge taandage seda hinnangut ettevõtte suurusele. Suhteliselt väikesel organisatsioonil võivad olla töötlemistoimingud, mis tingivad määramise, samas kui ainuüksi töötajate arv ei vasta GDPR-i kriteeriumile. Riigisisene õigus võib kehtestada täiendavaid määramisnõudeid. Saksamaal hinnake täiendavaid riigisiseseid reegleid, selle asemel et toetuda üksnes artiklile 37 või meelde jäänud töötajate arvu künnisele.

Säilitage määramise hinnang, milles on nimetatud asjakohased üksused, töötlemistoimingud, jurisdiktsioonid, järelduse põhjused ja sündmused, mis käivitaksid uue hindamise. Uus jälgimisteenus, ülevõtmine või üleminek tundlike andmete töötlemisele võib vastust muuta.

Kui andmekaitseametnikku ei ole vaja, määrake privaatsuskohustused siiski. Õiguslikud alused, läbipaistvus, õiguste käsitlemine, turvalisus ja vastutuskohustused ei kao. Olge ametliku andmekaitseametniku nimetuse kasutamisel teadlik: vabatahtlikku määramist tuleks käsitleda tõelise andmekaitseametniku rollina, mitte lihtsalt haldusliku kontaktisiku sildina.

Eristage turvalisuse omanikuvastutus universaalsest CISO nõudest

GDPR ei sisalda üht nõuet määrata keegi CISO ametinimetusega. Muud valdkondlikud või riigisisesed reeglid võivad mõjutada turvalisuse juhtimist, seega hinnake neid eraldi.

ISO/IEC 27001 nõuab, et käsitlusalasse kuuluva ISMS-i kohustused ja volitused oleksid määratud; see ei näe ette universaalset ametinimetust. Kliendilepingud võivad samuti nõuda nimetatud turvakontakti, määratletud kohustusi või konkreetseid kindlustandvaid tõendeid.

Käsitlusalasse kuuluvate organisatsioonide puhul käsitlevad NIS2 artiklid 20–23 juhtkonna järelevalvet, küberturvalisuse riskijuhtimise meetmeid ja intsidentidest teatamist. NIS2 rakendatakse riigisisese õiguse kaudu ning kohaldatavus sõltub sektorist, suurusest, teenusest ja kaasamisreeglitest – mitte ainult töötajate arvust. Saksamaa tegevuste puhul kasutage kohaldatavate õigusaktide kõrval BSI NIS2 juhiseid.

Juhtkonna otsus on seega kahetine: tehke kindlaks õiguslikud ja lepingulised nõuded ning seejärel tagage ressursid turvatööks, mida on vaja ettevõtte toimimiseks. Ametinimetus ilma volituste, võimekuse ja juurdepääsuta ei lahenda kumbagi probleemi.

Kontrollige huvide konflikti tegelike otsustusõiguste põhjal

GDPR-i artikli 38 lõige 6 lubab andmekaitseametnikul täita muid ülesandeid, tingimusel et need ei tekita huvide konflikti. Rollide ühendamine ei ole automaatselt keelatud, kuid nõuab sisulist hindamist. Peamine küsimus on, kas isik määrab kindlaks töötlemise eesmärgid ja vahendid, mille kohta ta peab seejärel sõltumatult nõu andma või mida ta peab jälgima.

Uurige kavandatava määramisega seotud volitusi:

• Kas isik saab otsustada, miks töötajate või klientide andmeid kogutakse?
• Kas ta saab valida jälgimisvahendeid, määrata nende ulatuse või otsustada säilitamise üle?
• Kas ta kinnitab süsteeme või töötlemiskorraldusi, mitte ainult ei nõusta?
• Kas ta jälgiks otsuseid, mille ta tegi teises rollis?
• Kas ta saab tõstatada muresid otse juhtkonnale ilma vastuolulise stiimulita?

CISO, kes kinnitab töötajate jälgimise korraldusi, kujutab endast teistsugust konfliktiprofiili kui turvanõustaja, kes annab soovitusi ilma otsustusõiguseta. IT, personali ja juhtkonna kõrgemad rollid vajavad erilist tähelepanu, kuid ainult ametinimetused ei ole täielik hinnang.

Dokumenteerige teise rolli ülesanded, delegeeritud volitused, alluvussuhted ja kaitsemeetmed. Vaadake hinnang uuesti läbi, kui kohustused muutuvad. Asetäitja või sõltumatu ülevaataja võib aidata järjepidevuse ja kindlustandmise osas, kuid ei paranda automaatselt kokkusobimatut määramist.

Praktilise soovitusena eraldage rollid, kui turvafunktsioonil on isikuandmete töötlemise üle märkimisväärne võim. Ärge põhjendage topeltmääramist üksnes sellega, et ettevõte on väike või inimest usaldatakse. Usaldus ei kõrvalda enesehindamist ega konkureerivaid kohustusi.

Välised määramised vajavad sama tähelepanu. Allhange võib pakkuda sõltumatust sisemistest alluvussuhetest, kuid konfliktid võivad siiski tekkida kattuvate mandaatide või pakkuja stiimulite kaudu.

Määratlege üleandmised korduva töö ümber

Vastutusmaatriks peaks kirjeldama otsuseid ja tulemusi, mitte ainult osalemist. Vältige ridu, mis ütlevad „turvalisus ja privaatsus vastutavad ühiselt“, ilma et oleks märgitud, kes peab järgmisena tegutsema.

Järgnev on praktiline lähtepunkt, mitte iga kohustuse seadusjärgne jaotus:

Tootemuudatused: tehke esimene üleandmine piisavalt vara, et sellel oleks mõju

Uue kliendiplatvormi puhul peaks vastutav äriomanik esitama kavandatud eesmärgi ja töötlemisotsused. Esitage lühike muudatuse kirjeldus, mis hõlmab andmekategooriaid, mõjutatud inimesi, süsteeme, tarnijaid, juurdepääsu, säilitamist ja eeldatavat juurutamise kuupäeva. Lisage andmevoo skeem, kui see muudab korralduse kergemini mõistetavaks.

Seejärel hindab turvalisus ohte ja kaitset: privilegeeritud juurdepääsu, autentimist, eraldamist, logimist, varundamist ja taastamist ning enne väljalaset vajalikke tõendeid. Privaatsuse spetsialistid hindavad õiguslikku alust, läbipaistvust, andmete minimeerimist, säilitamist, töötlemissuhteid ja seda, kas andmekaitsealane mõjuhinnang on nõutav. GDPR-i artikli 35 kohaselt on mõjuhinnang nõutav, kui töötlemine toob tõenäoliselt kaasa suure ohu; konsulteerige andmekaitseametnikuga, kui see on määratud.

Üleandmise tulemuseks peaksid olema selgesõnalised järeldused, mitte eraldi selgitamata kinnitused. Dokumenteerige vajaduse korral andmekaitseametniku nõuanne, äriotsus, väljalasketingimused ja iga järelejäänud tegevuse omanik. Kui juhtkond nõuannet ei järgi, säilitage tema põhjendus ja eskaleerige lahendamata õiguslikud mured. Äririski aktsepteerimine ei saa muuta ebaseaduslikku töötlemist seaduslikuks.

Seadke läbivaatuse käivitajad, nagu uued tundlikud andmed, töötajate jälgimine, muutunud eesmärgid, oluliselt laiem juurdepääs või uus tarnija. See on kasulikum kui identse paberitöö nõudmine iga väiksema liidese muudatuse puhul.

Tarnija kaasamine: eristage turvatagatis töötlemise seaduslikkusest

Äriomanik peaks kindlaks tegema teenuse, kaasatud andmed ja selle, mida tarnija tegelikult teeb. Turvalisus hindab asjakohaseid tagatisi, juurdepääsukorraldust, intsidenditoetust ja toimepidevust. Privaatsus hindab, kas tarnija on volitatud töötleja, iseseisev vastutav töötleja või muu töötlemiskorralduse osaline.

Kui kohaldub artikkel 28, peab leping sisaldama selle nõutavaid volitatud töötleja tingimusi. Rahvusvahelised edastamised nõuavad eraldi hindamist; isikuandmete töötlemise leping või eelistatud majutuskoht seda küsimust ei lahenda.

Leppige kokku, kes hangib puuduvad tõendid ja kes peab läbirääkimisi lepingumuudatuste üle. Levinud viga on käsitleda turvaküsimustikku täieliku ülevaatusena, jättes töötlemisrollid, alamtöötlejad, kustutamise ja edastamised uurimata. Teine viga on pidada läbirääkimisi privaatsustingimuste üle, mõistmata tarnija tegelikku tehnilist juurdepääsu.

Tulemus peaks näitama, millist teenust ja konfiguratsiooni hinnati, aktsepteeritud tingimusi, avatud küsimusi ja uue hindamise käivitajaid. Olulised muudatused juurdepääsus, alamtöötlejates või töötlemiskohtades peaksid jõudma mõlema funktsioonini.

Intsidendid: vahetage fakte enne, kui kindlus on saadaval

Kahtlustatava rikkumise korral uurib turvalisus, samal ajal kui privaatsus hindab mõju mõjutatud inimestele ja teavitamisele. Kumbki meeskond ei tohiks enne asjakohase teabe jagamist oodata valmis aruannet.

Esimene üleandmine peaks ütlema, mis juhtus, millal see avastati, millised süsteemid ja andmed võivad olla kaasatud, kas mõjutatud oli konfidentsiaalsus, terviklus või käideldavus, milline ohjeldamine on toimunud ja mis on endiselt teadmata. Määrake keegi ajajoont pidama ja mõlemat funktsiooni faktide muutumisel ajakohastama.

GDPR-i artikli 33 kohaselt peab vastutav töötleja teavitama järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast teadasaamist, välja arvatud juhul, kui rikkumine ei too tõenäoliselt kaasa ohtu inimeste õigustele ja vabadustele. Volitatud töötleja peab teavitama vastutavat töötlejat põhjendamatu viivituseta. Dokumenteerige teadasaamise hinnang; ärge eeldage, et iga esialgne hoiatus käivitab seadusjärgse tähtaja või et enne tegutsemist on vajalik täielik kohtuekspertiisi kindlus.

Artikkel 34 võib nõuda mõjutatud inimeste teavitamist, kui esineb suur oht, arvestades selle erandeid. Leppige kokku, kes koordineerib tähtaegu, valmistab ette esitatavaid dokumente, volitab suhtlust ja säilitab tõendeid. Dokumenteerige isikuandmetega seotud rikkumised, sealhulgas põhjendus, kui teavitamist ei peeta vajalikuks. Puuduvad faktid võivad nõuda etapiviisilist teavitamist, mitte vaikimist uurimise jätkumise ajal.

Käsitlusalasse kuuluvat üksust mõjutava intsidendi korral hinnake paralleelselt, kas see vastab kohaldatavale NIS2 olulisest intsidendist teatamise künnisele. Direktiiv näeb ette 24 tunni jooksul esitatava varajase hoiatuse, 72 tunni jooksul esitatava intsidenditeate ja üldjuhul lõpparuande ühe kuu jooksul pärast teavitamist; kontrollige riigisiseseid ja valdkondlikke reegleid. Need on GDPR-ist erinevad käivitajad ja adressaadid, mitte üks omavahel asendatav teavitamisprotsess.

Õiguste taotlused: hoidke tegevustugi vastuse eest vastutamisest lahus

Õiguste taotlused vajavad sageli turva- ja IT-tuge, et kontrollida isikusamasust proportsionaalselt, leida teavet, kaitsta kolmandate isikute andmeid ja edastada vastus turvaliselt. Privaatsus koordineerib õiguslikku hindamist, vajaduse korral andmekaitseametniku nõuandega. Vastamise eest vastutab endiselt vastutav töötleja.

GDPR-i artikli 12 kohaselt on tavapärane vastamisaeg üks kuu. Vajaduse korral võib olla võimalik pikendamine veel kahe kuu võrra, millest tuleb koos põhjustega teatada esimese kuu jooksul. Taotlused on üldjuhul tasuta, tasude või keeldumise tingimused on piiratud.

Dokumenteerige, kes vastutab tähtaja eest, milliseid süsteeme tuleb otsida ja kes kinnitab avalikustamise. Ärge nõudke vaikimisi ülemääraseid isikut tõendavaid dokumente ega laske tehnilisel ekspordil muutuda läbivaatamata vastuseks. Ühine tegevusprotsess võib siduda privaatsuse hinnangu otsingute ja edastamise kontrollidega, mida kirjeldab artikkel andmesubjekti juurdepääsutaotluste käsitlemine.

Valige sisemine või väline määramine võimekuse ja juurdepääsu alusel

GDPR-i artikli 37 lõige 6 lubab sõnaselgelt, et andmekaitseametniku rolli täidab töötaja või see täidetakse teenuslepingu alusel. Ka turvalisuse juhtimist saab organisatsioonilise korraldusena hankida väliselt, arvestades kohaldatavaid nõudeid ja selget mandaati.

Sisemine andmekaitseametnik võib ettevõtet sügavalt tunda ja omada kerget juurdepääsu kolleegidele. Organisatsioon peab siiski tagama asjatundlikkuse, ressursid, kaitstud aja, sõltumatuse ja asendamise. Väline andmekaitseametnik võib tuua spetsialistikogemust ja lisavõimekust, kuid vajab usaldusväärset juurdepääsu tootemuudatustele, lepingutele, hinnangutele ja intsidentidele. Kumbki mudel ei toimi, kui andmekaitseametnik kuuleb otsustest alles pärast nende rakendamist.

Võrrelge kogu tegevusvajadust, mitte ainult palka ja teenustasu. Võtke arvesse koolitust, spetsialistide nõuandeid, puudumise asendamist, koordineerimisaega, projektide tipphetki ja käsitlusalast välja jäävaid tasusid. Ei ole usaldusväärset universaalset reeglit, et väline teenus on odavam.

Väliste mandaatide puhul leppige kokku:

• Nimetatud kontaktisikud, asendajad, eskaleerimisteed ja juurdepääs kõrgeimale juhtkonnale.
• Millised ülevaatused, koosolekud, koolitused ja intsidenditoetus on hõlmatud.
• Kiireloomulisele ja rutiinsele tööle vastavad reageerimiskorraldused.
• Kuidas teavet, nõuandeid ja otsuseid dokumenteeritakse ja säilitatakse.
• Konfidentsiaalsus, juurdepääsupiirid, konfliktide käsitlemine ja lõpetamise korraldus.

Kui üks pakkuja tagab mõlemad funktsioonid, uurige, kes täidab kumbagi mandaati ja kuidas konflikte hallatakse. Eraldi nimed pakkumises ei ole piisavad, kui sama isik kontrollib ja vaatab üle töötlemisotsuseid.

Määrake sisemine koordinaator, kellel on volitus teavet hankida ja rakendamist tagant utsitada. Välised spetsialistid ei saa hinnata avalikustamata süsteeme ega jõustada tegevusi, mille eest keegi sees ei vastuta. Juhtkond säilitab otsused eelarve ja äriprioriteetide üle ning vastutav töötleja säilitab artikli 24 kohase GDPR-i vastutuse.

Sobitage korraldus töökoormusega

Väiksema organisatsiooni puhul, kellel ei ole andmekaitseametniku määramise kohustust, võib olla asjakohane nimetatud privaatsuse omanik ja turvalisuse omanik koos keeruliste küsimuste jaoks kättesaadava spetsialistinõuandega. See erineb kellelegi ametliku andmekaitseametniku määramise andmisest.

Kui andmekaitseametnik on nõutav, kuid sisemistel kandidaatidel on vastuolulised tegevusvolitused, tasub kaaluda välist määramist. Siduge see sisemise rakendamise vastutusega, selle asemel et oodata pakkujalt iga privaatsusülesande täitmist.

Kui klientide kindlustandmise nõuded eeldavad ISMS-i ülesehitamist ja sisemine turvakogemus on piiratud, võib väline turvajuhtimine toetada esialgset tööd. Otsustage, kes hakkab hiljem haldama riskihinnanguid, tõendeid ja juhtkonna aruandlust; projektipõhine kaasamine ei tohiks lõppedes jätta omanikuvastutuse lünka.

Väljakujunenud organisatsioon võib toetada mõlemat funktsiooni sisemiselt, tingimusel et ta kaitseb andmekaitseametniku sõltumatust ja eraldab piisava võimekuse. Otsus peaks lähtuma tegelikust töökoormusest, pädevusest ja volitustest – mitte eeldusest, et sisemine on alati parem või väline alati lihtsam.

Näide: tootja valmistub kliendiportaali käivitamiseks

Vaadelgem illustratiivset tootjat, kellel on 200 töötajat, väike IT-meeskond ja kavandatav portaal klienditoe ja masinate hoolduse jaoks. Oletame, et portaal sisaldab klientide kontaktandmeid, teenindusajalugu ja tehnikute tegevuskirjeid. Kliendid nõuavad ka dokumenteeritud turvalisuse juhtimist. Need on hüpoteetilised faktid, mitte õiguslik järeldus iga sellise suurusega tootja kohta.

Juhtkond tellib kõigepealt eraldi hinnangud andmekaitseametniku määramise nõuete ja valdkondliku küberturvalisuse kohaldatavuse kohta. Ta ei tuleta NIS2 kohaldamisala ainult töötajate arvust. Samuti vaatab ta üle IT-direktori olemasoleva andmekaitseametniku määramise, sest see direktor valib süsteeme ja kinnitab nende kasutamist.

Pärast konfliktide ja võimekuse hindamist määrab ettevõte välise andmekaitseametniku ja osalise tööajaga turvajuhi. IT-direktor vastutab tehnilise teostuse eest, teenindusdirektor vastutab portaali töötlemiseesmärkide ja ärinõuete eest ning sisemine koordinaator peab tegevusregistrit. Tegevdirektor toetab otsuseid ja lahendab ressursivaidlusi.

Kavandamise ajal soovitab turvalisus väärkasutuse uurimiseks üksikasjalikku tegevuste logimist. Privaatsus tuvastab, et logid paljastavad ka tehnikute käitumise. Teenindusdirektor selgitab tegevusvajadust; turvalisus pakub välja piiratud juurdepääsu ja määratletud uurimiskasutuse; privaatsus hindab vajalikkust, läbipaistvust ja säilitamist. Andmekaitseametniku nõuanne dokumenteeritakse enne, kui vastutav omanik konfiguratsiooni üle otsustab. Andmekaitseametnik ei kinnita logimislahendust juhtkonna asemel.

Käivitamise kirje sisaldab andmevoo kirjeldust, tarnija hinnangut, turvajäreldusi, andmekaitsealase mõjuhinnangu eelhindamise tulemust, privaatsustegevusi ja aktsepteeritud väljalasketingimusi. Igal lahendamata tegevusel on omanik ja tähtaeg.

Seejärel korraldab juhtkond lauaharjutuse, mis hõlmab ohustatud portaalikontot. Turvalisus esitab esialgse faktipaketi; privaatsus hindab võimalikku kahju; koordinaator jälgib hindamistähtaegu; ja volitatud juht tegeleb suhtlusega. Harjutus näitab, et välise andmekaitseametniku hädaolukorra kontaktandmed puudusid intsidendiprotseduurist. Selle väikese lünga parandamine muudab üleandmise surve all kasutatavaks.

Muutke koostöö läbivaadatavaks, ilma et kõike jagataks

Andke lahkarvamustele nimetatud eskaleerimistee. Tehnilised kompromissid võivad minna teenuse omanikule ja juhtkonna toetajale; lahendamata vastavusmured peaksid jõudma kõrgeima juhtimistasandini andmekaitseametniku sõltumatu aruandlustee kaudu. Säilitage erinevad seisukohad, selle asemel et kirjet ümber kirjutada, nagu oleks jõutud kokkuleppele.

Jagage ainult seda teavet, mida iga roll vajab, eriti tundlike uurimiste puhul. Andmekaitseametnikul peab GDPR-i artikli 38 kohaselt olema juurdepääs asjakohasele töötlemisteabele, kuid see ei õigusta töötajate töötlemata kirjete ega kohtuekspertiisi materjali levitamist igale projektis osalejale. Kasutage juurdepääsupiire ja asjakohaselt varjatud kokkuvõtteid, varjamata hindamiseks vajalikke fakte.

Juhtkond peaks üle vaatama mõned tegevussignaalid: enne konsulteerimist rakendatud muudatused, pärast nõuannet tähtaja ületanud tegevused, hilise funktsiooniülese eskaleerimisega intsidendid ja korduv ebakindlus otsustusõiguse osas. Need paljastavad juhtimise puudujäägid selgemini kui poliitikate või koosolekute loendamine.

Praktiline juhtkonnapoolne läbivaatus peaks lõppema otsustega, mitte lihtsalt ajakohastatud aruannetega. Kui hinnangud saabuvad korduvalt hilja, muutke projekti vastuvõtu käivitajat. Kui tegevused jäävad avatuks, sest meeskondadel puudub võimekus, määrake ressursid või vaadake teostusplaan üle. Kui keegi ei suuda otsustajat tuvastada, parandage delegeerimine enne järgmise väljalaske aktsepteerimist.

Hoidke tulemuseks olev kirje kompaktsena: küsimus, asjakohane turva- ja privaatsusnõuanne, vastutav otsus, selle põhjendus, tegevuste omanikud ja läbivaatuse kuupäev. Eristage tõendite puudujääki rakendatud meetmest, mis ebaõnnestus. Need nõuavad erinevat järeltegevust ka siis, kui mõlemad paistavad avatud ülesandena.

Küsimused, mille juhtkond peaks selgesõnaliselt lahendama

Kas andmekaitseametnik peab kinnitama iga käivitamise?

GDPR määratleb nõustava ja jälgiva rolli, mitte universaalse nõude, et andmekaitseametnik kinnitaks väljalasked. Organisatsioon võib kehtestada konsulteerimisväravad, kuid peaks eristama konsulteerimist äriomaniku käivitamisvolitusest. Lõpetatud konsulteerimine ei tõenda ka, et töötlemine on seaduslik.

Kas turvatõendid võivad rahuldada privaatsusülevaatusi?

Need võivad neid toetada. Juurdepääsuülevaatuste kirjed või taastamistestid võivad anda teavet artikli 32 hinnangu jaoks. Need ei tõenda õiguslikku alust, piisavat läbipaistvust ega põhjendatud säilitamisaega. Tehke kindlaks väide, mida iga tõend tõendab, selle asemel et käsitleda üht tõendikogumit kõige kinnitusena.

Alustage kahe protsessi ja väikese tõendijäljega

Alustage tootemuudatuste ja intsidentide käsitlemisega. Nimetage kummagi puhul vastuvõtu omanik, nõutav teave, läbivaatuse käivitajad, otsustusõigus, eskaleerimistee ja asendamiskorraldus. Testige mõlemat realistlike juhtumitega enne maatriksi laiendamist.

Secani seob nõuded, tõendid, omanikud, ülesanded ja läbivaatusotsused ühises kontekstis. Keskendunud teenuse käsitlusala puhul saavad meeskonnad modelleerida toetavaid süsteeme ja pakkujaid, lisada tõendeid nõuetele või otsustele, mida need toetavad, ning muuta vastamata läbivaatusküsimused määratud tööks. Kavandage juurdepääsupiirid sisemistele ja välistele osalejatele; dokumenteeritud OSCAL API roll annab ainult valideerimisjuurdepääsu. Hoidke tehisintellekti abil tehtud soovituste inimlik ülevaatus selgesõnalisena ning säilitage allikad, kommentaarid, kinnitused ja ajatemplid.

Praktiline järgmine samm on ühine istung äriomaniku, turvajuhi, privaatsusmeeskonna ja andmekaitseametnikuga. Käige kavandatud üleandmised läbi ühe eelseisva muudatuse ja ühe usutava intsidendi näitel. Kus iganes rühm ei suuda tuvastada, kes järgmisena tegutseb, parandage protsessi enne järgmist kiireloomulist juhtumit.