Policy för säkerhet och åtkomstkontroll avseende personuppgifter

Policyn för säkerhet och åtkomstkontroll avseende personuppgifter definierar organisationens PII-specifika krav för skydd av personuppgifter i system, applikationer, tjänster, enheter, molnmiljöer och operativa processer. Den gäller där personuppgifter lagras, överförs, behandlas, nås, administreras eller skyddas, och den omfattar kontexter för personuppgiftsansvarig, gemensamt personuppgiftsansvarig, personuppgiftsbiträde och underbiträde. Policyn är uttryckligen utformad för att integreras med befintlig informationssäkerhetspraxis, inte för att ersätta ett fullständigt ledningssystem för informationssäkerhet, en nätverkssäkerhetspolicy, en policy för säker utveckling, en policy för säkerhetskopiering, en endpointpolicy, en molnsäkerhetspolicy, en kryptografisk standard, en rutin för hantering av sårbarheter eller en rutin för incidenthantering. Det centrala syftet är att säkerställa att personuppgifter skyddas genom lämpliga, riskanpassade och verifierbara säkerhets- och åtkomstkontroller under hela behandlingen. För att stödja detta syfte etablerar policyn en säkerhetsbaslinje för personuppgifter och kräver spårbart underlag genom REG02, REG08, REG10 och REG12. Denna underlagsmodell är central för policyn: operativa loggar, utdata från säkerhetsverktyg, exporter från åtkomstgranskning, sårbarhetsrapporter och konfigurationsunderlag kan bifogas till, sammanfattas i eller refereras från de kanoniska underlagsobjekten, men de behandlas inte som separata PIMS-register. Detta gör det möjligt för organisationen att visa att kontroller planeras, genomförs, granskas, övervakas och förbättras utan att säkerhetsunderlag dupliceras. Policyn anger detaljerade krav för åtkomstkontroll, autentisering och privilegierad åtkomst. Åtkomst till personuppgifter ska begränsas till godkända roller och behöriga användare som registreras eller kan spåras i REG02 eller REG12, och verksamhetssyftet ska godkännas innan åtkomst tilldelas. System med personuppgifter med hög påverkan eller känsliga personuppgifter kräver åtkomstgranskning minst kvartalsvis, medan andra system som hanterar personuppgifter kräver minst årlig granskning. Åtkomst ska tas bort eller ändras inom en arbetsdag efter rolländring, avslut av anställning eller uppdrag, avtalsslut eller när åtkomst inte längre krävs. Privilegierad åtkomst kräver dokumenterad motivering, omfattning och godkännande innan den beviljas, med månatlig granskning för system med personuppgifter med hög påverkan eller känsliga personuppgifter och kvartalsvis granskning för andra system som hanterar personuppgifter. Policyn behandlar även tekniska säkerhetsförväntningar för autentisering, kryptering, säker lagring, loggning, övervakning, konfiguration, hantering av sårbarheter, slutpunktsåtkomst och molnåtkomst. Unika användaridentiteter krävs för konton med åtkomst till personuppgifter, och stark autentisering krävs för privilegierad, fjärrbaserad, administrativ eller högpåverkande åtkomst till personuppgifter. Kryptering eller godkänd kompenserande skyddsåtgärd ska definieras innan personuppgifter med hög påverkan, känsliga personuppgifter eller personuppgifter som överförs externt lagras, överförs eller görs åtkomliga. Loggningens omfattning ska täcka autentiseringshändelser, åtkomsthändelser, privilegierade åtgärder, export av personuppgifter och väsentliga konfigurationsändringar. Konfigurationsstatus och sårbarhetstäckning ska registreras i REG12, och olösta högrisksårbarheter som påverkar personuppgifter ska registreras inom fem arbetsdagar efter validering. Styrningsansvar tilldelas högsta ledningen, integritetsansvarig / PIMS-ansvarig, dataskyddsombud / integritetsrådgivare, informationssäkerhetsansvarig, processägare / verksamhetsägare, systemägare / applikationsägare, leverantörs- / upphandlingsansvarig, incidenthanteringskoordinator och internrevision / granskare inom regelefterlevnad. Policyn kräver kvartalsvis granskning av underlagens fullständighet i REG02, REG08, REG10 och REG12, kvartalsvis granskning av baslinjens effektivitet och olösta luckor samt revisionsurval av åtkomstgranskningar, granskningar av privilegierad åtkomst, loggningsunderlag och konfigurationsunderlag. Undantag ska registreras före aktivering, inkludera utgångsdatum, kompenserande kontroll och granskningsdatum samt godkännas av högsta ledningen när de påverkar personuppgifter med hög påverkan, känsliga personuppgifter, privilegierad åtkomst, kryptering, loggning eller olösta högrisksårbarheter.