Mini rinkinys: Duomenų apsauga ir privatumas – SVV

„Mini rinkinys: Duomenų apsauga ir privatumas – SVV“ yra išsamus šešių glaudžiai integruotų politikų rinkinys, skirtas mažoms ir vidutinėms įmonėms įgyvendinti kritinius duomenų apsaugos, privatumo ir atitikties įsipareigojimus. Visos šio rinkinio politikos yra aiškiai pritaikytos SVV (tai nurodoma politikų numeracijoje su „S“ ir generalinio direktoriaus kaip pagrindinio atskaitomybės vaidmens naudojimu), atsižvelgiant į ribotus personalo išteklius arba didelių, dedikuotų IT, saugumo ar atitikties departamentų nebuvimą. Nepaisant šių struktūrinių apribojimų, politikos parengtos taip, kad atitiktų griežtus ISO/IEC 27001:2022, ISO/IEC 27002:2022, ES BDAR, ES NIS2 direktyvos, ES DORA reglamento, NIST SP 800-53 Rev. 5 ir COBIT 2019 reikalavimus. Šis rinkinys užtikrina viso duomenų gyvavimo ciklo aprėptį nuo pradžios iki pabaigos. Duomenų klasifikavimo ir ženklinimo politika (P13S) nustato SVV tinkamą, vykdytiną trijų lygių klasifikavimo modelį, įskaitant ženklinimo reikalavimus ir technologines kontrolės priemones. Joje apibrėžiami aiškūs vaidmenys generaliniam direktoriui, duomenų valdytojams, IT pagalbai (vidinei / išorinei) ir visiems darbuotojams / rangovams, pabrėžiant praktinį matomumą (antraštės, vandens ženklai, žymos) ir atitikties pareigas. Glaudžiai susieta duomenų saugojimo ir šalinimo politika (P14S) nustato teisiniais ir verslo poreikiais grindžiamus saugojimo terminus su centralizuotai valdomu saugojimo registru, aiškias saugaus šalinimo technikas (smulkinimas, skaitmeninis išvalymas, kriptografinis ištrynimas) ir griežtą išimčių bei teisinio duomenų išsaugojimo dokumentavimą, užtikrinant, kad priežiūra būtų įmanoma net mažose organizacijose. Duomenų minimizavimui ir tvarkymui už gamybos aplinkos ribų duomenų maskavimo ir pseudonimizavimo politika (P16S) reikalauja, kad tikri asmens ar jautrūs duomenys niekada nebūtų naudojami, kai tai nėra griežtai būtina, pavyzdžiui, testavimui ar analitiniam naudojimui, taikant transformavimo kontrolės priemones (maskavimas, žetonizavimas, pseudonimizavimas). Visi transformavimo procesai turi būti audituojami, naudojant tik IT patvirtintus įrankius su žurnalais ir raktų valdymu, užtikrinant atsekamumą iki atskirų duomenų rinkinių ir įvykių. Rinkinio pagrindas – duomenų apsaugos ir privatumo politika (P17S), apimanti visus teisinius įsipareigojimus dėl asmens duomenų, įskaitant darbuotojų, klientų ir trečiųjų šalių įrašus. Ji įtvirtina privatumą projektuojant ir pagal numatytuosius nustatymus, teisėtą rinkimą ir minimizavimą, saugų saugojimą, aiškias prieigos peržiūras ir duomenų subjekto teisių tvarkymą. Atsakomybės aiškiai paskirstomos generaliniam direktoriui (kaip DPO / privatumo atskaitingam asmeniui), privatumo koordinatoriui (vidiniam / išoriniam), IT paslaugų teikėjui ir visam operaciniam personalui. Integruojami mokymai, sutikimas, eskalavimas ir pranešimų apie pažeidimus teikimo terminai, taip pat suderinamumo patikros su susijusiomis klasifikavimo, saugojimo, maskavimo ir incidentų valdymo politikomis. Išorinių rizikų valdymui trečiųjų šalių ir tiekėjų saugumo politika (P26S) nustato privalomus reikalavimus tiekėjų deramam patikrinimui, rizikos analizei, prieigos apribojimui, sutarčių sąlygoms (įskaitant paslaugų lygio susitarimus (SLA) dėl pažeidimų pranešimų ir teisę atlikti auditą) ir nuolatinei priežiūrai. Ji apima tipinius SVV trečiųjų šalių scenarijus (IT, SaaS, verslo operacijos ir kt.), reikalaujant tiekėjų sutikimo su sutartinėmis nuostatomis, reguliarių peržiūrų ir saugaus darbo santykių nutraukimo arba duomenų sunaikinimo po nutraukimo. Galiausiai, audito ir atitikties stebėsenos politika (P33S) supaprastina vidaus auditą, saugos kontrolės patikras ir reglamentavimo peržiūros procesą. Skirta naudoti be specializuotų auditorių, ji suteikia generaliniam direktoriui ir IT paslaugų teikėjui galimybę naudoti kontrolinius sąrašus ir kaupti audito įrodymų žurnalus, kad būtų užtikrintas operacinis pasirengimas ISO/IEC 27001 sertifikavimui arba klientų / tiekėjų deramam patikrinimui. Audito pėdsakas, koreguojamųjų veiksmų dokumentacija ir atitikties įrodymai turi būti centralizuoti ir prieinami mažiausiai dvejus metus, užtikrinant pagrįstą valdyseną net SVV su minimaliais atitikties ištekliais. Kartu šis mini rinkinys paverčia pagrindinius standartus ir privatumo teisę į įgyvendinamas, verslui praktiškas kontrolės priemones, suteikdamas patikimą, auditui parengtą duomenų apsaugos ir privatumo režimą, kurį SVV lengva įdiegti ir palaikyti.