Playbook GDPR pro CISO k porušení zabezpečení osobních údajů (PII) s lhůtou 72 hodin

Je úterý 2:13 ráno, když se spustí výstraha.

Maria, CISO rychle rostoucí fintechové SaaS platformy, se probouzí kvůli eskalaci ze SOC: z vývojářského účtu přicházejí anomální databázové dotazy. Účet přistoupil k tabulkám obsahujícím jména zákazníků, e-mailové adresy, historii transakcí a národní identifikační čísla. Během několika minut tým potvrzuje, že přihlašovací údaje vývojáře byly odcizeny při phishingovém útoku. Doba expozice není jasná. Záměr útočníka není znám. Rozsah dopadu se stále vyhodnocuje.

Lhůta začíná běžet právě teď.

Podle GDPR může mít Maria 72 hodin na oznámení dozorovému úřadu, pokud je pravděpodobné, že incident povede k riziku pro fyzické osoby. Podle NIS2, pokud je společnost základním nebo významným subjektem a incident je významný, může být vyžadováno včasné varování do 24 hodin a formální oznámení do 72 hodin. Podle DORA mohou zároveň vzniknout povinnosti hlášení ICT incidentů ve finančním sektoru a povinnosti v oblasti provozní odolnosti. Odpovědi budou vyžadovat zákazníci, pojistitelé, právní poradci, vrcholové vedení i auditoři.

Právě v tomto okamžiku často selhává obecný plán reakce na incidenty. Provozní postup pro malware může vysvětlovat izolaci hostitele. Postup SOC může popisovat uchování logů. Proces řízení porušení zabezpečení PII podle ISO/IEC 27701:2025 však musí pod tlakem odpovědět na náročnější otázky:

• Byly osobní údaje zpřístupněny, změněny, ztraceny, zničeny nebo zpřístupněny bez oprávnění?
• Jedná organizace jako správce, zpracovatel, společný správce nebo dílčí zpracovatel?
• Kdy nastal okamžik zjištění a jaké důkazy jej prokazují?
• Je podle GDPR Article 33 vyžadováno oznámení dozorovému úřadu?
• Jsou dotčené fyzické osoby vystaveny vysokému riziku podle GDPR Article 34?
• Pokud organizace jedná jako zpracovatel, jak rychle musí být informován správce?
• Jaké důkazy prokážou rozhodnutí o šest měsíců později při auditu?

Rozdíl mezi chaosem a kontrolou nespočívá v počtu bezpečnostních nástrojů v organizaci. Spočívá v tom, zda organizace vybudovala disciplinovaný systém řízení informací o soukromí, tedy PIMS, který propojuje reakci na incidenty, správu a řízení ochrany soukromí, nakládání s důkazy, eskalaci vůči dodavatelům a zákonné oznamování do jednoho obhajitelného životního cyklu.

Řízení porušení zabezpečení začíná dříve, než kdokoli řekne „porušení zabezpečení“

První provozní chybou je předpoklad, že řízení porušení zabezpečení PII začíná až poté, co právní oddělení potvrdí porušení zabezpečení osobních údajů. Ve skutečnosti proces začíná ve chvíli, kdy osoba, systém, dodavatel nebo zákazník zaznamená událost, která může zahrnovat PII.

Zenith Blueprint: 30kroková roadmapa auditora společnosti Clarysec Zenith Blueprint zařazuje tento lidský spouštěč do fáze Controls in Action, krok 16: opatření týkající se osob II. Příručka uvádí:

„Účinný systém reakce na incidenty nezačíná nástroji, ale lidmi. Opatření 6.8 zdůrazňuje význam zajištění toho, aby každý zaměstnanec, dodavatel nebo zainteresovaná strana věděli, jak rozpoznat a nahlásit potenciální bezpečnostní incident, a cítili se bezpečně a oprávněně tak učinit.“

To je důležité, protože mnoho incidentů v oblasti ochrany soukromí není nejprve detekováno systémem SIEM. Začínají tím, že pracovník podpory uvidí přílohu jiného zákazníka, mzdový pracovník zaznamená chybně adresovanou tabulku, zákazník nahlásí fakturu jiného uživatele nebo dodavatel oznámí ztracený notebook.

Politika ochrany osobních údajů a soukromí pro SME Politika ochrany osobních údajů a soukromí pro SME, část Vymáhání a dodržování, ustanovení 8.3.1, z toho činí okamžitou povinnost:

„Všechna porušení zabezpečení osobních údajů nebo podezření na incidenty musí být neprodleně oznámena koordinátorovi ochrany soukromí.“

U podnikových programů Politika ochrany osobních údajů a soukromí Politika ochrany osobních údajů a soukromí, část Vymáhání a dodržování, ustanovení 8.3.2, přiřazuje vedení:

„Pověřenec pro ochranu osobních údajů (DPO) řídí zamezení šíření, analýzu a eskalaci porušení zabezpečení v souladu s ISO/IEC 27035 a GDPR Articles 33 a 34.“

Tím se přechází od stavu „IT se na to dívá“ ke stavu „životní cyklus porušení zabezpečení v PIMS byl aktivován“.

První bod tlaku: událost, bezpečnostní incident, incident ochrany soukromí nebo porušení zabezpečení PII

Ve 2:13 má Mariin tým výstrahu. Ještě nemá potvrzené porušení zabezpečení podléhající oznámení. Prvním kritickým rozhodnutím je klasifikace.

Zenith Blueprint, fáze Controls in Action, krok 23: organizační opatření, vysvětluje opatření ISO/IEC 27002:2022 5.25, posouzení a rozhodnutí o událostech bezpečnosti informací:

„Ne každá anomálie je katastrofa. Ne každé upozornění signalizuje kompromitaci. V reálném světě jsou bezpečnostní týmy a obchodní jednotky zahlceny šumem, pokusy o přihlášení, anomáliemi v lozích, drobnými porušeními politik a aktivitami shadow IT. Skutečnou výzvou není jen detekce, ale odlišení neškodného od škodlivého a určení toho, co vyžaduje eskalaci.“

Životní cyklus porušení zabezpečení v oblasti ochrany soukromí musí toto rozlišení činit opakovatelným. Nemá záviset na tom, kdo má právě pohotovost, který právník se připojí jako první ani na tom, zda se CISO cítí komfortně s nejistotou.

Praktický klasifikační model Clarysec rozlišuje čtyři fáze:

Slovo „podezřelé“ je zásadní. Clarysec nedoporučuje čekat na úplnou jistotu před otevřením pracovního postupu pro porušení zabezpečení v oblasti ochrany soukromí. Registr porušení zabezpečení má být otevřen, jakmile je porušení zabezpečení PII důvodně podezřelé, a následně aktualizován s tím, jak se zpřesňují skutečnosti.

Politika řízení incidentů a porušení zabezpečení PII Politika řízení incidentů a porušení zabezpečení PII, část Klasifikace a posouzení porušení zabezpečení, ustanovení 4.2.3, vyžaduje, aby správci dokumentovali rozhodnutí před externím krokem:

„[Správce] Pověřenec pro ochranu osobních údajů / poradce pro ochranu soukromí MUSÍ posoudit riziko pro dotčené subjekty PII u každého potvrzeného nebo důvodně podezřelého porušení zabezpečení PII a před přijetím rozhodnutí o externím oznámení zaznamenat doporučení k oznámení, odůvodnění rizika a stanovisko do REG10.“

Toto ustanovení je provozním jádrem auditně připravené reakce na porušení zabezpečení podle GDPR: posoudit riziko, zaznamenat odůvodnění, zachytit stanovisko, rozhodnout a uchovat důkazy v REG10.

Lhůta 72 hodin je problém důkazů, nikoli připomínka v kalendáři

Mnoho týmů vnímá požadavek GDPR na oznámení do 72 hodin jako termín v projektovém plánu. Při skutečném incidentu je nejtěžší prokázat, kdy nastal okamžik zjištění, co bylo v té době známo, jak rychle organizace jednala a proč bylo rozhodnutí o oznámení přiměřené.

Politika reakce na incidenty pro SME Politika reakce na incidenty pro SME, část Účel, ustanovení 1.2, vymezuje cíl:

„Tato politika umožňuje organizaci minimalizovat škodu, chránit zákaznická data a plnit regulační povinnosti, například požadavek GDPR na oznámení porušení zabezpečení osobních údajů do 72 hodin.“

Politika ochrany osobních údajů a soukromí pro SME, část Vymáhání a dodržování, ustanovení 8.3.3, uvádí:

„Je-li to vyžadováno, musí oznámení úřadům a dotčeným fyzickým osobám proběhnout do 72 hodin.“

U podnikových programů Politika ochrany osobních údajů a soukromí, část Vymáhání a dodržování, ustanovení 8.3.3, uvádí:

„Porušení zabezpečení splňující zákonný práh pro oznámení musí být oznámena dozorovým úřadům do 72 hodin.“

Cílem není oznamovat každou anomálii. Cílem je přijmout obhajitelné rozhodnutí dostatečně rychle, aby požadované oznámení mohlo proběhnout včas. Vyspělý PIMS proto používá interní lhůty kratší než externí zákonné lhůty.

Politika řízení incidentů a porušení zabezpečení PII, část Oznámení a komunikace, ustanovení 4.4.1, výslovně stanoví požadavek na dokumentaci:

„[Správce] Vedoucí ochrany soukromí / manažer PIMS MUSÍ bez zbytečného odkladu a v interní lhůtě podporující použitelné externí oznamovací lhůty připravit dokumentované rozhodnutí o regulačním oznámení pro každé potvrzené porušení zabezpečení PII a MUSÍ v REG10 uchovat oznámení, odůvodnění neprovedení oznámení nebo odůvodnění prodlení.“

Dozorový úřad může rozhodnutí zpochybnit. Auditor může testovat, zda byl proces dodržen. Pokud však organizace dokáže předložit včasné důkazy, strukturovaná kritéria, stanovisko DPO a dokumentované odůvodnění, je v mnohem silnější pozici než tým, který řekne: „Probírali jsme to na hovoru.“

Správci a zpracovatelé potřebují odlišné cesty pro porušení zabezpečení

Moderní SaaS společnosti často působí ve více než jedné roli v oblasti ochrany soukromí. Mariina fintechová platforma může být správcem pro své přímé odběratele a zpracovatelem pro podnikové zákazníky. V jiném scénáři může být B2B portál podpory zpracovatelem pro přílohy zákaznických tiketů, ale správcem pro vlastní interní metadata podpory.

Toto rozlišení mění oznamovací cestu.

Pro zpracovatele Politika řízení incidentů a porušení zabezpečení PII, část Oznámení a komunikace, ustanovení 4.4.4, uvádí:

„[Zpracovatel] Vedoucí ochrany soukromí / manažer PIMS MUSÍ bez zbytečného odkladu a v jakékoli použitelné smluvní lhůtě po zjištění porušení zabezpečení PII ovlivňujícího zákaznické PII oznámit tuto skutečnost dotčenému správci nebo zákazníkovi a MUSÍ zaznamenat počáteční i následná oznámení v REG08 a REG10.“

Zpracovatel nesmí čekat na dokončení analýzy rizik podle GDPR prováděné správcem. Musí informovat správce dostupnými skutečnostmi a poskytovat aktualizace, jak vyšetřování pokračuje. Správce následně rozhodne o oznámení dozorovému úřadu a komunikaci s dotčenými fyzickými osobami pro své zpracování.

U dopadů s vysokým rizikem pro fyzické osoby musí správce posoudit také přímou komunikaci. Politika řízení incidentů a porušení zabezpečení PII, ustanovení 4.4.3, uvádí:

„[Správce] Vedoucí ochrany soukromí / manažer PIMS MUSÍ koordinovat komunikaci s dotčenými subjekty PII, pokud posouzení porušení zabezpečení identifikuje vysoké riziko nebo rovnocenný komunikační spouštěč, a MUSÍ v REG10 zaznamenat obsah komunikace, cílovou skupinu, načasování, způsob doručení a důkazy o schválení.“

Podniková Politika ochrany osobních údajů a soukromí, část Vymáhání a dodržování, ustanovení 8.3.4, to dále potvrzuje:

„Je-li identifikováno vysoké riziko pro fyzické osoby, musí být dotčené subjekty údajů informovány bez zbytečného odkladu, pokud se neuplatní výjimka (např. je zavedeno silné šifrování).“

Tato výjimka musí být založena na důkazech. Prohlášení „data byla šifrována“ nestačí. Organizace musí prokázat, že zpřístupněná data byla pro neoprávněné strany nečitelná a že příslušné klíče nebyly kompromitovány.

Dodavatelé mohou rozhodnout o úspěchu nebo selhání prvních 24 hodin

Třetí strany často drží skutečnosti potřebné pro klasifikaci a oznámení. Cloudový poskytovatel může mít logy přístupu. Mzdový zpracovatel může vědět, kteří zaměstnanci byli dotčeni. Poskytovatel řízených služeb mohl provést změnu konfigurace. Dílčí zpracovatel může uchovávat forenzní telemetrii.

Smluvní podmínky pro porušení zabezpečení u dodavatelů proto musí být navrženy před incidentem.

Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran, část Požadavky na správu a řízení, ustanovení 5.3.3, zahrnuje smluvní řízení pro:

„Lhůty pro oznámení porušení zabezpečení (např. do 24 nebo 72 hodin v závislosti na kritičnosti a regulačních požadavcích).“

U menších organizací Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran pro SME Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran pro SME obdobně podporuje lhůty pro oznámení porušení zabezpečení v rámci řízení dodavatelů.

Clarysec doporučuje, aby smlouvy s dodavateli a smlouvy o zpracování osobních údajů definovaly:

• co představuje podezření na porušení zabezpečení PII,
• kdo musí být informován a jakým kanálem,
• lhůtu pro počáteční oznámení, často kratší než regulační lhůta správce,
• minimální skutečnosti požadované v prvním oznámení,
• četnost aktualizací během vyšetřování,
• povinnosti uchování důkazů,
• přenesení oznamovacích povinností na dílčí zpracovatele,
• podporu pro komunikaci s dozorovým úřadem a subjekty údajů,
• povinnosti nápravných opatření po incidentu.

Pokud smlouvy s dodavateli používají vágní formulace typu „jakmile to bude proveditelné“, může lhůta správce podle GDPR záviset na interní debatě jiné organizace. To není obhajitelný provozní model.

Důkazy mění reakci v obhajitelný soulad

Během Mariina incidentu tým potřebuje autentizační logy, záznamy databázových dotazů, důkazy o phishingu, změny řízení přístupu, seznamy dotčených zákazníků, opatření k zamezení šíření, stanovisko DPO a návrhy komunikace. Ve scénáři B2B SaaS portálu může tým potřebovat snímky obrazovky, oprávnění objektového úložiště, ID tiketů podpory, změny IAM a logy přístupu napříč tenanty.

Důkazy musí být řádně uchovány. Volné snímky obrazovky, exporty chatu a osobní složky nestačí.

Zenith Blueprint, fáze Controls in Action, krok 23, popisuje opatření ISO/IEC 27002:2022 5.28, shromažďování důkazů:

„Když dojde k incidentu bezpečnosti informací, jedním z nejkritičtějších, a přesto často přehlížených prvků reakce jsou důkazy. Ne logy, ne snímky obrazovky, ne volné popisy, ale řádně uchované, řetězec nakládání s důkazy respektující a manipulačně odolné důkazy.“

Politika shromažďování důkazů a forenzního šetření Politika shromažďování důkazů a forenzního šetření, část Požadavky na správu a řízení, ustanovení 5.5, uvádí:

„Všechny shromážděné důkazy musí být jednoznačně identifikovány, označeny a uloženy v zabezpečeném repozitáři s:“

Politika řízení incidentů a porušení zabezpečení PII, část Důkazy, vedení záznamů a důvěrnost, ustanovení 4.5.1, propojuje tyto důkazy se záznamem PIMS:

„[Obě role] Koordinátor reakce na incidenty MUSÍ udržovat úplný záznam REG10 pro každý podezřelý nebo potvrzený incident týkající se PII od přijetí až po uzavření, včetně skutečností, načasování, klasifikace, posouzení, opatření, rozhodnutí, oznámení, odkazů na důkazy a stavu uzavření.“

REG10 se stává jediným zdrojem pravdy pro incident. REG08 zachycuje oznámení zákazníkům nebo správcům, kde je to použitelné. Společně umožňují týmům bezpečnosti, ochrany soukromí, právního oddělení a auditu pracovat z jedné jednotné důkazní časové osy.

Účelem není byrokracie. Účelem je zabránit tomu, aby organizace rekonstruovala paměť z rozptýlených zpráv ve Slacku až poté, co zavolá dozorový úřad.

Mapování reakce PIMS podle ISO 27701 na ISO 27001 a ISO 27002

Vyspělý proces porušení zabezpečení PII stojí na průsečíku správy a řízení ochrany soukromí a řízení bezpečnosti informací.

Kapitoly 4.1 až 4.4 ISO/IEC 27001:2022 vyžadují, aby organizace porozuměly kontextu, zainteresovaným stranám, rozsahu ISMS a procesům systému řízení. Pro řízení porušení zabezpečení PII to znamená, že proces musí odrážet regulační povinnosti, zákaznické smlouvy, role při zpracování, závislosti na dodavatelích a odvětvové povinnosti ještě před tím, než dojde k incidentu.

Zenith Controls: průvodce souladem napříč rámci Zenith Controls pomáhá mapovat incidentní opatření do širšího modelu ujištění. Nejrelevantnější opatření ISO/IEC 27002:2022 jsou:

ISO/IEC 27035 podporuje strukturované řízení incidentů. ISO/IEC 27037 podporuje nakládání s digitálními důkazy. ISO/IEC 29134 může podpořit logiku posouzení dopadu na soukromí, pokud náprava porušení zabezpečení odhalí potřebu hlubšího přezkumu DPIA. ISO/IEC 27701:2025 následně vnáší do systému řízení kontext rolí v oblasti ochrany soukromí, dopad na subjekty údajů, povinnosti správců a zpracovatelů a požadavky PIMS na důkazy.

Jeden incident, mnoho regulačních pohledů

Mariin incident není pouze otázkou GDPR. Protože společnost poskytuje cloudové služby zákazníkům ve finančním sektoru, mohou se uplatnit také NIS2 a DORA. Zákaznické smlouvy mohou ukládat oznámení do 24 hodin. Kybernetické pojištění může vyžadovat rychlé oznámení. Interní správa a řízení může vyžadovat reportování správní radě.

Vytváření samostatných příběhů pro každý rámec vytváří riziko rozporů. Metodou Clarysec je udržovat jednu jednotnou důkazní časovou osu a z ní vytvářet výstupy specifické pro jednotlivé rámce.

NIS2 Article 21 stanoví opatření pro řízení kybernetických rizik, včetně zvládání incidentů, kontinuity činností, zabezpečení dodavatelského řetězce, posouzení účinnosti, kybernetické hygieny, kryptografie, řízení přístupu, správy aktiv, MFA a bezpečné komunikace. NIS2 Article 23 zavádí postupné hlášení významných incidentů, včetně včasného varování do 24 hodin, oznámení incidentu do 72 hodin, aktualizací na vyžádání a závěrečné zprávy nejpozději do jednoho měsíce od oznámení incidentu.

DORA se uplatňuje od 17. ledna 2025 a stanoví jednotné požadavky na řízení rizik v oblasti ICT, hlášení incidentů souvisejících s ICT, testování digitální provozní odolnosti, sdílení informací a řízení rizik třetích stran v oblasti ICT pro finanční subjekty. Pro dodavatele ve fintechovém sektoru proto může být jeden incident zároveň porušením zabezpečení podle GDPR, významným incidentem podle NIS2, událostí v oblasti ICT relevantní podle DORA pro zákazníky a smluvní oznamovací událostí.

Jak auditoři otestují životní cyklus

Auditoři se zřídka zastaví u otázky „ukažte mi svoji politiku reakce na incidenty“. Testují, zda životní cyklus funguje pod tlakem na důkazy.

Auditor ISO/IEC 27701:2025 nebo ISO/IEC 27001:2022 se bude ptát, jak incidenty ochrany soukromí vstupují do ISMS a PIMS, kdo klasifikuje události, jak se liší povinnosti správce a zpracovatele a jak incidenty vedou k nápravným opatřením.

Auditor GDPR nebo dozorový úřad se zaměří na okamžik zjištění, riziko pro fyzické osoby, zapojení DPO, odůvodnění oznámení, komunikaci s dotčenými fyzickými osobami a odpovědnost. Může vzorkovat incidenty, které nebyly oznámeny, aby ověřil, zda bylo dokumentováno odůvodnění neprovedení oznámení.

Přezkum podle NIS2 nebo DORA bude zkoumat prahové hodnoty významného incidentu, postupné hlášení, dopad na ICT, závislosti na třetích stranách, dopady na odolnost a to, zda bylo hlášení sladěno s požadavky příslušného orgánu nebo zákazníka.

Hodnotitel NIST CSF 2.0 se zeptá, zda incident změnil aktuální profil a cílový profil organizace. Přezkoumávající osoba podle COBIT 2019 se zaměří na správu a řízení, odpovědnost, vlastnictví procesů, metriky a sledování nápravných opatření.

Silný balíček důkazů pro audit má obsahovat:

Zde je Zenith Controls komerčně i provozně hodnotný. Pomáhá mapovat stejné důkazy na incidentní opatření ISO/IEC 27002:2022, odpovědnost podle GDPR, zvládání incidentů podle NIS2, očekávání odolnosti podle DORA, komunikaci podle NIST CSF a správu a řízení podle COBIT, aniž by bylo nutné pokaždé znovu budovat auditní příběh.

Provozní rytmus prvních 24 hodin

Realistický playbook pro porušení zabezpečení PII má být praktický, nikoli teoretický. Zvažte expozici mezi tenanty v SaaS, kterou zákazník nahlásil v 08:12.

V 08:12 přijme tým zákaznického úspěchu hlášení a postupuje podle zásad hlášení ze Zenith Blueprint kroku 16. Tiket je označen jako podezřelý incident týkající se PII.

V 08:25 koordinátor reakce na incidenty otevře REG10. Záznam obsahuje okamžik zjištění, oznamovatele, systém, podezřelé typy dat a vlastníka.

V 09:02 engineering vrací změnu oprávnění. Logy jsou exportovány před rotací. Správce důkazů označí zákaznické hlášení, změnu IAM, export logu přístupu a potvrzení zamezení šíření v zabezpečeném repozitáři.

V 10:30 vedoucí ochrany soukromí stanoví, že organizace jedná jako zpracovatel pro přílohy zákaznické podpory. Podle Politiky řízení incidentů a porušení zabezpečení PII, ustanovení 4.4.4, musí být dotčení zákazníci v roli správců informováni bez zbytečného odkladu a ve smluvních lhůtách. Otevírá se REG08.

Ve 12:00 DPO posuzuje riziko pro subjekty údajů. Data se jeví jako omezená, některé přílohy však mohou obsahovat jména zaměstnanců a interní ID. DPO zaznamenává odůvodnění rizika a doporučení do REG10.

V 15:00 dostávají dotčení zákazníci v roli správců počáteční oznámení: co se stalo, kdy to bylo zjištěno, co bylo zamezeno, jaké PII může být dotčeno, co se stále analyzuje a kdy dorazí další aktualizace.

V 18:00 obdrží vedení krátký briefing: oznámení zákazníkům byla odeslána, rozhodnutí o oznámení dozorovému úřadu náleží správcům pro zákaznické PII, interní zpracování v roli správce se stále posuzuje, důkazy jsou uchovány a probíhá analýza kořenové příčiny.

Tento rytmus brání nejčastějším selháním při porušení zabezpečení: zmeškaným lhůtám, nejasným rolím, nedokumentovanému stanovisku a neřízené komunikaci.

Běžné vzorce selhání, které je nutné odstranit před dalším upozorněním

Nejškodlivější selhání při porušení zabezpečení v oblasti ochrany soukromí jsou jen zřídka způsobena jedním chybějícím dokumentem. Vznikají z nesouladů mezi bezpečností, ochranou soukromí, právním oddělením, dodavateli a vlastníky podnikových procesů.

Clarysec běžně vidí tyto vzorce:

• Plány reakce na incidenty existují, ale chybí klasifikace porušení zabezpečení PII.
• Oznámení podle GDPR do 72 hodin je zmíněno, ale interní lhůty nejsou kratší než zákonná lhůta.
• Eskalace ze strany zpracovatele se zpožďuje, protože týmy čekají na úplnou analýzu kořenové příčiny.
• Smlouvy s dodavateli nevyžadují rychlé oznámení porušení zabezpečení ani podporu při práci s důkazy.
• Stanovisko DPO je ústní a nikdy se nezapíše do registru porušení zabezpečení.
• Komunikace s fyzickými osobami při vysokém riziku se zvažuje příliš pozdě.
• Důkazy jsou ukládány do osobních složek, chatových vláken nebo komentářů v tiketech.
• Rozhodnutí o neprovedení oznámení nejsou dokumentována.
• Získané poznatky neaktualizují opatření, školení, doložky dodavatelů ani plány ošetření rizik.

Zenith Blueprint, krok 23, vystihuje, proč na struktuře záleží:

„Reakce na incidenty bez struktury se mění ve zmatek. E-maily létají, svolávají se schůzky a rozhodnutí se přijímají emocionálně nebo nekonzistentně. Vyspělý ISMS však mění reakci v disciplínu.“

Tato disciplína je účelem řízení porušení zabezpečení PII podle ISO/IEC 27701:2025.

Vybudujte životní cyklus Clarysec pro porušení zabezpečení PII

Přístup Clarysec kombinuje tři vrstvy.

Za prvé, Zenith Blueprint poskytuje implementační roadmapu. Krok 16 zajišťuje, aby lidé rozpoznali a hlásili podezřelé incidenty. Krok 23 operacionalizuje posouzení, rozhodnutí, reakci a shromažďování důkazů prostřednictvím opatření ISO/IEC 27002:2022 5.25, 5.26 a 5.28.

Za druhé, sada politik definuje pravomoci a povinnosti. Politiky pro SME činí hlášení, zjištění do 72 hodin a registry incidentů prakticky použitelnými pro menší organizace. Podnikové politiky přiřazují vedení DPO, prahy porušení zabezpečení, komunikaci s dotčenými fyzickými osobami, smluvní podmínky oznámení dodavatelů, nakládání s důkazy a forenzní správu a řízení. PIMS specifická Politika řízení incidentů a porušení zabezpečení PII doplňuje povinnosti správců a zpracovatelů podle rolí, REG08, REG10, odůvodnění oznámení a důkazy o uzavření.

Za třetí, Zenith Controls funguje jako kompas pro soulad napříč rámci. Mapuje plánování incidentů, posouzení, reakci a důkazy do integrovaného pohledu napříč ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST CSF 2.0 a očekáváními ujištění ve stylu COBIT.

Pro CISO to snižuje provozní nejasnosti. Pro DPO to vytváří obhajitelnou rozhodovací stopu v oblasti ochrany soukromí. Pro manažery souladu to propojuje jeden záznam incidentu s více regulačními výstupy. Pro auditory to vytváří dohledatelné důkazy. Pro vrcholové vedení to snižuje pravděpodobnost, že zvládnutelný incident ochrany soukromí přeroste v regulační a reputační krizi.

Váš další krok

Nečekejte na upozornění ve 2 ráno, abyste zjistili, zda váš proces pro porušení zabezpečení PII funguje.

Začněte tento týden třemi kroky:

1. Prověřte, zda váš příjem incidentů výslovně zachycuje podezřelé incidenty týkající se PII.
2. Potvrďte, že povinnosti správce a zpracovatele při porušení zabezpečení jsou odděleny v politikách, smlouvách a registrech důkazů.
3. Proveďte simulační stolní cvičení s realistickým scénářem, například kompromitované přihlašovací údaje, expozice mezi tenanty, chybně adresovaný mzdový soubor, ztracený šifrovaný notebook nebo kompromitace dodavatele.

Clarysec vám s operacionalizací pomůže prostřednictvím Zenith Blueprint: 30kroková roadmapa auditora Zenith Blueprint, Zenith Controls: průvodce souladem napříč rámci Zenith Controls a sady politik PIMS podle ISO/IEC 27701:2025, včetně Politiky řízení incidentů a porušení zabezpečení PII Politika řízení incidentů a porušení zabezpečení PII, Politiky ochrany osobních údajů a soukromí Politika ochrany osobních údajů a soukromí, Politiky reakce na incidenty pro SME Politika reakce na incidenty pro SME, Bezpečnostní politiky pro dodavatele a poskytovatele služeb třetích stran Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran a Politiky shromažďování důkazů a forenzního šetření Politika shromažďování důkazů a forenzního šetření.

Stáhněte si toolkit Clarysec PIMS, objednejte si posouzení připravenosti na řešení porušení zabezpečení nebo si naplánujte demo a přeměňte svou reakci podle GDPR do 72 hodin ze zmatku v disciplinovaný proces připravený na audit.