PIMS-i seire, auditi ja parendamise poliitika

PIMS-i seire, auditi ja parendamise poliitika määratleb organisatsiooni nõuded privaatsusteabe haldussüsteemi toimivuse hindamiseks seire, mõõtmise, analüüsi, hindamise, siseauditi, juhtkonna läbivaatamise, mittevastavuste käsitlemise, parandusmeetmete ja pideva täiustamise lõikes. Selle sõnastatud eesmärk on tagada, et organisatsioon hindab PIMS-i toimivust, kontrollib PIMS-i vastavust, tuvastab mittevastavused, parandab kontrollimeetmete nõrkused ja täiustab PIMS-i pidevalt objektiivse tõendusmaterjali alusel. Poliitikat kohaldatakse kõigi PIMS-i protsesside, kontrollimeetmete, poliitikate, registrite, tõendusmaterjali objektide, süsteemide, tarnijate, volitatud töötlejate, alltöötlejate ja andmete jagamise korralduste suhtes PIMS-i kohaldamisalas. See hõlmab ka organisatsiooni vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekste, mistõttu on see asjakohane nii andmekaitse juhtimise kui ka operatiivse kindluse andmise tegevuste jaoks. Poliitika keskne tunnus on koondatud tõendusmaterjali mudel. REG12 on peamine asukoht seireprogrammi, mõõdikute määratluste, auditiprogrammi, audititulemuste, juhtkonna läbivaatamise tõendusmaterjali, mittevastavuste, parandusmeetmete, erandite ja parendustegevuste jaoks. Toetav tõendusmaterjal pärineb REG01-st kuni REG11-ni, sealhulgas töötlemistoimingute sisendid REG02-st, turbekontrollide staatus REG03-st, privaatsusriskide uuendused REG04-st, tarnijate ja volitatud töötlejate kinnituste tõendusmaterjal REG08-st, intsidendi- ja rikkumistrendide sisendid REG10-st ning koolituse läbimise staatus REG11-st. Poliitika nõuab, et andmekaitsejuht / PIMS-i juht määratleks iga PIMS-i mõõdiku mõõtmismeetodid, sageduse, tõendusmaterjali allika, eesmärgid ja vastutavad rollid enne mõõtmistsükli algust ning koondaks tulemused kord kvartalis. Auditi- ja läbivaatamisnõuded on üles ehitatud riskipõhisele planeerimisele, dokumenteeritud tõendusmaterjalile ja sõltumatusele. Siseauditi- / vastavuse läbivaataja peab koostama REG12-s iga-aastase riskipõhise PIMS-i siseauditi programmi ning määratlema enne auditi välitööde algust eesmärgi, kriteeriumid, kohaldamisala, meetodi, valimi aluse ja aruandlustähtaja. Audiitori sõltumatuse ja huvide konflikti kontrollid tuleb registreerida enne iga auditiülesannet. Auditegevused hõlmavad kohaldatavate PIMS-i kontrollimeetmete rakendamise staatuse testimist REG03 alusel, valitud isikut tuvastava teabe töötlemise tõendusmaterjali valimite registreerimist ning tulemuste dokumenteerimist 15 tööpäeva jooksul pärast auditi lõpetamist. Aktsepteeritud leidudele tuleb määrata parandusmeetmete omanikud REG12-s 10 tööpäeva jooksul pärast audititulemuste aktsepteerimist. Juhtkonna läbivaatamine, parandusmeetmed ja parendamine on samuti rangelt ohjatud. Tippjuhtkond peab tegema PIMS-i juhtkonna läbivaatamise REG12-s vähemalt kord aastas, vaadates läbi varasemad tegevused, PIMS-i toimivusmõõdikud, privaatsuseesmärkide staatuse, mittevastavused, parandusmeetmed, seiretulemused, audititulemused, privaatsusriskid, tarnijate kinnitused ja huvitatud osapoolte muudatuste sisendid. Mittevastavused tuleb registreerida, algpõhjused ja parandusmeetmete plaanid esitada, tähtajad ja vastuvõtukriteeriumid heaks kiita, lõpetamise tõendusmaterjal säilitada ning tõhusus kontrollida. Pidevat täiustamist juhib seiretulemuste, audititulemuste, intsidenditrendide, privaatsusriskide staatuse, tarnijate kinnituste staatuse ja parandusmeetmete trendide kvartaalne läbivaatamine. Kui sama leiukategooria esineb 12 kuu jooksul kaks või enam korda, nõuab poliitika süsteemse parendustegevuse loomist REG12-s.