Mini rinkinys: Duomenų apsauga ir privatumas – ENT

Mini rinkinys: Duomenų apsauga ir privatumas – ENT pateikia išsamų politikų rinkinį, užtikrinantį patikimą valdyseną ir teisinę atitiktį jautriems duomenims per visą jų gyvavimo ciklą didelėse organizacijose. Šis rinkinys sukurtas įmonėms ir apima pagrindines reglamentavimo sistemas, tokias kaip ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, ES GDPR, ES NIS2, ES DORA ir COBIT 2019. Įtrauktos politikos formalizuoja reikalavimus nuo duomenų klasifikavimo, saugojimo, duomenų apsaugos, duomenų privatumo principų, audito iki tiekėjų valdymo, padėdamos įmonėms įrodyti ginamas kontrolės priemones ir pasirengimą auditui. Duomenų klasifikavimo ir ženklinimo politika (P13) nustato formalią schemą organizacijos informacinio turto kategorizavimui pagal jautrumą, riziką ir reglamentavimo reikalavimus. Nuolatinės žymos, suderinimas su prieigos kontrole ir struktūrizuota valdysena užtikrina konfidencialumą, vientisumą, prieinamumą, palaikant saugų duomenų bendrinimą, šifravimą ir stebėseną. Privalomas klasifikavimas sukūrimo metu ir visuose formatuose bei aplinkose užtikrina, kad kiekvienas turtas gautų tinkamą apsaugos lygį, o valdysenos vaidmenys apibrėžiami CISO, informacijos savininkams, IT ir privatumo komandoms. Susietos politikos sustiprina naudotojų prieigos valdymą, turto atsekamumą, kriptografines apsaugos priemones ir žurnalinimo ir stebėsenos politiką. Duomenų saugojimo ir šalinimo politika (P14) nustato, kiek laiko duomenys saugomi, ir įpareigoja saugų, negrįžtamą sunaikinimą gyvavimo ciklo pabaigoje, su atsekama dokumentacija ir suderinimu su teisinėmis prievolėmis, verslo poreikiais ir klasifikavimu. Ji įveda pagrindinį duomenų saugojimo grafiką, laikmenos perdavimo grandinę ir stiprias kontrolės priemones atsarginių kopijų sistemoms, archyvavimui ir trynimui, palaikant audito atsaką, privatumo teises ir reglamentavimo užklausas. Atitiktis užtikrinama per automatinius paleidiklius, dokumentuotus patvirtinimus, kasmetinius peržiūros ciklus ir integraciją su reagavimu į incidentus. Duomenų maskavimo ir pseudonimizavimo politika (P16) apibrėžia duomenų privatumo technologijų naudojimą, siekiant sumažinti duomenų identifikuojamumą neprodukcinėse aplinkose, testavime, analitikoje ir operaciniuose procesuose. Ji reikalauja patvirtintų technikų ir įrankių, draudžia naudoti realius asmens duomenis už gamybos aplinkos ribų be transformacijos ir įpareigoja pakartotinio identifikavimo rizikos vertinimus. Visa susijusi veikla registruojama, stebima ir testuojama dėl kontrolės veiksmingumo, suderinant su GDPR 4(5) straipsniu, NIST kontrolėmis ir duomenų privatumo standartais. Išimčių valdymas, tiekėjų reikalavimai ir politikų sąsajos užtikrina nuoseklų vykdymo užtikrinimą visose sistemose ir komandose. Duomenų apsaugos ir privatumo politika (P17) nustato privalomas technines ir organizacines priemones asmens duomenų rinkimui, tvarkymui, bendrinimui ir šalinimui teisėtai ir skaidriai. Ji įtvirtina privatumą projektuojant, saugų numatytąjį tvarkymą, aiškų sutikimą, duomenų subjektų teises ir tarpvalstybinę atitiktį. Vaidmenys ir atsakomybės apima nuo duomenų apsaugos pareigūno (DPO), CISO, Teisės ir atitikties, IT iki visų darbuotojų / rangovų, su griežtomis pranešimų apie pažeidimus ir išimčių peržiūros procedūromis. Reikalaujami reguliarūs atitikties auditai, rizikų registras ir integracija su visomis pagrindinėmis saugumo ir privatumo kontrolės priemonėmis. Audito ir atitikties stebėsenos politika (P33) ir Trečiųjų šalių ir tiekėjų saugumo politika (P26) užbaigia rinkinį griežtais protokolais vidaus ir išoriniams auditams, taisomosioms ir prevencinėms kontrolės priemonėms, tiekėjų deramam patikrinimui ir gyvavimo ciklo priežiūrai. Trečiųjų šalių įsitraukimai reikalauja sutartimis įgyvendinamų saugumo priemonių, periodinių peržiūrų, pranešimų apie pažeidimus, sertifikavimo audito įrodymų ir darbo santykių nutraukimo patikrinimo. Audito programos struktūra reikalauja įrodymais pagrįsto ataskaitų teikimo, nešališkumo ir nuolatinio tobulinimo, susieto su ISO standartais. Kartu šios politikos sudaro įmonės klasės kontrolės priemonių rinkinį, skirtą sertifikavimui, atsakui į reglamentavimo užklausas, tiekėjų priežiūrai ir įrodomai stipriai duomenų valdysenai. Visos politikos skirtos tik įmonių diegimui, jos apibrėžia specializuotus vaidmenis, tokius kaip CISO, DPO, vidaus auditas, ir nėra pritaikytos MVĮ.