Minipaket: Dataskydd och integritet – ENT

Minipaket: Dataskydd och integritet – ENT levererar en omfattande uppsättning policyer som säkerställer robust styrning och regelefterlevnad för känsliga data genom hela dess livscykel i stora organisationer. Detta paket är byggt för användning i företag och adresserar centrala ramverk såsom ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU GDPR, EU NIS2, EU DORA och COBIT 2019. De inkluderade policyerna formaliserar krav för dataklassificering, datalagringspolicy, dataskydd, integritetsprinciper, revision och leverantörshantering och hjälper företag att visa försvarbara kontroller och revisionsberedskap. Policy för informationsklassificering och hantering (P13) etablerar ett formellt upplägg för att kategorisera organisationens informationstillgångar utifrån känslighet, risk och regulatoriska skyldigheter. Beständiga etiketter, anpassning till åtkomstkontroll och strukturerad styrning möjliggör konfidentialitet, riktighet och tillgänglighet och stödjer säker datadelning, kryptering och övervakning. Obligatorisk klassificering vid skapande och i alla format och miljöer säkerställer att varje tillgång får rätt skyddsnivå, med styrningsroller definierade för informationssäkerhetschef (CISO), informationsägare, IT och dataskyddsteam. Länkade policyer förstärker användaråtkomsthantering, spårbarhet för tillgångar, kryptografi och revisionsloggning. Datalagringspolicy (P14) föreskriver hur länge data lagras och kräver säker, oåterkallelig destruktion vid livscykelns slut, med spårbar dokumentation och anpassning till rättsliga skyldigheter, verksamhetsbehov och dataklassificering. Den introducerar ett huvudschema för datalagring, chain-of-custody för media samt starka kontroller för säkerhetskopieringssystem, arkivering och radering, vilket stödjer revisionssvar, integritetsrättigheter och regulatoriska förfrågningar. Efterlevnad genomdrivs via automatiserade påminnelser, dokumenterade regelefterlevnadsintyg, årliga översynscykler och integration med incidenthantering. Policy för datamaskning och pseudonymisering (P16) definierar användningen av integritetsförbättrande tekniker för att minska identifierbarhet i förproduktionsmiljö, testning, analys och operativa processer. Den kräver godkända tekniker och verktyg, förbjuder användning av verkliga personuppgifter utanför produktionsmiljö utan transformation och kräver riskbedömningar för återidentifiering. Alla relaterade aktiviteter revisionsloggas, övervakas och testas för effektivitet, i linje med GDPR artikel 4(5), NIST-kontroller och dataskyddsstandarder. Hantering av undantag, leverantörskrav och policylänkningar säkerställer konsekvent tillämpning över system och team. Dataskydds- och integritetspolicy (P17) fastställer obligatoriska tekniska och organisatoriska åtgärder för att samla in, behandla, dela och bortskaffa personuppgifter lagligt och transparent. Den genomdriver integritet genom design, säker standardhantering, uttryckligt samtycke, registrerades rättigheter och efterlevnad vid gränsöverskridande behandling. Roller och ansvar spänner från dataskyddsombud (DPO), informationssäkerhetschef (CISO), HR och juridik, IT och all personal/uppdragstagare, med rigorösa procedurer för avisering vid personuppgiftsincident och granskning av undantag. Regelbundna regelefterlevnadsrevisioner, riskregister och integration med centrala säkerhets- och dataskyddskontroller krävs. Policy för revision och regelefterlevnadsövervakning (P33) och leverantörssäkerhetspolicy (P26) kompletterar paketet med strikta protokoll för interna och externa revisioner, korrigerande åtgärder och förebyggande kontroller, leverantörsgranskning och livscykeltillsyn. Tredjepartsengagemang kräver avtalsmässigt genomdrivbara säkerhetsåtgärder, periodiska granskningar, avisering vid personuppgiftsincident, bevis på säkerhetscertifieringar och verifiering vid offboarding. Revisionsprogrammets struktur kräver evidensbaserad rapportering, opartiskhet och ständig förbättring kopplad till ISO-standarder. Tillsammans utgör dessa policyer en kontrolluppsättning i företagsklass som stödjer certifiering, regulatoriska svar, leverantörstillsyn och påvisbart stark datastyrning. Alla policyer är strikt avsedda för företagsdriftsättning; de definierar specialiserade roller såsom informationssäkerhetschef (CISO), dataskyddsombud (DPO) och internrevision och är inte anpassade för SME.