CISO ir DAP: aiškiai apibrėžkite perdavimo taškus

Saugumo ir privatumo komandos dažnai nagrinėja tą pačią sistemą iš skirtingų pusių. CISO klausia, ar prieiga, atsparumas ir rizikos valdymas yra pakankami. Duomenų apsaugos pareigūnas (DAP) konsultuoja dėl teisėto duomenų tvarkymo, asmenų teisių, apsaugos priemonių ir duomenų apsaugos atitikties. Jų darbas iš dalies sutampa, tačiau jų įgaliojimai neturėtų tapti tarpusavyje pakeičiami.

Vadovybei praktinis klausimas nėra vien tai, kas turi kurias pareigas. Svarbu, kas pateikia faktus, kas konsultuoja, kas įgyvendina ir kas priima atskaitingą sprendimą. Šie skirtumai tampa svarbūs, kai paleidžiamas produktas, keičiasi tiekėjas ar incidentas priverčia veikti dar nebaigus tyrimo.

Veikianti tvarka abiem funkcijoms suteikia ankstyvą matomumą ir kartu išsaugo DAP nepriklausomumą. Ji taip pat aiškiai parodo, kad specialistų paskyrimas – vidinis ar išorinis – neperkelia duomenų valdytojo atskaitomybės už duomenų tvarkymo sprendimus.

Atskirkite įgaliojimus prieš skirdami žmones

CISO atsakomybės priklauso nuo organizacijos valdysenos. Šis pavadinimas gali reikšti saugumo funkcijai vadovaujantį vadovą, informacijos saugumo valdymo sistemą valdantį specialistą arba ne visu etatu dirbantį patarėją. Informacijos saugumo pareigūno įgaliojimai gali būti siauresni. Apibrėžkite įgaliojimus, o ne manykite, kad pareigų pavadinimas viską išsprendžia.

DAP turi konkrečias teisės aktais nustatytas užduotis ir apsaugas pagal BDAR 37–39 straipsnius. Jos apima informavimą ir konsultavimą, atitikties stebėseną, konsultavimą dėl poveikio duomenų apsaugai vertinimų, bendradarbiavimą su priežiūros institucija ir veikimą kaip jos kontaktinis asmuo. DAP turi būti tiesiogiai pavaldus aukščiausio lygio vadovybei ir negauti jokių nurodymų dėl šių užduočių vykdymo.

Saugumas apima daugiau nei asmens duomenis. Išpirkos reikalaujančios programinės įrangos ataka, paveikusi inžinerinius brėžinius ar gamybos planavimą, yra saugumo problema net tada, kai asmens duomenys nedalyvauja. Privatumas apima daugiau nei saugumą: gerai apsaugotoje duomenų bazėje vis tiek gali būti informacijos, surinktos be tinkamo teisinio pagrindo ar saugomos be reikalo.

Bendra sritis apima BDAR 32 straipsnio reikalaujamas rizika grindžiamas technines ir organizacines priemones. Prieigos kontrolė, atkūrimo tvarka ir testavimas gali padėti abiem funkcijoms. Bendri įrodymai naudingi; tačiau dėl jų pagrindiniai vertinimai netampa tapatūs.

Nustatykite, kurių vaidmenų jūsų organizacijai iš tikrųjų reikia

DAP paskyrimo reikalavimus vertinkite atskirai nuo darbuotojų skaičiaus planavimo

DAP automatiškai nėra privalomas kiekvienai organizacijai. Pagal BDAR 37 straipsnį paskyrimas privalomas valdžios institucijoms ar įstaigoms, su teismams taikoma išimtimi, ir organizacijoms, kurių pagrindinė veikla apima didelio masto reguliarią ir sistemingą stebėseną arba didelio masto specialių kategorijų duomenų ar asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymą.

Nesusiaurinkite šio vertinimo iki įmonės dydžio. Palyginti nedidelė organizacija gali vykdyti duomenų tvarkymo veiklas, dėl kurių paskyrimas tampa privalomas, o vien darbuotojų skaičius neatsako į BDAR testą. Nacionalinė teisė gali nustatyti papildomų paskyrimo reikalavimų. Vokietijoje įvertinkite papildomas nacionalines taisykles, o ne remkitės vien 37 straipsniu ar įsimintu darbuotojų skaičiaus slenksčiu.

Turėkite paskyrimo vertinimą, kuriame nurodyti atitinkami subjektai, duomenų tvarkymo veiklos, jurisdikcijos, išvados priežastys ir įvykiai, kurie inicijuotų pakartotinį vertinimą. Nauja stebėsenos paslauga, įsigijimas ar perėjimas prie jautrių duomenų tvarkymo gali pakeisti atsakymą.

Kai DAP neprivalomas, privatumo atsakomybes vis tiek paskirkite. Teisinių pagrindų, skaidrumo, teisių įgyvendinimo, saugumo ir atskaitomybės pareigos neišnyksta. Formalų DAP pavadinimą naudokite apgalvotai: savanorišką paskyrimą reikėtų laikyti tikru DAP vaidmeniu, o ne vien administracinio kontaktinio asmens etikete.

Atskirkite atsakomybę už saugumą nuo visuotinio CISO reikalavimo

BDAR nenustato vieno reikalavimo paskirti asmenį, turintį CISO pareigų pavadinimą. Kitos sektorinės ar nacionalinės taisyklės gali turėti įtakos saugumo valdysenai, todėl jas vertinkite atskirai.

ISO/IEC 27001 reikalauja paskirstyti atsakomybes ir įgaliojimus apibrėžtos taikymo srities ISMS; jis nenustato visuotinio pareigų pavadinimo. Sutartys su klientais taip pat gali reikalauti įvardyto saugumo kontaktinio asmens, apibrėžtų atsakomybių ar konkrečių užtikrinimo įrodymų.

Taikymo sričiai priklausančioms organizacijoms NIS2 direktyvos 20–23 straipsniai reglamentuoja vadovybės priežiūrą, kibernetinio saugumo rizikos valdymo priemones ir pranešimus apie incidentus. NIS2 įgyvendinama per nacionalinę teisę, o taikymas priklauso nuo sektoriaus, dydžio, paslaugos ir įtraukimo taisyklių, o ne vien nuo darbuotojų skaičiaus. Veiklai Vokietijoje greta taikomų teisės aktų naudokite BSI NIS2 gaires.

Todėl vadovybės sprendimas yra dvejopas: nustatyti teisinius ir sutartinius reikalavimus, tada skirti išteklių saugumo darbui, reikalingam verslui vykdyti. Pareigų pavadinimas be įgaliojimų, pajėgumų ir prieigos neišsprendžia nė vienos problemos.

Interesų konfliktus tikrinkite pagal faktines sprendimų teises

BDAR 38 straipsnio 6 dalis leidžia DAP vykdyti kitas užduotis, jei dėl jų nekyla interesų konfliktas. Vaidmenų derinimas automatiškai nedraudžiamas, tačiau reikalauja esminio vertinimo. Pagrindinis klausimas – ar asmuo nustato duomenų tvarkymo tikslus ir priemones, dėl kurių vėliau turi nepriklausomai konsultuoti ar juos stebėti.

Išnagrinėkite įgaliojimus, susijusius su siūlomu paskyrimu:

• Ar asmuo gali nuspręsti, kodėl renkami darbuotojų ar klientų duomenys?
• Ar jis gali pasirinkti stebėsenos priemones, apibrėžti jų apimtį ar nustatyti saugojimo terminus?
• Ar jis tvirtina sistemas ar duomenų tvarkymo tvarką, o ne tik konsultuoja?
• Ar jis stebėtų sprendimus, kuriuos priėmė eidamas kitas pareigas?
• Ar jis gali tiesiogiai iškelti problemas vadovybei, neturėdamas prieštaraujančių paskatų?

CISO, tvirtinantis darbuotojų stebėsenos tvarką, turi kitokį konflikto profilį nei saugumo patarėjas, teikiantis rekomendacijas be sprendimų įgaliojimų. Aukšto lygio IT, personalo ir vadovybės pareigoms reikia ypatingo dėmesio, tačiau vien pareigų pavadinimai nėra išsamus vertinimas.

Dokumentuokite kito vaidmens pareigas, deleguotus įgaliojimus, pavaldumo linijas ir apsaugos priemones. Persvarstykite vertinimą, kai keičiasi atsakomybės. Pavaduotojas ar nepriklausomas vertintojas gali padėti užtikrinti tęstinumą ir patikimumą, tačiau automatiškai neištaiso nesuderinamo paskyrimo.

Kaip praktinė rekomendacija, atskirkite vaidmenis, kai saugumo funkcija turi didelių įgaliojimų asmens duomenų tvarkymo srityje. Nepateisinkite dvigubo paskyrimo vien tuo, kad įmonė maža ar asmeniu pasitikima. Pasitikėjimas nepanaikina savęs vertinimo ar konkuruojančių atsakomybių.

Išoriniams paskyrimams reikia tokio pat dėmesio. Užsakomosios paslaugos gali suteikti nepriklausomumą nuo vidinių pavaldumo linijų, tačiau konfliktų vis tiek gali kilti dėl persidengiančių įgaliojimų ar paslaugų teikėjo paskatų.

Perdavimo taškus apibrėžkite pagal pasikartojantį darbą

Atsakomybių matrica turėtų apibūdinti sprendimus ir rezultatus, o ne vien dalyvavimą. Venkite eilučių „saugumas ir privatumas atsako bendrai“, nenurodydami, kas turi veikti toliau.

Toliau pateikta lentelė yra praktinis atspirties taškas, o ne teisės aktais nustatytas kiekvienos pareigos paskirstymas:

Produkto pokyčiai: pirmąjį perdavimą atlikite pakankamai anksti, kad jis turėtų reikšmės

Naujai klientų platformai atsakingas verslo savininkas turėtų nurodyti numatomą tikslą ir duomenų tvarkymo sprendimus. Pateikite trumpą pokyčio santrauką, apimančią duomenų kategorijas, paveiktus žmones, sistemas, tiekėjus, prieigą, saugojimą ir numatomą diegimo datą. Įtraukite duomenų srautų eskizą, jei jis padeda lengviau suprasti tvarką.

Tada saugumo specialistai įvertina grėsmes ir apsaugas: privilegijuotą prieigą, autentifikavimą, atskyrimą, žurnalų registravimą, atsargines kopijas ir atkūrimą bei įrodymus, kurių reikia prieš išleidžiant. Privatumo specialistai įvertina teisinį pagrindą, skaidrumą, duomenų kiekio mažinimą, saugojimą, duomenų tvarkymo santykius ir tai, ar reikia PDAV. Pagal BDAR 35 straipsnį PDAV privalomas, kai duomenų tvarkymas gali kelti didelį pavojų; kai DAP paskirtas, konsultuokitės su juo.

Perdavimo rezultatas turėtų būti aiškios išvados, o ne atskiri nepaaiškinti patvirtinimai. Užfiksuokite DAP patarimą, kai aktualu, verslo sprendimą, išleidimo sąlygas ir kiekvieno likusio veiksmo savininką. Jei vadovybė nesilaiko patarimo, išsaugokite jos argumentus ir eskaluokite neišspręstas teisines problemas. Verslo rizikos priėmimas negali neteisėto duomenų tvarkymo padaryti teisėtu.

Nustatykite peržiūros inicijavimo sąlygas, pavyzdžiui, nauji jautrūs duomenys, darbuotojų stebėsena, pakeisti tikslai, reikšmingai išplėsta prieiga ar naujas tiekėjas. Tai naudingiau nei reikalauti vienodų dokumentų kiekvienam smulkiam sąsajos pakeitimui.

Tiekėjo įtraukimas: atskirkite saugumo užtikrinimą nuo duomenų tvarkymo teisėtumo

Verslo savininkas turėtų nurodyti paslaugą, susijusius duomenis ir tai, ką tiekėjas iš tikrųjų darys. Saugumo specialistai įvertina atitinkamą užtikrinimą, prieigos tvarką, pagalbą incidentų atveju ir atsparumą. Privatumo specialistai įvertina, ar tiekėjas yra duomenų tvarkytojas, savarankiškas duomenų valdytojas ar kitas duomenų tvarkymo tvarkos dalyvis.

Kai taikomas 28 straipsnis, sutartyje turi būti jo reikalaujamos duomenų tvarkytojui taikomos sąlygos. Tarptautiniams perdavimams reikia atskiro vertinimo; duomenų tvarkymo sutartis ar pageidaujama duomenų laikymo vieta šio klausimo neišsprendžia.

Susitarkite, kas gauna trūkstamus įrodymus ir kas derasi dėl sutarties pakeitimų. Dažna klaida – laikyti saugumo klausimyną visa peržiūra, paliekant neišnagrinėtus duomenų tvarkymo vaidmenis, subtvarkytojus, ištrynimą ir perdavimus. Kita klaida – derėtis dėl privatumo sąlygų nesuprantant tikrosios tiekėjo techninės prieigos.

Rezultate turėtų būti nurodyta, kokia paslauga ir konfigūracija buvo įvertintos, priimtos sąlygos, atviri klausimai ir pakartotinio vertinimo inicijavimo sąlygos. Reikšmingi prieigos, subtvarkytojų ar duomenų tvarkymo vietų pokyčiai turėtų pasiekti abi funkcijas.

Incidentai: keiskitės faktais dar neturėdami tikrumo

Įtarus pažeidimą, saugumo specialistai tiria, o privatumo specialistai vertina pasekmes paveiktiems žmonėms ir pranešimo poreikį. Nė viena komanda neturėtų laukti baigtos ataskaitos, prieš dalydamasi svarbia informacija.

Pirmajame perdavime turėtų būti nurodyta, kas nutiko, kada tai aptikta, kokios sistemos ir duomenys gali būti susiję, ar paveiktas konfidencialumas, vientisumas ar prieinamumas, kokių suvaldymo veiksmų imtasi ir kas lieka nežinoma. Paskirkite asmenį, kuris tvarkytų laiko juostą ir, keičiantis faktams, informuotų abi funkcijas.

Pagal BDAR 33 straipsnį duomenų valdytojas turi pranešti priežiūros institucijai nepagrįstai nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms. Duomenų tvarkytojas turi pranešti duomenų valdytojui nepagrįstai nedelsdamas. Užfiksuokite sužinojimo momento vertinimą; nemanykite, kad kiekvienas pradinis įspėjimas pradeda skaičiuoti teisės aktuose nustatytą terminą ar kad prieš veikiant būtinas visiškas teismo ekspertizės tikrumas.

34 straipsnis gali reikalauti pranešti paveiktiems žmonėms, kai kyla didelis pavojus, atsižvelgiant į jame numatytas išimtis. Susitarkite, kas koordinuoja terminus, rengia pranešimus, leidžia komunikaciją ir saugo įrodymus. Dokumentuokite asmens duomenų saugumo pažeidimus, įskaitant argumentus, kai pranešimas laikomas nereikalingu. Dėl trūkstamų faktų gali tekti pranešti etapais, o ne tylėti, kol tyrimas tęsiasi.

Incidentui, paveikusiam taikymo sričiai priklausantį subjektą, lygiagrečiai įvertinkite, ar jis atitinka taikomą NIS2 didelio poveikio incidento pranešimo ribą. Direktyvoje numatytas išankstinis įspėjimas per 24 valandas, pranešimas apie incidentą per 72 valandas ir paprastai galutinė ataskaita per vieną mėnesį nuo pranešimo; patikrinkite nacionalines ir sektorines taisykles. Tai kitokios inicijavimo sąlygos ir adresatai nei BDAR, o ne vienas tarpusavyje pakeičiamas pranešimų procesas.

Teisių prašymai: veiklos paramą atskirkite nuo atsakomybės už atsakymą

Teisių prašymams dažnai reikia saugumo ir IT paramos, kad būtų galima proporcingai patikrinti tapatybę, rasti informaciją, apsaugoti trečiųjų asmenų duomenis ir saugiai pateikti atsakymą. Privatumo specialistai koordinuoja teisinį vertinimą, prireikus su DAP patarimu. Atsakomybė už atsakymą lieka duomenų valdytojui.

Pagal BDAR 12 straipsnį įprastas atsakymo terminas yra vienas mėnuo. Prireikus terminą galima pratęsti dar dviem mėnesiais, per pirmąjį mėnesį pranešus apie tai ir nurodžius priežastis. Prašymai paprastai nagrinėjami nemokamai, o mokesčiai ar atsisakymas galimi tik ribotomis sąlygomis.

Užfiksuokite, kas atsako už terminą, kuriose sistemose reikia ieškoti ir kas tvirtina atskleidimą. Pagal nutylėjimą nereikalaukite perteklinių tapatybės dokumentų ir neleiskite techniniam eksportui tapti nepatikrintu atsakymu. Bendras veiklos procesas gali susieti privatumo vertinimą su paieškomis ir pateikimo kontrolės priemonėmis, aprašytomis straipsnyje apie prašymų susipažinti su duomenimis tvarkymą.

Vidinius ar išorinius paskyrimus rinkitės pagal gebėjimus ir prieigą

BDAR 37 straipsnio 6 dalis aiškiai leidžia DAP funkcijas atlikti darbuotojui arba pagal paslaugų sutartį. Saugumo vadovavimą taip pat galima organizuoti pasitelkiant išorės paslaugas, laikantis taikomų reikalavimų ir aiškiai apibrėžus įgaliojimus.

Vidinis DAP gali gerai išmanyti verslą ir lengvai pasiekti kolegas. Organizacija vis tiek turi užtikrinti kompetenciją, išteklius, apsaugotą laiką, nepriklausomumą ir pavadavimą. Išorinis DAP gali suteikti specializuotos patirties ir papildomų pajėgumų, tačiau jam reikia patikimo kelio į produktų pokyčius, sutartis, vertinimus ir incidentus. Nė vienas modelis neveikia, jei DAP apie sprendimus sužino tik juos įgyvendinus.

Palyginkite bendrus veiklos poreikius, o ne vien atlyginimą su abonentiniu mokesčiu. Atsižvelkite į mokymus, specialistų patarimus, pavadavimą nedalyvaujant, koordinavimo laiką, projektų piko laikotarpius ir į sutartį neįtrauktų darbų mokesčius. Nėra patikimos universalios taisyklės, kad išorės paslaugos pigesnės.

Išorinių įgaliojimų atveju susitarkite dėl:

• Įvardytų kontaktinių asmenų, pavaduotojų, eskalavimo kelių ir prieigos prie aukščiausio lygio vadovybės.
• To, kokios peržiūros, susitikimai, mokymai ir pagalba incidentų atveju įtraukti.
• Reagavimo tvarkos, pritaikytos skubiam ir įprastam darbui.
• To, kaip informacija, patarimai ir sprendimai bus dokumentuojami ir saugomi.
• Konfidencialumo, prieigos ribų, konfliktų valdymo ir pasitraukimo tvarkos.

Jei vienas paslaugų teikėjas užtikrina abi funkcijas, patikrinkite, kas vykdo kiekvieną įgaliojimą ir kaip valdomi konfliktai. Atskirų vardų pasiūlyme nepakanka, jei tas pats asmuo kontroliuoja ir peržiūri duomenų tvarkymo sprendimus.

Paskirkite vidinį koordinatorių, turintį įgaliojimus gauti informaciją ir raginti įgyvendinti veiksmus. Išorės specialistai negali įvertinti neatskleistų sistemų ar užtikrinti veiksmų, už kuriuos viduje niekas neatsako. Vadovybė pasilieka sprendimus dėl biudžeto ir verslo prioritetų, o duomenų valdytojas pagal 24 straipsnį išlaiko BDAR atskaitomybę.

Pritaikykite tvarką darbo krūviui

Mažesnei organizacijai, neturinčiai pareigos paskirti DAP, gali tikti įvardytas privatumo savininkas ir saugumo savininkas, o sudėtingiems klausimams – prieinami specialistų patarimai. Tai skiriasi nuo formalaus DAP paskyrimo.

Kai DAP privalomas, bet vidiniai kandidatai turi prieštaraujančių veiklos įgaliojimų, verta apsvarstyti išorinį paskyrimą. Derinkite jį su vidine atsakomybe už įgyvendinimą, o ne tikėkitės, kad paslaugų teikėjas atliks kiekvieną privatumo užduotį.

Kai klientų užtikrinimo reikalavimai verčia kurti ISMS, o vidinė saugumo patirtis ribota, pradinį darbą gali paremti išorinis saugumo vadovavimas. Nuspręskite, kas vėliau palaikys rizikos vertinimus, įrodymus ir ataskaitas vadovybei; projektinė sutartis neturėtų palikti atsakomybės spragos jai pasibaigus.

Brandi organizacija gali palaikyti abi funkcijas viduje, jei apsaugo DAP nepriklausomumą ir skiria pakankamai pajėgumų. Sprendimas turėtų remtis faktiniu darbo krūviu, kompetencija ir įgaliojimais, o ne prielaida, kad vidinis sprendimas visada geresnis ar išorinis visada paprastesnis.

Išnagrinėtas pavyzdys: gamintojas rengia klientų portalą

Panagrinėkime iliustracinį gamintoją, turintį 200 darbuotojų, nedidelę IT komandą ir planuojamą portalą klientų aptarnavimui ir mašinų techninei priežiūrai. Tarkime, portale bus klientų kontaktiniai duomenys, aptarnavimo istorija ir technikų veiklos įrašai. Klientai taip pat prašo dokumentuotos saugumo valdysenos. Tai hipotetiniai faktai, o ne teisinė išvada apie kiekvieną tokio dydžio gamintoją.

Vadovybė pirmiausia užsako atskirus DAP paskyrimo reikalavimų ir sektorinio kibernetinio saugumo taikymo vertinimus. Ji nedaro išvados apie NIS2 taikymą vien pagal darbuotojų skaičių. Ji taip pat peržiūri esamą IT direktoriaus paskyrimą DAP, nes šis direktorius renkasi sistemas ir tvirtina jų veikimą.

Įvertinusi konfliktus ir pajėgumus, įmonė paskiria išorinį DAP ir ne visu etatu dirbantį saugumo vadovą. IT direktorius atsako už techninį įgyvendinimą, aptarnavimo direktorius – už portalo duomenų tvarkymo tikslus ir verslo reikalavimus, o vidinis koordinatorius tvarko veiksmų registrą. Generalinis direktorius remia sprendimus ir sprendžia ginčus dėl išteklių.

Projektavimo metu saugumo specialistai rekomenduoja išsamų veiklos žurnalų registravimą piktnaudžiavimui tirti. Privatumo specialistai nustato, kad žurnalai taip pat atskleidžia technikų elgesį. Aptarnavimo direktorius paaiškina veiklos poreikį; saugumo specialistai siūlo ribotą prieigą ir apibrėžtą naudojimą tyrimams; privatumo specialistai įvertina būtinumą, skaidrumą ir saugojimą. DAP patarimas užfiksuojamas prieš atskaitingam savininkui nusprendžiant dėl konfigūracijos. DAP netvirtina žurnalų registravimo sprendimo vietoj vadovybės.

Paleidimo įraše yra duomenų srautų aprašymas, tiekėjo vertinimas, saugumo išvados, PDAV atrankos rezultatas, privatumo veiksmai ir priimtos išleidimo sąlygos. Kiekvienas neišspręstas veiksmas turi savininką ir terminą.

Tada vadovybė surengia stalo pratybas, susijusias su pažeista portalo paskyra. Saugumo specialistai pateikia pradinį faktų paketą; privatumo specialistai įvertina galimą žalą; koordinatorius stebi vertinimo terminus; o įgaliotas vadovas tvarko komunikaciją. Pratybos atskleidžia, kad incidentų procedūroje trūko išorinio DAP skubaus kontakto duomenų. Ištaisius šią nedidelę spragą, perdavimas tampa naudojamas esant spaudimui.

Bendradarbiavimą padarykite peržiūrimą nesidalydami viskuo

Nesutarimams numatykite įvardytą eskalavimo kelią. Techniniai kompromisai gali būti perduodami paslaugos savininkui ir vadovybės rėmėjui; neišspręstos atitikties problemos turėtų pasiekti aukščiausio lygio vadovybę per nepriklausomą DAP ataskaitų teikimo kelią. Išsaugokite skirtingas nuomones, o ne perrašykite įrašą taip, kad jis atrodytų kaip sutarimas.

Dalykitės tik ta informacija, kurios reikia kiekvienam vaidmeniui, ypač jautrių tyrimų metu. Pagal BDAR 38 straipsnį DAP turi turėti prieigą prie atitinkamos duomenų tvarkymo informacijos, tačiau tai nepateisina neapdorotų darbuotojų įrašų ar teismo ekspertizės medžiagos platinimo kiekvienam projekto dalyviui. Naudokite prieigos ribas ir tinkamai redaguotas santraukas, neslėpdami faktų, būtinų vertinimui.

Vadovybė turėtų peržiūrėti kelis veiklos signalus: pokyčius, įgyvendintus prieš konsultaciją, po patarimo vėluojančius veiksmus, incidentus su pavėluotu tarpfunkciniu eskalavimu ir pasikartojančius neaiškumus dėl sprendimų įgaliojimų. Jie aiškiau atskleidžia valdysenos trūkumus nei politikų ar susitikimų skaičiavimas.

Praktinė vadovybės peržiūra turėtų baigtis sprendimais, o ne vien atnaujintomis ataskaitomis. Jei vertinimai nuolat vėluoja, pakeiskite projektų pateikimo inicijavimo sąlygą. Jei veiksmai lieka atviri, nes komandoms trūksta pajėgumų, skirkite išteklių arba peržiūrėkite įgyvendinimo planą. Jei niekas negali nustatyti sprendimą priimančio asmens, ištaisykite delegavimą prieš priimdami kitą išleidimą.

Gautą įrašą laikykite glaustą: problema, atitinkami saugumo ir privatumo patarimai, atskaitingas sprendimas, jo argumentai, veiksmų savininkai ir peržiūros data. Atskirkite įrodymų spragą nuo įgyvendintos kontrolės priemonės, kuri neveikė. Joms reikia skirtingų tolesnių veiksmų, net jei abi rodomos kaip atvira užduotis.

Klausimai, kuriuos vadovybė turėtų aiškiai išspręsti

Ar DAP turi tvirtinti kiekvieną paleidimą?

BDAR apibrėžia konsultavimo ir stebėsenos vaidmenį, o ne visuotinį reikalavimą, kad DAP tvirtintų išleidimus. Organizacija gali nustatyti konsultavimo etapus, tačiau turėtų atskirti konsultavimą nuo verslo savininko įgaliojimų paleisti produktą. Užbaigta konsultacija taip pat neįrodo, kad duomenų tvarkymas yra teisėtas.

Ar saugumo įrodymai gali patenkinti privatumo peržiūras?

Jie gali jas paremti. Prieigos peržiūrų įrašai ar atkūrimo testai gali padėti atlikti 32 straipsnio vertinimą. Jie neįrodo teisinio pagrindo, tinkamo skaidrumo ar pagrįsto saugojimo termino. Nustatykite, kokį teiginį įrodo kiekvienas elementas, o ne laikykite vieną įrodymų rinkinį visko patvirtinimu.

Pradėkite nuo dviejų procesų ir nedidelio įrodymų pėdsako

Pradėkite nuo produktų pokyčių ir incidentų tvarkymo. Kiekvienam iš jų įvardykite pateikimo savininką, reikalingą informaciją, peržiūros inicijavimo sąlygas, sprendimų įgaliojimus, eskalavimo kelią ir pavadavimo tvarką. Išbandykite abu procesus realistiškais atvejais prieš plėsdami matricą.

Secani susieja reikalavimus, įrodymus, savininkus, užduotis ir peržiūros sprendimus bendrame kontekste. Siauros paslaugos taikymo srities atveju komandos gali modeliuoti palaikančias sistemas ir tiekėjus, pridėti įrodymus prie reikalavimų ar sprendimų, kuriuos jie pagrindžia, ir neatsakytus peržiūros klausimus paversti priskirtu darbu. Suplanuokite prieigos ribas vidiniams ir išoriniams dalyviams; dokumentuotas OSCAL API vaidmuo suteikia tik prieigą validavimui. DI padedamiems pasiūlymams žmogaus peržiūrą palikite aiškią ir išsaugokite šaltinius, komentarus, patvirtinimus ir laiko žymas.

Praktinis kitas žingsnis – bendras susitikimas su verslo savininku, saugumo vadovu, privatumo komanda ir DAP. Peržiūrėkite vieną artėjantį pokytį ir vieną tikėtiną incidentą pagal siūlomus perdavimo taškus. Visur, kur grupė negali nustatyti, kas veikia toliau, patobulinkite procesą prieš kitą skubų atvejį.