Mini komplekts: Datu aizsardzība un privātums – MVU

“Mini komplekts: Datu aizsardzība un privātums – MVU” ir visaptverošs sešu cieši integrētu politiku kopums, kas izstrādāts mazajiem un vidējiem uzņēmumiem, lai izpildītu kritiskās datu aizsardzības, privātuma un atbilstības prasības. Visas šī komplekta politikas ir tieši pielāgotas MVU (kā norādīts politiku numerācijā ar “S” un ģenerāldirektora izmantošanā kā galvenajā pārskatatbildības lomā), ņemot vērā ierobežotus personāla resursus vai lielu, specializētu IT, drošības vai atbilstības struktūrvienību neesamību. Neraugoties uz šiem strukturālajiem ierobežojumiem, politikas ir rūpīgi izstrādātas, lai atbilstu ISO/IEC 27001:2022, ISO/IEC 27002:2022, ES GDPR, ES NIS2 direktīvas, ES DORA regulas, NIST SP 800-53 Rev.5 un COBIT 2019 stingrajām prasībām. Šis komplekts nodrošina pilna cikla pārklājumu visam datu dzīves ciklam. Datu klasifikācijas un marķēšanas politika (P13S) izveido MVU piemērotu, izpildāmu trīs līmeņu klasifikācijas modeli, tostarp marķēšanas prasības un tehnoloģiskos kontrolpasākumus. Tā nosaka skaidras lomas ģenerāldirektoram, datu pārvaldniekiem, IT atbalstam (iekšējam/ārpakalpojumam) un visiem darbiniekiem/līgumslēdzējiem, uzsverot praktisku redzamību (galvenes, ūdenszīmes, tagi) un atbilstības pienākumus. Cieši saistīta, Datu uzglabāšanas un likvidēšanas politika (P14S) nosaka juridiski un biznesa vajadzībās balstītus uzglabāšanas termiņus ar centralizēti pārvaldītu uzglabāšanas reģistru, skaidri definētas drošas likvidēšanas metodes (smalcināšana, digitālā dzēšana, kriptogrāfiska dzēšana) un stingru izņēmumu un tiesiskās saglabāšanas dokumentēšanu, atkal nodrošinot politikas uzraudzību, kas ir īstenojama arī mazās organizācijās. Datu minimizēšanai un apstrādei ārpus ražošanas vides Datu maskēšanas un pseidonimizācijas politika (P16S) nosaka, ka reāli personas dati vai sensitīvi dati nekad netiek izmantoti, ja tas nav stingri nepieciešams, piemēram, testēšanā vai analītiskā izmantošanā, ieviešot transformācijas kontroles (maskēšana, tokenizācija, pseidonimizācija). Visiem transformācijas procesiem jābūt auditējamiem, izmantojot tikai IT apstiprinātus rīkus ar žurnāliem un atslēgu pārvaldību, nodrošinot izsekojamību līdz atsevišķām datu kopām un notikumiem. Komplekta pamatā Datu aizsardzības un privātuma politika (P17S) ietver visus juridiskos pienākumus attiecībā uz personas datiem, aptverot personāla, klientu un trešo pušu ierakstus. Tā nodrošina privātumu pēc noklusējuma un integrētu drošību, likumīgu vākšanu un minimizēšanu, drošu uzglabāšanu, skaidru piekļuves tiesību pārskatīšanu un datu subjekta tiesību apstrādi. Atbildības ir skaidri sadalītas starp ģenerāldirektoru (kā DPO/privātuma pārskatatbildīgo), privātuma koordinatoru (iekšēju/ārpakalpojumu), IT pakalpojumu sniedzēju un visu operatīvo personālu. Ir integrēta apmācība, piekrišana, eskalācija un paziņošanas termiņi par pārkāpumiem, kā arī saskaņošanas pārbaudes ar saistītajām klasifikācijas, uzglabāšanas, maskēšanas un incidentu apstrādes politikām. Ārējo risku pārvaldībai Trešo pušu un piegādātāju drošības politika (P26S) nosaka obligātas prasības piegādātāju pienācīgai pārbaudei, riska analīzei, piekļuves ierobežošanai, līguma klauzulām (tostarp pakalpojumu līmeņa vienošanās (SLA) par pārkāpumiem un audita tiesībām) un pastāvīgai uzraudzībai. Tā aptver tipiskos MVU trešo pušu scenārijus (IT, SaaS, biznesa operācijas u. c.), nosakot piegādātāju pienākumu pieņemt līguma noteikumus, regulāras pārskatīšanas un drošu darbinieka aiziešanas procesu vai datu iznīcināšanu pēc izbeigšanas. Visbeidzot, Audita un atbilstības uzraudzības politika (P33S) vienkāršo iekšējā audita, drošības kontroles pārbaudes un normatīvo prasību pārskatīšanas procesu. Izstrādāta izmantošanai bez specializētiem auditoriem, tā pilnvaro ģenerāldirektoru un IT pakalpojumu sniedzēju izmantot kontrolsarakstus un uzturēt pierādījumu žurnālus, lai nodrošinātu operatīvu gatavību ISO/IEC 27001 sertifikācijai vai klientu/piegādātāju pienācīgai pārbaudei. Audita pēdas, koriģējošās darbības dokumentācija un atbilstības pierādījumi ir jācentralizē un jābūt pieejamiem vismaz divus gadus, atbalstot aizstāvamu pārvaldību arī MVU ar minimālu atbilstības personālu. Kopumā šis mini komplekts operacionalizē vadošos standartus un privātuma tiesību aktus praktiski īstenojamās, biznesam piemērotās kontrolēs, nodrošinot stabilu, auditam gatavu datu aizsardzības un privātuma režīmu, ko MVU ir viegli ieviest un uzturēt.