Personas datu drošības un piekļuves kontroles politika

Personas datu drošības un piekļuves kontroles politika definē organizācijas personas datiem specifiskās prasības personas informācijas aizsardzībai sistēmās, lietojumprogrammās, pakalpojumos, ierīcēs, mākoņvidēs un operatīvajos procesos. Tā attiecas uz gadījumiem, kad personas dati tiek glabāti, pārsūtīti, apstrādāti, tiem piekļūst, tos administrē vai aizsargā, un tā aptver pārziņa, kopīga pārziņa, apstrādātāja un apakšapstrādātāja kontekstus. Politika ir īpaši izstrādāta integrēšanai ar esošajām informācijas drošības praksēm, nevis pilnas informācijas drošības pārvaldības sistēmas, tīkla drošības politikas, drošas izstrādes politikas, rezerves kopiju veidošanas politikas, galiekārtu politikas, mākoņdrošības politikas, kriptogrāfiskā standarta, ievainojamību pārvaldības procedūras vai incidentu reaģēšanas procedūras aizstāšanai. Tās pamatmērķis ir nodrošināt, ka personas dati visā apstrādes laikā tiek aizsargāti ar atbilstošiem, riskam pielāgotiem un auditējamiem drošības un piekļuves kontroles pasākumiem. Šī mērķa atbalstam politika nosaka personas datu drošības pamatlīmeni un prasa izsekojamus pierādījumus, izmantojot REG02, REG08, REG10 un REG12. Šis pierādījumu modelis ir politikas centrālais elements: operatīvie žurnāli, drošības rīku izvaddati, piekļuves tiesību pārskatīšanas eksporti, ievainojamību pārskati un konfigurācijas pierādījumi var tikt pievienoti kanoniskajiem pierādījumu objektiem, apkopoti tajos vai atsaucēs uz tiem norādīti, taču tie netiek uzskatīti par atsevišķiem PIMS reģistriem. Tas ļauj organizācijai pierādīt, ka kontroles pasākumi ir plānoti, ieviesti, pārskatīti, uzraudzīti un uzlaboti, nedublējot drošības ierakstus. Politika nosaka detalizētas prasības piekļuves kontrolei, autentifikācijai un privileģētajai piekļuvei. Piekļuve personas datiem ir jāierobežo līdz apstiprinātām lomām un autorizētiem lietotājiem, kas reģistrēti vai izsekojami REG02 vai REG12, un biznesa nolūks ir jāapstiprina pirms piekļuves piešķiršanas. Augstas ietekmes vai sensitīvu personas datu sistēmām ir nepieciešama lietotāju piekļuves tiesību pārskatīšana vismaz reizi ceturksnī, savukārt citām personas datu sistēmām — vismaz ikgadēja pārskatīšana. Piekļuve ir jānoņem vai jāgroza vienas darbdienas laikā pēc lomas izmaiņām, darba attiecību izbeigšanas, līguma pabeigšanas vai tad, kad piekļuve vairs nav nepieciešama. Privileģētajai piekļuvei pirms piešķiršanas ir nepieciešams dokumentēts pamatojums, piemērošanas joma un apstiprinājums, kā arī ikmēneša pārskatīšana augstas ietekmes vai sensitīvu personas datu sistēmām un ceturkšņa pārskatīšana citām personas datu sistēmām. Politika arī nosaka tehniskās drošības prasības autentifikācijai, šifrēšanai, drošai glabāšanai, žurnālfiksēšanai, uzraudzībai, konfigurācijai, ievainojamību pārvaldībai, galiekārtu piekļuvei un mākoņvides piekļuvei. Kontiem ar piekļuvi personas datiem ir nepieciešamas unikālas lietotāju identitātes, un privileģētai, attālinātai, administratīvai vai augstas ietekmes personas datu piekļuvei ir nepieciešama spēcīga autentifikācija. Pirms augstas ietekmes, sensitīvi vai ārēji pārsūtīti personas dati tiek glabāti, pārsūtīti vai padarīti pieejami, ir jādefinē šifrēšana vai apstiprināta kompensējoša aizsardzība. Žurnālfiksēšanas piemērošanas jomai jāaptver autentifikācijas notikumi, piekļuves notikumi, privileģētas darbības, personas datu eksportēšanas aktivitātes un būtiskas konfigurācijas izmaiņas. Konfigurācijas statuss un ievainojamību pārklājums ir jāreģistrē REG12, un neatrisinātas augsta riska ievainojamības, kas ietekmē personas datus, ir jāreģistrē piecu darbdienu laikā pēc validācijas. Pārvaldības pienākumi ir piešķirti Augstākajai vadībai, Privātuma vadītājam / PIMS vadītājam, datu aizsardzības speciālistam / privātuma konsultantam, Informācijas drošības vadītājam, procesa īpašniekam / uzņēmuma īpašniekam, sistēmas īpašniekam / lietotnes īpašniekam, piegādātāju / iepirkumu atbildīgajai personai, Incidentu reaģēšanas koordinatoram un iekšējā audita / atbilstības pārskatītājam. Politika prasa ceturkšņa pierādījumu pilnīguma pārskatīšanu REG02, REG08, REG10 un REG12 ietvaros, ceturkšņa pamatlīmeņa efektivitātes un neatrisināto trūkumu pārskatīšanu, kā arī audita izlases pārbaudes attiecībā uz piekļuves tiesību pārskatīšanu, privileģētās piekļuves pārskatīšanu, žurnālfiksēšanas pierādījumiem un konfigurācijas pierādījumiem. Izņēmumi ir jāreģistrē pirms aktivizēšanas, tajos jāiekļauj termiņa beigas, kompensējošais kontroles pasākums un pārskatīšanas datums, un tiem jāsaņem Augstākās vadības apstiprinājums, ja tie ietekmē augstas ietekmes personas datus, sensitīvus personas datus, privileģēto piekļuvi, šifrēšanu, žurnālfiksēšanu vai neatrisinātas augsta riska ievainojamības.