Mini paket: Zaštita podataka i privatnost - ENT

Mini paket: Zaštita podataka i privatnost - ENT isporučuje sveobuhvatan skup politika koje osiguravaju snažno upravljanje i pravnu usklađenost za osjetljive podatke kroz cijeli njihov životni ciklus u velikim organizacijama. Ovaj paket je izrađen za uporabu na razini poduzeća te obuhvaća glavne regulatorne okvire kao što su ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev. 5, EU GDPR, EU NIS2, EU DORA i COBIT 2019. Uključene politike formaliziraju zahtjeve od klasifikacije podataka, zadržavanja, zaštite podataka, načela privatnosti podataka, revizije i upravljanja dobavljačima, pomažući poduzećima dokazati obranjive kontrole i spremnost za reviziju. Politika klasifikacije i rukovanja informacijama (P13) uspostavlja formalnu shemu za kategorizaciju informacijske imovine organizacije prema osjetljivosti, riziku i regulatornim obvezama. Trajne oznake, usklađivanje s kontrolama pristupa i strukturirano upravljanje omogućuju povjerljivost, cjelovitost i dostupnost, uz podršku sigurnom dijeljenju podataka, šifriranju i praćenju. Obvezna klasifikacija pri stvaranju te kroz sve formate i okruženja osigurava da svaka imovina dobije odgovarajuću razinu zaštite, uz definirane uloge upravljanja za glavnog službenika za informacijsku sigurnost (CISO), vlasnike informacijske imovine, IT operacije i timove za privatnost podataka. Povezane politike jačaju upravljanje korisničkim pristupom, sljedivost imovine, kriptografske zaštitne mjere i revizijsko bilježenje. Politika zadržavanja podataka (P14) propisuje koliko se dugo podaci zadržavaju i nalaže sigurno, nepovratno uništavanje na kraju životnog ciklusa, uz sljedivu dokumentaciju i usklađivanje s pravnim obvezama, poslovnim potrebama i klasifikacijom podataka. Uvodi glavni raspored zadržavanja podataka, lanac skrbništva za medije te snažne kontrole za sustave za sigurnosno kopiranje, arhiviranje i brisanje, uz podršku odgovoru na reviziju, pravima privatnosti i regulatornim zahtjevima. Usklađenost se provodi putem automatiziranih podsjetnika i radnih tokova, dokumentiranih potvrda o sukladnosti, godišnjih ciklusa pregleda i integracije s odgovorom na incidente. Politika maskiranja podataka i pseudonimizacije (P16) definira uporabu tehnologija za poboljšanje privatnosti radi smanjenja identifikabilnosti podataka u neprodukcijskim okruženjima, testiranju, analitici i operativnim procesima. Zahtijeva odobrene tehnike i alate, zabranjuje uporabu stvarnih osobnih podataka izvan produkcijskog okruženja bez transformacije te provodi procjene rizika ponovne identifikacije. Sve povezane aktivnosti bilježe se, prate i testiraju radi djelotvornosti, usklađeno s GDPR člankom 4(5), NIST kontrolama i standardima privatnosti podataka. Upravljanje iznimkama, zahtjevi za dobavljače i povezivanje politika osiguravaju dosljednu provedbu kroz sustave i timove. Politika zaštite podataka i privatnosti (P17) postavlja obvezne tehnološke i organizacijske kontrole za zakonito i transparentno prikupljanje, obradu, dijeljenje i zbrinjavanje osobnih podataka. Provodi privatnost po dizajnu, sigurno zadano postupanje, izričitu privolu, prava ispitanika i usklađenost prekogranične obrade. Uloge i odgovornosti obuhvaćaju službenika za zaštitu podataka (DPO), glavnog službenika za informacijsku sigurnost (CISO), pravne poslove i usklađenost, IT te svo osoblje/izvođače, uz stroge postupke obavješćivanja o povredama podataka i pregleda iznimaka. Nalažu se redovite revizije usklađenosti, registar rizika i integracija sa svim ključnim kontrolama sigurnosti i privatnosti. Politika revizije i praćenja usklađenosti (P33) i Politika sigurnosti dobavljača (P26) zaokružuju paket strogim protokolima za unutarnje i vanjske revizije, korektivne i preventivne kontrole, dubinsku analizu dobavljača i nadzor životnog ciklusa. Angažmani trećih strana zahtijevaju ugovorno provedive sigurnosne mjere, periodične preglede, obavješćivanje o povredama podataka, revizijske dokaze o certifikacijama i provjeru izlaznog procesa. Struktura programa revizije zahtijeva izvješćivanje temeljeno na dokazima, nepristranost i kontinuirano poboljšanje mapirano na ISO standarde. Zajedno, ove politike čine skup kontrola na razini poduzeća za podršku certifikaciji, regulatornom odgovoru, nadzoru dobavljača i dokazivo snažnom upravljanju podacima. Sve politike su strogo za implementaciju na razini poduzeća, definiraju specijalizirane uloge kao što su glavni službenik za informacijsku sigurnost (CISO), službenik za zaštitu podataka (DPO), unutarnja revizija i nisu prilagođene za mala i srednja poduzeća.