Mini balík: Ochrana údajov a súkromie – ENT

Mini balík: Ochrana údajov a súkromie – ENT poskytuje komplexný súbor politík, ktoré zabezpečujú robustnú správu a právny súlad pre citlivé údaje počas celého ich životného cyklu vo veľkých organizáciách. Tento balík je určený na podnikové použitie a pokrýva hlavné regulačné rámce, ako sú ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU GDPR, EU NIS2, EU DORA a COBIT 2019. Zahrnuté politiky formalizujú požiadavky od klasifikácie údajov, uchovávania, ochrany, zásad ochrany údajov, auditu a riadenia dodávateľov, čím pomáhajú podnikom preukázať obhájiteľné kontrolné opatrenia a pripravenosť na audit. Politika klasifikácie a označovania údajov (P13) zavádza formálnu schému kategorizácie informačných aktív organizácie podľa citlivosti, rizika a regulačných požiadaviek. Trvalé označovanie, zosúladenie s riadením prístupu a štruktúrovaná správa umožňujú dôvernosť, integritu a dostupnosť, podporujú bezpečné zdieľanie údajov, šifrovanie a monitorovanie. Povinná klasifikácia pri vytvorení a naprieč všetkými formátmi a prostrediami zabezpečuje, že každé aktívum dostane primeranú úroveň ochrany, pričom sú definované riadiace roly pre CISO, vlastníkov informácií, IT a tímy ochrany údajov. Prepojené politiky posilňujú riadenie prístupu používateľov, sledovateľnosť aktív, kryptografické ochranné opatrenia a auditné logovanie. Politika uchovávania a likvidácie údajov (P14) predpisuje, ako dlho sa údaje uchovávajú, a nariaďuje bezpečné, nezvratné zničenie na konci životného cyklu, so sledovateľnou dokumentáciou a zosúladením so zákonnými povinnosťami, obchodnými potrebami a klasifikáciou. Zavádza hlavný plán uchovávania údajov, reťazec držby pre médiá a silné kontrolné opatrenia pre zálohovacie systémy, archiváciu a výmaz, čím podporuje reakciu na audit, práva na ochranu údajov a regulačné požiadavky. Súlad sa vynucuje prostredníctvom automatizovaných pracovných postupov, zdokumentovaných vyhlásení o súlade, ročných cyklov preskúmania a integrácie s reakciou na incidenty. Politika maskovania údajov a pseudonymizácie (P16) definuje používanie technológií zvyšujúcich ochranu súkromia na zníženie identifikovateľnosti údajov v neprodukčných prostrediach, testovaní, analytike a prevádzkových procesoch. Vyžaduje schválené techniky a nástroje, zakazuje používanie reálnych osobných údajov mimo produkčného prostredia bez transformácie a vynucuje posúdenia rizika opätovnej identifikácie. Všetky súvisiace činnosti sa auditne logujú, monitorujú a testujú z hľadiska účinnosti kontrol, v súlade s článkom 4 ods. 5 GDPR, kontrolami NIST a normami ochrany údajov. Riadenie výnimiek, požiadavky na dodávateľov a prepojenia politík zabezpečujú konzistentné vynucovanie naprieč systémami a tímami. Politika ochrany údajov a súkromia (P17) stanovuje povinné technologické kontrolné opatrenia a organizačné opatrenia pre zákonné a transparentné zhromažďovanie, spracúvanie, zdieľanie a likvidáciu osobných údajov. Vynucuje bezpečnosť už od návrhu, bezpečné predvolené nakladanie s údajmi, výslovný súhlas, práva dotknutých osôb a súlad pri cezhraničnom spracúvaní. Roly a zodpovednosti pokrývajú zodpovednú osobu za ochranu údajov (DPO), CISO, právne záležitosti a súlad s predpismi, IT a všetkých zamestnancov a zmluvných dodávateľov, s prísnymi postupmi notifikácie porušenia ochrany údajov a preskúmania výnimiek. Vyžadujú sa pravidelné audity súladu, register rizík a integrácia so všetkými kľúčovými bezpečnostnými a súkromnými kontrolnými opatreniami. Politika monitorovania auditu a súladu (P33) a Bezpečnostná politika pre dodávateľov (P26) dopĺňajú balík prísnymi protokolmi pre interné a externé audity, nápravné opatrenia a preventívne kontroly, due diligence dodávateľov a dohľad nad životným cyklom. Zapojenia tretích strán vyžadujú zmluvne vynútiteľné bezpečnostné opatrenia, pravidelné preskúmania, notifikáciu porušenia ochrany údajov, dôkazy o certifikáciách a overenie offboardingu. Štruktúra auditného programu vyžaduje vykazovanie založené na auditných dôkazoch, nestrannosť a neustále zlepšovanie mapované na normy ISO. Spoločne tieto politiky tvoria súbor kontrol na podnikovej úrovni na podporu certifikácie, reakcie na regulátora, dohľadu nad dodávateľmi a preukázateľne silnej správy údajov. Všetky politiky sú striktne určené na podnikové nasadenie, definujú špecializované roly ako CISO, DPO, vnútorný audit a nie sú prispôsobené pre SME.