Isikut tuvastava teabe intsidentide ja rikkumiste haldamise poliitika

Isikut tuvastava teabe intsidentide ja rikkumiste haldamise poliitika määratleb, kuidas organisatsioon tuvastab, registreerib, triaažib, hindab, ohjeldab, teavitab, dokumenteerib, sulgeb ning parendab tegevust isikut tuvastava teabe intsidentide ja isikut tuvastava teabe rikkumiste alusel privaatsusteabe haldussüsteemi kohaldamisalas. Selle eesmärk on tagada, et intsidente ja rikkumisi käsitletakse järjepidevalt, viivitamata, seaduslikult, turvaliselt ja auditiks valmis tõendusmaterjaliga. Poliitika kohaldub vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstis ning hõlmab süsteeme, rakendusi, teenuseid, protsesse, tarnijaid, volitatud töötlejaid, alltöötlejaid ja kolmandaid osapooli, kes töötlevad, säilitavad, edastavad, toetavad, kasutavad või muul viisil mõjutavad isikut tuvastavat teavet PIMS-i kohaldamisalas. Poliitika keskne osa on integreeritud tõendusmudel. REG10 — isikut tuvastava teabe intsidentide ja rikkumiste register on intsidentide ja rikkumiste halduse esmane tõendusobjekt, samas kui toetavad registrid annavad konteksti ja jälgitavuse. REG01 toetab kohaldamisala, õiguslikku, lepingulist, sektoripõhist, kliendi- ja teavitusaruandluse konteksti. REG02 seob mõjutatud töötlemistoimingud, isikut tuvastava teabe kategooriad, isikuandmesubjekti kategooriad, eesmärgid ja süsteemid. REG04 toetab privaatsusriski, DPIA ja jääkriski seostamist. REG08 talletab volitatud töötlejate, alltöötlejate, klientide, tarnijate ja kolmandate osapoolte intsidendiliidesed. REG09 kasutatakse juhul, kui intsidendid mõjutavad piiriülest töötlemist, REG11 toetab koolituse ja pädevuse tõendusmaterjali ning REG12 talletab auditi, mittevastavuse, parandusmeetmete ja parendamise tõendusmaterjali. See struktuur aitab tagada, et intsidendikirjed ei oleks laiemast PIMS-ist eraldatud. Poliitika kehtestab üksikasjalikud nõuded valmisolekule, vastuvõtule, klassifitseerimisele, rikkumise hindamisele, ohjeldamisele, taastamisele, teavitamisele, kommunikatsioonile, tõendusmaterjali kaitsele ja õppetundide analüüsile. Kahtlustatavad isikut tuvastava teabe intsidendid tuleb viivitamata registreerida, kusjuures iga teatatud või tuvastatud kahtlustatav intsident kantakse REG10 registrisse ühe tööpäeva jooksul alates vastuvõtmisest või varem, kui võivad käivituda teavitamise või kliendile aruandluse tähtajad. Isikut tuvastavat teavet hõlmavate turbesündmuste tehniline triaaž tuleb lõpule viia 24 tunni jooksul alates tuvastamisest ning iga REG10 kanne tuleb 24 tunni jooksul alates vastuvõtust klassifitseerida kui isikut tuvastavat teavet mittehõlmav sündmus, kahtlustatav isikut tuvastava teabe intsident, kinnitatud isikut tuvastava teabe intsident või kinnitatud isikut tuvastava teabe rikkumine, välja arvatud juhul, kui poolelioleva klassifitseerimise põhjus on dokumenteeritud. Rikkumise hindamisel nõuab poliitika mõjutatud töötlemistoimingute, isikut tuvastava teabe kategooriate, isikuandmesubjekti kategooriate, süsteemide, volitatud töötlejate, alltöötlejate, edastuskohtade ja privaatsusriskide tuvastamist enne rikkumisest teavitamise otsuste lõplikku vormistamist. Teavitamis- ja kommunikatsioonikohustused on rollide kaupa eraldatud. Vastutavate töötlejate puhul nõuab poliitika iga kinnitatud isikut tuvastava teabe rikkumise kohta dokumenteeritud regulatiivset teavitamisotsust põhjendamatu viivituseta, kusjuures teavitus, teavitamata jätmise põhjendus või viivituse põhjendus säilitatakse REG10 registris. Kui käivitub mõjutatud isikuandmesubjektidega suhtlemise kohustus, nõuab poliitika sisu, sihtrühma, ajastuse, edastusmeetodi ja heakskiidu tõendusmaterjali registreerimist. Volitatud töötlejate ja alltöötlejate puhul nõuab poliitika mõjutatud vastutavate töötlejate, klientide, eelnevate volitatud töötlejate või heakskiidetud lepinguliste kanalite teavitamist põhjendamatu viivituseta ja kohaldatavate lepinguliste tähtaegade jooksul. Suure mõjuga isikut tuvastava teabe intsidentide puhul nõuab see vajaduse korral ka õiguslike, sektoripõhiste, finantssektori, küberturbe, lepinguliste, kliendi- ja teenusesaajale aruandluse käivitajate hindamist. Juhtimine, mõõtmine ja parendamine on protsessi sisse ehitatud. Andmekaitsejuht / PIMS-i juht vastutab intsidentide ja rikkumiste haldamise protsessi eest ning peab tagama REG10 ajakohasuse kuni sulgemiseni. Intsidentidele reageerimise koordinaator haldab vastuvõttu, triaaži, ohjeldamise töövoogu, oleku jälgimist, sulgemist ja õppetundide analüüsi. Infoturbejuht juhib tehnilist uurimist, ohjeldamist, kõrvaldamist, taastamist, tõendusmaterjali säilitamist ja algpõhjuse analüüsi, kui kaasatud on süsteemid või turbekontrollid. Tippjuhtkond saab eskalatsiooni kinnitatud suure mõjuga isikut tuvastava teabe intsidentide kohta 24 tunni jooksul alates klassifitseerimisest ning vaatab juhtkonna läbivaatamise käigus läbi suure mõjuga intsidendid, teatamiskohustuslikud rikkumised, tähtaja ületanud parandusmeetmed ja olulised mõjud. Mõõdikud hõlmavad intsidentide mahtu, klassifitseerimise ja ohjeldamise ajastust, teavitamise õigeaegsust, parandusmeetmete vanust, kolmandate osapoolte reageerimise toimivust ja õppuste läbimist. Poliitika nõuab ka iga-aastast läbivaatamist, intsidendijärgset ülevaatust pärast suure mõjuga intsidente või kinnitatud rikkumisi ning rakendamise iga-aastast siseauditi ülevaatust.