Finanšu sektora personas datu incidentu un pārkāpumu pārvaldības politika

Finanšu sektora personas datu incidentu un pārkāpumu pārvaldības politika nosaka prasības personas datu incidentu un personas datu aizsardzības pārkāpumu identificēšanai, ziņošanai, triāžai, klasificēšanai, izvērtēšanai, ierobežošanai, paziņošanai, dokumentēšanai, slēgšanai un uzlabošanai finanšu sektora PIMS darbības jomās. Tā ir piemērojama, ja organizācija finanšu sektora kontekstā darbojas kā personas datu pārzinis, kopīgs pārzinis, apstrādātājs vai apakšapstrādātājs, un tā aptver arī sistēmas, lietojumprogrammas, pakalpojumus, procesus, piegādātājus, apstrādātājus, apakšapstrādātājus un trešās puses, kas apstrādā, glabā, pārsūta, atbalsta, piekļūst vai citādi ietekmē personas datus šajā darbības jomā. Politika ir skaidri izstrādāta kā finanšu sektora aizstājošais variants PII15 politikai, un tā prasa organizācijām tai pašai darbības jomai izvēlēties vai nu PII15, vai PII15-FS, lai izvairītos no pienākumu, reģistru un audita pierādījumu darba dublēšanas. Politikas mērķis ir nodrošināt, ka personas datu incidenti un pārkāpumi tiek apstrādāti konsekventi, savlaicīgi, likumīgi, droši un ar auditam gataviem pierādījumiem. REG10 — Personas datu incidentu un pārkāpumu reģistrs tiek noteikts kā galvenais pierādījumu objekts, savukārt atbalsta reģistri sasaista incidenta ierakstu ar plašāku PIMS pierādījumu modeli. REG01 tiek izmantots darbības jomas, ieinteresēto pušu, sektora, klientu, līgumiskā un ziņošanas konteksta noteikšanai. REG02 sasaista ietekmētās apstrādes darbības, personas datu kategorijas, datu subjektu kategorijas, nolūkus, sistēmas un pakalpojumus. REG03 fiksē Piemērojamības paziņojuma un kontroles pasākumu piemērojamības atjauninājumus, tostarp PII15 aizstāšanu ar PII15-FS. REG04 atbalsta privātuma risku, DPIA, atlikušā riska un riska apstrādes sasaisti, savukārt REG08, REG09, REG11 un REG12 aptver trešo pušu saskarnes, starptautisku datu nosūtīšanu, apmācības un audita vai korektīvās darbības pierādījumus. Operatīvi politika prasa katru ziņoto vai atklāto iespējamo finanšu sektora personas datu incidentu reģistrēt REG10 vienas darbdienas laikā pēc saņemšanas vai ātrāk, ja var tikt aktivizēti paziņošanas, klientu vai ziņošanas termiņi. Incidenti 24 stundu laikā pēc saņemšanas ir jāklasificē kā ar personas datiem nesaistīts notikums, iespējams personas datu incidents, apstiprināts personas datu incidents, apstiprināts personas datu aizsardzības pārkāpums, finanšu sektora personas datu incidents, būtisks finanšu sektora incidents, nozīmīgs kiberdrauds vai ieraksts ar gaidošu klasifikāciju. Pārkāpuma izvērtēšanā jāņem vērā ietekmētie personas dati, datu subjekti, sistēmas, pakalpojumi, apstrādes darbības, apstrādātāji, apakšapstrādātāji, datu nosūtīšana, riski, klienti, darījumu partneri un korektīvie pasākumi. Politika arī prasa pierādījumu saglabāšanu, ierobežošanu noteiktajos termiņos, atjaunošanas validāciju un dokumentētus slēgšanas lēmumus, kas ietver klasifikāciju, paziņošanas lēmumu, ierobežošanas statusu, atjaunošanas statusu, atlikušo risku, korektīvās darbības un pierādījumu pilnīgumu. Politika nošķir pārziņa, kopīgā pārziņa, apstrādātāja un apakšapstrādātāja pienākumus. Pārziņiem jāreģistrē lēmumi par paziņošanu par pārkāpumu, pēc nepieciešamības jāsagatavo pierādījumi paziņošanai uzraudzības iestādei un jāpārskata saziņa ar datu subjektiem, ja identificēts augsts risks. Apstrādātājiem un apakšapstrādātājiem jāizvērtē klienta norādījumi, līgumiskie paziņošanas pienākumi, augšupējās paziņošanas ķēdes un pierādījumu novirzīšanas prasības, uzturot ierakstus REG08 un REG10. Kopīgu pārziņu atbildībai jābūt koordinētai un dokumentētai pirms piemērojamo ārējās paziņošanas termiņu iestāšanās. Augstas ietekmes finanšu sektora personas datu incidentu un nozīmīgu kiberdraudu gadījumā reaģēšanas uz incidentiem koordinatoram jāizvērtē finanšu sektora regulatīvās ziņošanas trigeri un jāsaglabā lēmumu pierādījumi REG10. Pārvaldība, mērījumi un uzlabošana ir iekļauti politikas dzīves ciklā. Privātuma vadītājam / PIMS vadītājam atvērtie REG10 incidenti jāpārskata vismaz reizi nedēļā līdz to slēgšanai, un augstākajai vadībai 24 stundu laikā pēc klasificēšanas jāsaņem eskalācija par apstiprinātiem augstas ietekmes finanšu sektora incidentiem, būtiskiem incidentiem vai nozīmīgiem kiberdraudiem. Metrika ietver ikmēneša skaitu par iespējamiem un apstiprinātiem incidentiem, pārkāpumiem, būtiskiem finanšu sektora incidentiem un nozīmīgiem kiberdraudiem, kā arī paziņošanas par pārkāpumu savlaicīgumu, finanšu sektora ziņošanas savlaicīgumu, ierobežošanu, atjaunošanu, atjaunošanas validāciju un trešo pušu reaģēšanas veiktspēju. Politika papildus prasa ikgadēju pārskatīšanu, pārskatīšanu pēc incidenta pēc būtiskiem notikumiem, iekšējā audita pārskatīšanu, izņēmumu pārvaldību, piemērošanu, izmantojot REG12 neatbilstības, un korektīvu apmācību, izmantojot REG11, ja rodas informētības vai komunikācijas kļūmes.