Finantssektori isikut tuvastava teabe intsidentide ja rikkumiste halduse poliitika

Finantssektori isikut tuvastava teabe intsidentide ja rikkumiste halduse poliitika määratleb nõuded isikut tuvastava teabe intsidentide ja isikut tuvastava teabe rikkumiste tuvastamiseks, neist teatamiseks, nende triaažiks, klassifitseerimiseks, hindamiseks, ohjeldamiseks, neist teavitamiseks, nende dokumenteerimiseks, sulgemiseks ja neist tulenevaks parendamiseks finantssektori PIMS-i kohaldamisalades. Seda kohaldatakse juhul, kui organisatsioon tegutseb finantssektori kontekstis isikut tuvastava teabe vastutava töötleja, kaasvastutava töötleja, volitatud töötleja või alltöötlejana, ning see hõlmab ka süsteeme, rakendusi, teenuseid, protsesse, tarnijaid, volitatud töötlejaid, alltöötlejaid ja kolmandaid osapooli, kes töötlevad, säilitavad, edastavad, toetavad, pääsevad juurde või mõjutavad muul viisil kohaldamisalas olevat isikut tuvastavat teavet. Poliitika on selgesõnaliselt kavandatud finantssektori asendusvariandina PII15-le ning see nõuab, et organisatsioonid valiksid sama kohaldamisala jaoks kas PII15 või PII15-FS, et vältida kohustuste, registrite ja audititõenduse töö dubleerimist. Poliitika eesmärk on tagada, et isikut tuvastava teabe intsidente ja rikkumisi käsitletakse järjepidevalt, viivitamata, seaduslikult, turvaliselt ja auditiks valmis tõendusmaterjaliga. REG10 — isikut tuvastava teabe intsidentide ja rikkumiste register kehtestatakse esmase tõendusobjektina, samal ajal kui toetavad registrid seovad intsidendikirje laiema PIMS-i tõendusmudeliga. REG01 kasutatakse kohaldamisala, huvitatud osapoolte, sektoripõhise, kliendi-, lepingulise ja aruandluskonteksti jaoks. REG02 seob mõjutatud töötlemistoimingud, isikut tuvastava teabe kategooriad, isikuandmesubjektide kategooriad, eesmärgid, süsteemid ja teenused. REG03 kajastab kohaldatavusavalduse ja kontrollimeetmete kohaldatavuse ajakohastusi, sealhulgas PII15 asendamist PII15-FS-iga. REG04 toetab privaatsusriski, DPIA, jääkriski ja riski käsitlemise seoseid, samas kui REG08, REG09, REG11 ja REG12 hõlmavad kolmandate osapoolte liideseid, rahvusvahelisi edastusi, koolitust ning auditi või parandusmeetmete tõendusmaterjali. Operatiivselt nõuab poliitika, et iga teatatud või tuvastatud võimalik finantssektori isikut tuvastava teabe intsident kantakse REG10-sse ühe tööpäeva jooksul alates selle vastuvõtmisest või varem, kui teavitamise, kliendi või aruandluse tähtajad võivad käivituda. Intsidendid tuleb klassifitseerida 24 tunni jooksul alates vastuvõtmisest kui isikut tuvastava teabega mitteseotud sündmus, kahtlustatav isikut tuvastava teabe intsident, kinnitatud isikut tuvastava teabe intsident, kinnitatud isikut tuvastava teabe rikkumine, finantssektori isikut tuvastava teabe intsident, suur finantssektori intsident, märkimisväärne küberoht või klassifitseerimist ootav kanne. Rikkumise hindamisel tuleb arvesse võtta mõjutatud isikut tuvastavat teavet, isikuandmesubjekte, süsteeme, teenuseid, töötlemistoiminguid, volitatud töötlejaid, alltöötlejaid, edastusi, riske, kliente, vastaspooli ja parandusmeetmeid. Poliitika nõuab ka tõendusmaterjali säilitamist, ohjeldamist määratletud tähtaegade jooksul, taaste valideerimist ning dokumenteeritud sulgemisotsuseid, mis hõlmavad klassifikatsiooni, teavitamisotsust, ohjeldamise staatust, taaste staatust, jääkriski, parandusmeetmeid ja tõendusmaterjali täielikkust. Poliitika eristab vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kohustusi. Vastutavad töötlejad peavad registreerima rikkumisest teavitamise otsused, koostama vajaduse korral järelevalveasutusele teavitamise tõendusmaterjali ning vaatama üle isikuandmesubjektile suunatud teavituse, kui on tuvastatud kõrge risk. Volitatud töötlejad ja alltöötlejad peavad hindama kliendi juhiseid, lepingulisi teavitamiskohustusi, ülespoole suunatud teavitusahelaid ja tõendusmaterjali edastamise nõudeid, kusjuures kirjeid säilitatakse REG08-s ja REG10-s. Kaasvastutavate töötlejate vastutusalad tuleb koordineerida ja dokumenteerida enne kohaldatavaid väliseid teavitamistähtaegu. Suure mõjuga finantssektori isikut tuvastava teabe intsidentide ja märkimisväärsete küberohtude puhul peab intsidentidele reageerimise koordinaator hindama finantssektori regulatiivset aruandlust käivitavaid asjaolusid ning säilitama otsuse tõendusmaterjali REG10-s. Juhtimine, mõõtmine ja parendamine on poliitika elutsüklisse sisse ehitatud. Privaatsusvaldkonna juht / PIMS-i juht peab avatud REG10 intsidente vähemalt kord nädalas kuni sulgemiseni läbi vaatama ning tippjuhtkond peab saama eskalatsiooni kinnitatud suure mõjuga finantssektori intsidentide, suurte intsidentide või märkimisväärsete küberohtude kohta 24 tunni jooksul pärast klassifitseerimist. Mõõdikud hõlmavad kahtlustatavate ja kinnitatud intsidentide, rikkumiste, suurte finantssektori intsidentide ja märkimisväärsete küberohtude igakuist arvu, samuti rikkumisest teavitamise õigeaegsust, finantssektori aruandluse õigeaegsust, ohjeldamist, taastet, taastamise valideerimist ja kolmandate osapoolte reageerimise toimivust. Poliitika nõuab lisaks iga-aastast läbivaatamist, intsidendijärgset ülevaatust pärast suuri sündmusi, siseauditi läbivaatust, erandite haldust, rakendamist REG12 mittevastavuste kaudu ning REG11 kaudu paranduslikku koolitust, kui esinevad teadlikkuse või teabevahetuse tõrked.