Mini komplekts: Datu aizsardzība un privātums – ENT

Mini komplekts: Datu aizsardzība un privātums – ENT nodrošina visaptverošu politiku kopumu, kas lielās organizācijās nodrošina stabilu pārvaldību un tiesisko atbilstību sensitīviem datiem visā to dzīves ciklā. Šis komplekts ir paredzēts uzņēmuma lietošanai un aptver galvenos regulatīvos ietvarus, tostarp ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, ES GDPR, ES NIS2, ES DORA un COBIT 2019. Iekļautās politikas formalizē prasības datu klasifikācijai, uzglabāšanai, aizsardzībai, privātuma principiem, auditam un piegādātāju pārvaldībai, palīdzot uzņēmumiem demonstrēt aizstāvamus kontroles pasākumus un audita gatavību. Datu klasifikācijas un marķēšanas politika (P13) izveido formālu shēmu organizācijas informācijas aktīvu kategorizēšanai atbilstoši sensitivitātei, riskam un regulatīvajām prasībām. Pastāvīgi marķējumi, saskaņošana ar piekļuves kontroli un strukturēta pārvaldība nodrošina konfidencialitāti, integritāti un pieejamību, atbalstot drošu datu koplietošanu, šifrēšanu un uzraudzību. Obligāta klasifikācija izveides brīdī un visos formātos un vidēs nodrošina, ka katrs aktīvs saņem atbilstošu aizsardzības līmeni, ar pārvaldības lomām, kas definētas galvenajam informācijas drošības vadītājam (CISO), informācijas īpašniekiem, IT un privātuma komandām. Saistītās politikas nostiprina piekļuves pārvaldību, aktīvu izsekojamību, kriptogrāfiskos drošības pasākumus un audita žurnālu veidošanu. Datu uzglabāšanas un likvidēšanas politika (P14) nosaka, cik ilgi dati tiek glabāti, un nosaka drošu, neatgriezenisku iznīcināšanu dzīves cikla beigās, ar izsekojamu dokumentāciju un saskaņojumu ar juridiskajiem pienākumiem, biznesa vajadzībām un klasifikāciju. Tā ievieš galveno datu uzglabāšanas grafiku, glabāšanas ķēdi datu nesējiem un stingrus kontroles pasākumus rezerves kopijām, arhivēšanai un dzēšanai, atbalstot audita atbildes, privātuma tiesības un regulatīvos pieprasījumus. Atbilstība tiek nodrošināta ar automatizētām darbplūsmām, dokumentētiem apliecinājumiem, ikgadējiem pārskatīšanas cikliem un integrāciju ar reaģēšanu uz incidentiem. Datu maskēšanas un pseidonimizācijas politika (P16) nosaka privātumu uzlabojošu tehnoloģiju izmantošanu, lai samazinātu datu identificējamību neražošanas vidēs, testēšanā, analītikā un operatīvajos procesos. Tā prasa apstiprinātas metodes un rīkus, aizliedz reālu personas datu izmantošanu ārpus ražošanas vides bez transformācijas un nosaka atkārtotas identificēšanas riska novērtēšanu. Visas saistītās darbības tiek reģistrētas žurnālos, uzraudzītas un testētas efektivitātei, saskaņojot ar GDPR 4. panta 5. punktu, NIST kontroles pasākumiem un datu privātuma standartiem. Izņēmumu pārvaldība, piegādātāju prasības un politiku sasaistes nodrošina konsekventu izpildi visās sistēmās un komandās. Datu aizsardzības un privātuma politika (P17) nosaka obligātus tehniskos un organizatoriskos pasākumus personas datu likumīgai un pārredzamai vākšanai, apstrādei, koplietošanai un likvidēšanai. Tā nodrošina privātumu pēc noklusējuma un pēc izstrādes, drošu noklusējuma apstrādi, nepārprotamu piekrišanu, datu subjekta tiesības un pārrobežu atbilstību. Lomas un pienākumi aptver datu aizsardzības speciālistu (DPO), galveno informācijas drošības vadītāju (CISO), juridiskās lietas, IT un visus darbiniekus/līgumslēdzējus, ar stingrām pārkāpumu paziņošanas un izņēmumu pārskatīšanas procedūrām. Tiek noteikti regulāri atbilstības auditi, risku reģistri un integrācija ar visiem galvenajiem drošības un privātuma kontroles pasākumiem. Audita un atbilstības uzraudzības politika (P33) un Trešo pušu un piegādātāju drošības politika (P26) noslēdz komplektu ar stingriem protokoliem iekšējiem un ārējiem auditiem, koriģējošajiem un preventīvajiem kontroles pasākumiem, piegādātāju pienācīgu pārbaudi un dzīves cikla uzraudzību. Trešo pušu iesaiste prasa līgumiski izpildāmus drošības pasākumus, periodiskus pārskatus, pārkāpumu paziņošanu, sertifikācijas pierādījumus un darbinieka aiziešanas procesa verifikāciju. Audita programmas struktūra prasa uz audita pierādījumiem balstītu ziņošanu, objektivitāti un nepārtrauktu uzlabošanu, kas kartēta pret ISO standartiem. Kopā šīs politikas veido uzņēmuma klases kontroles pasākumu kopumu, lai atbalstītu sertifikāciju, regulatīvo atbildi, piegādātāju uzraudzību un pierādāmi spēcīgu datu pārvaldību. Visas politikas ir stingri paredzētas uzņēmuma izvietošanai; tās definē specializētas lomas, piemēram, galveno informācijas drošības vadītāju (CISO), datu aizsardzības speciālistu (DPO), iekšējo auditu, un nav pielāgotas MVU.