Isikuandmetega seotud rikkumised: hoidke teavitamisotsus liikumas

Isikuandmetega seotud rikkumine tekitab kaks paralleelset ülesannet: intsidendi ohjeldamine ja otsustamine, mida tuleb teatavaks teha. Kumbki ei tohiks oodata teise lõpuleviimist. Insenerid võivad alles juurdepääsulogisid taastada, kui vastutaval töötlejal on juba piisavalt teavet teavitamiskohustuse hindamiseks.

Praktiline väljakutse on hoida see otsus liikumas, esitamata eeldusi faktidena. Kasulik reageerimisprotsess salvestab teadasaamise, loob usaldusväärse minimaalse tõendikogumi, määrab otsustamise vastutuse ja ajakohastab hinnangut, kui leiud muutuvad. CTO vaatenurgast ei ole oluline tulem 72 tunni jooksul lõpetatud kohtuekspertiisi uurimine. See on õigeaegne, põhjendatav otsus, mida toetavad tehnilised tõendid ja mille puhul on allesjäänud küsimustel selge omanik.

Tuvastage rikkumine enne teavitamise üle arutlemist

Isikuandmetega seotud rikkumine on laiem kui andmevargus. GDPR-i artikli 4 punkt 12 hõlmab turvanõuete rikkumist, mis põhjustab isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile loata juurdepääsu.

Olulised on kolm mõõdet:

Üks sündmus võib hõlmata kõiki kolme. Lunavara võib katkestada juurdepääsu, rikkuda kirjeid ja paljastada teavet. Varukoopia taastamine lahendab vaid osa sellest intsidendist.

Valesti saadetud e-kiri ja lunavaraintsident võivad seega mõlemad nõuda dokumenteeritud hindamist, kuigi uurimised näevad välja erinevad. Vastupidi ei ole ebaõnnestunud rünnak, mis isikuandmeid ei kompromiteerinud, automaatselt isikuandmetega seotud rikkumine. See võib siiski nõuda turvauurimist ja teavitamist mõne muu korra alusel.

Alustage sellest, et teete kindlaks, kas isikuandmeid mõjutati, mitte sellest, kas keegi on kaevanud või kas on tekkinud rahaline kahju. Nimed, kontoidentifikaatorid, töötajate andmed, seadmeidentifikaatorid ja näiliselt tavalise teabe kombinatsioonid võivad olla isikuandmed. Pseudonüümitud kirjed võivad jääda isikuandmeteks, kui inimesed on endiselt tuvastatavad.

Käideldavusintsidentide puhul uurige tagajärgi, selle asemel et kasutada otseteena fikseeritud katkestuse kestust. Juurdepääsu kaotamine vastuvõtuandmetele kiireloomulise ravi ajal erineb arhiveeritud uudiskirja nimekirjale juurdepääsu lühiajalisest katkemisest.

Tehke kindlaks teadasaamine ja nimetage otsuse omanik

GDPR-i artikli 33 kohaselt peab vastutav töötleja teavitama pädevat järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast isikuandmetega seotud rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta inimeste õigusi ja vabadusi.

Ajaarvestus ei alga automaatselt siis, kui aluseks olev rünnak algas. Samuti ei oota see lõplikku kohtuekspertiisi aruannet ega juhtkonna kinnitust. Järelevalveasutuste juhistes mõistetakse teadasaamise all mõistliku kindluse olemasolu selles, et on toimunud turvaintsident, mis on kompromiteerinud isikuandmeid. Esialgne uurimine võib selle kindluse luua; sellest ei tohi saada mehhanism vastutuse edasilükkamiseks.

Hoidke kolm ajatemplit lahus:

• Toimumine: millal intsident toimus, kui see on teada.
• Avastamine: millal keegi võimalikku intsidenti esimest korda märkas või sellest teatas.
• Teadasaamine: millal organisatsioonil oli piisav kindlus, et isikuandmed on kompromiteeritud.

Salvestage tõendid, mis teadasaamist toetavad. Kui ajatempel on vaidlustatud, säilitage konkureerivad tõlgendused ja nende alused, selle asemel et varasemat kannet vaikselt asendada. Sisemise eskaleerimise viivitused peaksid olema nähtavad, mitte kasutatud eeldamiseks, et teadasaamine algas alles siis, kui privaatsusmeeskond või juhtkond aruande sai.

Seitsekümmend kaks tundi tähendab möödunud tunde, sealhulgas nädalavahetusi ja riigipühi. See on võimaluse korral välimine ajaline viitepunkt, mitte luba oodata, kui teavitada saab varem.

Määrake intsidendi koordinaator, kes peab ajajoont ja lahtiseid küsimusi. Tehnilised juhid teevad kindlaks faktid; privaatsusekspert hindab tagajärgi ja õiguslikke nõudeid; vastutava töötleja volitatud esindaja vastutab teavitamisotsuse eest. Kui andmekaitseametnik on määratud, kaasake ta viivitamata tema sõltumatus nõuandvas ja järelevalvavas rollis. Ärge tehke andmekaitseametnikku ohjeldamise omanikuks ega eeldage, et ta asendab vastutava töötleja vastutust.

Nimetage asendajad. Protsess, mis sõltub ühe juhi kättesaadavusest, ei ole toimiv tööajaväline protsess.

Koostage esimestel tundidel otsustamiseks valmis tõendikogum

Ohjeldamine ja tõendite säilitamine peavad toimuma koos. Kompromiteeritud lõppseadme lahtiühendamine võib olla asjakohane, kuid selle kustutamine enne asjakohaste tõendite kogumist võib hävitada juurdepääsu ja ulatuse hindamise aluse. Vastupidi ei ole iga artefakti säilitamine põhjus jätta käimasolev avalikustamine ohjeldamata.

Järgnev on praktiline reageerimise järjekord, mitte seadusjärgne ajakava.

Stabiliseerige intsident

Tühistage paljastunud seansid või mandaadid, piirake ebaturvalisi õigusi, isoleerige vajaduse korral mõjutatud komponendid ja peatage käimasolevad valesti suunatud edastused. Salvestage iga toiming, selle aeg ja oodatav mõju. Säilitage asjakohased logid, konfiguratsiooni hetktõmmised, sõnumipäised ja muu lenduv materjal enne, kui säilitamispiirangud või taastetöö need eemaldavad.

Piirake juurdepääsu intsidendi tõenditele. Rikkumise uurimine võib ise luua tundlikke kogumeid: isikut tõendavad dokumendid, töötajate sõnumid, autentimisandmed või mõjutatud klientide nimekirjad. Kasutage kinnitatud tõendite asukohta, selle asemel et edastada töötlemata kirjeid laia intsidendivestluse kaudu.

Koostage minimaalne faktipakett

Andke privaatsuse ülevaatajatele lühike, struktureeritud ülevaade, mis sisaldab:

• Mis juhtus ja millised tähelepanekud seda kinnitavad.
• Mõjutatud süsteemid, teenused ja vastutavad teenuseosutajad.
• Isikuandmete kategooriad ja mõjutatud isikute kategooriad.
• Isikute ja kirjete ligikaudne arv koos loendamismeetodiga.
• Kokkupuuteperiood, teadaolevad vastuvõtjad ja võimalikud juurdepääsuteed.
• Asjakohased kaitsemeetmed, sealhulgas krüpteerimine ja juurdepääs võtmetele.
• Teadaolevad või usutavad tagajärjed inimestele.
• Juba võetud meetmed ja endiselt lahendamata küsimused.

Eristage kinnitatud fakte, toetatud hinnanguid ja hüpoteese. „Saadaolevas auditilogis ei ilmne ühtegi eksporditoimingut“ on kitsam väide kui „andmetele ei pääsetud ligi“. Märkige logide katvuse ja säilitamise lüngad, et ülevaatajad mõistaksid, mida tõendid ei suuda kindlaks teha.

Pidage küsimuste järjekorda

Andke igale lahendamata küsimusele omanik ja järgmise ülevaatuse aeg. Seadke esikohale küsimused, mis võivad otsust muuta: kas paljastunud objekt sisaldas isikuandmeid, kas ründaja pääses ligi krüptovõtmetele või kas kättesaamatud kirjed mõjutasid olulisi teenuseid.

Muud küsimused, näiteks esialgse ärakasutamise täpne tehnika, võivad olla parandustööde jaoks väga olulised, olemata vajalikud esimese teate jaoks. Nende rööbaste lahus hoidmine takistab tehnilisel uudishimul õigusliku tegevuse edasilükkamist.

Ajakohane süsteemide ja andmete inventar kiirendab seda tööd. Andmete avastamine privaatsuse jaoks annab konteksti, mida on vaja, et tõlkida väide „salvestusteenus kompromiteeritud“ tuvastatavateks andmekategooriateks, töötlemise eesmärkideks ja mõjutatud rühmadeks.

Hinnake kahju inimestele, mitte ainult mõju ärile

Artikli 33 erand seisneb selles, et oht õigustele ja vabadustele on ebatõenäoline. See ei ole reegel, mille kohaselt tuleb teatada ainult suurtest rikkumistest, eriliiki andmetest või tõendatud kahjust.

Hinnake võimalike tagajärgede nii tõenäosust kui ka raskust. Väike avalikustamine võib olla tõsine, samal ajal kui suurema intsidendi puhul võivad tõhusad kaitsemeetmed riski oluliselt vähendada. Dokumenteerige, miks asjaolud järeldust toetavad.

Kaaluge neid mõõtmeid koos:

Krüpteerimine nõuab tehnilist kontrolli. Talletamisel krüpteeritud ketas ei pruugi kaitsta teavet, millele pääseti ligi kompromiteeritud rakenduse konto kaudu. Tehke kindlaks krüpteerimiskiht, võtmete eraldatus, ründaja õigused ja see, kas kasutatav lihttekst oli kättesaadav. Sama arutluskäik kehtib räsitud mandaatide kohta: nende kaitse sõltub meetodist ja asjaoludest, mitte sildist „räsitud“. Vt krüpteerimine ja võtmehaldus.

Vastuvõtja kustutamiskinnitus võib olla asjakohane, eriti juhusliku avalikustamise korral teadaolevale, koostööaltile vastuvõtjale. See ei ole universaalne tõend, et risk kadus. Kaaluge, kas sisu vaadati, kopeeriti, edastati või oli see ligipääsetav mõne muu kanali kaudu.

Vältige numbrilise riskiskoori muutmist automaatseks õiguslikuks järelduseks. Hindamismaatriks võib muuta arutluskäigu järjepidevaks, kuid ülevaatajad peavad siiski selgitama tegelikke tagajärgi ja ebakindlust. Äritegevuse seisakuaeg, tulukaotus ja organisatsiooni mainekahju kuuluvad tegevusliku intsidendihalduse alla; need ei asenda üksikisikutele avalduva mõju hindamist.

Hinnake uuesti, kui saabuvad uued faktid. Tundlike manuste avastamine või ründaja juurdepääs võtmetele võib muuta esialgu mõistlikku otsust mitte teavitada.

Tehke kaks eraldi kommunikatsiooniotsust

Asutuse teavitamisel ja mõjutatud inimeste teavitamisel on erinevad lävendid. Salvestage mõlemad otsused selgesõnaliselt, ka siis, kui kumbagi ei nõuta.

Teavitage sellega, mis on teada

Artikkel 33 nõuab, et teates kirjeldataks rikkumise olemust, sealhulgas võimaluse korral mõjutatud isikute ja kirjete kategooriaid ja ligikaudset arvu. Samuti tuleb esitada andmekaitseametniku või muu kontaktisiku andmed, kirjeldada tõenäolisi tagajärgi ning võetud või kavandatud meetmeid, sealhulgas vajaduse korral leevendusmeetmeid.

Ärge oodake täpseid arve, kui usaldusväärsed hinnangud ja selged reservatsioonid on olemas. Artikli 33 lõige 4 lubab teavet esitada etappide kaupa, kui seda ei saa esitada üheaegselt, ilma põhjendamatu edasise viivituseta. Säilitage esitatud teate koopia, kättesaamiskinnitus, viitenumber ja lubatud täienduste loetelu.

Kui teavitatakse hiljem kui 72 tunni jooksul, esitage viivituse põhjused. Tähtaja ületamine ei kaota kohustust. Selgitage tegelikku sündmuste käiku, selle asemel et esitada üldine väide uurimise keerukusest.

Kinnitage pädev asutus ja teavitamiskanal varakult, eriti piiriülese töötlemise korral. Ärge eeldage, et serveri asukoha asutus on õige adressaat.

Teavitage, kui suur oht on tõenäoline

GDPR-i artikkel 34 nõuab mõjutatud inimeste selget ja lihtsas keeles teavitamist põhjendamatu viivituseta, kui suur oht on tõenäoline. Selle sisu hõlmab rikkumise olemust, kontaktandmeid, tõenäolisi tagajärgi ja asjakohaseid meetmeid.

Selgitage, mida inimesed saavad teha: näiteks muuta mõjutatud parooli, keelduda kahtlastest maksejuhistest või kasutada kontrollitud tugikanalit. Ärge jätke muljet, et ettevaatusabinõude soovitamine kannab vastutuse neile üle.

Artikkel 34 sisaldab erandeid tõhusate meetmete jaoks, mis muudavad andmed volitamata isikutele loetamatuks, hilisemate meetmete jaoks, mis tagavad, et suure ohu realiseerumine ei ole enam tõenäoline, ning ebaproportsionaalse jõupingutuse jaoks. Viimane nõuab avalikku teadaannet või sarnaselt tõhusat meedet; see ei ole luba vaikida. Asutus võib nõuda teavitamist või hinnata, kas erand kohaldub.

Käsitlege volitatud töötleja intsidente, kaotamata kontrolli hindamise üle

Volitatud töötleja peab teavitama vastutavat töötlejat põhjendamatu viivituseta pärast isikuandmetega seotud rikkumisest teadasaamist. Ta ei tohiks oodata oma järeldust selle kohta, kas järelevalveasutuse teavitamine on vajalik. Vastutava töötleja hindamist ei tohi asendada tarnija sildiga „madal risk“.

Küsige oma töötlemise seisukohalt asjakohaseid tõendeid: mõjutatud rentnik või konto, andmekategooriad, kokkupuuteperiood, juurdepääsutõendid, kaitsemeetmed, ohjeldamine ja lahendamata küsimused. Kogu teenuseosutajat hõlmav intsidendiavaldus ei pruugi näidata, milliseid teie kirjeid mõjutati.

Tarnija viivitus ei kuluta mehaaniliselt vastutava töötleja 72-tunnist perioodi enne, kui vastutav töötleja rikkumisest teada saab. See võib siiski kaitsemeetmeid edasi lükata, sündmuste käiku hägustada ja tõstatada küsimusi volitatud töötleja kohustuste täitmise kohta. Salvestage, millal tarnija intsidendi avastas, millal ta sellest teada sai ja millal teid teavitas.

Praktilise lepingulise soovitusena määrake tegevuskontaktid, kiire esialgne teade, minimaalne teave, jätkuvad uuendused ning abi uurimisel ja kommunikatsioonil. Need korraldused peaksid toetama, mitte asendama artikli 28 nõudeid.

Kui teie organisatsioon on klientide jaoks volitatud töötleja ja töötajate andmete puhul vastutav töötleja, tehke eraldi rollipõhised otsused. Ühine tehniline intsident võib ühes rollis nõuda klientide teavitamist ja teises järelevalveasutuse teavitamise hindamist.

Pidage otsuste jälge, mis elab intsidendi üle

Artikli 33 lõige 5 nõuab isikuandmetega seotud rikkumiste dokumenteerimist, sealhulgas nende asjaolusid, mõju ja võetud parandusmeetmeid, mis võimaldab järelevalveasutusel vastavust kontrollida. See hõlmab ka rikkumisi, millest ei teavitatud.

Kasulik intsidendikirje sisaldab:

• Intsidendi identifikaatorit, ulatust, koordinaatorit ja töötlemisrolli.
• Toimumise, avastamise, teadasaamise ja eskaleerimise ajatempleid.
• Tõendiviiteid ja olemasoleva telemeetria piiranguid.
• Riskihinnangut, ülevaatajat, otsuse omanikku ja otsuste aegu.
• Eraldi järeldusi asutuse teavitamise ja üksikisikute teavitamise kohta.
• Esitatud teateid, kättesaamiskinnitusi ja hilisemaid täiendusi.
• Ohjeldamis-, taastamis- ja ennetusmeetmeid koos omanikega.
• Sulgemisülevaatust ja allesjääva ebakindluse põhjusi.

Teavitamata jätmise korral kirjutage üles arutluskäik, mitte ainult „alla lävendi“. Tooge välja faktid, mis toetavad seda, miks risk oli ebatõenäoline, ja millised tõendid käivitaksid uue hindamise.

Säilitage järjestikused hinnangud. Varajane järeldus võis olla olemasolevate tõendite põhjal mõistlik, isegi kui hilisemad leiud seda muudavad. Varasema versiooni ülekirjutamine varjab selle kronoloogia.

Määrake juurdepääsu ja säilitamise kord teadlikult. Artikkel 33 ei sätesta rikkumiste kirjete jaoks universaalset säilitusaega. Valige põhjendatud ajakava, arvestades aruandekohustust, kohaldatavaid kohustusi ja võimalikult väheste andmete kogumise põhimõtet. Võimaluse korral säilitage tõendiviiteid, selle asemel et dubleerida ulatuslikke isikuandmete kogumeid.

Teavitamine ei anna puutumatust kontrolli eest. Asutused võivad küsida selgitusi ning uurida turvameetmeid või muid kohustusi. Samamoodi vältige teavitamise käsitlemist põhjusena lükata ohjeldamine edasi, oodates regulaatori juhiseid.

Läbitöötatud näide: paljastunud värbamiseksport

See näide on illustratiivne; selle ajad ja arvud on eeldused, mitte teatatud tulemused.

Oletame, et organisatsioon avastab reedel kell 16.00, et värbamiseksport võib olla ligipääsetav avaliku salvestuslingi kaudu. Fail sisaldab 240 kandidaadi nimesid, kontaktandmeid, kandideerimismärkmeid ja mõningaid manuseid. Kell 16.20 kinnitab insener autentimata juurdepääsu ja kontrollib, et fail sisaldab isikuandmeid. Koordinaator salvestab kellaaja 16.20 toetatud teadasaamise hetkena. 72 tunni viitepunkt on esmaspäeval kell 16.20, kuigi teavitamine peab siiski toimuma põhjendamatu viivituseta.

Kella 16.35-ks on meeskond eemaldanud avaliku juurdepääsu ning säilitanud konfiguratsiooni ajaloo ja olemasolevad juurdepääsulogid. Need logid hõlmavad vaid osa kokkupuuteperioodist. Meeskond ei saa vastutustundlikult järeldada, et keegi failile ligi ei pääsenud.

Esimene hinnang tuvastab võimaliku sihitud õngitsuse ja konfidentsiaalsete töökavatsuste avalikustamise. Manuste sisu jääb ebaselgeks. Privaatsuse ülevaatajad ja otsuse omanik järeldavad, et risk ei ole ebatõenäoline, seega on järelevalveasutuse teavitamine nõutav. Nad hindavad eraldi, kas suur oht on tõenäoline; kandidaatide arv üksi sellele küsimusele ei vasta.

Esialgne teade kirjeldab kinnitatud kokkupuudet, ligikaudset ulatust, logide puudulikku katvust, teadaolevaid tagajärgi ja ohjeldamist. See märgib, et manuste ülevaatus jätkub, ja nimetab isiku, kes vastutab täienduste esitamise eest.

Laupäeval selgub ülevaatusel, et osa manuseid sisaldab terviseandmeid. Meeskond vaatab suure ohu hinnangu uuesti läbi ja otsustab, et selle mõjutatud rühma teavitamine on nõutav. Sõnumid kirjeldavad asjakohast kokkupuudet ja praktilisi ettevaatusabinõusid, avaldamata teiste kandidaatide teavet.

Lõpetatud kirje säilitab mõlemad hinnangud, toetavad tõendid, esitamise kinnitused ja parandusülesanded. Järeltegevused hõlmavad ekspordi kinnitamise kontrolle, avaliku juurdepääsu vältimist, asjakohast logimist ja testimist, et värbamisfailid ei ole enam avalikult kättesaadavad.

Õppetund on tegevuslik: manuste ebaselge sisu ei takistanud esialgset teavitamist ning hilisemad leiud muutsid üksikisikute teavitamise otsust, muutmata kehtetuks varasemat tõenditel põhinevat hinnangut.

Jälgige muid teavitamiskohustusi samal ajajoonel

Sama intsident võib käivitada GDPR-i, lepingulise, sektoripõhise ja küberturvalisuse alase teavitamise. Kasutage ühte faktilist kronoloogiat, kuid eraldi kohustuste hinnanguid, adressaate, omanikke ja tähtaegu.

NIS2 artikkel 23 käsitleb hõlmatud üksuste olulisi intsidente, olenemata sellest, kas need puudutavad isikuandmeid. Selle ELi teavitamisstruktuur hõlmab 24 tunni jooksul esitatavat varajast hoiatust, 72 tunni jooksul esitatavat intsidendi teadet ja üldjuhul lõpparuannet ühe kuu jooksul pärast teadet. NIS2 rakendatakse riigisisese õiguse kaudu: kontrollige kohaldatavust, riigisiseseid menetlusi ja asjakohaseid sektorireegleid, selle asemel et eeldada, et igal organisatsioonil on need kohustused.

Hõlmatud finantsüksuste puhul võib DORA sätestada sektoripõhised nõuded. Ärge dubleerige teavitamist automaatselt ega käsitlege üht esitamist kõigi kordade täitmisena.

Lepinguline klientide teavitamine võib olla nõutav ka siis, kui järelevalveasutuse teavitamine ei ole. Pidage teavitamismaatriksit, mis tuvastab iga kohaldatava kohustuse allika, käivitaja, adressaadi, vastutava omaniku, esitamise tee ja lõpetamise tõendi.

Valmistage üleandmised ette enne järgmist intsidenti

Praktiline valmisoleku test on reede pärastlõunane õppus valesti saadetud e-kirja, kompromiteeritud teenuseosutaja või lunavara stsenaariumiga. Paluge osalejatel koostada tegelik esimene faktipakett ja otsusekirje, mitte lihtsalt poliitikat kirjeldada.

Kontrollige, kas meeskond suudab:

• Jõuda koordinaatori, privaatsusnõustaja, otsuse omaniku ja asendajateni.
• Tuvastada olemasolevatest inventaridest asjakohased andmed ja teenuseosutajad.
• Säilitada logid enne, kui taastamine või säilitamispiirangud need eemaldavad.
• Pääseda ligi õigele asutuse teavitamiskanalile.
• Koostada etapiviisilise teate mustand, kus teadmata asjaolud on selgelt märgitud.
• Suhelda turvaliselt klientide ja mõjutatud inimestega.
• Salvestada teavitamata jätmise otsus ja ajastada uus hindamine.

Kui vastus sõltub tundmatu inimese leidmisest või kättesaamatute mandaatide taastamisest, looge valmisoleku ülesanne. CISO ja andmekaitseametniku vastutus peaks olema piisavalt selge, et tehniline faktide väljaselgitamine ja sõltumatu privaatsusnõustamine saaksid toimuda koos.

Secani saab toetada selle töö ümber ülevaadatavat vastavuskirjet. Modelleerige mõjutatud süsteemid ja teenuseosutajad sihtobjektidena, siduge tõendid asjakohaste nõuete ja otsustega ning määrake järeltegevustele omanikud. Selle omavahel seotud tõendite ja ülevaatuse töövood toetavad allikaviiteid, kommentaare, kinnitusi ja ajatempleid. Käsitlege tehisintellekti abil koostatud kokkuvõtteid inimese ülevaatust vajavate mustanditena; hoidke ohjeldamine ja kohtuekspertiisi uurimine tegevussüsteemides ning siduge nende tõendid otsuste jäljega.

Reageerimise ajal tekkivad küsimused

Kas võime enne otsustamist oodata kustutamiskinnitust?

Taotlege seda viivitamata, kuid jätkake samal ajal hindamist. Selle tähendus sõltub vastuvõtjast, sisust ja võimalikust edasisest juurdepääsust. Vastuseta jäänud taotlus ei tõenda, et kokkupuude on lõppenud.

Mis siis, kui teavitusportaal ei ole kättesaadav?

Salvestage katsed ja otsige asutuse avaldatud alternatiivset kontaktiteed. Säilitage esitamiseks valmis teave ja selgitage sellest tulenevat viivitust. Tehniline esitamisprobleem ei tohiks peatada hindamist ega inimeste vajalikku teavitamist.

Millal saab intsidendi sulgeda?

Tegevuslik taastamine ja privaatsusalane sulgemine on eraldi verstapostid. Kinnitage, et nõutavad teated ja täiendused on lõpetatud, allesjäänud küsimustel on omanik ja parandusmeetmeid jälgitakse edasi. Praktilise järgmise sammuna testige üht hiljutist teavitamata juhtumit kirje kontrollnimekirja alusel: kui teine ülevaataja ei suuda otsust rekonstrueerida, parandage üleandmist enne järgmist intsidenti.