Πολιτική ασφάλειας και ελέγχου πρόσβασης σε δεδομένα προσωπικού χαρακτήρα

Η Πολιτική ασφάλειας και ελέγχου πρόσβασης σε δεδομένα προσωπικού χαρακτήρα ορίζει τις ειδικές απαιτήσεις του οργανισμού για την προστασία των προσωπικών πληροφοριών σε συστήματα, εφαρμογές, υπηρεσίες, συσκευές, περιβάλλοντα νέφους και επιχειρησιακές διαδικασίες. Εφαρμόζεται όταν δεδομένα προσωπικού χαρακτήρα αποθηκεύονται, μεταδίδονται, υφίστανται επεξεργασία, προσπελαύνονται, διαχειρίζονται ή προστατεύονται, και καλύπτει πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας. Η πολιτική έχει σχεδιαστεί ρητά ώστε να ενσωματώνεται στις υφιστάμενες πρακτικές ασφάλειας πληροφοριών και όχι να αντικαθιστά ένα πλήρες Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών, Πολιτική Ασφάλειας Δικτύου, Πολιτική Ασφαλούς Ανάπτυξης, πολιτική αντιγράφων ασφαλείας, πολιτική τερματικών σημείων, πολιτική ασφάλειας νέφους, κρυπτογραφικό πρότυπο, διαδικασία διαχείρισης ευπαθειών ή διαδικασία απόκρισης σε περιστατικά. Ο βασικός της σκοπός είναι να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα προστατεύονται με κατάλληλους, ευθυγραμμισμένους με τον κίνδυνο και ελέγξιμους ελέγχους ασφάλειας και ελέγχου πρόσβασης καθ’ όλη τη διάρκεια της επεξεργασίας. Για την υποστήριξη αυτού του σκοπού, η πολιτική θεσπίζει βασική γραμμή ασφάλειας δεδομένων προσωπικού χαρακτήρα και απαιτεί ιχνηλάσιμα τεκμήρια μέσω των REG02, REG08, REG10 και REG12. Αυτό το μοντέλο τεκμηρίων είναι κεντρικό για την πολιτική: επιχειρησιακά αρχεία καταγραφής, έξοδοι εργαλείων ασφάλειας, εξαγωγές αναθεωρήσεων δικαιωμάτων πρόσβασης, αναφορές ευπαθειών και τεκμήρια ρυθμίσεων μπορούν να επισυνάπτονται, να συνοψίζονται ή να παραπέμπονται στα κανονικά αντικείμενα τεκμηρίων, αλλά δεν αντιμετωπίζονται ως ξεχωριστά μητρώα PIMS. Αυτό επιτρέπει στον οργανισμό να αποδεικνύει ότι οι έλεγχοι σχεδιάζονται, υλοποιούνται, ανασκοπούνται, παρακολουθούνται και βελτιώνονται χωρίς διπλή τήρηση αρχείων ασφάλειας. Η πολιτική θέτει λεπτομερείς απαιτήσεις για τον έλεγχο πρόσβασης, την αυθεντικοποίηση και την προνομιούχα πρόσβαση. Η πρόσβαση σε δεδομένα προσωπικού χαρακτήρα πρέπει να περιορίζεται σε εγκεκριμένους ρόλους και εξουσιοδοτημένους χρήστες που καταγράφονται ή είναι ιχνηλάσιμοι στο REG02 ή στο REG12, ενώ ο επιχειρησιακός σκοπός πρέπει να εγκρίνεται πριν από τη χορήγηση πρόσβασης. Τα συστήματα δεδομένων προσωπικού χαρακτήρα υψηλού αντικτύπου ή ευαίσθητα απαιτούν αναθεωρήσεις δικαιωμάτων πρόσβασης χρηστών τουλάχιστον ανά τρίμηνο, ενώ τα λοιπά συστήματα δεδομένων προσωπικού χαρακτήρα απαιτούν τουλάχιστον ετήσια ανασκόπηση. Η πρόσβαση πρέπει να αφαιρείται ή να τροποποιείται εντός μίας εργάσιμης ημέρας μετά από αλλαγή ρόλου, αποχώρηση, ολοκλήρωση σύμβασης ή όταν δεν απαιτείται πλέον. Η προνομιούχα πρόσβαση απαιτεί τεκμηριωμένη αιτιολόγηση, πεδίο εφαρμογής και έγκριση πριν από τη χορήγησή της, με μηνιαία ανασκόπηση για συστήματα δεδομένων προσωπικού χαρακτήρα υψηλού αντικτύπου ή ευαίσθητα και τριμηνιαία ανασκόπηση για άλλα συστήματα δεδομένων προσωπικού χαρακτήρα. Η πολιτική καλύπτει επίσης τις τεχνικές προσδοκίες ασφάλειας για αυθεντικοποίηση, κρυπτογράφηση, ασφαλή αποθήκευση, καταγραφή, παρακολούθηση, ρύθμιση παραμέτρων, διαχείριση ευπαθειών, πρόσβαση τερματικών σημείων και πρόσβαση σε περιβάλλον νέφους. Απαιτούνται μοναδικές ταυτότητες χρηστών για λογαριασμούς με πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, καθώς και ισχυρή αυθεντικοποίηση για προνομιούχα, απομακρυσμένη, διαχειριστική πρόσβαση ή πρόσβαση υψηλού αντικτύπου σε δεδομένα προσωπικού χαρακτήρα. Η κρυπτογράφηση ή η εγκεκριμένη αντισταθμιστική προστασία πρέπει να ορίζεται πριν από την αποθήκευση, τη μετάδοση ή την παροχή δυνατότητας πρόσβασης σε δεδομένα προσωπικού χαρακτήρα υψηλού αντικτύπου, ευαίσθητα ή εξωτερικά μεταδιδόμενα. Το πεδίο καταγραφής πρέπει να καλύπτει συμβάντα αυθεντικοποίησης, συμβάντα πρόσβασης, προνομιούχες ενέργειες, δραστηριότητα εξαγωγής δεδομένων προσωπικού χαρακτήρα και ουσιώδεις αλλαγές ρυθμίσεων. Η κατάσταση ρυθμίσεων και η κάλυψη ευπαθειών πρέπει να καταγράφονται στο REG12, με τις μη επιλυμένες ευπάθειες υψηλού κινδύνου που επηρεάζουν δεδομένα προσωπικού χαρακτήρα να καταγράφονται εντός πέντε εργάσιμων ημερών από την επικύρωση. Οι αρμοδιότητες διακυβέρνησης ανατίθενται στην Ανώτατη Διοίκηση, στον Επικεφαλής Ιδιωτικότητας / Υπεύθυνο PIMS, στον Υπεύθυνο Προστασίας Δεδομένων / Σύμβουλο Ιδιωτικότητας, στον Επικεφαλής Ασφάλειας Πληροφοριών, στον Ιδιοκτήτη Διεργασίας / Ιδιοκτήτη Επιχείρησης, στον Ιδιοκτήτη συστήματος / Ιδιοκτήτη Εφαρμογής, στον Ιδιοκτήτη προμηθευτή / προμηθειών, στον Συντονιστή Αντιμετώπισης Περιστατικών και στον Ανασκοπητή Εσωτερικού Ελέγχου / Συμμόρφωσης. Η πολιτική απαιτεί τριμηνιαίες ανασκοπήσεις πληρότητας τεκμηρίων στα REG02, REG08, REG10 και REG12, τριμηνιαία ανασκόπηση της αποτελεσματικότητας της βασικής γραμμής και των μη επιλυμένων κενών, καθώς και ελεγκτική δειγματοληψία αναθεωρήσεων δικαιωμάτων πρόσβασης, ανασκοπήσεων προνομιούχας πρόσβασης, τεκμηρίων καταγραφής και τεκμηρίων ρυθμίσεων. Οι εξαιρέσεις πρέπει να καταγράφονται πριν από την ενεργοποίηση, να περιλαμβάνουν ημερομηνία λήξης, αντισταθμιστικό έλεγχο και ημερομηνία ανασκόπησης, και να λαμβάνουν έγκριση της Ανώτατης Διοίκησης όταν επηρεάζουν δεδομένα προσωπικού χαρακτήρα υψηλού αντικτύπου, ευαίσθητα δεδομένα προσωπικού χαρακτήρα, προνομιούχα πρόσβαση, κρυπτογράφηση, καταγραφή ή μη επιλυμένες ευπάθειες υψηλού κινδύνου.