Mini paket: Zaštita podataka i privatnost – SME

„Mini paket: Zaštita podataka i privatnost – SME” je sveobuhvatan skup od šest usko integriranih politika osmišljenih za mala i srednja poduzeća radi ispunjavanja ključnih zahtjeva za zaštitu podataka, privatnost podataka i usklađenost. Sve politike u ovom paketu izričito su prilagođene za SME (što je naznačeno numeriranjem politika sa „S” i korištenjem glavnog izvršnog direktora kao glavne uloge odgovornosti), uzimajući u obzir ograničene kadrovske resurse ili izostanak velikih, namjenskih odjela za IT, sigurnost ili usklađenost. Unatoč tim strukturnim ograničenjima, politike su izrađene kako bi zadovoljile stroge zahtjeve ISO/IEC 27001:2022, ISO/IEC 27002:2022, EU GDPR-a, EU NIS2 Direktive, EU DORA Uredbe, NIST SP 800-53 Rev. 5 i COBIT 2019. Ovaj paket osigurava pokrivenost od početka do kraja za cijeli životni ciklus informacija. Politika klasifikacije i označavanja podataka (P13S) uspostavlja provediv, za SME prikladan model klasifikacije u tri razine, uključujući zahtjeve za označavanje i tehnološke kontrole. Pruža jasne uloge za glavnog izvršnog direktora, upravitelje podataka, IT podršku (internu/vanjski ugovorene usluge) i svo osoblje/zaposlenike i ugovorne izvođače, s naglaskom na praktičnu vidljivost (zaglavlja, vodeni žigovi, oznake) i obveze usklađenosti. Usko povezana, Politika zadržavanja podataka i zbrinjavanja (P14S) nalaže razdoblja zadržavanja vođena pravnim i poslovnim zahtjevima uz centralno vođen Registar zadržavanja, izričite tehnike sigurnog zbrinjavanja (usitnjavanje, digitalno brisanje, kriptografsko brisanje) te strogu dokumentaciju iznimaka i pravno zadržavanje i obustavu brisanja, uz nadzor politike izvediv i u malim organizacijama. Za minimizaciju podataka i obradu izvan produkcijskog okruženja, Politika maskiranja podataka i pseudonimizacije (P16S) zahtijeva da se stvarni osobni ili osjetljivi podaci nikada ne koriste kada to nije strogo potrebno, primjerice u testiranju ili analitičkoj uporabi, provedbom kontrola transformacije (maskiranje podataka, tokenizacija, pseudonimizacija). Svi procesi transformacije moraju biti revizibilni, uz korištenje samo IT-odobrenih alata s log-zapisima i upravljanjem ključevima, čime se osigurava sljedivost do pojedinačnih skupova podataka i događaja. Središnja u paketu, Politika zaštite podataka i privatnosti podataka (P17S) obuhvaća sve pravne obveze za osobne podatke, uključujući zapise o osoblju, klijentima i trećim stranama. Provodi privatnost po dizajnu i po zadanim postavkama, zakonito prikupljanje i minimizaciju, sigurno zadržavanje podataka, jasne preglede pristupa te postupanje s pravima ispitanika. Odgovornosti su jasno raspodijeljene između glavnog izvršnog direktora (kao odgovorne osobe za privatnost), koordinatora privatnosti (interno/vanjski ugovorene usluge), IT pružatelja i svog operativnog osoblja. Obuka, privola, eskalacija i obavješćivanje o povredama podataka integrirani su, kao i provjere usklađenosti s povezanim politikama klasifikacije, zadržavanja podataka, maskiranja podataka i postupanja s incidentima. Za upravljanje vanjskim rizicima, Politika sigurnosti dobavljača i pružatelja usluga treće strane (P26S) postavlja obvezne zahtjeve za provjeru dobavljača, analizu rizika, ograničavanje pristupa, ugovorne klauzule (uključujući sporazume o razini usluge (SLA) za povrede i prava na reviziju) te kontinuirani nadzor. Obuhvaća tipične SME scenarije trećih strana (IT, SaaS, poslovne operacije itd.), zahtijevajući prihvaćanje ugovornih uvjeta, redovite preglede te siguran izlazni proces ili uništavanje podataka nakon prestanka. Naposljetku, Politika revizije i kontinuiranog praćenja usklađenosti (P33S) pojednostavljuje proces unutarnjih revizija, provjera sigurnosnih kontrola i regulatornog pregleda. Osmišljena za uporabu bez specijaliziranih revizora, omogućuje glavnom izvršnom direktoru i IT pružatelju da koriste kontrolne liste i vode dnevnike dokaza kako bi osigurali spremnost za reviziju za certifikaciju ISO/IEC 27001 ili dubinsku analizu dobavljača od strane kupaca/dobavljača. Revizijski tragovi, dokumentacija korektivnih radnji i revizijski dokazi moraju biti centralizirani i dostupni najmanje dvije godine, podupirući obrambeno upravljanje čak i za SME s minimalnim resursima za usklađenost. Zajedno, ovaj mini paket operacionalizira vodeće standarde i zakone o privatnosti u provedive, poslovno praktične kontrole, pružajući snažan, spreman za reviziju režim zaštite podataka i privatnosti podataka koji je SME organizacijama jednostavan za implementaciju i održavanje.