CISO és adatvédelmi tisztviselő: tegye egyértelművé az átadásokat

A biztonsági és az adatvédelmi csapatok gyakran ugyanazt a rendszert vizsgálják különböző irányokból. A CISO azt kérdezi, megfelelő-e a hozzáférés, az ellenálló képesség és a kockázatkezelés. Az adatvédelmi tisztviselő (DPO) a jogszerű adatkezelésről, az egyéni jogokról, a garanciákról és az adatvédelmi megfelelésről ad tanácsot. Munkájuk átfedi egymást, de hatáskörük nem válhat felcserélhetővé.

A vezetés számára a gyakorlati kérdés nem egyszerűen az, hogy ki melyik címet viseli. Hanem az, hogy ki szolgáltatja a tényeket, ki ad tanácsot, ki valósít meg, és ki hozza meg az elszámoltatható döntést. Ezek a különbségek akkor számítanak, amikor egy termék elindul, egy beszállító megváltozik, vagy egy incidens a vizsgálat lezárása előtt cselekvésre kényszerít.

Egy működőképes megoldás mindkét funkciónak korai rálátást ad, miközben megőrzi az adatvédelmi tisztviselő függetlenségét. Azt is egyértelművé teszi, hogy szakemberek kijelölése – akár belsőleg, akár külsőleg – nem hárítja át az adatkezelő elszámoltathatóságát az adatkezelési döntésekért.

Válassza szét a megbízatásokat, mielőtt személyeket jelöl ki

A CISO felelősségei a szervezet irányítási rendjétől függenek. A cím jelölhet egy biztonsági funkciót vezető felsővezetőt, egy információbiztonsági irányítási rendszert működtető szakembert vagy egy részmunkaidős tanácsadót. Egy információbiztonsági felelős hatásköre szűkebb is lehet. Határozza meg a megbízatást, ahelyett hogy azt feltételezné, a cím ezt eldönti.

Az adatvédelmi tisztviselőnek a GDPR 37–39. cikke szerint konkrét jogszabályi feladatai és védelmei vannak. Ezek közé tartozik a tájékoztatás és a tanácsadás, a megfelelés ellenőrzése, az adatvédelmi hatásvizsgálatokkal kapcsolatos tanácsadás, az együttműködés a felügyeleti hatósággal és a kapcsolattartói szerep ellátása. Az adatvédelmi tisztviselő közvetlenül a legfelsőbb vezetésnek tartozik beszámolással, és e feladatai ellátásával kapcsolatban nem fogadhat el utasításokat.

A biztonság többre terjed ki, mint a személyes adatokra. A műszaki rajzokat vagy a gyártásütemezést érintő zsarolóvírus-támadás akkor is biztonsági kérdés, ha személyes adat nem érintett. Az adatvédelem pedig többre terjed ki, mint a biztonságra: egy jól védett adatbázis is tartalmazhat megfelelő jogalap nélkül gyűjtött vagy szükségtelenül megőrzött információkat.

A közös terület magában foglalja a GDPR 32. cikke által előírt, kockázatalapú technikai és szervezési intézkedéseket. A hozzáférés-szabályozás, a helyreállítási megoldások és a tesztelés mindkét funkciót támogathatja. A közös bizonyíték hasznos; a mögöttes értékeléseket azonban nem teszi azonossá.

Állapítsa meg, mely szerepekre van ténylegesen szüksége a szervezetének

Az adatvédelmi tisztviselő kijelölésének követelményeit a létszámtervezéstől külön értékelje

Adatvédelmi tisztviselő nem minden szervezetnél kötelező automatikusan. A GDPR 37. cikke szerint a kijelölés kötelező a közhatalmi szervek és egyéb, közfeladatot ellátó szervek esetében, az igazságszolgáltatási kivétel figyelembevételével, valamint azoknál a szervezeteknél, amelyek fő tevékenységei nagy számú érintett rendszeres és módszeres megfigyelését, vagy különleges kategóriájú, illetve büntetőjogi felelősség megállapítására vonatkozó határozatokkal és bűncselekményekkel kapcsolatos személyes adatok nagy számban történő kezelését foglalják magukban.

Ne szűkítse ezt az értékelést a vállalat méretére. Egy viszonylag kis szervezetnek is lehetnek olyan adatkezelési tevékenységei, amelyek kijelölési kötelezettséget váltanak ki, míg a munkavállalói létszám önmagában nem ad választ a GDPR szerinti tesztre. A nemzeti jog további kijelölési követelményeket írhat elő. Németországban az ottani kiegészítő nemzeti szabályokat is értékelje, ahelyett hogy kizárólag a 37. cikkre vagy egy emlékezetből felidézett létszámküszöbre támaszkodna.

Készítsen kijelölési értékelést, amely azonosítja az érintett jogi egységeket, adatkezelési tevékenységeket, joghatóságokat, a következtetés indokait és azokat az eseményeket, amelyek újraértékelést váltanának ki. Egy új megfigyelési szolgáltatás, egy felvásárlás vagy az érzékeny adatok kezelésébe való belépés megváltoztathatja a választ.

Ha nincs szükség adatvédelmi tisztviselőre, az adatvédelmi felelősségeket akkor is ossza ki. A jogalapokra, az átláthatóságra, a jogok kezelésére, a biztonságra és az elszámoltathatóságra vonatkozó kötelezettségek nem tűnnek el. Tudatosan használja a hivatalos adatvédelmi tisztviselői címet: egy önkéntes kijelölést valódi adatvédelmi tisztviselői szerepként kell kezelni, nem csupán egy adminisztratív kapcsolattartó megnevezéseként.

Különítse el a biztonsági felelősséget egy általános CISO-követelménytől

Nincs olyan egységes GDPR-követelmény, amely CISO címet viselő személy kijelölését írná elő. Más ágazati vagy nemzeti szabályok befolyásolhatják a biztonsági irányítást, ezért ezeket külön értékelje.

Az ISO/IEC 27001 előírja, hogy a hatókörbe tartozó IBIR-re vonatkozó felelősségeket és hatásköröket ki kell osztani; általános munkaköri címet nem ír elő. Az ügyfélszerződések is előírhatnak megnevezett biztonsági kapcsolattartót, meghatározott felelősségeket vagy bizonyos garanciális bizonyítékokat.

A hatály alá tartozó szervezetek esetében a NIS2 irányelv 20–23. cikke foglalkozik a vezetői felügyelettel, a kiberbiztonsági kockázatkezelési intézkedésekkel és az incidensbejelentéssel. A NIS2 a nemzeti jogon keresztül érvényesül, és alkalmazhatósága az ágazattól, a mérettől, a szolgáltatástól és a bevonási szabályoktól függ, nem csak a létszámtól. A németországi tevékenységeknél az alkalmazandó jogszabályok mellett használja a BSI NIS2-útmutatóját is.

A vezetői döntés ezért kettős: határozza meg a jogi és szerződéses követelményeket, majd biztosítsa az erőforrásokat az üzlet működtetéséhez szükséges biztonsági munkához. Egy hatáskör, kapacitás és hozzáférés nélküli munkaköri cím egyik problémát sem oldja meg.

Az összeférhetetlenséget a tényleges döntési jogokhoz mérten vizsgálja

A GDPR 38. cikkének (6) bekezdése lehetővé teszi, hogy az adatvédelmi tisztviselő más feladatokat is ellásson, feltéve, hogy ezek nem eredményeznek összeférhetetlenséget. A szerepek összevonása nem automatikusan tilos, de érdemi értékelést igényel. A központi kérdés az, hogy az adott személy meghatározza-e azokat az adatkezelési célokat és eszközöket, amelyekkel kapcsolatban aztán függetlenül kellene tanácsot adnia vagy ellenőrzést végeznie.

Vizsgálja meg a tervezett kijelöléshez tartozó hatásköröket:

• Eldöntheti-e az adott személy, miért gyűjtenek munkavállalói vagy ügyféladatokat?
• Kiválaszthatja-e a megfigyelési eszközöket, meghatározhatja-e a hatókörüket vagy a megőrzést?
• Rendszereket vagy adatkezelési megoldásokat hagy-e jóvá, ahelyett hogy csak tanácsot adna?
• Ellenőrizné-e azokat a döntéseket, amelyeket egy másik szerepében hozott?
• Fel tudja-e vetni aggályait közvetlenül a vezetésnél, ellentétes ösztönzők nélkül?

Egy CISO, aki munkavállalói megfigyelési megoldásokat hagy jóvá, más összeférhetetlenségi profilt mutat, mint egy biztonsági tanácsadó, aki döntési jogkör nélkül tesz javaslatokat. A felső szintű IT-, HR- és vezetői szerepek különös figyelmet érdemelnek, de a munkaköri címek önmagukban nem jelentenek teljes értékelést.

Dokumentálja a másik szerep feladatait, a delegált hatásköröket, a jelentési vonalakat és a garanciákat. Ha a felelősségek megváltoznak, vizsgálja felül az értékelést. Egy helyettes vagy független felülvizsgáló segíthet a folytonosságban és a garanciák biztosításában, de nem orvosolja automatikusan az összeférhetetlen kijelölést.

Gyakorlati ajánlásként válassza szét a szerepeket, ha a biztonsági funkció jelentős hatáskörrel rendelkezik a személyes adatok kezelése felett. Ne indokolja a kettős kijelölést kizárólag azzal, hogy a vállalat kicsi, vagy hogy az adott személyben megbíznak. A bizalom nem szünteti meg az önellenőrzést vagy az egymással versengő felelősségeket.

A külső kijelölések ugyanilyen alapos vizsgálatot igényelnek. A kiszervezés függetlenséget adhat a belső jelentési vonalaktól, de összeférhetetlenség továbbra is felmerülhet az átfedő megbízatások vagy a szolgáltató érdekei miatt.

Az átadásokat az ismétlődő munkák köré határozza meg

Egy felelősségi mátrixnak döntéseket és eredményeket kell leírnia, nem csupán a részvételt. Kerülje az olyan sorokat, mint „a biztonság és az adatvédelem közösen felelős”, anélkül hogy megnevezné, kinek kell a következő lépést megtennie.

Az alábbiak gyakorlati kiindulópontot jelentenek, nem minden kötelezettség jogszabályi felosztását:

Termékváltozások: az első átadás legyen elég korai ahhoz, hogy számítson

Egy új ügyfélplatform esetében a felelős üzleti gazdának meg kell neveznie a tervezett célt és az adatkezelési döntéseket. Adjon rövid változásleírást, amely kitér az adatkategóriákra, az érintett személyekre, a rendszerekre, a beszállítókra, a hozzáférésre, a megőrzésre és a várható bevezetési dátumra. Ha könnyebben érthetővé teszi a megoldást, mellékeljen adatfolyam-vázlatot is.

Ezután a biztonsági terület értékeli a fenyegetéseket és a védelmet: a kiemelt hozzáférést, a hitelesítést, a szegmentálást, a naplózást, a mentést és helyreállítást, valamint a kiadás előtt szükséges bizonyítékokat. Az adatvédelmi szakemberek értékelik a jogalapot, az átláthatóságot, az adattakarékosságot, a megőrzést, az adatkezelési viszonyokat, valamint azt, hogy szükség van-e DPIA-ra. A GDPR 35. cikke szerint DPIA-t kell végezni, ha az adatkezelés valószínűsíthetően magas kockázattal jár; ha van kijelölt adatvédelmi tisztviselő, konzultáljon vele.

Az átadásnak kifejezett megállapításokat kell eredményeznie, nem pedig külön, megindokolatlan jóváhagyásokat. Rögzítse adott esetben az adatvédelmi tisztviselő tanácsát, az üzleti döntést, a kiadási feltételeket és minden fennmaradó intézkedés felelősét. Ha a vezetés nem követi a tanácsot, őrizze meg az indoklását, és eszkalálja a megoldatlan jogi aggályokat. Az üzleti kockázatvállalás a jogellenes adatkezelést nem teheti jogszerűvé.

Határozzon meg felülvizsgálati kiváltó eseményeket, például új érzékeny adatokat, munkavállalói megfigyelést, megváltozott célokat, lényegesen szélesebb hozzáférést vagy új beszállítót. Ez hasznosabb, mint minden apró interfészváltozáshoz azonos papírmunkát megkövetelni.

Beszállítók bevonása: válassza külön a biztonsági garanciát az adatkezelés jogszerűségétől

Az üzleti gazdának azonosítania kell a szolgáltatást, az érintett adatokat és azt, hogy a beszállító ténylegesen mit fog tenni. A biztonsági terület értékeli a releváns garanciákat, a hozzáférési megoldásokat, az incidenstámogatást és az ellenálló képességet. Az adatvédelem azt értékeli, hogy a beszállító adatfeldolgozó, önálló adatkezelő vagy az adatkezelési konstrukció más résztvevője-e.

Ha a 28. cikk alkalmazandó, a szerződésnek tartalmaznia kell az általa előírt adatfeldolgozói feltételeket. A nemzetközi adattovábbítás külön értékelést igényel; egy adatfeldolgozási megállapodás vagy egy preferált tárhelyhelyszín nem dönti el ezt a kérdést.

Egyezzenek meg, ki szerzi be a hiányzó bizonyítékokat, és ki tárgyalja meg a szerződésmódosításokat. Gyakori hiba, hogy a biztonsági kérdőívet tekintik a teljes felülvizsgálatnak, miközben az adatkezelési szerepek, a további adatfeldolgozók, a törlés és a továbbítások feltáratlanok maradnak. Egy másik hiba, ha az adatvédelmi feltételeket úgy tárgyalják meg, hogy nem értik a beszállító valódi technikai hozzáférését.

Az eredménynek meg kell neveznie, milyen szolgáltatást és konfigurációt értékeltek, milyen feltételeket fogadtak el, milyen kérdések maradtak nyitva, és mi vált ki újraértékelést. A hozzáférés, a további adatfeldolgozók vagy az adatkezelési helyszínek lényeges változásainak mindkét funkcióhoz el kell jutniuk.

Incidensek: osszák meg a tényeket, mielőtt bizonyosság állna rendelkezésre

Feltételezett adatvédelmi incidens esetén a biztonsági terület kivizsgál, az adatvédelem pedig az érintett személyekre és a bejelentésre gyakorolt következményeket értékeli. Egyik csapat se várjon kész jelentésre, mielőtt megosztja a releváns információkat.

Az első átadásnak tartalmaznia kell, mi történt, mikor észlelték, mely rendszerek és adatok érintettek lehetnek, sérült-e a bizalmas jelleg, az integritás vagy a rendelkezésre állás, milyen megfékezés történt, és mi ismeretlen még. Jelöljön ki valakit, aki vezeti az idővonalat, és a tények változásával mindkét funkciót naprakészen tartja.

A GDPR 33. cikke szerint az adatkezelőnek indokolatlan késedelem nélkül és, ha lehetséges, a tudomásszerzést követő 72 órán belül be kell jelentenie az incidenst a felügyeleti hatóságnak, kivéve, ha az valószínűsíthetően nem jár kockázattal az érintettek jogaira és szabadságaira nézve. Az adatfeldolgozónak indokolatlan késedelem nélkül értesítenie kell az adatkezelőt. Rögzítse a tudomásszerzés időpontjának értékelését; ne feltételezze, hogy minden kezdeti riasztás elindítja a jogszabályi határidőt, vagy hogy a cselekvéshez teljes igazságügyi informatikai bizonyosság szükséges.

A 34. cikk magas kockázat esetén előírhatja az érintettek tájékoztatását, a kivételek figyelembevételével. Egyezzenek meg, ki koordinálja a határidőket, ki készíti elő a bejelentéseket, ki engedélyezi a kommunikációt, és ki őrzi meg a bizonyítékokat. Dokumentálja az adatvédelmi incidenseket, beleértve az indoklást is, ha a bejelentést szükségtelennek ítélik. A hiányzó tények szakaszos bejelentést tehetnek szükségessé, nem pedig hallgatást, amíg a vizsgálat tart.

A hatály alá tartozó szervezetet érintő incidens esetén párhuzamosan értékelje, hogy az eléri-e az alkalmazandó NIS2 szerinti jelentős incidensre vonatkozó bejelentési küszöböt. Az irányelv 24 órás korai figyelmeztetést, 72 órás incidensbejelentést és főszabályként a bejelentéstől számított egy hónapon belüli zárójelentést ír elő; ellenőrizze a nemzeti és ágazati szabályokat. Ezek a GDPR-tól eltérő kiváltó okok és címzettek, nem egyetlen, felcserélhető bejelentési folyamat.

Érintetti kérelmek: az operatív támogatást tartsa külön a válaszadás felelősségétől

Az érintetti kérelmekhez gyakran biztonsági és IT-támogatás kell a személyazonosság arányos ellenőrzéséhez, az információk felkutatásához, a harmadik személyek adatainak védelméhez és a válasz biztonságos kézbesítéséhez. Az adatvédelem koordinálja a jogi értékelést, adott esetben az adatvédelmi tisztviselő tanácsával. A válaszadásért továbbra is az adatkezelő felel.

A GDPR 12. cikke szerint a válaszadás szokásos határideje egy hónap. Szükség esetén ez további két hónappal meghosszabbítható, ha az érintettet az első hónapon belül tájékoztatják a meghosszabbításról és annak okairól. A kérelmek főszabályként díjmentesek; díjat felszámítani vagy a kérelmet elutasítani csak korlátozott feltételek mellett lehet.

Rögzítse, ki felel a határidőért, mely rendszereket kell átkutatni, és ki hagyja jóvá a közlést. Ne követeljen alapértelmezésként túlzott azonosító dokumentumokat, és ne engedje, hogy egy technikai export felülvizsgálat nélküli válasszá váljon. Egy közös operatív folyamat összekapcsolhatja az adatvédelmi értékelést az érintetti hozzáférési kérelmek kezeléséről szóló cikkben leírt keresésekkel és kézbesítési kontrollokkal.

A belső vagy külső kijelölésről a képességek és a hozzáférés alapján döntsön

A GDPR 37. cikkének (6) bekezdése kifejezetten lehetővé teszi, hogy az adatvédelmi tisztviselői szerepet munkavállaló vagy szolgáltatási szerződés keretében külső személy töltse be. A biztonsági vezetés szervezeti megoldásként szintén külső forrásból biztosítható, az alkalmazandó követelmények és egyértelmű megbízatás mellett.

Egy belső adatvédelmi tisztviselő mélyen ismerheti az üzletet, és könnyen elérheti a kollégáit. A szervezetnek ekkor is biztosítania kell a szakértelmet, az erőforrásokat, a védett munkaidőt, a függetlenséget és a helyettesítést. Egy külső adatvédelmi tisztviselő szakértői tapasztalatot és további kapacitást hozhat, de megbízható hozzáférésre van szüksége a termékváltozásokhoz, a szerződésekhez, az értékelésekhez és az incidensekhez. Egyik modell sem működik, ha az adatvédelmi tisztviselő csak a megvalósítás után értesül a döntésekről.

A teljes működési igényt hasonlítsa össze, ne csak a fizetést a megbízási díjjal. Vegye figyelembe a képzést, a szakértői tanácsadást, a távollét alatti helyettesítést, a koordinációs időt, a projektcsúcsokat és a hatókörön kívüli díjakat. Nincs megbízható általános szabály arra, hogy a külső szolgáltatás olcsóbb lenne.

Külső megbízás esetén állapodjanak meg a következőkben:

• Megnevezett kapcsolattartók, helyettesek, eszkalációs útvonalak és hozzáférés a legfelsőbb vezetéshez.
• Mely felülvizsgálatok, megbeszélések, képzések és incidenstámogatás tartoznak bele.
• A sürgős és a rutinszerű munkához igazított válaszadási megoldások.
• Hogyan dokumentálják és őrzik meg az információkat, a tanácsokat és a döntéseket.
• Titoktartás, hozzáférési határok, az összeférhetetlenség kezelése és a kilépési megoldások.

Ha egy szolgáltató mindkét funkciót biztosítja, vizsgálja meg, ki látja el az egyes megbízatásokat, és hogyan kezelik az összeférhetetlenséget. Az ajánlatban szereplő különböző nevek nem elegendők, ha ugyanaz a személy irányítja és vizsgálja felül az adatkezelési döntéseket.

Jelöljön ki egy belső koordinátort, akinek van hatásköre információt beszerezni és a megvalósítást számon kérni. A külső szakemberek nem tudják értékelni a fel nem tárt rendszereket, és nem tudnak érvényt szerezni olyan intézkedéseknek, amelyeknek belül senki sem gazdája. A költségvetésről és az üzleti prioritásokról a vezetés dönt, és a 24. cikk szerinti GDPR-elszámoltathatóság az adatkezelőnél marad.

Igazítsa a megoldást a munkaterheléshez

Egy kisebb szervezetnél, amelynek nincs adatvédelmi tisztviselő kijelölésére vonatkozó kötelezettsége, megfelelő lehet egy megnevezett adatvédelmi felelős és egy biztonsági felelős, a nehéz kérdésekhez elérhető szakértői tanácsadással. Ez más, mint valakit hivatalosan adatvédelmi tisztviselőnek kijelölni.

Ha adatvédelmi tisztviselő kijelölése kötelező, de a belső jelöltek összeférhetetlen operatív hatáskörrel rendelkeznek, érdemes külső kijelölést fontolóra venni. Ezt párosítsa belső megvalósítási felelősséggel, ahelyett hogy a szolgáltatótól várná minden adatvédelmi feladat elvégzését.

Ha az ügyfelek garanciaigényei IBIR kiépítését kívánják meg, és a belső biztonsági tapasztalat korlátozott, a külső biztonsági vezetés támogathatja a kezdeti munkát. Döntse el, ki tartja karban utána a kockázatértékeléseket, a bizonyítékokat és a vezetői jelentéseket; egy projektmegbízás nem hagyhat felelősségi rést maga után, amikor véget ér.

Egy érett szervezet mindkét funkciót belsőleg is támogathatja, feltéve, hogy védi az adatvédelmi tisztviselő függetlenségét, és elegendő kapacitást biztosít. A döntésnek a tényleges munkaterhelést, kompetenciát és hatáskört kell követnie, nem azt a feltételezést, hogy a belső megoldás mindig jobb, a külső pedig mindig egyszerűbb.

Kidolgozott példa: ügyfélportált előkészítő gyártó vállalat

Vegyünk egy szemléltető gyártó vállalatot 200 munkavállalóval, egy kis IT-csapattal és egy tervezett, ügyfélszolgálatra és gépkarbantartásra szolgáló portállal. Tegyük fel, hogy a portál ügyfél-kapcsolattartási adatokat, szervizelőzményeket és a technikusok tevékenységi nyilvántartásait tartalmazza majd. Az ügyfelek dokumentált biztonsági irányítást is kérnek. Ezek feltételezett tények, nem jogi következtetés minden ilyen méretű gyártóra nézve.

A vezetés először külön értékeléseket rendel meg az adatvédelmi tisztviselő kijelölésének követelményeiről és az ágazati kiberbiztonsági szabályok alkalmazhatóságáról. A NIS2 hatályára nem pusztán a létszámból következtet. Felülvizsgálja az IT-igazgató meglévő adatvédelmi tisztviselői kijelölését is, mivel ez az igazgató választja ki a rendszereket és hagyja jóvá a működésüket.

Az összeférhetetlenség és a kapacitás értékelése után a vállalat külső adatvédelmi tisztviselőt és részmunkaidős biztonsági vezetőt jelöl ki. Az IT-igazgató a műszaki megvalósításért felel, a szervizigazgató a portál adatkezelési céljaiért és üzleti követelményeiért, egy belső koordinátor pedig az intézkedési nyilvántartást vezeti. Az ügyvezető igazgató támogatja a döntéseket, és rendezi az erőforrásokkal kapcsolatos vitákat.

A tervezés során a biztonsági terület részletes tevékenységnaplózást javasol a visszaélések kivizsgálására. Az adatvédelem rámutat, hogy a naplók a technikusok viselkedését is feltárják. A szervizigazgató elmagyarázza az operatív igényt; a biztonsági terület korlátozott hozzáférést és meghatározott vizsgálati célú felhasználást javasol; az adatvédelem értékeli a szükségességet, az átláthatóságot és a megőrzést. Az adatvédelmi tisztviselő tanácsát rögzítik, mielőtt az elszámoltatható gazda dönt a konfigurációról. Az adatvédelmi tisztviselő nem a vezetés helyett hagyja jóvá a naplózási kialakítást.

Az indítási nyilvántartás tartalmazza az adatfolyam leírását, a beszállítói értékelést, a biztonsági megállapításokat, a DPIA-előszűrés eredményét, az adatvédelmi intézkedéseket és az elfogadott kiadási feltételeket. Minden nyitott intézkedésnek van felelőse és határideje.

A vezetés ezután asztali gyakorlatot tart egy kompromittált portálfiókról. A biztonsági terület kezdeti ténycsomagot ad; az adatvédelem értékeli a lehetséges kárt; a koordinátor követi az értékelési határidőket; a felhatalmazott vezető pedig a kommunikációt kezeli. A gyakorlat feltárja, hogy a külső adatvédelmi tisztviselő vészhelyzeti elérhetőségei hiányoztak az incidenskezelési eljárásból. Ennek a kis hiányosságnak a kijavítása teszi az átadást nyomás alatt is használhatóvá.

Tegye felülvizsgálhatóvá az együttműködést anélkül, hogy mindent megosztana

Adjon a nézeteltéréseknek megnevezett eszkalációs útvonalat. A műszaki kompromisszumok a szolgáltatásgazdához és a felsővezetői szponzorhoz kerülhetnek; a megoldatlan megfelelési aggályoknak az adatvédelmi tisztviselő független jelentési útvonalán keresztül kell eljutniuk a legfelsőbb vezetéshez. Őrizze meg az eltérő álláspontokat, ahelyett hogy a nyilvántartást úgy írná át, mintha egyetértés lett volna.

Csak azt az információt ossza meg, amelyre az egyes szerepeknek szükségük van, különösen az érzékeny vizsgálatok során. Az adatvédelmi tisztviselőnek a GDPR 38. cikke szerint hozzá kell férnie a releváns adatkezelési információkhoz, de ez nem indokolja a nyers munkavállalói nyilvántartások vagy igazságügyi informatikai anyagok szétosztását minden projektrésztvevő között. Alkalmazzon hozzáférési határokat és megfelelően kitakart összefoglalókat, anélkül hogy visszatartaná az értékeléshez szükséges tényeket.

A vezetésnek néhány operatív jelzést kell áttekintenie: a konzultáció előtt megvalósított változásokat, a tanácsadás után határidőn túl nyitott intézkedéseket, a késői, funkciókon átívelő eszkalációjú incidenseket és a döntési jogkörrel kapcsolatos ismétlődő bizonytalanságot. Ezek egyértelműbben tárják fel az irányítási hiányosságokat, mint a szabályzatok vagy megbeszélések számolgatása.

Egy gyakorlati vezetői felülvizsgálatnak döntésekkel kell zárulnia, nem csupán frissített jelentésekkel. Ha az értékelések rendszeresen későn érkeznek, változtassa meg a projektbefogadás kiváltó eseményét. Ha az intézkedések azért maradnak nyitva, mert a csapatoknak nincs kapacitásuk, biztosítson erőforrásokat, vagy módosítsa a megvalósítási tervet. Ha senki sem tudja megnevezni a döntéshozót, javítsa ki a delegálást, mielőtt újabb kiadást fogadna el.

Tartsa tömören az így keletkező nyilvántartást: a kérdés, a releváns biztonsági és adatvédelmi tanács, az elszámoltatható döntés, annak indoklása, az intézkedések felelősei és a felülvizsgálat dátuma. Különböztesse meg a bizonyítékhiányt a megvalósított, de hibásan működő kontrolltól. Eltérő utókövetést igényelnek, még ha mindkettő nyitott feladatként jelenik is meg.

Kérdések, amelyeket a vezetésnek kifejezetten rendeznie kell

Az adatvédelmi tisztviselőnek minden bevezetést jóvá kell hagynia?

A GDPR tanácsadói és ellenőrzési szerepet határoz meg, nem általános adatvédelmi tisztviselői kiadásjóváhagyási követelményt. Egy szervezet létrehozhat konzultációs kapukat, de meg kell különböztetnie a konzultációt az üzleti gazda indítási jogkörétől. Egy lezárt konzultáció azt sem bizonyítja, hogy az adatkezelés jogszerű.

A biztonsági bizonyítékok kielégíthetik az adatvédelmi felülvizsgálatokat?

Alátámaszthatják azokat. A hozzáférés-felülvizsgálati nyilvántartások vagy a helyreállítási tesztek hozzájárulhatnak egy 32. cikk szerinti értékeléshez. Nem bizonyítják azonban a jogalapot, a megfelelő átláthatóságot vagy az indokolt megőrzési időt. Nevezze meg, milyen állítást igazol az egyes elem, ahelyett hogy egyetlen bizonyítékcsomagot mindenre kiterjedő jóváhagyásnak tekintene.

Kezdjen két folyamattal és egy kis bizonyítéki nyomvonallal

Kezdje a termékváltozásokkal és az incidenskezeléssel. Mindkettőhöz nevezze meg a befogadásért felelőst, a szükséges információkat, a felülvizsgálati kiváltó eseményeket, a döntési jogkört, az eszkalációs útvonalat és a helyettesítési megoldásokat. Mielőtt bővítené a mátrixot, tesztelje mindkettőt valósághű esetekkel.

A Secani közös kontextusban kapcsolja össze a követelményeket, a bizonyítékokat, a felelősöket, a feladatokat és a felülvizsgálati döntéseket. Egy fókuszált szolgáltatási hatókör esetében a csapatok modellezhetik a támogató rendszereket és szolgáltatókat, a bizonyítékokat azokhoz a követelményekhez vagy döntésekhez csatolhatják, amelyeket alátámasztanak, és a megválaszolatlan felülvizsgálati kérdéseket kiosztott feladatokká alakíthatják. Tervezze meg a belső és külső közreműködők hozzáférési határait; a dokumentált OSCAL API-szerepkör csak validálási hozzáférést biztosít. Az MI-támogatott javaslatoknál tartsa kifejezetten láthatóvá az emberi felülvizsgálatot, és őrizze meg a forrásokat, a megjegyzéseket, a jóváhagyásokat és az időbélyegeket.

A gyakorlati következő lépés egy közös megbeszélés az üzleti gazdával, a biztonsági vezetővel, az adatvédelmi csapattal és az adatvédelmi tisztviselővel. Vezessenek végig egy közelgő változást és egy valószínűsíthető incidenst a javasolt átadásokon. Ahol a csoport nem tudja megnevezni, ki cselekszik következőként, ott javítsák a folyamatot a következő sürgős eset előtt.