Politika sigurnosti i kontrole pristupa osobnim podacima (PII)

Politika sigurnosti i kontrole pristupa osobnim podacima (PII) definira zahtjeve organizacije specifične za PII za zaštitu osobnih informacija u sustavima, aplikacijama, uslugama, uređajima, okruženjima u oblaku i operativnim procesima. Primjenjuje se ondje gdje se PII pohranjuje, prenosi, obrađuje, gdje mu se pristupa, gdje se administrira ili štiti, a obuhvaća kontekste voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade. Politika je izričito osmišljena za integraciju s postojećim praksama informacijske sigurnosti, a ne kao zamjena za cjelovit sustav upravljanja informacijskom sigurnošću, Politiku sigurnosti mreže, Politiku sigurnog razvoja, politiku sigurnosnog kopiranja, politiku krajnjih uređaja, politiku sigurnosti oblaka, kriptografski standard, postupak upravljanja ranjivostima ili postupak odgovora na incidente. Njezina je temeljna svrha osigurati da su PII zaštićeni odgovarajućim, s rizikom usklađenim i revizijski provjerljivim sigurnosnim kontrolama i kontrolama pristupa tijekom cijele obrade. U tu svrhu politika uspostavlja polaznu osnovu sigurnosti PII-ja i zahtijeva sljedive dokaze kroz REG02, REG08, REG10 i REG12. Ovaj model dokaza središnji je element politike: operativni dnevnički zapisi, izlazni rezultati sigurnosnih alata, izvozi pregleda pristupa, izvješća o ranjivostima i dokazi o konfiguraciji mogu se priložiti kanonskim objektima dokaza, sažeti u njima ili referencirati iz njih, ali se ne tretiraju kao zasebni PIMS-registri. Time se organizaciji omogućuje da dokaže da su kontrole planirane, implementirane, pregledane, praćene i poboljšane bez dupliciranja sigurnosnih zapisa. Politika postavlja detaljne zahtjeve za kontrolu pristupa, autentifikaciju i pristup s povišenim ovlastima. Pristup PII-ju mora biti ograničen na odobrene uloge i ovlaštene korisnike evidentirane ili sljedive u REG02 ili REG12, a poslovna svrha mora biti odobrena prije dodjele pristupa. Sustavi s PII-jem visokog utjecaja ili osjetljivi PII-sustavi zahtijevaju najmanje tromjesečne preglede korisničkog pristupa, dok drugi PII-sustavi zahtijevaju najmanje godišnji pregled. Pristup se mora ukloniti ili izmijeniti u roku od jednog radnog dana nakon promjene uloge, prestanka radnog odnosa, završetka ugovora ili kada pristup više nije potreban. Pristup s povišenim ovlastima zahtijeva dokumentirano obrazloženje, opseg i odobrenje prije dodjele, uz mjesečni pregled za sustave s PII-jem visokog utjecaja ili osjetljive PII-sustave te tromjesečni pregled za druge PII-sustave. Politika također uređuje tehnička sigurnosna očekivanja za autentifikaciju, šifriranje, sigurnu pohranu, zapisivanje događaja, praćenje, konfiguraciju, upravljanje ranjivostima, pristup krajnjim uređajima i pristup oblaku. Jedinstveni korisnički identiteti obvezni su za račune s pristupom PII-ju, a snažna autentifikacija obvezna je za pristup PII-ju s povišenim ovlastima, udaljeni, administratorski ili visokog utjecaja. Šifriranje ili odobrena kompenzacijska zaštita mora biti definirana prije nego što se PII visokog utjecaja, osjetljivi PII ili PII koji se prenosi prema van pohrane, prenesu ili učine dostupnima. Opseg zapisivanja događaja mora obuhvatiti događaje autentifikacije, događaje pristupa, radnje s povišenim ovlastima, aktivnost izvoza PII-ja i značajne promjene konfiguracije. Status konfiguracije i obuhvat ranjivosti moraju se evidentirati u REG12, a neriješene ranjivosti visokog rizika koje utječu na PII moraju se evidentirati u roku od pet radnih dana od validacije. Odgovornosti upravljanja dodjeljuju se najvišem rukovodstvu, voditelju privatnosti / voditelju PIMS-a, službeniku za zaštitu podataka / savjetniku za privatnost, voditelju informacijske sigurnosti, vlasniku procesa / vlasniku poslovanja, vlasniku sustava / vlasniku aplikacije, vlasniku dobavljača / nabave, koordinatoru odgovora na incidente i pregledavatelju iz unutarnje revizije / usklađenosti. Politika zahtijeva tromjesečne preglede potpunosti dokaza u REG02, REG08, REG10 i REG12, tromjesečni pregled djelotvornosti polazne osnove i neriješenih praznina te revizijsko uzorkovanje pregleda pristupa, pregleda pristupa s povišenim ovlastima, dokaza o zapisivanju događaja i dokaza o konfiguraciji. Iznimke se moraju evidentirati prije aktivacije, moraju uključivati datum isteka, kompenzacijsku kontrolu i datum pregleda te moraju dobiti odobrenje najvišeg rukovodstva kada utječu na PII visokog utjecaja, osjetljivi PII, pristup s povišenim ovlastima, šifriranje, zapisivanje događaja ili neriješene ranjivosti visokog rizika.