Adatmegőrzési és selejtezési szabályzat

Az Adatmegőrzési és selejtezési szabályzat (P14) átfogó követelményeket állapít meg a szervezeti adatok teljes életciklusára vonatkozó megőrzésére és biztonságos selejtezésére, a megfelelés biztosítása, a kockázat csökkentése és a működési eredményesség támogatása érdekében. A szabályzat szervezeti szinten alkalmazandó, és kiterjed minden, a vállalat tulajdonában lévő, általa kezelt vagy megőrzött fizikai és digitális információs vagyonelemre, beleértve a harmadik felek, leányvállalatok és kiszervezési partnerek által kezelt eszközöket is. A lefedett eszközök a digitális fájloktól, adatbázisoktól, e-mailektől és rendszerbiztonsági mentésektől a papíralapú nyilvántartásokig és az üzemen kívül helyezett hardverekig terjednek. A P14 szabályzat elsődleges célja szigorú kontrollok meghatározása arra vonatkozóan, hogy az adatokat mennyi ideig kell megőrizni jogi, szabályozási és működési igények alapján, valamint annak biztosítása, hogy amikor már nincs rájuk szükség, véglegesen és biztonságosan törlésre kerüljenek. Az egyértelmű adatmegőrzési ütemezések és a szigorú selejtezési eljárások kikényszerítésével a szabályzat támogatja az ISO/IEC 27001:2022 követelményeit, lehetővé teszi a nyomon követhető nyilvántartáskezelést, és védi az adatok bizalmasságának, sértetlenségének és rendelkezésre állásának elveit. Fontos, hogy a szabályzat segít megelőzni a szükségtelen adatfelhalmozást, amely adatvédelmi jogsértésekhez, hatékonyságvesztéshez vagy megnövekedett üzleti kockázathoz vezethet. A szerepkörök és felelősségek egyértelműen meghatározottak: a vezetőség jóváhagyja és felügyeli a megfelelést; az információbiztonsági vezető (CISO) a szabályzat bevezetésének tulajdonosa, meghatározója és monitorozója; a Data Protection Officer (DPO) adatvédelmi kérdésekben tanácsot ad és validálja a személyes adatok adatkezelését; az információs vagyonelem-tulajdonosok pedig biztosítják, hogy az ütemezések indokoltak és engedélyezettek legyenek. Az IT-csapatok felelősek a technikai kontrollok megvalósításáért, míg valamennyi munkavállaló, vállalkozó és releváns harmadik fél köteles követni a megőrzési és selejtezési utasításokat. A kiszervezett beszállítók és felhőszolgáltatók kötelesek megfelelni a szerződéses biztonsági záradékoknak, és kérésre selejtezési auditbizonyítékot szolgáltatni. Az irányítási követelmények előírják egy központi adatmegőrzési ütemterv (MDRS) létrehozását és fenntartását legalább éves felülvizsgálattal, valamint a selejtezési módszerek és tanúsítványok jóváhagyását minden lejárt adat esetén. A szabályzat osztályozásvezérelt megőrzési időszakokat ír elő, amelyek üzleti igényekhez és jogalapokhoz kapcsolódnak, és kifejezetten tiltja a határozatlan idejű, gazdátlan vagy nem jóváhagyott adatmegőrzést. Speciális rendelkezések vonatkoznak a biztonsági mentések és archívumok megőrzésére, biztosítva az összhangot a vészhelyzeti helyreállítási célokkal, valamint támogatva az adatok törlését kérésre a GDPR vagy más adatvédelmi jogszabályok alapján. A selejtezési kontrollok a NIST SP 800-88 vagy egyenértékű szabványok szerint kerülnek kikényszerítésre, és visszafordíthatatlan, dokumentált megsemmisítési módszereket írnak elő digitális és papíralapú adathordozók esetén is. A jogi zárolás és a törlési felfüggesztés felülírja a normál törlési ütemezéseket peres eljárás vagy vizsgálat esetén, és minden, az ütemezett megőrzéstől való eltérés kockázatértékelést és vezetői jóváhagyást igényel. Az érvényesítés és megfelelés tevékenységei közé tartoznak az időszakos auditok, megfelelőségi ellenőrzések, szabálysértések bejelentése és szükség szerinti fegyelmi intézkedések. A szabályzat folyamatos munkatársi tudatossági képzést is előír, és bármely adatvesztés, bejelentésköteles incidens vagy selejtezési incidens esetén hivatkozik az Incidenskezelési szabályzatra. A szabályzat időszakos felülvizsgálatával és frissítésével, valamint a kapcsolódó dokumentumok (például a hozzáférés-vezérlési szabályzat és az eszközkezelési szabályzat) szinkronizálásával a szervezet védhető, hatékony és szabályozás-összehangolt megközelítést biztosít az adat-életciklus irányításához.