CISO un datu aizsardzības speciālists: padariet nodošanu skaidru

Drošības un privātuma komandas bieži vien aplūko vienu un to pašu sistēmu no dažādiem skatpunktiem. CISO jautā, vai piekļuve, noturība un riska apstrāde ir pietiekama. Datu aizsardzības speciālists konsultē par likumīgu apstrādi, personu tiesībām, aizsardzības pasākumiem un atbilstību datu aizsardzības prasībām. Viņu darbs pārklājas, taču viņu pilnvarām nevajadzētu kļūt savstarpēji aizstājamām.

Vadībai praktiskais jautājums nav tikai par to, kuram ir kurš amata nosaukums. Jautājums ir, kurš sniedz faktus, kurš konsultē, kurš ievieš un kurš pieņem atbildīgo lēmumu. Šīs atšķirības ir svarīgas, kad tiek palaists produkts, mainās piegādātājs vai incidents liek rīkoties pirms izmeklēšanas pabeigšanas.

Darbspējīga kārtība nodrošina abām funkcijām agrīnu redzamību, vienlaikus saglabājot datu aizsardzības speciālista neatkarību. Tā arī skaidri parāda, ka speciālistu iecelšana, gan iekšēja, gan ārēja, nenodod pārziņa atbildību par apstrādes lēmumiem.

Nošķiriet pilnvaras, pirms piešķirat cilvēkus

CISO pienākumi ir atkarīgi no organizācijas pārvaldības. Amata nosaukums var apzīmēt vadītāju, kurš vada drošības funkciju, speciālistu, kurš uztur informācijas drošības pārvaldības sistēmu, vai daļlaika konsultantu. Informācijas drošības pārvaldniekam var būt šaurākas pilnvaras. Definējiet pilnvaras, nevis pieņemiet, ka amata nosaukums to atrisina.

Datu aizsardzības speciālistam ir konkrēti likumā noteikti uzdevumi un aizsardzība saskaņā ar VDAR 37.–39. pantu. Tie ietver informēšanu un konsultēšanu, atbilstības uzraudzību, konsultēšanu par novērtējumiem par ietekmi uz datu aizsardzību, sadarbību ar uzraudzības iestādi un darbību kā tās kontaktpunktam. Datu aizsardzības speciālistam jāatskaitās tieši augstākajam vadības līmenim, un viņš nesaņem norādījumus par šo uzdevumu izpildi.

Drošība aptver vairāk nekā personas datus. Izspiedējvīrusa uzbrukums, kas ietekmē inženiertehniskos rasējumus vai ražošanas plānošanu, ir drošības problēma pat tad, ja personas dati nav iesaistīti. Privātums aptver vairāk nekā drošību: labi aizsargātā datubāzē joprojām var būt informācija, kas savākta bez atbilstoša tiesiskā pamata vai glabāta bez vajadzības.

Kopīgajā teritorijā ietilpst uz risku balstītie tehniskie un organizatoriskie pasākumi, ko prasa VDAR 32. pants. Piekļuves kontroles, atjaunošanas kārtība un testēšana var atbalstīt abas funkcijas. Kopīgi pierādījumi ir noderīgi; tie nepadara pamatā esošos novērtējumus identiskus.

Nosakiet, kuras lomas jūsu organizācijai patiešām nepieciešamas

Izvērtējiet datu aizsardzības speciālista iecelšanas prasības atsevišķi no darbinieku skaita plānošanas

Datu aizsardzības speciālists nav automātiski nepieciešams katrai organizācijai. Saskaņā ar VDAR 37. pantu iecelšana ir obligāta publiskām iestādēm vai struktūrām, ievērojot izņēmumu attiecībā uz tiesām, un organizācijām, kuru pamatdarbība ietver vai nu liela mēroga regulāru un sistemātisku uzraudzību, vai liela mēroga īpašu kategoriju datu vai ar sodāmību un pārkāpumiem saistītu personas datu apstrādi.

Nereducējiet šo novērtējumu līdz uzņēmuma lielumam. Salīdzinoši nelielai organizācijai var būt apstrādes darbības, kas prasa iecelšanu, savukārt darbinieku skaits vien neatbild uz VDAR kritēriju. Nacionālie tiesību akti var noteikt papildu iecelšanas prasības. Vācijā izvērtējiet papildu nacionālos noteikumus, nevis paļaujieties tikai uz 37. pantu vai atmiņā palikušu darbinieku skaita slieksni.

Saglabājiet iecelšanas novērtējumu, kurā norādītas attiecīgās vienības, apstrādes darbības, jurisdikcijas, secinājuma iemesli un notikumi, kas ierosinātu atkārtotu novērtējumu. Jauns uzraudzības pakalpojums, iegāde vai pāreja uz sensitīvu datu apstrādi var mainīt atbildi.

Ja datu aizsardzības speciālists nav nepieciešams, tik un tā piešķiriet privātuma pienākumus. Pienākumi attiecībā uz tiesisko pamatu, pārredzamību, tiesību pieprasījumu apstrādi, drošību un pārskatatbildību nepazūd. Apzināti izmantojiet formālo datu aizsardzības speciālista nosaukumu: brīvprātīga iecelšana jāuzskata par īstu datu aizsardzības speciālista lomu, nevis tikai par apzīmējumu administratīvai kontaktpersonai.

Nošķiriet atbildību par drošību no universālas CISO prasības

VDAR nav vienas prasības iecelt personu ar CISO amata nosaukumu. Citi nozares vai nacionālie noteikumi var ietekmēt drošības pārvaldību, tāpēc izvērtējiet tos atsevišķi.

ISO/IEC 27001 prasa piešķirt pienākumus un pilnvaras noteiktā tvērumā darbojošajai ISMS; tas nenosaka universālu amata nosaukumu. Klientu līgumi var arī prasīt nosauktu drošības kontaktpersonu, definētus pienākumus vai konkrētus apliecinājuma pierādījumus.

Tvērumā esošām organizācijām NIS2 20.–23. pants aptver vadības uzraudzību, kiberdrošības riska pārvaldības pasākumus un ziņošanu par incidentiem. NIS2 tiek ieviesta ar nacionālajiem tiesību aktiem, un piemērojamība ir atkarīga no nozares, lieluma, pakalpojuma un iekļaušanas noteikumiem, nevis tikai no darbinieku skaita. Darbībām Vācijā izmantojiet BSI NIS2 vadlīnijas līdztekus piemērojamajiem tiesību aktiem.

Tāpēc vadības lēmums ir divējāds: nosakiet juridiskās un līgumiskās prasības, pēc tam nodrošiniet resursus drošības darbam, kas nepieciešams uzņēmuma darbībai. Amata nosaukums bez pilnvarām, kapacitātes un piekļuves neatrisina ne vienu, ne otru problēmu.

Pārbaudiet interešu konfliktus attiecībā pret faktiskajām lēmumu pieņemšanas tiesībām

VDAR 38. panta 6. punkts ļauj datu aizsardzības speciālistam veikt citus uzdevumus, ja tie nerada interešu konfliktu. Lomu apvienošana nav automātiski aizliegta, taču tai nepieciešams pēc būtības veikts novērtējums. Galvenās bažas ir par to, vai persona nosaka apstrādes nolūkus un līdzekļus, par kuriem tai pēc tam neatkarīgi jākonsultē vai kuri tai jāuzrauga.

Pārbaudiet pilnvaras, kas saistītas ar ierosināto iecelšanu:

• Vai persona var izlemt, kāpēc tiek vākti darbinieku vai klientu dati?
• Vai tā var izvēlēties uzraudzības rīkus, noteikt to tvērumu vai noteikt glabāšanas ilgumu?
• Vai tā apstiprina sistēmas vai apstrādes kārtību, nevis tikai konsultē?
• Vai tā uzraudzītu lēmumus, ko pieņēmusi citā lomā?
• Vai tā var tieši izteikt bažas vadībai bez konfliktējoša stimula?

CISO, kurš apstiprina darbinieku uzraudzības kārtību, rada citādu konflikta profilu nekā drošības konsultants, kurš sniedz ieteikumus bez lēmumu pieņemšanas pilnvarām. Augstākā līmeņa IT, personāla un vadības lomām nepieciešama īpaša uzmanība, taču amata nosaukumi vien nav pilnīgs novērtējums.

Dokumentējiet otras lomas pienākumus, deleģētās pilnvaras, pakļautības līnijas un aizsardzības pasākumus. Pārskatiet novērtējumu, kad mainās pienākumi. Vietnieks vai neatkarīgs pārskatītājs var palīdzēt nodrošināt nepārtrauktību un apliecinājumu, taču automātiski nenovērš nesaderīgu iecelšanu.

Kā praktisku ieteikumu nošķiriet lomas, ja drošības funkcijai ir būtiskas pilnvaras pār personas datu apstrādi. Neattaisnojiet divkāršu iecelšanu tikai ar to, ka uzņēmums ir mazs vai personai uzticas. Uzticēšanās nenovērš pašpārbaudi vai konkurējošus pienākumus.

Ārējām iecelšanām nepieciešama tāda pati rūpīga pārbaude. Ārpakalpojums var nodrošināt neatkarību no iekšējām pakļautības līnijām, taču konflikti joprojām var rasties pārklājošos pilnvaru vai pakalpojumu sniedzēja stimulu dēļ.

Definējiet nodošanu ap atkārtotu darbu

Atbildības matricā jāapraksta lēmumi un rezultāti, nevis tikai dalība. Izvairieties no rindām „drošība un privātums ir kopīgi atbildīgi”, nenorādot, kuram jārīkojas tālāk.

Turpmākais ir praktisks sākumpunkts, nevis katra pienākuma likumā noteikts sadalījums:

Produkta izmaiņas: veiciet pirmo nodošanu pietiekami agri, lai tai būtu nozīme

Jaunai klientu platformai atbildīgajam biznesa īpašniekam jānorāda iecerētais nolūks un apstrādes lēmumi. Sagatavojiet īsu izmaiņu aprakstu, kas aptver datu kategorijas, skartās personas, sistēmas, piegādātājus, piekļuvi, glabāšanu un sagaidāmo izvietošanas datumu. Iekļaujiet datu plūsmas skici, ja tā atvieglo kārtības izpratni.

Pēc tam drošības komanda novērtē draudus un aizsardzības pasākumus: priviliģēto piekļuvi, autentifikāciju, nodalīšanu, žurnalēšanu, rezerves kopēšanu un atjaunošanu, kā arī pierādījumus, kas nepieciešami pirms laišanas klajā. Privātuma speciālisti novērtē tiesisko pamatu, pārredzamību, datu minimizēšanu, glabāšanu, apstrādes attiecības un to, vai nepieciešams novērtējums par ietekmi uz datu aizsardzību. Saskaņā ar VDAR 35. pantu novērtējums par ietekmi uz datu aizsardzību ir nepieciešams, ja apstrāde, visticamāk, radīs augstu risku; ja datu aizsardzības speciālists ir iecelts, konsultējieties ar viņu.

Nodošanas rezultātā jārodas skaidriem konstatējumiem, nevis atsevišķiem neizskaidrotiem apstiprinājumiem. Reģistrējiet datu aizsardzības speciālista ieteikumu, ja attiecināms, biznesa lēmumu, laišanas klajā nosacījumus un katras atlikušās darbības īpašnieku. Ja vadība neievēro ieteikumu, saglabājiet tās pamatojumu un eskalējiet neatrisinātās juridiskās bažas. Biznesa riska akceptēšana nevar padarīt nelikumīgu apstrādi likumīgu.

Nosakiet pārskatīšanas ierosinātājus, piemēram, jauni sensitīvi dati, darbinieku uzraudzība, mainīti nolūki, būtiski plašāka piekļuve vai jauns piegādātājs. Tas ir noderīgāk nekā pieprasīt identisku dokumentāciju katrai nelielai saskarnes izmaiņai.

Piegādātāju piesaiste: nošķiriet drošības apliecinājumu no apstrādes likumības

Biznesa īpašniekam jāidentificē pakalpojums, iesaistītie dati un tas, ko piegādātājs faktiski darīs. Drošības komanda novērtē attiecīgo apliecinājumu, piekļuves kārtību, atbalstu incidentu gadījumā un noturību. Privātuma komanda novērtē, vai piegādātājs ir apstrādātājs, neatkarīgs pārzinis vai cits apstrādes kārtības dalībnieks.

Ja piemērojams 28. pants, līgumā jāietver tā prasītie apstrādātāja noteikumi. Starptautiskai nosūtīšanai nepieciešams atsevišķs novērtējums; apstrādes līgums vai vēlamā mitināšanas vieta šo jautājumu neatrisina.

Vienojieties, kurš iegūst trūkstošos pierādījumus un kurš risina sarunas par līguma izmaiņām. Bieža kļūme ir uzskatīt drošības anketu par pilnīgu pārskatu, atstājot neizpētītas apstrādes lomas, apakšapstrādātājus, dzēšanu un nosūtīšanu. Cita kļūme ir risināt sarunas par privātuma noteikumiem, neizprotot piegādātāja reālo tehnisko piekļuvi.

Rezultātā jānorāda, kurš pakalpojums un konfigurācija tika novērtēta, akceptētie nosacījumi, atklātie jautājumi un atkārtota novērtējuma ierosinātāji. Būtiskām izmaiņām piekļuvē, apakšapstrādātājos vai apstrādes vietās jānonāk līdz abām funkcijām.

Incidenti: apmainieties ar faktiem, pirms ir pieejama noteiktība

Iespējama pārkāpuma gadījumā drošības komanda izmeklē, kamēr privātuma komanda novērtē ietekmi uz skartajām personām un paziņošanu. Nevienai komandai nevajadzētu gaidīt pabeigtu ziņojumu, pirms dalīties ar būtisku informāciju.

Pirmajā nodošanā jānorāda, kas notika, kad tas tika atklāts, kuras sistēmas un dati var būt iesaistīti, vai tika ietekmēta konfidencialitāte, integritāte vai pieejamība, kāda ierobežošana veikta un kas joprojām nav zināms. Norīkojiet kādu uzturēt laika grafiku un informēt abas funkcijas, faktiem mainoties.

Saskaņā ar VDAR 33. pantu pārzinim bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad tam kļuvis zināms, jāpaziņo uzraudzības iestādei, ja vien nav ticams, ka pārkāpums radīs risku cilvēku tiesībām un brīvībām. Apstrādātājam bez nepamatotas kavēšanās jāpaziņo pārzinim. Reģistrējiet novērtējumu par to, kad pārkāpums kļuvis zināms; nepieņemiet, ka katrs sākotnējais brīdinājums sāk likumā noteikto termiņu vai ka pirms rīcības nepieciešama pilnīga kriminālistiska noteiktība.

VDAR 34. pants var prasīt informēt skartās personas, ja pastāv augsts risks, ievērojot tā izņēmumus. Vienojieties, kurš koordinē termiņus, sagatavo iesniegumus, apstiprina komunikāciju un saglabā pierādījumus. Dokumentējiet personas datu aizsardzības pārkāpumus, tostarp pamatojumu, ja paziņošana tiek uzskatīta par nevajadzīgu. Trūkstošu faktu dēļ var būt nepieciešama pakāpeniska paziņošana, nevis klusēšana, kamēr izmeklēšana turpinās.

Incidentam, kas skar tvērumā esošu vienību, paralēli izvērtējiet, vai tas sasniedz piemērojamo NIS2 būtiska incidenta ziņošanas slieksni. Direktīva paredz agrīnu brīdinājumu 24 stundu laikā, paziņojumu par incidentu 72 stundu laikā un parasti galīgo ziņojumu viena mēneša laikā pēc paziņojuma; pārbaudiet nacionālos un nozares noteikumus. Tie ir atšķirīgi ierosinātāji un adresāti nekā VDAR, nevis viens savstarpēji aizstājams ziņošanas process.

Tiesību pieprasījumi: nošķiriet darbības atbalstu no atbildības par atbildi

Tiesību pieprasījumiem bieži nepieciešams drošības un IT atbalsts, lai samērīgi pārbaudītu identitāti, atrastu informāciju, aizsargātu trešo personu datus un droši izsniegtu atbildi. Privātuma komanda koordinē juridisko novērtējumu, vajadzības gadījumā ar datu aizsardzības speciālista konsultāciju. Par atbildi joprojām atbild pārzinis.

Saskaņā ar VDAR 12. pantu parastais atbildes termiņš ir viens mēnesis. Vajadzības gadījumā var būt iespējams pagarinājums vēl par diviem mēnešiem, pirmā mēneša laikā par to paziņojot un norādot iemeslus. Pieprasījumi parasti ir bez maksas, ar ierobežotiem nosacījumiem maksas iekasēšanai vai atteikumam.

Reģistrējiet, kurš atbild par termiņu, kurās sistēmās jāveic meklēšana un kurš apstiprina izpaušanu. Nepieprasiet pēc noklusējuma pārmērīgus identifikācijas dokumentus un neļaujiet tehniskam eksportam kļūt par nepārskatītu atbildi. Kopīgs darbības process var sasaistīt privātuma novērtējumu ar meklēšanas un izsniegšanas kontrolēm, kas aprakstītas rakstā par datu subjekta piekļuves pieprasījumu apstrādi.

Izvēlieties iekšēju vai ārēju iecelšanu, balstoties uz spējām un piekļuvi

VDAR 37. panta 6. punkts skaidri ļauj datu aizsardzības speciālista lomu pildīt darbiniekam vai uz pakalpojuma līguma pamata. Arī drošības vadību var nodrošināt ārēji kā organizatorisku kārtību, ievērojot piemērojamās prasības un skaidras pilnvaras.

Iekšējs datu aizsardzības speciālists var dziļi izprast uzņēmumu un viegli piekļūt kolēģiem. Organizācijai tomēr joprojām jānodrošina kompetence, resursi, aizsargāts laiks, neatkarība un aizvietošana. Ārējs datu aizsardzības speciālists var sniegt specializētu pieredzi un papildu kapacitāti, taču viņam nepieciešams uzticams ceļš uz produktu izmaiņām, līgumiem, novērtējumiem un incidentiem. Neviens no modeļiem nedarbojas, ja datu aizsardzības speciālists uzzina par lēmumiem tikai pēc ieviešanas.

Salīdziniet kopējās darbības vajadzības, nevis tikai algu pret abonēšanas maksu. Ņemiet vērā apmācību, specializētas konsultācijas, aizvietošanu prombūtnes laikā, koordinācijas laiku, projektu noslodzes maksimumus un maksu par darbu ārpus tvēruma. Nav uzticama universāla noteikuma, ka ārējs pakalpojums ir lētāks.

Ārējām pilnvarām vienojieties par:

• Nosauktām kontaktpersonām, aizvietotājiem, eskalācijas ceļiem un piekļuvi augstākajai vadībai.
• To, kuri pārskati, sanāksmes, apmācības un atbalsts incidentu gadījumā ir iekļauti.
• Reaģēšanas kārtību, kas atbilst steidzamam un ikdienas darbam.
• To, kā informācija, ieteikumi un lēmumi tiks dokumentēti un saglabāti.
• Konfidencialitāti, piekļuves robežām, konfliktu risināšanu un aiziešanas kārtību.

Ja viens pakalpojumu sniedzējs nodrošina abas funkcijas, pārbaudiet, kurš pilda katras pilnvaras un kā tiek pārvaldīti konflikti. Atsevišķi vārdi piedāvājumā nav pietiekami, ja viena un tā pati persona kontrolē un pārskata apstrādes lēmumus.

Ieceliet iekšēju koordinatoru ar pilnvarām iegūt informāciju un panākt ieviešanu. Ārēji speciālisti nevar novērtēt neatklātas sistēmas vai panākt darbību izpildi, par kurām neviens iekšienē neatbild. Vadībai paliek lēmumi par budžetu un biznesa prioritātēm, un pārzinim paliek VDAR pārskatatbildība saskaņā ar 24. pantu.

Pielāgojiet kārtību darba apjomam

Mazākai organizācijai, kurai nav pienākuma iecelt datu aizsardzības speciālistu, var būt piemērots nosaukts privātuma īpašnieks un drošības īpašnieks ar iespēju saņemt specializētas konsultācijas sarežģītos jautājumos. Tas atšķiras no formālas datu aizsardzības speciālista iecelšanas.

Ja datu aizsardzības speciālists ir nepieciešams, bet iekšējiem kandidātiem ir konfliktējošas darbības pilnvaras, ir vērts apsvērt ārēju iecelšanu. Apvienojiet to ar iekšēju atbildību par ieviešanu, nevis gaidiet, ka pakalpojumu sniedzējs veiks katru privātuma uzdevumu.

Ja klientu apliecinājuma prasības pieprasa izveidot ISMS un iekšējā drošības pieredze ir ierobežota, ārēja drošības vadība var atbalstīt sākotnējo darbu. Izlemiet, kurš pēc tam uzturēs riska novērtējumus, pierādījumus un ziņošanu vadībai; projekta sadarbībai nevajadzētu atstāt atbildības robu, kad tā beidzas.

Nostabilizējusies organizācija var nodrošināt abas funkcijas iekšēji, ja tā aizsargā datu aizsardzības speciālista neatkarību un piešķir pietiekamu kapacitāti. Lēmumam jāizriet no faktiskā darba apjoma, kompetences un pilnvarām, nevis no pieņēmuma, ka iekšējs vienmēr ir labāks vai ārējs vienmēr vieglāks.

Praktisks piemērs: ražotājs gatavo klientu portālu

Aplūkosim ilustratīvu ražotāju ar 200 darbiniekiem, nelielu IT komandu un plānotu portālu klientu atbalstam un iekārtu apkopei. Pieņemsim, ka portālā būs klientu kontaktinformācija, apkopes vēstures un tehniķu darbību ieraksti. Klienti arī pieprasa dokumentētu drošības pārvaldību. Tie ir hipotētiski fakti, nevis juridisks secinājums par katru šāda lieluma ražotāju.

Vadība vispirms pasūta atsevišķus novērtējumus par datu aizsardzības speciālista iecelšanas prasībām un nozares kiberdrošības regulējuma piemērojamību. Tā neizsecina NIS2 tvērumu tikai no darbinieku skaita. Tā arī pārskata IT direktora esošo iecelšanu par datu aizsardzības speciālistu, jo šis direktors izvēlas sistēmas un apstiprina to darbību.

Pēc konfliktu un kapacitātes novērtēšanas uzņēmums ieceļ ārēju datu aizsardzības speciālistu un daļlaika drošības vadītāju. IT direktors atbild par tehnisko izpildi, servisa direktors atbild par portāla apstrādes nolūkiem un biznesa prasībām, un iekšējs koordinators uztur darbību reģistru. Rīkotājdirektors atbalsta lēmumus un risina strīdus par resursiem.

Projektēšanas laikā drošības komanda iesaka detalizētu darbību žurnalēšanu ļaunprātīgas izmantošanas izmeklēšanai. Privātuma komanda konstatē, ka žurnāli atklāj arī tehniķu uzvedību. Servisa direktors izskaidro darbības vajadzību; drošības komanda ierosina ierobežotu piekļuvi un definētu izmantošanu izmeklēšanai; privātuma komanda novērtē nepieciešamību, pārredzamību un glabāšanu. Datu aizsardzības speciālista ieteikums tiek reģistrēts, pirms atbildīgais īpašnieks izlemj par konfigurāciju. Datu aizsardzības speciālists neapstiprina žurnalēšanas dizainu vadības vietā.

Palaišanas ierakstā ir datu plūsmas apraksts, piegādātāja novērtējums, drošības konstatējumi, novērtējuma par ietekmi uz datu aizsardzību sākotnējās pārbaudes rezultāts, privātuma darbības un akceptētie laišanas klajā nosacījumi. Katrai neatrisinātai darbībai ir īpašnieks un izpildes termiņš.

Pēc tam vadība organizē galda mācības ar kompromitētu portāla kontu. Drošības komanda sniedz sākotnējo faktu paketi; privātuma komanda izvērtē iespējamo kaitējumu; koordinators izseko novērtēšanas termiņus; un pilnvarotais vadītājs atbild par komunikāciju. Mācības atklāj, ka incidentu procedūrā trūka ārējā datu aizsardzības speciālista ārkārtas kontaktinformācijas. Šīs nelielās nepilnības novēršana padara nodošanu izmantojamu spiediena apstākļos.

Padariet sadarbību pārskatāmu, nedaloties ar visu

Nodrošiniet domstarpībām nosauktu eskalācijas ceļu. Tehniskie kompromisi var nonākt pie pakalpojuma īpašnieka un vadības atbalstītāja; neatrisinātām atbilstības bažām jānonāk līdz augstākajam vadības līmenim pa datu aizsardzības speciālista neatkarīgo ziņošanas ceļu. Saglabājiet atšķirīgos viedokļus, nevis pārrakstiet ierakstu tā, lai tas liecinātu par vienprātību.

Dalieties tikai ar to informāciju, kas nepieciešama katrai lomai, īpaši sensitīvās izmeklēšanās. Datu aizsardzības speciālistam saskaņā ar VDAR 38. pantu jābūt piekļuvei attiecīgajai apstrādes informācijai, taču tas neattaisno neapstrādātu darbinieku ierakstu vai kriminālistikas materiālu izplatīšanu katram projekta dalībniekam. Izmantojiet piekļuves robežas un pienācīgi rediģētus kopsavilkumus, neaizturot novērtējumam nepieciešamos faktus.

Vadībai jāpārskata daži darbības signāli: izmaiņas, kas ieviestas pirms konsultēšanās, darbības, kas nokavētas pēc saņemtā ieteikuma, incidenti ar novēlotu starpfunkciju eskalāciju un atkārtota neskaidrība par lēmumu pieņemšanas pilnvarām. Tie atklāj pārvaldības kļūmes skaidrāk nekā politiku vai sanāksmju skaitīšana.

Praktiskam vadības pārskatam jābeidzas ar lēmumiem, nevis tikai atjauninātiem ziņojumiem. Ja novērtējumi atkārtoti nonāk novēloti, mainiet projektu pieņemšanas ierosinātāju. Ja darbības paliek atvērtas, jo komandām trūkst kapacitātes, piešķiriet resursus vai pārskatiet izpildes plānu. Ja neviens nevar identificēt lēmuma pieņēmēju, izlabojiet deleģēšanu, pirms akceptējat nākamo laidienu.

Saglabājiet iegūto ierakstu kompaktu: jautājums, attiecīgie drošības un privātuma ieteikumi, atbildīgais lēmums, tā pamatojums, darbību īpašnieki un pārskatīšanas datums. Nošķiriet pierādījumu nepilnību no ieviestas kontroles, kas nav darbojusies. Tām nepieciešama atšķirīga turpmākā rīcība, pat ja abas parādās kā atklāts uzdevums.

Jautājumi, kas vadībai skaidri jāatrisina

Vai datu aizsardzības speciālistam jāapstiprina katra palaišana?

VDAR definē konsultatīvu un uzraudzības lomu, nevis universālu prasību, ka datu aizsardzības speciālistam jāapstiprina laišana klajā. Organizācija var ieviest konsultāciju kontrolpunktus, taču tai jānošķir konsultēšanās no biznesa īpašnieka pilnvarām lemt par palaišanu. Pabeigta konsultēšanās arī nepierāda, ka apstrāde ir likumīga.

Vai drošības pierādījumi var apmierināt privātuma pārskatus?

Tie var tos atbalstīt. Piekļuves pārskatu ieraksti vai atjaunošanas testi var sniegt informāciju 32. panta novērtējumam. Tie nepierāda tiesisko pamatu, pietiekamu pārredzamību vai pamatotu glabāšanas ilgumu. Identificējiet apgalvojumu, ko pierāda katrs elements, nevis uzskatiet vienu pierādījumu paketi par apstiprinājumu visam.

Sāciet ar diviem procesiem un nelielu pierādījumu ķēdi

Sāciet ar produktu izmaiņām un incidentu apstrādi. Katram nosauciet pieņemšanas īpašnieku, nepieciešamo informāciju, pārskatīšanas ierosinātājus, lēmumu pieņemšanas pilnvaras, eskalācijas ceļu un aizvietošanas kārtību. Pirms matricas paplašināšanas testējiet abus ar reālistiskiem gadījumiem.

Secani sasaista prasības, pierādījumus, īpašniekus, uzdevumus un pārskatīšanas lēmumus kopīgā kontekstā. Konkrētam pakalpojuma tvērumam komandas var modelēt atbalstošās sistēmas un pakalpojumu sniedzējus, pievienot pierādījumus prasībām vai lēmumiem, ko tie pamato, un pārvērst neatbildētus pārskatīšanas jautājumus piešķirtā darbā. Plānojiet piekļuves robežas iekšējiem un ārējiem dalībniekiem; dokumentētā OSCAL API loma piešķir tikai validēšanas piekļuvi. Saglabājiet skaidru cilvēka pārskatīšanu mākslīgā intelekta atbalstītiem ieteikumiem un saglabājiet avotus, komentārus, apstiprinājumus un laikspiedolus.

Praktisks nākamais solis ir kopīga sesija ar biznesa īpašnieku, drošības vadītāju, privātuma komandu un datu aizsardzības speciālistu. Izejiet cauri vienai gaidāmai izmaiņai un vienam ticamam incidentam, izmantojot ierosināto nodošanas kārtību. Visur, kur grupa nevar noteikt, kurš rīkojas tālāk, uzlabojiet procesu pirms nākamā steidzamā gadījuma.