Asmens duomenų saugumo pažeidimai: neleiskite sprendimui dėl pranešimo įstrigti

Asmens duomenų saugumo pažeidimas sukuria du lygiagrečius darbus: suvaldyti incidentą ir nuspręsti, apie ką reikia pranešti. Nė vienas neturėtų laukti, kol baigsis kitas. Inžinieriai dar gali atkurinėti prieigos žurnalus, kai duomenų valdytojas jau turi pakankamai informacijos pranešimui įvertinti.

Praktinis iššūkis yra neleisti šiam sprendimui įstrigti, nepateikiant prielaidų kaip faktų. Naudingas reagavimo procesas užfiksuoja sužinojimą, parengia patikimą minimalų įrodymų rinkinį, paskiria atsakomybę už sprendimą ir atnaujina vertinimą, kai keičiasi išvados. Technologijų vadovo (CTO) požiūriu esminis rezultatas nėra per 72 valandas užbaigtas teismo ekspertizės tyrimas. Tai laiku priimtas, pagrįstas sprendimas, paremtas techniniais įrodymais, su aiškia atsakomybe už likusius klausimus.

Atpažinkite pažeidimą prieš diskutuodami dėl pranešimo

Asmens duomenų saugumo pažeidimas yra platesnė sąvoka nei pavogti duomenys. BDAR 4 straipsnio 12 punktas apima saugumo pažeidimą, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami asmens duomenys arba be leidimo prie jų gaunama prieiga.

Svarbūs trys aspektai:

Vienas įvykis gali apimti visus tris. Išpirkos reikalaujanti programa gali sutrikdyti prieigą, sugadinti įrašus ir atskleisti informaciją. Atsarginės kopijos atkūrimas sprendžia tik dalį tokio incidento.

Todėl ir ne tam adresatui išsiųstam el. laiškui, ir išpirkos reikalaujančios programos incidentui gali reikėti dokumentuoto vertinimo, nors tyrimai atrodo skirtingai. Ir atvirkščiai, nesėkminga ataka, kuri nekompromitavo asmens duomenų, savaime nėra asmens duomenų saugumo pažeidimas. Jai vis tiek gali reikėti saugumo tyrimo ir pranešimo pagal kitą režimą.

Pradėkite nustatydami, ar buvo paveikti asmens duomenys, o ne ar kas nors pasiskundė ar buvo patirta finansinė žala. Vardai, paskyrų identifikatoriai, darbuotojų įrašai, įrenginių identifikatoriai ir iš pažiūros įprastos informacijos deriniai gali būti asmens duomenys. Pseudonimizuoti įrašai gali likti asmens duomenimis, kai žmones vis dar galima identifikuoti.

Prieinamumo incidentų atveju nagrinėkite pasekmes, o ne naudokite fiksuotą prastovos trukmę kaip trumpinį. Prieigos prie paskyrimo įrašo praradimas skubaus gydymo metu skiriasi nuo trumpo prieigos prie archyvinio naujienlaiškio sąrašo pertrūkio.

Nustatykite sužinojimo momentą ir įvardykite sprendimo atsakingą asmenį

Pagal BDAR 33 straipsnį duomenų valdytojas turi nepagrįstai nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai sužinojo apie asmens duomenų saugumo pažeidimą, pranešti apie jį kompetentingai priežiūros institucijai, išskyrus atvejus, kai pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms.

Laikas automatiškai nepradedamas skaičiuoti nuo tada, kai prasidėjo pati ataka. Lygiai taip pat jis nelaukia galutinės teismo ekspertizės ataskaitos ar vadovybės patvirtinimo. Priežiūros institucijų gairėse sužinojimas suprantamas kaip pagrįstas tikrumo laipsnis, kad įvyko saugumo incidentas ir buvo kompromituoti asmens duomenys. Pradinis tyrimas gali nustatyti šį tikrumą; jis neturi tapti atsakomybės atidėjimo mechanizmu.

Laikykite tris laiko žymas atskirai:

• Įvykimas: kada incidentas įvyko, jei žinoma.
• Aptikimas: kada kas nors pirmą kartą pastebėjo galimą incidentą ar apie jį pranešė.
• Sužinojimas: kada organizacija turėjo pakankamą tikrumą, kad asmens duomenys buvo kompromituoti.

Užfiksuokite įrodymus, pagrindžiančius sužinojimą. Jei laiko žyma ginčijama, išsaugokite konkuruojančius aiškinimus ir jų pagrindą, o ne tyliai pakeiskite ankstesnį įrašą. Vidinio eskalavimo vėlavimai turėtų būti matomi, o ne naudojami prielaidai, kad sužinojimas prasidėjo tik tada, kai pranešimą gavo privatumo specialistai ar vadovybė.

Septyniasdešimt dvi valandos reiškia praėjusias valandas, įskaitant savaitgalius ir valstybines šventes. Tai išorinė laiko gairė, kai įmanoma, o ne leidimas laukti, jei pranešti galima anksčiau.

Paskirkite incidento koordinatorių, kuris tvarkytų laiko juostą ir neišspręstus klausimus. Techniniai vadovai nustato faktus; privatumo ekspertai vertina pasekmes ir teisinius reikalavimus; įgaliotas duomenų valdytojo atstovas yra atsakingas už sprendimą dėl pranešimo. Kai paskirtas duomenų apsaugos pareigūnas, nedelsdami įtraukite jį vykdant nepriklausomą patariamąjį ir stebėsenos vaidmenį. Nedarykite duomenų apsaugos pareigūno atsakingu už suvaldymą ir neprisiimkite, kad jis pakeičia duomenų valdytojo atskaitomybę.

Paskirkite pavaduotojus. Procesas, priklausantis nuo vieno vadovo pasiekiamumo, nėra veikiantis ne darbo valandų procesas.

Per pirmąsias valandas parenkite sprendimui tinkamą įrodymų rinkinį

Suvaldymas ir įrodymų išsaugojimas turi vykti kartu. Kompromituoto galinio įrenginio atjungimas gali būti tinkamas, tačiau jį ištrynus prieš surenkant susijusius įrodymus galima sunaikinti pagrindą prieigai ir apimčiai įvertinti. Ir atvirkščiai, kiekvieno artefakto išsaugojimas nėra priežastis palikti vykstantį atskleidimą nesuvaldytą.

Toliau pateikiama praktinė reagavimo seka, o ne įstatymu nustatytas tvarkaraštis.

Stabilizuokite incidentą

Atšaukite atskleistas sesijas ar prisijungimo duomenis, apribokite nesaugius leidimus, kai tinkama, izoliuokite paveiktus komponentus ir sustabdykite vykstančius klaidingus perdavimus. Užfiksuokite kiekvieną veiksmą, jo laiką ir laukiamą poveikį. Išsaugokite susijusius žurnalus, konfigūracijos momentines kopijas, laiškų antraštes ir kitą nepastovią medžiagą, kol saugojimo ribos ar atkūrimo darbai jų nepašalino.

Apribokite prieigą prie incidento įrodymų. Pažeidimo tyrimas pats gali sukurti jautrius rinkinius: tapatybės dokumentus, darbuotojų žinutes, autentifikavimo duomenis ar paveiktų klientų sąrašus. Naudokite patvirtintą įrodymų saugojimo vietą, o ne persiųskite neapdorotus įrašus plačiame incidento pokalbyje.

Parenkite minimalų faktų paketą

Pateikite privatumo tikrintojams trumpą, struktūrizuotą aprašymą, kuriame yra:

• Kas įvyko ir kokie stebėjimai tai patvirtina.
• Paveiktos sistemos, paslaugos ir atsakingi paslaugų teikėjai.
• Asmens duomenų kategorijos ir paveiktų asmenų kategorijos.
• Apytikslis asmenų ir įrašų skaičius, nurodant skaičiavimo metodą.
• Atskleidimo laikotarpis, žinomi gavėjai ir galimi prieigos keliai.
• Susijusios apsaugos priemonės, įskaitant šifravimą ir prieigą prie raktų.
• Žinomos ar tikėtinos pasekmės žmonėms.
• Jau atlikti veiksmai ir dar neišspręsti klausimai.

Atskirkite patvirtintus faktus, pagrįstus įverčius ir hipotezes. „Turimame audito žurnale eksporto įvykio nėra“ yra siauresnis teiginys nei „prie duomenų niekas neprisijungė“. Nurodykite žurnalų aprėpties ir saugojimo spragas, kad tikrintojai suprastų, ko įrodymai negali nustatyti.

Tvarkykite klausimų eilę

Kiekvienam neišspręstam klausimui priskirkite atsakingą asmenį ir kitos peržiūros laiką. Prioritetą teikite klausimams, galintiems pakeisti sprendimą: ar atskleistame objekte buvo asmens duomenų, ar užpuolikas pasiekė šifravimo raktus, ar nepasiekiami įrašai paveikė būtinąsias paslaugas.

Kiti klausimai, pavyzdžiui, tiksli pradinio išnaudojimo technika, gali būti labai svarbūs taisymui, nors nėra būtini pirmajam pranešimui. Atskiri darbo srautai neleidžia techniniam smalsumui atidėti teisinių veiksmų.

Aktualus sistemų ir duomenų inventorius pagreitina šį darbą. Duomenų aptikimas privatumo tikslais suteikia kontekstą, reikalingą paversti „kompromituota saugojimo paslauga“ identifikuojamomis duomenų kategorijomis, tvarkymo tikslais ir paveiktomis populiacijomis.

Vertinkite žalą žmonėms, o ne tik poveikį verslui

33 straipsnio išimtis taikoma, kai pavojus teisėms ir laisvėms yra mažai tikėtinas. Tai nėra taisyklė, kad reikia pranešti tik apie didelius pažeidimus, specialių kategorijų duomenis ar įrodytą žalą.

Įvertinkite ir galimų pasekmių tikimybę, ir sunkumą. Nedidelis atskleidimas gali būti rimtas, o didesnis incidentas gali turėti veiksmingas apsaugos priemones, kurios iš esmės sumažina pavojų. Dokumentuokite, kodėl aplinkybės pagrindžia išvadą.

Apsvarstykite šiuos aspektus kartu:

Šifravimą reikia techniškai išnagrinėti. Ramybės būsenoje užšifruotas diskas nebūtinai apsaugo informaciją, pasiektą per kompromituotą programos paskyrą. Nustatykite šifravimo lygmenį, raktų atskyrimą, užpuoliko leidimus ir ar buvo prieinamas tinkamas naudoti atviras tekstas. Tas pats samprotavimas taikomas maišos funkcija apdorotiems prisijungimo duomenims: jų apsauga priklauso nuo metodo ir aplinkybių, o ne nuo etiketės „sumaišyta“. Žr. šifravimas ir raktų valdymas.

Gavėjo patvirtinimas apie ištrynimą gali būti svarbus, ypač netyčia atskleidus informaciją žinomam, bendradarbiaujančiam gavėjui. Tai nėra universalus įrodymas, kad pavojus išnyko. Įvertinkite, ar turinys buvo peržiūrėtas, nukopijuotas, persiųstas ar pasiekiamas kitu kanalu.

Nepaverskite skaitinio rizikos balo automatine teisine išvada. Vertinimo matrica gali padaryti samprotavimą nuoseklų, tačiau tikrintojams vis tiek reikia paaiškinti faktines pasekmes ir neapibrėžtumus. Verslo prastovos, pajamų praradimas ir žala organizacijos reputacijai priklauso veiklos incidentų valdymui; jie nepakeičia poveikio asmenims vertinimo.

Iš naujo vertinkite, kai atsiranda naujų faktų. Aptikus jautrių priedų ar užpuoliko prieigą prie raktų, iš pradžių pagrįstas sprendimas nepranešti gali pasikeisti.

Priimkite du atskirus komunikacijos sprendimus

Pranešimui institucijai ir informavimui paveiktiems asmenims taikomos skirtingos ribos. Abu sprendimus užfiksuokite aiškiai, įskaitant atvejus, kai nereikia nė vieno.

Praneškite tai, kas žinoma

33 straipsnis reikalauja, kad pranešime būtų aprašytas pažeidimo pobūdis, įskaitant, jei įmanoma, paveiktų asmenų ir įrašų kategorijas bei apytikslį skaičių. Jame taip pat turi būti nurodytas duomenų apsaugos pareigūnas ar kitas kontaktinis asmuo, aprašytos tikėtinos pasekmės ir aprašytos priemonės, kurių imtasi arba siūloma imtis, įskaitant, kai tinkama, padarinių švelninimą.

Nelaukite tikslių skaičių, jei turimi patikimi įverčiai ir aiškios išlygos. 33 straipsnio 4 dalis leidžia informaciją teikti etapais, jei jos negalima pateikti tuo pačiu metu, toliau nepagrįstai nedelsiant. Išsaugokite pateikto pranešimo kopiją, gavimo patvirtinimą, registracijos numerį ir pažadėtų atnaujinimų sąrašą.

Jei pranešama vėliau nei per 72 valandas, nurodykite vėlavimo priežastis. Termino praleidimas nepanaikina įpareigojimo. Paaiškinkite faktinę chronologiją, o ne pateikite bendrą teiginį, kad tyrimas buvo sudėtingas.

Kompetentingą instituciją ir pranešimo kanalą nustatykite anksti, ypač tarpvalstybinio tvarkymo atveju. Neprisiimkite, kad tinkamas gavėjas yra serverio buvimo vietos institucija.

Informuokite, kai tikėtinas didelis pavojus

BDAR 34 straipsnis reikalauja, kad, kai tikėtinas didelis pavojus, paveiktiems asmenims būtų nepagrįstai nedelsiant pranešta aiškia ir paprasta kalba. Pranešime nurodomas pažeidimo pobūdis, kontaktiniai duomenys, tikėtinos pasekmės ir atitinkamos priemonės.

Paaiškinkite, ką žmonės gali padaryti: pavyzdžiui, pakeisti paveiktą slaptažodį, atmesti įtartinus mokėjimo nurodymus ar naudotis patikrintu pagalbos kanalu. Nesudarykite įspūdžio, kad atsargumo patarimai perkelia atsakomybę jiems.

34 straipsnyje numatytos išimtys, kai taikomos veiksmingos priemonės, dėl kurių duomenys tampa nesuprantami neturintiems leidimo asmenims, kai vėlesnės priemonės užtikrina, kad didelis pavojus nebeturėtų kilti, ir kai tam reikėtų neproporcingų pastangų. Pastaruoju atveju reikalingas viešas paskelbimas arba panašiai veiksminga priemonė; tai nėra leidimas tylėti. Institucija gali pareikalauti pranešti arba įvertinti, ar taikoma išimtis.

Valdykite duomenų tvarkytojų incidentus, neprarasdami vertinimo kontrolės

Duomenų tvarkytojas turi nepagrįstai nedelsdamas informuoti duomenų valdytoją po to, kai sužino apie asmens duomenų saugumo pažeidimą. Jis neturėtų laukti savo išvados, kad būtina pranešti priežiūros institucijai. Duomenų valdytojo vertinimo neturi pakeisti tiekėjo etiketė „maža rizika“.

Paprašykite įrodymų, susijusių su jūsų tvarkymu: paveikto nuomininko ar paskyros, duomenų kategorijų, atskleidimo laikotarpio, prieigos įrodymų, apsaugos priemonių, suvaldymo ir neišspręstų klausimų. Viso paslaugų teikėjo masto pareiškimas apie incidentą gali nenustatyti, kurie jūsų įrašai buvo paveikti.

Tiekėjo vėlavimas mechaniškai nesunaudoja duomenų valdytojo 72 valandų laikotarpio iki tol, kol duomenų valdytojas sužino apie pažeidimą. Vis dėlto jis gali atidėti apsaugos veiksmus, užtemdyti chronologiją ir kelti klausimų dėl duomenų tvarkytojo pareigų vykdymo. Užfiksuokite, kada tiekėjas aptiko incidentą, kada jį patvirtino ir kada jus informavo.

Kaip praktinę sutartinę rekomendaciją nurodykite veiklos kontaktus, greitą pirminį pranešimą, minimalią informaciją, tęstinius atnaujinimus ir pagalbą tiriant bei komunikuojant. Šie susitarimai turėtų papildyti, o ne pakeisti 28 straipsnio reikalavimus.

Kai jūsų organizacija yra ir klientų duomenų tvarkytoja, ir darbuotojų duomenų valdytoja, priimkite atskirus vaidmenimis grindžiamus sprendimus. Bendras techninis incidentas viena funkcija gali reikalauti pranešimų klientams, o kita – priežiūros institucijai skirto vertinimo.

Saugokite sprendimų pėdsaką, kuris išliktų po incidento

33 straipsnio 5 dalis reikalauja dokumentuoti asmens duomenų saugumo pažeidimus, įskaitant jų faktus, poveikį ir taisomuosius veiksmus, kad priežiūros institucija galėtų patikrinti atitiktį. Tai apima ir pažeidimus, apie kuriuos nebuvo pranešta.

Naudingame incidento įraše yra:

• Incidento identifikatorius, apimtis, koordinatorius ir tvarkymo vaidmuo.
• Įvykimo, aptikimo, sužinojimo ir eskalavimo laiko žymos.
• Įrodymų nuorodos ir turimos telemetrijos ribos.
• Rizikos vertinimas, tikrintojas, sprendimo atsakingas asmuo ir sprendimų laikas.
• Atskiros išvados dėl pranešimo institucijai ir informavimo asmenims.
• Pateikti pranešimai, gavimo patvirtinimai ir vėlesni atnaujinimai.
• Suvaldymo, atkūrimo ir prevenciniai veiksmai su atsakingais asmenimis.
• Uždarymo peržiūra ir bet kokio likusio neapibrėžtumo priežastys.

Sprendimo nepranešti atveju užrašykite motyvus, o ne tik „žemiau ribos“. Nurodykite faktus, pagrindžiančius, kodėl pavojus buvo mažai tikėtinas, ir kokie įrodymai inicijuotų pakartotinį vertinimą.

Išsaugokite vienas po kito sekusius vertinimus. Ankstyva išvada galėjo būti pagrįsta turimais įrodymais, net jei vėlesnės išvados ją pakeitė. Perrašius ankstesnę versiją, ši chronologija paslepiama.

Prieigos ir saugojimo tvarką nustatykite sąmoningai. 33 straipsnis nenustato universalaus pažeidimų įrašų saugojimo laikotarpio. Pasirinkite pagrįstą grafiką, atsižvelgdami į atskaitomybę, taikomus įpareigojimus ir duomenų kiekio mažinimą. Kai įmanoma, saugokite įrodymų nuorodas, o ne dubliuokite didelius asmens duomenų rinkinius.

Pranešimas nesuteikia imuniteto nuo patikrinimo. Institucijos gali paprašyti paaiškinimų ir išnagrinėti saugumo priemones ar kitus įpareigojimus. Taip pat nelaikykite pranešimo priežastimi atidėti suvaldymą, laukiant reguliavimo institucijos nurodymų.

Išnagrinėtas pavyzdys: atskleistas įdarbinimo eksportas

Šis pavyzdys yra iliustracinis; jo laikas ir skaičiai yra prielaidos, o ne pateikti rezultatai.

Tarkime, organizacija penktadienį 16:00 aptinka, kad įdarbinimo eksportas gali būti pasiekiamas per viešą saugyklos nuorodą. Faile yra 240 kandidatų vardai ir pavardės, kontaktiniai duomenys, pastabos apie paraiškas ir kai kurie priedai. 16:20 inžinierius patvirtina prieigą be autentifikavimo ir patikrina, kad faile yra asmens duomenų. Koordinatorius 16:20 užfiksuoja kaip pagrįstą sužinojimo momentą. 72 valandų gairė yra pirmadienis 16:20, nors pranešti vis tiek reikia nepagrįstai nedelsiant.

Iki 16:35 komanda pašalina viešą prieigą ir išsaugo konfigūracijos istoriją bei turimus prieigos žurnalus. Šie žurnalai apima tik dalį atskleidimo laikotarpio. Komanda negali atsakingai daryti išvados, kad niekas nepasiekė failo.

Pirmajame vertinime nustatoma galima tikslinė sukčiavimo ataka (phishing) ir konfidencialių ketinimų keisti darbą atskleidimas. Priedų turinys lieka neaiškus. Privatumo tikrintojai ir sprendimo atsakingas asmuo daro išvadą, kad pavojus nėra mažai tikėtinas, todėl būtina pranešti priežiūros institucijai. Jie atskirai įvertina, ar tikėtinas didelis pavojus; vien kandidatų skaičius į šį klausimą neatsako.

Pirminiame pranešime aprašomas patvirtintas atskleidimas, apytikslė apimtis, neišsami žurnalų aprėptis, žinomos pasekmės ir suvaldymas. Jame nurodoma, kad priedų peržiūra tęsiasi, ir įvardijamas asmuo, atsakingas už atnaujinimų teikimą.

Šeštadienį peržiūra nustato, kad dalyje priedų yra sveikatos informacijos. Komanda iš naujo peržiūri didelio pavojaus vertinimą ir nusprendžia, kad šiai paveiktai grupei reikia pranešti. Žinutėse aprašomas atitinkamas atskleidimas ir praktinės atsargumo priemonės, neatskleidžiant kitų kandidatų informacijos.

Užbaigtame įraše išsaugomi abu vertinimai, pagrindžiantys įrodymai, pateikimo patvirtinimai ir taisomosios užduotys. Tolesni veiksmai apima eksporto patvirtinimo kontroles, viešos prieigos prevenciją, tinkamą registravimą ir testavimą, ar įdarbinimo failai nebėra viešai pasiekiami.

Pamoka yra veiklos pobūdžio: neaiškus priedų turinys nesutrukdė pirminiam pranešimui, o vėlesnės išvados pakeitė sprendimą dėl informavimo asmenims, nepaneigdamos ankstesnio įrodymais pagrįsto vertinimo.

Kitas pranešimo pareigas sekite toje pačioje laiko juostoje

Tas pats incidentas gali sukelti pranešimo pareigas pagal BDAR, sutartis, sektorines taisykles ir kibernetinio saugumo reikalavimus. Naudokite vieną faktinę chronologiją, bet atskirus įpareigojimų vertinimus, gavėjus, atsakingus asmenis ir terminus.

NIS2 direktyvos 23 straipsnis reglamentuoja reikšmingus incidentus subjektams, kuriems taikoma direktyva, nepriklausomai nuo to, ar susiję asmens duomenys. Jo ES pranešimo struktūra apima ankstyvąjį įspėjimą per 24 valandas, pranešimą apie incidentą per 72 valandas ir paprastai galutinę ataskaitą per vieną mėnesį nuo pranešimo. NIS2 įgyvendinama nacionaline teise: patikrinkite taikymą, nacionalines procedūras ir atitinkamas sektorines taisykles, o ne darykite prielaidą, kad kiekviena organizacija turi šias pareigas.

Finansų subjektams, kuriems taikomas DORA, gali būti taikomi sektoriniai reikalavimai. Automatiškai nedubliuokite pranešimų ir nelaikykite vieno pateikimo atitinkančiu kiekvieną režimą.

Sutartinis pranešimas klientams taip pat gali būti privalomas net tada, kai pranešti priežiūros institucijai nereikia. Tvarkykite pranešimų matricą, kurioje kiekvienam taikomam įpareigojimui nurodytas šaltinis, paskata, gavėjas, atsakingas asmuo, pateikimo kelias ir įvykdymo įrodymai.

Parenkite perdavimo taškus prieš kitą incidentą

Praktinis pasirengimo testas yra penktadienio popietės pratybos su ne tam adresatui išsiųstu el. laišku, kompromituotu paslaugų teikėju ar išpirkos reikalaujančios programos scenarijumi. Paprašykite dalyvių parengti faktinį pirmąjį faktų paketą ir sprendimo įrašą, o ne tik apibūdinti politiką.

Patikrinkite, ar komanda gali:

• Susisiekti su koordinatoriumi, privatumo patarėju, sprendimo atsakingu asmeniu ir pavaduotojais.
• Pagal esamus inventorius nustatyti susijusius duomenis ir paslaugų teikėjus.
• Išsaugoti žurnalus, kol atkūrimas ar saugojimo ribos jų nepašalino.
• Pasiekti tinkamą institucijos pranešimo kanalą.
• Parengti etapinį pranešimą su aiškiai pažymėtais nežinomaisiais.
• Saugiai komunikuoti su klientais ir paveiktais asmenimis.
• Užfiksuoti sprendimą nepranešti ir suplanuoti pakartotinį vertinimą.

Kai atsakymas priklauso nuo nežinomo asmens paieškos ar nepasiekiamų prisijungimo duomenų atkūrimo, sukurkite pasirengimo užduotį. CISO ir duomenų apsaugos pareigūno atsakomybės turėtų būti pakankamai aiškios, kad techninis faktų nustatymas ir nepriklausomas privatumo patarimas galėtų vykti kartu.

„Secani“ gali palaikyti peržiūrimą atitikties įrašą apie šį darbą. Sumodeliuokite paveiktas sistemas ir paslaugų teikėjus kaip tikslinius objektus, susiekite įrodymus su atitinkamais reikalavimais ir sprendimais bei priskirkite atsakingus asmenis tolesnėms užduotims. Jos susieti įrodymų ir peržiūros darbo procesai palaiko nuorodas į šaltinius, komentarus, patvirtinimus ir laiko žymas. DI padedamas santraukas laikykite juodraščiais, kuriuos turi peržiūrėti žmogus; suvaldymą ir teismo ekspertizės tyrimą vykdykite veiklos sistemose, o jų įrodymus susiekite su sprendimų pėdsaku.

Klausimai, kylantys reagavimo metu

Ar galime laukti ištrynimo patvirtinimo prieš priimdami sprendimą?

Siekite jo nedelsdami, bet vertinimą tęskite lygiagrečiai. Jo reikšmė priklauso nuo gavėjo, turinio ir galimos tolesnės prieigos. Neatsakytas prašymas nėra įrodymas, kad atskleidimas baigėsi.

O jei pranešimų portalas nepasiekiamas?

Užfiksuokite bandymus ir ieškokite institucijos paskelbto alternatyvaus kontaktų kelio. Išsaugokite pateikti paruoštą informaciją ir paaiškinkite bet kokį dėl to atsiradusį vėlavimą. Techninė pateikimo problema neturėtų sustabdyti vertinimo ar būtino informavimo asmenims.

Kada galima uždaryti incidentą?

Veiklos atkūrimas ir privatumo uždarymas yra atskiri etapai. Patvirtinkite, kad būtini pranešimai ir atnaujinimai užbaigti, likę klausimai turi atsakingą asmenį, o taisomieji veiksmai toliau sekami. Kaip praktinį kitą žingsnį patikrinkite vieną neseną atvejį, apie kurį nebuvo pranešta, pagal įrašo kontrolinį sąrašą: jei kitas tikrintojas negali atkurti sprendimo, patobulinkite perdavimo tašką prieš kitą incidentą.