Pilvepõhise isikut tuvastava teabe volitatud töötleja poliitika

Pilvepõhise isikut tuvastava teabe volitatud töötleja poliitika määratleb kohustuslikud privaatsusnõuded pilveteenustele, mille puhul organisatsioon tegutseb isikut tuvastava teabe volitatud töötleja või alltöötlejana. Selle kohaldamisala hõlmab SaaS-i, PaaS-i, IaaS-i, majutatud rakendusi, hallatud pilve, pilvetuge, pilvesalvestust, pilveanalüütikat ja pilvetaristu teenuseid, mis töötlevad isikut tuvastavat teavet klientide nimel. Poliitika eesmärk on hoida pilvetöötlus kooskõlas dokumenteeritud kliendilepingute, kliendi juhiste, ülesvoolu volitatud töötleja juhiste, alltöötlejate kokkulepete, pilveregiooni konfiguratsiooni, pilvetoe juurdepääsu, teenuse halduse, varundamise, replikatsiooni, logimise, seire, kustutamise, tagastamise, rikkumise toe, audititoe ja kliendi abistamise kohustustega. Poliitika keskne eesmärk on tõendusmaterjalil põhinev ohje. Enne kliendi sisseelamist või olulist teenusemuudatust peab andmekaitsejuht / PIMS-i juht registreerima REG02-s ja REG08-s iga pilvekeskkonnas isikut tuvastava teabe töötlemise teenuse, töötlemisrolli, kliendi juhise allika, isikut tuvastava teabe kategooriad, isikuandmesubjekti kategooriad, teenuse eesmärgi, töötlemise asukoha, alltöötleja sõltuvuse, kustutamissõltuvuse ja edastamise tunnuse. Poliitika nõuab ka pilve volitatud töötleja kontrollimeetme kohaldatavuse registreerimist REG03-s, edastamise ja asukoha marsruutimise kajastamist REG09-s, kui see on asjakohane, pilvekeskkonnas isikut tuvastava teabega seotud intsidentide haldamist REG10 kaudu ning seire, erandite, vaidluste, valideerimistulemuste ja parandusmeetmete käsitlemist REG12 kaudu. See hoiab pilve volitatud töötleja kohustused integreerituna olemasoleva PIMS-i poliitikakomplektiga ning väldib eraldi registrite loomist lepingute, teenuste, rentnike isoleerimise, juurdepääsu, logide, kustutamise, toe, auditite, rikkumiste või alltöötlejate jaoks. Poliitika kehtestab praktilised nõuded kogu pilveteenuse elutsüklis. See nõuab dokumenteeritud kliendi või ülesvoolu volitatud töötleja juhiseid enne töötlemise alustamist, selliste juhiste läbivaatamist, mis näivad olevat vastuolus kohustuste või heakskiidetud teenuse kohaldamisalaga, ning heakskiitu enne mis tahes kliendi isikut tuvastava teabe töötlemist väljaspool dokumenteeritud juhiseid. Samuti käsitleb see pilvekonfiguratsiooni ja turbe tõendusmaterjali, nõudes jagatud vastutuse piiride, rentnike isoleerimise valideerimise, kontrollitud haldusjuurdepääsu, privilegeeritud juurdepääsu ja logimise katvuse kvartaalset läbivaatamist, keskkondade eraldamist ning varundamise, replikatsiooni, logide salvestamise ja tugijuurdepääsu asukohtade registreerimist. Need nõuded on teadlikult seotud olemasolevate isikut tuvastava teabe turbekontrollidega, mitte ei asenda laiemat isikut tuvastava teabe turbe ja juurdepääsukontrolli poliitikat. Alltöötlejate ja pilve tarneahela juhtimist käsitletakse volitatud töötleja põhikohustustena. Tarnija / hanke omanik peab enne kasutamist registreerima pilve alltöötlejad, taristuteenuse osutajad, majutusteenuse osutajad, hallatud teenusepakkujad, tugiteenuse osutajad ja muud olulised pilveteenuse sõltuvused. Poliitika nõuab tõendusmaterjali kliendi loa või dokumenteeritud loa aluse kohta, edasiantavaid kohustusi privaatsuse, turbe, abistamise, intsidentide, tagastamise, kustutamise, audititoe ja edastuste osas ning teenuse asukohtade, kaugtoe asukohtade, majutusregioonide ja edasise edastamise marsruutimise kirjeid. Samuti nõuab see klientide teavitamist kavandatud pilve alltöötleja muudatustest lepingus nõutud teatamisperioodi jooksul ning aktiivsete pilve alltöötlejate ja pilvesõltuvuste kirjete läbivaatamist vähemalt kord aastas. Poliitika käsitleb ka kliendi abistamist, auditituge, rikkumise liidest, kustutamist ja lõpetamist. Kliendi abistamise kohustused andmesubjekti õiguste taotluste, kustutamise, parandamise, piiramise, juurdepääsu, auditi, DPIA toe ja rikkumise toe kohta tuleb registreerida enne lepingu sõlmimist või teenuse aktiveerimist. Kliendi taotletud õiguste tugi tuleb lõpetada kliendiga kokku lepitud tähtaja jooksul, privaatsuse seisukohast olulised DPIA või hindamise abitaotlused tuleb läbi vaadata kümne tööpäeva jooksul ning tähtaja ületanud või vaidlustatud abitaotlusi tuleb jälgida. Lõpetamise puhul nõuab poliitika ekspordi-, tagastamis-, edastamis- või kustutamisvõimekuse tõendusmaterjali enne sisseelamist või olulist teenusemuudatust, täitmist kliendiga kokku lepitud tähtaegade jooksul, aktiivkasutuses olevate süsteemide, varukoopiate, koopiate, logide, ajutiste failide, vahekeskkondade ja tugikoopiate kaasamist ning mittevastavuse käsitlemist, kui kohustusi ei saa õigeaegselt täita. Juhtimist tugevdavad tõendusmaterjali täielikkuse kvartaalne läbivaatamine, iga-aastane poliitika ja alltöötlejate läbivaatamine, auditi valimipõhine kontroll, mõõdikud, rakendamismeetmed ning tippjuhtkonna heakskiit olulistele eranditele ja muudatustele.