Personas datu aizsardzības pārkāpumi: virziet paziņošanas lēmumu uz priekšu

Personas datu aizsardzības pārkāpums rada divus paralēlus uzdevumus: ierobežot incidentu un izlemt, kas ir jāpaziņo. Neviens no tiem nedrīkst gaidīt, kamēr otrs tiks pabeigts. Inženieri var joprojām rekonstruēt piekļuves žurnālus, kad pārzinim jau ir pietiekami daudz informācijas, lai novērtētu paziņošanas nepieciešamību.

Praktiskais izaicinājums ir virzīt šo lēmumu uz priekšu, nepasniedzot pieņēmumus kā faktus. Noderīgs reaģēšanas process reģistrē uzzināšanas brīdi, sagatavo uzticamu minimālo pierādījumu kopumu, piešķir atbildību par lēmumu un atjaunina novērtējumu, mainoties konstatējumiem. No tehnoloģiju direktora skatpunkta būtiskais rezultāts nav 72 stundās pabeigta tiesu ekspertīzes izmeklēšana. Tas ir savlaicīgs, aizstāvams lēmums, kas balstīts uz tehniskiem pierādījumiem, ar skaidru atbildību par atlikušajiem jautājumiem.

Atpazīstiet pārkāpumu, pirms apspriežat paziņošanu

Personas datu aizsardzības pārkāpums ir plašāks jēdziens nekā nozagti dati. VDAR 4. panta 12. punkts aptver drošības pārkāpumu, kura rezultātā notiek nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

Svarīgas ir trīs dimensijas:

Viens notikums var ietvert visas trīs. Izspiedējvīruss var pārtraukt piekļuvi, sabojāt ierakstus un atklāt informāciju. Dublējumkopijas atjaunošana risina tikai daļu šāda incidenta.

Tāpēc gan nepareizi nosūtīts e-pasts, gan izspiedējvīrusa incidents var prasīt dokumentētu novērtējumu, lai gan izmeklēšana izskatās atšķirīgi. Savukārt neveiksmīgs uzbrukums, kas neapdraudēja personas datus, nav automātiski personas datu aizsardzības pārkāpums. Tam tomēr var būt nepieciešama drošības izmeklēšana un ziņošana saskaņā ar citu regulējumu.

Sāciet, nosakot, vai tika skarti personas dati, nevis to, vai kāds ir sūdzējies vai radušies finansiāli zaudējumi. Vārdi, kontu identifikatori, darbinieku ieraksti, ierīču identifikatori un šķietami parastas informācijas kombinācijas var būt personas dati. Pseidonimizēti ieraksti var palikt personas dati, ja cilvēkus joprojām var identificēt.

Pieejamības incidentu gadījumā izvērtējiet sekas, nevis izmantojiet fiksētu pārtraukuma ilgumu kā īsceļu. Piekļuves zaudēšana vizītes ierakstam steidzamas ārstēšanas laikā atšķiras no īslaicīga piekļuves pārtraukuma arhivētam jaunumu vēstuļu sarakstam.

Nosakiet uzzināšanas brīdi un lēmuma īpašnieku

Saskaņā ar VDAR 33. pantu pārzinim bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad tam kļuvis zināms par personas datu aizsardzības pārkāpumu, par to jāpaziņo kompetentajai uzraudzības iestādei, ja vien nav maz ticams, ka pārkāpums varētu radīt risku cilvēku tiesībām un brīvībām.

Termiņš automātiski nesākas brīdī, kad sākās pamatā esošais uzbrukums. Tāpat tas negaida galīgo tiesu ekspertīzes ziņojumu vai vadības apstiprinājumu. Uzraudzības iestāžu vadlīnijās uzzināšana tiek saprasta kā saprātīga pārliecības pakāpe, ka noticis drošības incidents, kas apdraudējis personas datus. Sākotnējā izmeklēšana var šo pārliecību nostiprināt; tā nedrīkst kļūt par mehānismu atbildības atlikšanai.

Turiet atsevišķi trīs laika zīmogus:

• Notikums: kad incidents notika, ja tas ir zināms.
• Atklāšana: kad kāds pirmo reizi novēroja iespējamu incidentu vai ziņoja par to.
• Uzzināšana: kad organizācijai bija pietiekama pārliecība, ka personas dati ir apdraudēti.

Reģistrējiet pierādījumus, kas pamato uzzināšanas brīdi. Ja laika zīmogs tiek apstrīdēts, saglabājiet konkurējošās interpretācijas un to pamatojumu, nevis klusi aizstājiet iepriekšējo ierakstu. Iekšējās eskalācijas kavējumiem jābūt redzamiem, nevis jāizmanto kā pamats pieņēmumam, ka uzzināšana sākās tikai tad, kad ziņojumu saņēma privātuma speciālisti vai vadība.

Septiņdesmit divas stundas nozīmē pagājušās stundas, ieskaitot nedēļas nogales un svētku dienas. Tas ir galējais laika atskaites punkts, ja paziņošana ir iespējama, nevis atļauja gaidīt, ja paziņot var ātrāk.

Norīkojiet incidenta koordinatoru, kas uztur laika līniju un atklātos jautājumus. Tehniskie vadītāji nosaka faktus; privātuma eksperti izvērtē sekas un juridiskās prasības; pilnvarots pārziņa pārstāvis ir atbildīgs par paziņošanas lēmumu. Ja ir iecelts datu aizsardzības speciālists, nekavējoties iesaistiet viņu viņa neatkarīgajā konsultatīvajā un uzraudzības lomā. Nepadariet datu aizsardzības speciālistu par atbildīgo par ierobežošanu un nepieņemiet, ka viņš aizstāj pārziņa pārskatatbildību.

Nosauciet aizvietotājus. Process, kas atkarīgs no viena vadītāja pieejamības, nav funkcionējošs process ārpus darba laika.

Pirmajās stundās sagatavojiet lēmumam gatavu pierādījumu kopumu

Ierobežošanai un pierādījumu saglabāšanai jānotiek vienlaikus. Apdraudētas galiekārtas atvienošana var būt piemērota, taču tās satura dzēšana pirms attiecīgo pierādījumu savākšanas var iznīcināt pamatu piekļuves un tvēruma novērtēšanai. Savukārt katra artefakta saglabāšana nav iemesls atstāt aktīvu izpaušanu neierobežotu.

Turpmākais ir praktiska reaģēšanas secība, nevis likumā noteikts grafiks.

Stabilizējiet incidentu

Atsauciet atklātās sesijas vai akreditācijas datus, ierobežojiet nedrošas atļaujas, attiecīgā gadījumā izolējiet ietekmētos komponentus un apturiet notiekošas kļūdainas pārsūtīšanas. Reģistrējiet katru darbību, tās laiku un paredzamo efektu. Saglabājiet attiecīgos žurnālus, konfigurācijas momentuzņēmumus, ziņojumu galvenes un citu gaistošu materiālu, pirms tos dzēš glabāšanas ierobežojumi vai atjaunošanas darbi.

Ierobežojiet piekļuvi incidenta pierādījumiem. Pārkāpuma izmeklēšana pati par sevi var radīt sensitīvas kolekcijas: personu apliecinošus dokumentus, darbinieku ziņojumus, autentifikācijas datus vai ietekmēto klientu sarakstus. Izmantojiet apstiprinātu pierādījumu glabāšanas vietu, nevis pārsūtiet neapstrādātus ierakstus plašā incidentu tērzēšanas kanālā.

Sagatavojiet minimālo faktu paketi

Sniedziet privātuma pārskatītājiem īsu, strukturētu aprakstu, kas ietver:

• Kas notika un kuri novērojumi to apstiprina.
• Ietekmētās sistēmas, pakalpojumi un atbildīgie pakalpojumu sniedzēji.
• Personas datu kategorijas un ietekmēto cilvēku kategorijas.
• Aptuvenais cilvēku un ierakstu skaits, norādot skaitīšanas metodi.
• Atklātības periods, zināmie saņēmēji un iespējamie piekļuves ceļi.
• Attiecīgie aizsardzības pasākumi, ieskaitot šifrēšanu un piekļuvi atslēgām.
• Zināmās vai ticamās sekas cilvēkiem.
• Jau veiktie pasākumi un vēl neatrisinātie jautājumi.

Nošķiriet apstiprinātus faktus, pamatotus aprēķinus un hipotēzes. „Pieejamajā audita žurnālā nav redzams neviens eksporta notikums” ir šaurāks apgalvojums nekā „datiem netika piekļūts”. Norādiet žurnālu pārklājuma un glabāšanas nepilnības, lai pārskatītāji saprastu, ko pierādījumi nevar noteikt.

Uzturiet jautājumu rindu

Katram neatrisinātam jautājumam piešķiriet īpašnieku un nākamo pārskatīšanas laiku. Prioritizējiet jautājumus, kas var mainīt lēmumu: vai atklātajā objektā bija personas dati, vai uzbrucējs piekļuva šifrēšanas atslēgām vai vai nepieejamie ieraksti ietekmēja būtiskus pakalpojumus.

Citi jautājumi, piemēram, precīza sākotnējās izmantošanas tehnika, var būt ļoti svarīgi novēršanai, nebūdami nepieciešami pirmajam paziņojumam. Šo virzienu nošķiršana novērš, ka tehniskā ziņkāre aizkavē juridiskas darbības.

Aktuāls sistēmu un datu saraksts paātrina šo darbu. Raksts Datu atklāšana privātuma vajadzībām sniedz kontekstu, kas nepieciešams, lai „apdraudēts glabāšanas pakalpojums” pārvērstu identificējamās datu kategorijās, apstrādes nolūkos un ietekmētajās iedzīvotāju grupās.

Novērtējiet kaitējumu cilvēkiem, nevis tikai ietekmi uz uzņēmumu

33. panta izņēmums ir tad, ja risks tiesībām un brīvībām ir maz ticams. Tas nav noteikums, ka jāziņo tikai par lieliem pārkāpumiem, īpašu kategoriju datiem vai pierādītu kaitējumu.

Novērtējiet gan iespējamo seku varbūtību, gan smagumu. Neliela izpaušana var būt nopietna, savukārt lielākam incidentam var būt efektīvi aizsardzības pasākumi, kas būtiski samazina risku. Dokumentējiet, kāpēc apstākļi pamato secinājumu.

Aplūkojiet šīs dimensijas kopā:

Šifrēšanai nepieciešama tehniska izpēte. Diskam, kas šifrēts miera stāvoklī, nav obligāti jāaizsargā informācija, kurai piekļūts, izmantojot apdraudētu lietotnes kontu. Nosakiet šifrēšanas slāni, atslēgu nošķiršanu, uzbrucēja atļaujas un to, vai bija pieejams lietojams atklātais teksts. Tāda pati loģika attiecas uz jaucētiem akreditācijas datiem: to aizsardzība ir atkarīga no metodes un apstākļiem, nevis no apzīmējuma „jaucēts”. Skatiet šifrēšana un atslēgu pārvaldība.

Saņēmēja apstiprinājums par dzēšanu var būt būtisks, īpaši nejaušas izpaušanas gadījumā zināmam, sadarbīgam saņēmējam. Tas nav universāls pierādījums, ka risks ir izzudis. Apsveriet, vai saturs tika apskatīts, kopēts, pārsūtīts vai bija pieejams pa citu kanālu.

Nepārvērtiet skaitlisku riska novērtējumu automātiskā juridiskā secinājumā. Vērtēšanas matrica var padarīt spriedumus konsekventus, taču pārskatītājiem joprojām jāizskaidro faktiskās sekas un nenoteiktība. Uzņēmuma dīkstāve, ieņēmumu zudums un organizācijas reputācijas kaitējums pieder operatīvajai incidentu pārvaldībai; tie neaizstāj ietekmes uz personām novērtējumu.

Novērtējiet atkārtoti, kad parādās jauni fakti. Sensitīvu pielikumu vai uzbrucēja piekļuves atslēgām atklāšana var mainīt sākotnēji saprātīgu lēmumu nepaziņot.

Pieņemiet divus atsevišķus saziņas lēmumus

Paziņošanai iestādei un saziņai ar ietekmētajām personām ir atšķirīgi sliekšņi. Skaidri reģistrējiet abus lēmumus, arī tad, ja neviens nav nepieciešams.

Paziņojiet ar to, kas ir zināms

33. pants prasa, lai paziņojumā būtu aprakstīts pārkāpuma raksturs, tostarp, ja iespējams, ietekmēto personu un ierakstu kategorijas un aptuvenais skaits. Tajā jānorāda arī datu aizsardzības speciālista vai citas kontaktpersonas dati, jāapraksta iespējamās sekas un veiktie vai ierosinātie pasākumi, tostarp attiecīgā gadījumā seku mazināšana.

Negaidiet precīzus skaitļus, ja ir pieejami uzticami aprēķini un skaidri atrunājumi. 33. panta 4. punkts ļauj informāciju sniegt pa posmiem, ja to nav iespējams sniegt vienlaikus, bez turpmākas nepamatotas kavēšanās. Saglabājiet iesniegtā paziņojuma kopiju, saņemšanas apstiprinājumu, atsauces numuru un apsolīto atjauninājumu sarakstu.

Ja paziņojums tiek sniegts vēlāk par 72 stundām, norādiet kavēšanās iemeslus. Termiņa nokavēšana nenoņem pienākumu. Izskaidrojiet faktisko hronoloģiju, nevis sniedziet vispārīgu apgalvojumu, ka izmeklēšana bija sarežģīta.

Laikus pārliecinieties par kompetento iestādi un ziņošanas kanālu, īpaši pārrobežu apstrādes gadījumā. Nepieņemiet, ka iestāde servera atrašanās vietā ir pareizais adresāts.

Paziņojiet, ja ir iespējams augsts risks

VDAR 34. pants prasa skaidrā un vienkāršā valodā bez nepamatotas kavēšanās paziņot ietekmētajām personām, ja ir iespējams augsts risks. Saturā ietilpst pārkāpuma raksturs, kontaktinformācija, iespējamās sekas un attiecīgie pasākumi.

Paskaidrojiet, ko cilvēki var darīt: piemēram, nomainīt ietekmēto paroli, noraidīt aizdomīgus maksājumu norādījumus vai izmantot pārbaudītu atbalsta kanālu. Nedodiet mājienus, ka piesardzības padomi nodod atbildību viņiem.

34. pantā ir paredzēti izņēmumi efektīviem pasākumiem, kas padara datus nesaprotamus neatļautām personām, turpmākiem pasākumiem, kas nodrošina, ka augsta riska iestāšanās vairs nav iespējama, un nesamērīgām pūlēm. Pēdējā gadījumā nepieciešams publisks paziņojums vai līdzīgi efektīvs pasākums; tā nav atļauja klusēt. Iestāde var pieprasīt paziņošanu vai izvērtēt, vai izņēmums ir piemērojams.

Rīkojieties ar apstrādātāju incidentiem, nezaudējot kontroli pār novērtējumu

Apstrādātājam bez nepamatotas kavēšanās jāinformē pārzinis pēc tam, kad tam kļuvis zināms par personas datu aizsardzības pārkāpumu. Tam nevajadzētu gaidīt savu secinājumu, ka paziņošana uzraudzības iestādei ir nepieciešama. Pārziņa novērtējumu nedrīkst aizstāt ar piegādātāja apzīmējumu „zems risks”.

Pieprasiet pierādījumus, kas attiecas uz jūsu apstrādi: ietekmēto nomnieku vai kontu, datu kategorijas, atklātības periodu, piekļuves pierādījumus, aizsardzības pasākumus, ierobežošanu un neatrisinātos jautājumus. Pakalpojumu sniedzēja vispārīgs paziņojums par incidentu var nenoteikt, kuri no jūsu ierakstiem tika ietekmēti.

Piegādātāja kavēšanās mehāniski neizlieto pārziņa 72 stundu periodu, pirms pārzinim kļūst zināms par pārkāpumu. Tomēr tā var aizkavēt aizsardzības darbības, aizēnot hronoloģiju un radīt jautājumus par apstrādātāja pienākumu izpildi. Reģistrējiet, kad piegādātājs atklāja incidentu, kad tam kļuva zināms un kad tas jūs informēja.

Kā praktisku līguma ieteikumu nosakiet operatīvās kontaktpersonas, ātru sākotnējo paziņojumu, minimālo informāciju, pastāvīgus atjauninājumus un palīdzību izmeklēšanā un saziņā. Šīm vienošanām jāatbalsta, nevis jāaizstāj 28. panta prasības.

Ja jūsu organizācija ir gan apstrādātājs klientiem, gan pārzinis darbinieku datiem, pieņemiet atsevišķus uz lomām balstītus lēmumus. Kopīgs tehnisks incidents vienā statusā var prasīt paziņojumus klientiem, bet citā – novērtējumu attiecībā uz uzraudzības iestādi.

Uzturiet lēmumu pierakstu, kas saglabājas arī pēc incidenta

33. panta 5. punkts prasa dokumentēt personas datu aizsardzības pārkāpumus, tostarp to faktus, sekas un veiktās koriģējošās darbības, lai uzraudzības iestāde varētu pārbaudīt atbilstību. Tas attiecas arī uz pārkāpumiem, par kuriem netika paziņots.

Noderīgs incidenta ieraksts ietver:

• Incidenta identifikatoru, tvērumu, koordinatoru un apstrādes lomu.
• Notikuma, atklāšanas, uzzināšanas un eskalācijas laika zīmogus.
• Atsauces uz pierādījumiem un pieejamās telemetrijas ierobežojumus.
• Riska novērtējumu, pārskatītāju, lēmuma īpašnieku un lēmumu laikus.
• Atsevišķus secinājumus par paziņošanu iestādei un saziņu ar personām.
• Iesniegtos paziņojumus, apstiprinājumus un turpmākos atjauninājumus.
• Ierobežošanas, atjaunošanas un preventīvās darbības ar īpašniekiem.
• Slēgšanas pārskatu un iemeslus jebkurai atlikušajai nenoteiktībai.

Lēmumam nepaziņot pierakstiet pamatojumu, nevis tikai „zem sliekšņa”. Norādiet faktus, kas pamato, kāpēc risks bija maz ticams, un kādi pierādījumi izraisītu atkārtotu novērtējumu.

Saglabājiet secīgos novērtējumus. Agrīns secinājums var būt bijis saprātīgs, ņemot vērā pieejamos pierādījumus, pat ja vēlāki konstatējumi to maina. Iepriekšējās versijas pārrakstīšana slēpj šo hronoloģiju.

Apzināti nosakiet piekļuves un glabāšanas kārtību. 33. pants neparedz universālu glabāšanas periodu pārkāpumu ierakstiem. Izvēlieties pamatotu grafiku, ņemot vērā pārskatatbildību, piemērojamos pienākumus un datu minimizēšanu. Ja iespējams, glabājiet atsauces uz pierādījumiem, nevis dublējiet plašas personas datu kopas.

Paziņošana nesniedz imunitāti pret pārbaudi. Iestādes var pieprasīt paskaidrojumus un pārbaudīt drošības pasākumus vai citus pienākumus. Tāpat neizmantojiet paziņošanu kā iemeslu atlikt ierobežošanu, gaidot regulatora norādījumus.

Praktisks piemērs: atklāts personāla atlases eksports

Šis piemērs ir ilustratīvs; tā laiki un skaitļi ir pieņēmumi, nevis ziņoti rezultāti.

Pieņemsim, ka organizācija piektdien plkst. 16.00 atklāj, ka personāla atlases eksports varētu būt pieejams caur publisku glabātuves saiti. Failā ir 240 kandidātu vārdi, kontaktinformācija, piezīmes par pieteikumiem un daži pielikumi. Plkst. 16.20 inženieris apstiprina neautentificētu piekļuvi un pārliecinās, ka failā ir personas dati. Koordinators reģistrē 16.20 kā pamatoto uzzināšanas brīdi. 72 stundu atskaites punkts ir pirmdien plkst. 16.20, lai gan paziņošanai joprojām jānotiek bez nepamatotas kavēšanās.

Līdz 16.35 komanda ir noņēmusi publisko piekļuvi un saglabājusi konfigurācijas vēsturi un pieejamos piekļuves žurnālus. Šie žurnāli aptver tikai daļu atklātības perioda. Komanda nevar atbildīgi secināt, ka neviens failam nav piekļuvis.

Pirmajā novērtējumā identificēta iespējama mērķēta pikšķerēšana un konfidenciālu nodomu par darba maiņu izpaušana. Pielikumu saturs joprojām ir neskaidrs. Privātuma pārskatītāji un lēmuma īpašnieks secina, ka risks nav maz ticams, tāpēc paziņošana uzraudzības iestādei ir nepieciešama. Viņi atsevišķi izvērtē, vai ir iespējams augsts risks; kandidātu skaits vien uz šo jautājumu neatbild.

Sākotnējā paziņojumā aprakstīta apstiprinātā atklātība, aptuvenais tvērums, nepilnīgais žurnālu pārklājums, zināmās sekas un ierobežošana. Tajā norādīts, ka pielikumu pārskatīšana turpinās, un identificēta persona, kas atbild par atjauninājumu sniegšanu.

Sestdien pārskatīšanā konstatē, ka daļā pielikumu ir informācija par veselību. Komanda pārskata augsta riska novērtējumu un nosaka, ka šai ietekmētajai grupai nepieciešama paziņošana. Ziņojumos aprakstīta attiecīgā atklātība un praktiski piesardzības pasākumi, neatklājot citu kandidātu informāciju.

Pabeigtajā ierakstā saglabāti abi novērtējumi, pamatojošie pierādījumi, iesniegšanas apstiprinājumi un korektīvie uzdevumi. Turpmākās darbības ietver eksporta apstiprināšanas kontroles, publiskas piekļuves novēršanu, atbilstošu žurnalēšanu un testēšanu, ka personāla atlases faili vairs nav publiski sasniedzami.

Mācība ir operatīva: neskaidrais pielikumu saturs netraucēja sākotnējam paziņojumam, un vēlāki konstatējumi mainīja lēmumu par saziņu ar personām, nepadarot nederīgu iepriekšējo uz pierādījumiem balstīto novērtējumu.

Izsekojiet citus ziņošanas pienākumus tajā pašā laika līnijā

Viens un tas pats incidents var ierosināt ziņošanu saskaņā ar VDAR, līgumiem, nozares regulējumu un kiberdrošības regulējumu. Izmantojiet vienu faktu hronoloģiju, bet atsevišķus pienākumu novērtējumus, adresātus, īpašniekus un termiņus.

NIS2 23. pants attiecas uz būtiskiem incidentiem aptvertajās vienībās neatkarīgi no tā, vai ir iesaistīti personas dati. Tā ES ziņošanas struktūra ietver agrīno brīdinājumu 24 stundu laikā, paziņojumu par incidentu 72 stundu laikā un parasti galīgo ziņojumu viena mēneša laikā pēc paziņojuma. NIS2 tiek ieviesta ar nacionālajiem tiesību aktiem: pārbaudiet piemērojamību, nacionālās procedūras un attiecīgos nozares noteikumus, nevis pieņemiet, ka šie pienākumi ir katrai organizācijai.

Aptvertajām finanšu vienībām DORA var noteikt nozarei specifiskas prasības. Nedublējiet ziņošanu automātiski un neuzskatiet, ka viens iesniegums izpilda visu regulējumu prasības.

Līgumisks paziņojums klientiem var būt nepieciešams pat tad, ja paziņošana uzraudzības iestādei nav nepieciešama. Uzturiet ziņošanas matricu, kurā katram piemērojamajam pienākumam norādīts avots, ierosinātājs, adresāts, atbildīgais īpašnieks, iesniegšanas ceļš un izpildes pierādījumi.

Sagatavojiet nodošanas punktus pirms nākamā incidenta

Praktisks gatavības tests ir piektdienas pēcpusdienas mācības ar nepareizi nosūtīta e-pasta, apdraudēta pakalpojumu sniedzēja vai izspiedējvīrusa scenāriju. Lūdziet dalībniekiem sagatavot faktisko pirmo faktu paketi un lēmuma ierakstu, nevis vienkārši aprakstīt politiku.

Pārbaudiet, vai komanda var:

• Sazināties ar koordinatoru, privātuma konsultantu, lēmuma īpašnieku un aizvietotājiem.
• Identificēt attiecīgos datus un pakalpojumu sniedzējus no esošajiem sarakstiem.
• Saglabāt žurnālus, pirms tos dzēš atjaunošana vai glabāšanas ierobežojumi.
• Piekļūt pareizajam iestādes ziņošanas kanālam.
• Sagatavot pakāpenisku paziņojumu ar skaidri atzīmētiem nezināmajiem.
• Droši sazināties ar klientiem un ietekmētajām personām.
• Reģistrēt lēmumu nepaziņot un ieplānot atkārtotu novērtējumu.

Ja atbilde ir atkarīga no nezināmas personas atrašanas vai nepieejamu akreditācijas datu atgūšanas, izveidojiet gatavības uzdevumu. CISO un datu aizsardzības speciālista pienākumiem jābūt pietiekami skaidriem, lai tehnisko faktu noskaidrošana un neatkarīgi privātuma padomi varētu noritēt vienlaikus.

Secani var atbalstīt pārskatāmo atbilstības ierakstu ap šo darbu. Modelējiet ietekmētās sistēmas un pakalpojumu sniedzējus kā mērķa objektus, savienojiet pierādījumus ar attiecīgajām prasībām un lēmumiem un piešķiriet īpašniekus turpmākajiem uzdevumiem. Tā savienoto pierādījumu un pārskatīšanas darba plūsmas atbalsta saites uz avotiem, komentārus, apstiprinājumus un laika zīmogus. Uztveriet MI atbalstītus kopsavilkumus kā melnrakstus, kam nepieciešama cilvēka pārskatīšana; ierobežošanu un tiesu ekspertīzes izmeklēšanu veiciet operatīvajās sistēmās un piesaistiet to pierādījumus lēmumu pierakstam.

Jautājumi, kas rodas reaģēšanas laikā

Vai varam gaidīt dzēšanas apstiprinājumu, pirms pieņemam lēmumu?

Pieprasiet to nekavējoties, bet paralēli turpiniet novērtējumu. Tā nozīme ir atkarīga no saņēmēja, satura un iespējamās tālākas piekļuves. Neatbildēts pieprasījums nav pierādījums, ka atklātība ir beigusies.

Ko darīt, ja ziņošanas portāls nav pieejams?

Reģistrējiet mēģinājumus un meklējiet iestādes publicēto alternatīvo saziņas ceļu. Saglabājiet iesniegšanai sagatavoto informāciju un izskaidrojiet jebkuru radušos kavēšanos. Tehniska iesniegšanas problēma nedrīkst apturēt novērtējumu vai nepieciešamo saziņu ar cilvēkiem.

Kad incidentu var slēgt?

Operatīvā atjaunošana un privātuma slēgšana ir atsevišķi atskaites punkti. Pārliecinieties, ka nepieciešamie paziņojumi un atjauninājumi ir pabeigti, atlikušajiem jautājumiem ir īpašnieks un korektīvās darbības joprojām tiek izsekotas. Kā praktisku nākamo soli pārbaudiet vienu nesenu gadījumu, par kuru netika paziņots, pret ieraksta kontrolsarakstu: ja cits pārskatītājs nevar rekonstruēt lēmumu, uzlabojiet nodošanas punktus pirms nākamā incidenta.