PIMS dokumentuotos informacijos ir įrodymų valdymo politika

PIMS dokumentuotos informacijos ir įrodymų valdymo politika apibrėžia privalomus reikalavimus, taikomus visam privačios informacijos apsaugos valdymo sistemos dokumentuotos informacijos gyvavimo ciklui kontroliuoti. Jos taikymo sritis apima PIMS įrašų kūrimą, tvirtinimą, versijų valdymą, apsaugą, saugojimą, gavimą, vertimą, atšaukimą ir pagrindimą įrodymais. Politika taikoma PIMS politikoms, registrams, dokumentuotiems patvirtinimams, įrodymų įrašams, audito įrodymams, vadovybės peržiūros įrašams, korekcinių veiksmų įrodymams ir kontroliuojamiems vertimams, naudojamiems PIMS atitikčiai įrodyti. Ji parengta duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstams, todėl taikoma įvairiems vaidmenims, kuriuos organizacija gali atlikti tvarkydama asmenį identifikuojančią informaciją (AII). Pagrindinis šios politikos bruožas yra rėmimasis kanoniniais PIMS įrodymų objektais REG01–REG12, o ne atskiro dokumentų kontrolės registro kūrimas. Politikoje nustatyta, kad dokumentuotos informacijos kontrolės įrodymai palaikomi per šiuos įrodymų objektus, o REG03 ir REG12 konkrečiai naudojami kontrolės priemonių taikomumo, audito, neatitikties, korekcinių veiksmų ir tobulinimo įrodymams. Šiuo požiūriu siekiama išvengti nereikalingos dokumentų kontrolės biurokratijos, kartu išlaikant auditui tinkamus įrašus sertifikavimui, klientų patikinimui ir nuolatiniam tobulinimui. REG12 plačiai naudojamas dokumentuotos informacijos indeksui, prieigos lygiams, jautrumo klasifikacijoms, tvirtinimo būsenai, versijų istorijai, gavimo užklausoms, atskleidimo patvirtinimams, saugojimo kategorijoms, atšaukimo būsenai, išimtims ir korekcinių veiksmų sekimui. Politika nustato išsamias kūrimo, tvirtinimo, versijų valdymo ir paskelbimo kontrolės priemones. Prieš paskelbdamas PIMS dokumentuotą informaciją, privatumo vadovas / PIMS vadovas REG12 turi priskirti dokumento identifikatorių, savininką, versijos numerį, tvirtinimo būseną, įsigaliojimo datą ir peržiūros datą. Aukščiausioji vadovybė turi patvirtinti pagrindines PIMS politikas ir esminius politikos pakeitimus prieš jų paskelbimą, o privatumo vadovas / PIMS vadovas turi patvirtinti įrodymų šablonus arba įterptas registro dalis prieš jų naudojimą veikloje. Politikoje taip pat reikalaujama prieš išleidimą įrašyti versijų istoriją ir pakeitimo pagrindimą, o patvirtintų pakeitimų komunikaciją užregistruoti REG11 per 30 dienų nuo paskelbimo. Įrodymų kokybė ir atsekamumas laikomi operaciniais reikalavimais, o ne neprivalomomis dokumentavimo užduotimis. Privatumo vadovas / PIMS vadovas turi apibrėžti įrodymų įvardijimo konvencijas, kas ketvirtį ir prieš išorinį auditą sutikrinti REG03 kontrolės priemonių nuorodas su politikos įrodymų įrašais ir taikyti patvirtintą eksportavimo įvardijimo konvenciją prieš dalijantis įrodymais sertifikavimo auditui, klientų patikinimui ar reagavimui į reglamentavimo institucijas. Procesų savininkai / verslo savininkai turi užtikrinti, kad duomenų tvarkymo įrodymai apimtų įrodymų savininką, datą, duomenų tvarkymo veiklos nuorodą, sprendimo būseną ir tvirtinimo būseną prieš jais remiantis audito tikslais. Vidaus audito / atitikties peržiūrą atliekantys asmenys turi registruoti išsamumo, tikslumo ar atsekamumo spragas per planinius auditus arba atitikties peržiūras. Politika taip pat apibrėžia prieigos, apsaugos, gavimo, atskleidimo, saugojimo, atšaukimo, archyvavimo, sunaikinimo ir daugiakalbių versijų kontrolės priemones. Saugyklos prieigos apribojimai turi būti užregistruoti prieš suteikiant prieigą ir peržiūrimi kas ketvirtį, o prieiga prie PIMS įrodymų, kuriuose yra asmenį identifikuojančios informacijos (AII), turi būti patvirtinta prieš ją suteikiant. Įrodymų atskleidimui išorės auditoriams, klientams, duomenų tvarkytojams, duomenų valdytojams, priežiūros institucijoms ar kitoms išorės šalims būtina užregistruoti patvirtinimą ir atskleidimo taikymo sritį. Pasenusios versijos turi būti atšauktos per nustatytus terminus, ankstesnės patvirtintos politikos versijos turi būti išsaugotos, o archyvavimas ar ištrynimas negali būti atliekamas, kol nepatikrintos audito sulaikymo, teisinio sulaikymo, incidento tyrimo ar korekcinių veiksmų priklausomybės. Rodikliai, išimčių tvarkymas, politikos taikymas ir metinės peržiūros reikalavimai užtikrina, kad dokumentuota informacija išliktų aktuali, gaunama, apsaugota ir suderinta su PIMS atitikties poreikiais.