Πλάνο ενεργειών GDPR 72 ωρών για παραβιάσεις δεδομένων προσωπικού χαρακτήρα για Επικεφαλής Ασφάλειας Πληροφοριών
Είναι 2:13 π.μ. Τρίτη όταν ενεργοποιείται η ειδοποίηση.
Η Μαρία, Επικεφαλής Ασφάλειας Πληροφοριών μιας ταχέως αναπτυσσόμενης πλατφόρμας FinTech SaaS, ξυπνά από κλιμάκωση του Κέντρου Επιχειρήσεων Ασφάλειας (SOC): ανώμαλα ερωτήματα σε βάση δεδομένων προέρχονται από λογαριασμό προγραμματιστή. Ο λογαριασμός προσπέλασε πίνακες που περιείχαν ονόματα πελατών, διευθύνσεις ηλεκτρονικού ταχυδρομείου, ιστορικά συναλλαγών και εθνικούς αριθμούς ταυτοποίησης. Μέσα σε λίγα λεπτά, η ομάδα επιβεβαιώνει ότι τα διαπιστευτήρια του προγραμματιστή κλάπηκαν σε επίθεση ηλεκτρονικού ψαρέματος. Το παράθυρο έκθεσης δεν είναι ακόμη σαφές. Η πρόθεση του επιτιθέμενου είναι άγνωστη. Η έκταση του αντίκτυπου εξακολουθεί να υπολογίζεται.
Το χρονόμετρο ξεκινά τώρα.
Για το GDPR, η Μαρία ενδέχεται να έχει 72 ώρες για να γνωστοποιήσει το περιστατικό σε εποπτική αρχή, εφόσον είναι πιθανό να επιφέρει κίνδυνο για τα φυσικά πρόσωπα. Για το NIS2, εάν η εταιρεία είναι βασική ή σημαντική οντότητα και το περιστατικό είναι σημαντικό, μπορεί να απαιτείται έγκαιρη προειδοποίηση εντός 24 ωρών και επίσημη γνωστοποίηση εντός 72 ωρών. Για το DORA, ενδέχεται επίσης να ενεργοποιούνται υποχρεώσεις αναφοράς περιστατικών σχετιζόμενων με ΤΠΕ και υποχρεώσεις ψηφιακής επιχειρησιακής ανθεκτικότητας στον χρηματοοικονομικό τομέα. Πελάτες, ασφαλιστές, η Νομική Υπηρεσία, η διοίκηση και οι ελεγκτές θα ζητήσουν απαντήσεις.
Αυτή είναι η στιγμή όπου ένα γενικό σχέδιο αντιμετώπισης περιστατικών συχνά αποτυγχάνει. Ένα εγχειρίδιο ενεργειών για κακόβουλο λογισμικό μπορεί να εξηγεί την απομόνωση κεντρικού υπολογιστή. Μια διαδικασία SOC μπορεί να εξηγεί τη διατήρηση αρχείων καταγραφής. Όμως μια διαδικασία διαχείρισης παραβιάσεων δεδομένων προσωπικού χαρακτήρα κατά ISO/IEC 27701:2025 πρέπει να απαντά σε δυσκολότερα ερωτήματα υπό πίεση:
- Εκτέθηκαν, αλλοιώθηκαν, χάθηκαν, καταστράφηκαν ή προσπελάστηκαν χωρίς εξουσιοδότηση δεδομένα προσωπικού χαρακτήρα;
- Ο οργανισμός ενεργεί ως υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, από κοινού υπεύθυνος επεξεργασίας ή υπεργολάβος επεξεργασίας;
- Πότε υπήρξε λήψη γνώσης και ποια τεκμήρια το αποδεικνύουν;
- Απαιτείται κανονιστική γνωστοποίηση βάσει GDPR Article 33;
- Διατρέχουν τα επηρεαζόμενα φυσικά πρόσωπα υψηλό κίνδυνο βάσει GDPR Article 34;
- Εάν ο οργανισμός ενεργεί ως εκτελών την επεξεργασία, πόσο γρήγορα πρέπει να ειδοποιηθεί ο υπεύθυνος επεξεργασίας;
- Ποια τεκμήρια θα αποδείξουν την απόφαση έξι μήνες αργότερα κατά τη διάρκεια ελέγχου;
Η διαφορά μεταξύ χάους και ελέγχου δεν είναι ο αριθμός των εργαλείων ασφάλειας στην τεχνολογική στοίβα. Είναι το κατά πόσον ο οργανισμός έχει δημιουργήσει ένα πειθαρχημένο Σύστημα Διαχείρισης Πληροφοριών Ιδιωτικότητας, ή PIMS, που συνδέει την αντιμετώπιση περιστατικών, τη διακυβέρνηση ιδιωτικότητας, τον χειρισμό τεκμηρίων, την κλιμάκωση προς προμηθευτές και την κανονιστική αναφορά σε έναν ενιαίο, τεκμηριώσιμο κύκλο ζωής.
Η διαχείριση παραβίασης ξεκινά πριν κάποιος πει «παραβίαση»
Το πρώτο επιχειρησιακό σφάλμα είναι η παραδοχή ότι η διαχείριση παραβίασης δεδομένων προσωπικού χαρακτήρα ξεκινά μόνο αφού η Νομική Υπηρεσία επιβεβαιώσει παραβίαση δεδομένων προσωπικού χαρακτήρα. Στην πράξη, η διαδικασία ξεκινά όταν ένα άτομο, σύστημα, προμηθευτής ή πελάτης παρατηρήσει κάτι που μπορεί να αφορά δεδομένα προσωπικού χαρακτήρα.
Το Zenith Blueprint: An Auditor’s 30-Step Roadmap της Clarysec Zenith Blueprint τοποθετεί αυτό το ανθρώπινο έναυσμα στη φάση Έλεγχοι στην πράξη, Βήμα 16: Έλεγχοι ανθρώπινου παράγοντα II. Ο οδηγός αναφέρει:
«Ένα αποτελεσματικό σύστημα αντιμετώπισης περιστατικών δεν ξεκινά με εργαλεία, αλλά με ανθρώπους. Ο Control 6.8 τονίζει τη σημασία της διασφάλισης ότι κάθε εργαζόμενος, ανάδοχος ή ενδιαφερόμενο μέρος γνωρίζει πώς να αναγνωρίζει και να αναφέρει ένα πιθανό περιστατικό ασφάλειας και αισθάνεται ασφαλής και εξουσιοδοτημένος να το πράξει.»
Αυτό έχει σημασία επειδή πολλά περιστατικά ιδιωτικότητας δεν εντοπίζονται πρώτα από ένα SIEM. Ξεκινούν όταν ένας υπάλληλος υποστήριξης βλέπει συνημμένο άλλου πελάτη, ένας εργαζόμενος μισθοδοσίας παρατηρεί ένα υπολογιστικό φύλλο που στάλθηκε σε λάθος παραλήπτη, ένας πελάτης αναφέρει τιμολόγιο άλλου χρήστη ή ένας προμηθευτής αναφέρει χαμένο φορητό υπολογιστή.
Η Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας για ΜΜΕ Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας για ΜΜΕ, ενότητα Εφαρμογή και συμμόρφωση, ρήτρα 8.3.1, το μετατρέπει αυτό σε άμεση υποχρέωση:
«Όλες οι παραβιάσεις δεδομένων προσωπικού χαρακτήρα ή τα ύποπτα περιστατικά πρέπει να αναφέρονται αμέσως στον Συντονιστή Ιδιωτικότητας»
Για επιχειρησιακά προγράμματα, η Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας, ενότητα Εφαρμογή και συμμόρφωση, ρήτρα 8.3.2, αναθέτει την ευθύνη ηγεσίας:
«Ο Υπεύθυνος Προστασίας Δεδομένων (DPO) πρέπει να ηγείται του περιορισμού, της ανάλυσης και της κλιμάκωσης παραβιάσεων σύμφωνα με το ISO/IEC 27035 και τα GDPR Articles 33 and 34.»
Αυτή είναι η μετάβαση από το «το IT το εξετάζει» στο «έχει ενεργοποιηθεί ο κύκλος ζωής παραβίασης του PIMS».
Το πρώτο σημείο πίεσης: συμβάν, περιστατικό ασφάλειας, περιστατικό ιδιωτικότητας ή παραβίαση δεδομένων προσωπικού χαρακτήρα
Στις 2:13 π.μ., η ομάδα της Μαρίας έχει μια ειδοποίηση. Δεν έχει ακόμη επιβεβαιωμένη κοινοποιητέα παραβίαση. Η πρώτη κρίσιμη απόφαση είναι η ταξινόμηση.
Το Zenith Blueprint, στη φάση Έλεγχοι στην πράξη, Βήμα 23: Οργανωτικοί έλεγχοι, εξηγεί τον έλεγχο ISO/IEC 27002:2022 5.25, Αξιολόγηση και απόφαση σχετικά με συμβάντα ασφάλειας πληροφοριών:
«Δεν είναι κάθε ανωμαλία καταστροφή. Δεν σηματοδοτεί κάθε ειδοποίηση συμβιβασμό. Στον πραγματικό κόσμο, οι ομάδες ασφάλειας και οι επιχειρησιακές μονάδες κατακλύζονται από θόρυβο: απόπειρες σύνδεσης, ανωμαλίες αρχείων καταγραφής, ήσσονος σημασίας παραβιάσεις πολιτικής, δραστηριότητα σκιώδους πληροφορικής. Η πραγματική πρόκληση δεν είναι μόνο ο εντοπισμός, αλλά η διάκριση του αβλαβούς από το επιβλαβές και η γνώση του τι απαιτεί κλιμάκωση.»
Ένας κύκλος ζωής παραβίασης ιδιωτικότητας πρέπει να καθιστά αυτή τη διάκριση επαναλήψιμη. Δεν πρέπει να εξαρτάται από το ποιος είναι σε εφημερία, ποιος δικηγόρος συμμετέχει πρώτος ή αν ο Επικεφαλής Ασφάλειας Πληροφοριών αισθάνεται άνετα με την αβεβαιότητα.
Ένα πρακτικό μοντέλο ταξινόμησης της Clarysec διαχωρίζει τέσσερα στάδια:
| Στάδιο ταξινόμησης | Ερώτημα | Συνήθης υπεύθυνος | Απαιτούμενα τεκμήρια |
|---|---|---|---|
| Συμβάν | Συνέβη κάτι ασυνήθιστο; | Γραφείο Υποστήριξης, SOC, επιχειρησιακός υπεύθυνος | Αίτημα, αναφορά, ειδοποίηση, ηλεκτρονικό μήνυμα, απόσπασμα αρχείου καταγραφής |
| Περιστατικό ασφάλειας | Απείλησε ή παραβίασε το συμβάν την ασφάλεια πληροφοριών; | Συντονιστής Αντιμετώπισης Περιστατικών | Αίτημα περιστατικού, σημειώσεις αρχικής αξιολόγησης, επηρεαζόμενα συστήματα |
| Περιστατικό ιδιωτικότητας | Θα μπορούσε το συμβάν να αφορά δεδομένα προσωπικού χαρακτήρα ή υποχρεώσεις ιδιωτικότητας; | Επικεφαλής Ιδιωτικότητας ή DPO | Κατηγορίες δεδομένων προσωπικού χαρακτήρα, υποκείμενα δεδομένων, ρόλος επεξεργασίας |
| Επιβεβαιωμένη ή ύποπτη παραβίαση δεδομένων προσωπικού χαρακτήρα | Εκτέθηκαν, χάθηκαν, αλλοιώθηκαν, καταστράφηκαν ή προσπελάστηκαν παράνομα ή τυχαία δεδομένα προσωπικού χαρακτήρα; | DPO, Επικεφαλής Ιδιωτικότητας, Νομική Υπηρεσία, επιχειρησιακός υπεύθυνος | Αξιολόγηση κινδύνου, απόφαση γνωστοποίησης, μητρώο τεκμηρίων |
Η λέξη «ύποπτη» είναι κρίσιμη. Η Clarysec δεν συνιστά την αναμονή απόλυτης βεβαιότητας πριν από την έναρξη της ροής εργασίας παραβίασης ιδιωτικότητας. Το μητρώο παραβιάσεων πρέπει να ανοίγει όταν υπάρχει εύλογη υποψία παραβίασης δεδομένων προσωπικού χαρακτήρα και στη συνέχεια να επικαιροποιείται καθώς ωριμάζουν τα πραγματικά περιστατικά.
Η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, ενότητα Ταξινόμηση και αξιολόγηση παραβίασης, ρήτρα 4.2.3, απαιτεί από τους υπευθύνους επεξεργασίας να τεκμηριώνουν την απόφαση πριν από εξωτερική ενέργεια:
«[Υπεύθυνος επεξεργασίας] Ο Υπεύθυνος Προστασίας Δεδομένων / Σύμβουλος Ιδιωτικότητας ΠΡΕΠΕΙ να αξιολογεί τον κίνδυνο για τα επηρεαζόμενα υποκείμενα των δεδομένων προσωπικού χαρακτήρα για κάθε επιβεβαιωμένη ή εύλογα ύποπτη παραβίαση δεδομένων προσωπικού χαρακτήρα και να καταγράφει τη σύσταση γνωστοποίησης, την αιτιολόγηση κινδύνου και τη συμβουλή στο REG10 πριν ληφθεί η απόφαση εξωτερικής γνωστοποίησης.»
Αυτή η ρήτρα αποτελεί τον επιχειρησιακό πυρήνα της ελεγκτικά τεκμηριώσιμης αντιμετώπισης παραβίασης βάσει GDPR: αξιολόγηση κινδύνου, καταγραφή αιτιολόγησης, αποτύπωση συμβουλής, απόφαση και διατήρηση των τεκμηρίων στο REG10.
Το χρονόμετρο των 72 ωρών είναι ζήτημα τεκμηρίων, όχι υπενθύμιση ημερολογίου
Πολλές ομάδες αντιμετωπίζουν την απαίτηση γνωστοποίησης του GDPR εντός 72 ωρών ως προθεσμία σε σχέδιο έργου. Σε πραγματικό περιστατικό, το δύσκολο είναι να αποδειχθεί πότε υπήρξε λήψη γνώσης, τι ήταν γνωστό εκείνη τη στιγμή, πόσο γρήγορα ενήργησε ο οργανισμός και γιατί η απόφαση γνωστοποίησης ήταν εύλογη.
Η Πολιτική Αντιμετώπισης Περιστατικών για ΜΜΕ Πολιτική Αντιμετώπισης Περιστατικών για ΜΜΕ, ενότητα Σκοπός, ρήτρα 1.2, ορίζει τον στόχο:
«Η παρούσα πολιτική επιτρέπει στον οργανισμό να ελαχιστοποιεί τη βλάβη, να προστατεύει τα δεδομένα πελατών και να εκπληρώνει κανονιστικές υποχρεώσεις, όπως η απαίτηση γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα εντός 72 ωρών βάσει GDPR.»
Η Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας για ΜΜΕ, ενότητα Εφαρμογή και συμμόρφωση, ρήτρα 8.3.3, αναφέρει:
«Όπου απαιτείται, η γνωστοποίηση προς αρχές και επηρεαζόμενα φυσικά πρόσωπα πρέπει να πραγματοποιείται εντός 72 ωρών»
Για επιχειρησιακά προγράμματα, η Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας, ενότητα Εφαρμογή και συμμόρφωση, ρήτρα 8.3.3, αναφέρει:
«Παραβιάσεις που πληρούν το νομικό όριο γνωστοποίησης πρέπει να αναφέρονται στις εποπτικές αρχές εντός 72 ωρών.»
Ο στόχος δεν είναι να γνωστοποιείται κάθε ανωμαλία. Ο στόχος είναι να λαμβάνεται τεκμηριώσιμη απόφαση αρκετά γρήγορα ώστε η απαιτούμενη γνωστοποίηση να πραγματοποιείται εγκαίρως. Επομένως, ένα ώριμο PIMS χρησιμοποιεί εσωτερικές προθεσμίες συντομότερες από τις εξωτερικές νομικές προθεσμίες.
| Χρόνος από τη λήψη γνώσης | Ενέργεια PIMS | Τεκμήρια προς καταγραφή στο REG10 |
|---|---|---|
| 0 έως 4 ώρες | Άνοιγμα αρχείου περιστατικού δεδομένων προσωπικού χαρακτήρα, ανάθεση υπευθύνου, διατήρηση αρχικών τεκμηρίων, προσδιορισμός ρόλου επεξεργασίας | Αναφορά εισαγωγής, χρονοσήμανση λήψης γνώσης, ανατεθειμένοι ρόλοι, αρχικά συστήματα και δεδομένα που εμπλέκονται |
| 4 έως 12 ώρες | Περιορισμός έκθεσης, αναγνώριση κατηγοριών δεδομένων προσωπικού χαρακτήρα, προσδιορισμός υποχρεώσεων υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία | Ενέργειες περιορισμού, επηρεαζόμενοι τύποι δεδομένων, αξιολόγηση ρόλου, εξαρτήσεις από προμηθευτές ή πελάτες |
| 12 έως 24 ώρες | Διενέργεια προκαταρκτικής αξιολόγησης κινδύνου και απόφαση αν είναι πιθανή η γνωστοποίηση στην εποπτική αρχή | Αιτιολόγηση κινδύνου, πιθανός αντίκτυπος, αβεβαιότητα, συμβουλή DPO, νομική εισροή |
| 24 έως 48 ώρες | Προετοιμασία γνωστοποίησης ή αιτιολόγησης μη γνωστοποίησης, συντονισμός επικοινωνιών με πελάτες ή υπευθύνους επεξεργασίας | Προσχέδιο γνωστοποίησης, αρχείο καταγραφής αποφάσεων, εγκρίσεις, γνωστοποιήσεις προς πελάτες, αναφορές τεκμηρίων |
| 48 έως 72 ώρες | Υποβολή απαιτούμενης γνωστοποίησης, τεκμηρίωση αιτιολόγησης καθυστέρησης εφόσον απαιτείται, προετοιμασία επικοινωνίας προς φυσικά πρόσωπα εάν υπάρχει υψηλός κίνδυνος | Τεκμήρια υποβολής, αναφορά ρυθμιστικής αρχής, τελική απόφαση, σχέδιο επικοινωνίας |
| Μετά τις 72 ώρες | Συνέχιση διερεύνησης, επικαιροποίηση ρυθμιστικής αρχής εφόσον απαιτείται, ειδοποίηση φυσικών προσώπων όπου απαιτείται, ολοκλήρωση διδαγμάτων που αντλήθηκαν | Συμπληρωματικές αναφορές, διορθωτικές ενέργειες, έγκριση κλεισίματος, κατάλογος εκκρεμών βελτιώσεων |
Η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, ενότητα Γνωστοποίηση και επικοινωνίες, ρήτρα 4.4.1, καθιστά ρητή την απαίτηση τεκμηρίωσης:
«[Υπεύθυνος επεξεργασίας] Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS ΠΡΕΠΕΙ να προετοιμάζει τεκμηριωμένη απόφαση κανονιστικής γνωστοποίησης για κάθε επιβεβαιωμένη παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και εντός εσωτερικής προθεσμίας που υποστηρίζει τα εφαρμοστέα εξωτερικά χρονοδιαγράμματα γνωστοποίησης, και ΠΡΕΠΕΙ να διατηρεί τη γνωστοποίηση, την αιτιολόγηση μη γνωστοποίησης ή την αιτιολόγηση καθυστέρησης στο REG10.»
Μια ρυθμιστική αρχή μπορεί να αμφισβητήσει μια απόφαση. Ένας ελεγκτής μπορεί να ελέγξει αν ακολουθήθηκε η διαδικασία. Όμως, αν ο οργανισμός μπορεί να παρουσιάσει έγκαιρα τεκμήρια, δομημένα κριτήρια, συμβουλή DPO και τεκμηριωμένη αιτιολόγηση, βρίσκεται σε πολύ ισχυρότερη θέση από μια ομάδα που λέει: «Το συζητήσαμε σε μια κλήση.»
Οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία χρειάζονται διαφορετικές διαδρομές παραβίασης
Οι σύγχρονες εταιρείες SaaS συχνά λειτουργούν σε περισσότερους από έναν ρόλους ιδιωτικότητας. Η πλατφόρμα FinTech της Μαρίας μπορεί να είναι υπεύθυνος επεξεργασίας για τους άμεσους συνδρομητές της και εκτελών την επεξεργασία για επιχειρησιακούς πελάτες. Σε άλλο σενάριο, μια πύλη υποστήριξης B2B μπορεί να είναι εκτελών την επεξεργασία για συνημμένα αιτημάτων πελατών, αλλά υπεύθυνος επεξεργασίας για τα δικά της εσωτερικά μεταδεδομένα υποστήριξης.
Αυτή η διάκριση αλλάζει τη διαδρομή γνωστοποίησης.
| Υποχρέωση | Ρόλος υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα | Ρόλος εκτελούντος την επεξεργασία δεδομένων προσωπικού χαρακτήρα |
|---|---|---|
| Κύρια υποχρέωση | Προς την εποπτική αρχή και τα επηρεαζόμενα φυσικά πρόσωπα, όπου πληρούνται τα όρια | Προς τον επηρεαζόμενο υπεύθυνο επεξεργασίας ή πελάτη |
| Αποδέκτης γνωστοποίησης | Σχετική εποπτική αρχή και, εάν υπάρχει υψηλός κίνδυνος, επηρεαζόμενα φυσικά πρόσωπα | Πελάτης ή υπεύθυνος επεξεργασίας που κατονομάζεται στη σύμβαση |
| Έναυσμα γνωστοποίησης | Κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων | Λήψη γνώσης παραβίασης που επηρεάζει δεδομένα προσωπικού χαρακτήρα πελάτη |
| Χρονοδιάγραμμα | Χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη λήψη γνώσης | Χωρίς αδικαιολόγητη καθυστέρηση και εντός συμβατικών προθεσμιών, συχνά 24 ή 48 ώρες |
| Αξιολόγηση κινδύνου | Πρέπει να αξιολογεί τον κίνδυνο για τα φυσικά πρόσωπα και να αποφασίζει για γνωστοποίηση βάσει Article 33 και 34 | Παρέχει πραγματικά περιστατικά ώστε ο υπεύθυνος επεξεργασίας να αξιολογήσει τον κίνδυνο |
Για τους εκτελούντες την επεξεργασία, η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, ενότητα Γνωστοποίηση και επικοινωνίες, ρήτρα 4.4.4, αναφέρει:
«[Εκτελών την επεξεργασία] Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS ΠΡΕΠΕΙ να ειδοποιεί τον επηρεαζόμενο υπεύθυνο επεξεργασίας ή πελάτη χωρίς αδικαιολόγητη καθυστέρηση και εντός κάθε εφαρμοστέας συμβατικής προθεσμίας μετά τη λήψη γνώσης παραβίασης δεδομένων προσωπικού χαρακτήρα που επηρεάζει δεδομένα προσωπικού χαρακτήρα πελάτη, και ΠΡΕΠΕΙ να καταγράφει τις αρχικές και συμπληρωματικές γνωστοποιήσεις στα REG08 και REG10.»
Ο εκτελών την επεξεργασία δεν πρέπει να περιμένει να ολοκληρώσει την ανάλυση κινδύνου GDPR του υπευθύνου επεξεργασίας. Πρέπει να ειδοποιεί τον υπεύθυνο επεξεργασίας με τα διαθέσιμα πραγματικά περιστατικά και να παρέχει επικαιροποιήσεις καθώς συνεχίζεται η διερεύνηση. Στη συνέχεια, ο υπεύθυνος επεξεργασίας αποφασίζει για τη γνωστοποίηση προς την εποπτική αρχή και την επικοινωνία προς τα επηρεαζόμενα φυσικά πρόσωπα για τη δική του επεξεργασία.
Για αντικτύπους υψηλού κινδύνου στα φυσικά πρόσωπα, ο υπεύθυνος επεξεργασίας πρέπει επίσης να αξιολογεί την άμεση επικοινωνία. Η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, ρήτρα 4.4.3, αναφέρει:
«[Υπεύθυνος επεξεργασίας] Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS ΠΡΕΠΕΙ να συντονίζει την επικοινωνία προς τα επηρεαζόμενα υποκείμενα των δεδομένων προσωπικού χαρακτήρα όταν η αξιολόγηση παραβίασης εντοπίζει έναυσμα επικοινωνίας υψηλού κινδύνου ή ισοδύναμο έναυσμα, και ΠΡΕΠΕΙ να καταγράφει το περιεχόμενο επικοινωνίας, τους αποδέκτες, τον χρόνο, τη μέθοδο παράδοσης και τα τεκμήρια έγκρισης στο REG10.»
Η επιχειρησιακή Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας, ενότητα Εφαρμογή και συμμόρφωση, ρήτρα 8.3.4, το ενισχύει:
«Εάν εντοπιστεί υψηλός κίνδυνος για τα φυσικά πρόσωπα, τα επηρεαζόμενα υποκείμενα των δεδομένων πρέπει να ειδοποιούνται χωρίς αδικαιολόγητη καθυστέρηση, εκτός εάν ισχύει εξαίρεση (π.χ. υπάρχει ισχυρή κρυπτογράφηση).»
Αυτή η εξαίρεση πρέπει να βασίζεται σε τεκμήρια. Δεν αρκεί να ειπωθεί ότι «τα δεδομένα ήταν κρυπτογραφημένα». Ο οργανισμός πρέπει να αποδείξει ότι τα εκτεθειμένα δεδομένα ήταν μη αναγνώσιμα για μη εξουσιοδοτημένα μέρη και ότι τα σχετικά κλειδιά δεν είχαν συμβιβαστεί.
Οι προμηθευτές μπορούν να καθορίσουν την επιτυχία ή την αποτυχία των πρώτων 24 ωρών
Τα τρίτα μέρη συχνά κατέχουν τα πραγματικά περιστατικά που απαιτούνται για ταξινόμηση και γνωστοποίηση. Ένας πάροχος υπηρεσιών νέφους μπορεί να κατέχει αρχεία καταγραφής πρόσβασης. Ένας εκτελών την επεξεργασία μισθοδοσίας μπορεί να γνωρίζει ποιοι εργαζόμενοι επηρεάστηκαν. Ένας πάροχος διαχειριζόμενων υπηρεσιών μπορεί να έχει εκτελέσει την αλλαγή διαμόρφωσης. Ένας υπεργολάβος επεξεργασίας μπορεί να κατέχει τηλεμετρία ψηφιακής διερεύνησης.
Οι όροι παραβίασης με προμηθευτές πρέπει, συνεπώς, να σχεδιάζονται πριν από το περιστατικό.
Η Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών, ενότητα Απαιτήσεις διακυβέρνησης, ρήτρα 5.3.3, περιλαμβάνει συμβατική διακυβέρνηση επί των εξής:
«Χρονοδιαγράμματα κοινοποίησης παραβιάσεων (π.χ. εντός 24 ή 72 ωρών, ανάλογα με την κρισιμότητα και τις κανονιστικές απαιτήσεις)»
Για μικρότερους οργανισμούς, η Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών για ΜΜΕ Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών για ΜΜΕ υποστηρίζει αντίστοιχα τα χρονοδιαγράμματα κοινοποίησης παραβιάσεων στη διακυβέρνηση προμηθευτών.
Η Clarysec συνιστά οι συμβάσεις προμηθευτών και οι συμφωνίες επεξεργασίας δεδομένων να ορίζουν:
- Τι συνιστά ύποπτη παραβίαση δεδομένων προσωπικού χαρακτήρα
- Ποιος πρέπει να ειδοποιείται και μέσω ποιου διαύλου
- Αρχική προθεσμία γνωστοποίησης, συχνά συντομότερη από την κανονιστική προθεσμία του υπευθύνου επεξεργασίας
- Ελάχιστα πραγματικά περιστατικά που απαιτούνται στην πρώτη γνωστοποίηση
- Συχνότητα επικαιροποιήσεων κατά τη διερεύνηση
- Υποχρεώσεις διατήρησης τεκμηρίων
- Μετακυλιόμενες υποχρεώσεις γνωστοποίησης προς υπεργολάβους επεξεργασίας
- Υποστήριξη για επικοινωνίες με ρυθμιστικές αρχές και υποκείμενα δεδομένων
- Υποχρεώσεις διορθωτικών ενεργειών μετά το περιστατικό
Εάν οι συμφωνίες προμηθευτών χρησιμοποιούν ασαφείς φράσεις όπως «το συντομότερο πρακτικά εφικτό», το χρονόμετρο GDPR του υπευθύνου επεξεργασίας μπορεί να εξαρτηθεί από την εσωτερική συζήτηση άλλου οργανισμού. Αυτό δεν αποτελεί τεκμηριώσιμο μοντέλο λειτουργίας.
Τα τεκμήρια μετατρέπουν την απόκριση σε τεκμηριώσιμη συμμόρφωση
Κατά το περιστατικό της Μαρίας, η ομάδα χρειάζεται αρχεία καταγραφής αυθεντικοποίησης, καταχωρίσεις ερωτημάτων βάσης δεδομένων, τεκμήρια phishing, αλλαγές ελέγχου πρόσβασης, καταλόγους επηρεαζόμενων πελατών, ενέργειες περιορισμού, συμβουλή DPO και προσχέδια επικοινωνίας. Στο σενάριο της πύλης B2B SaaS, η ομάδα μπορεί να χρειαστεί στιγμιότυπα οθόνης, δικαιώματα αποθήκευσης αντικειμένων, αναγνωριστικά αιτημάτων υποστήριξης, αλλαγές IAM και αρχεία καταγραφής πρόσβασης μεταξύ μισθωτών.
Τα τεκμήρια πρέπει να διατηρούνται ορθά. Σκόρπια στιγμιότυπα οθόνης, εξαγωγές συνομιλιών και προσωπικοί φάκελοι δεν αρκούν.
Το Zenith Blueprint, στη φάση Έλεγχοι στην πράξη, Βήμα 23, εξετάζει τον έλεγχο ISO/IEC 27002:2022 5.28, Συλλογή τεκμηρίων:
«Όταν συμβαίνει ένα περιστατικό ασφάλειας πληροφοριών, ένα από τα πλέον κρίσιμα, αλλά συχνά παραμελημένα, στοιχεία της απόκρισης είναι τα τεκμήρια. Όχι αρχεία καταγραφής, όχι στιγμιότυπα οθόνης, όχι σκόρπιες αφηγήσεις, αλλά τεκμήρια που διατηρούνται ορθά, σέβονται την αλυσίδα φύλαξης και είναι ανθεκτικά σε παραποίηση.»
Η Πολιτική Συλλογής Τεκμηρίων και Ψηφιακής Εγκληματολογικής Ανάλυσης Πολιτική Συλλογής Τεκμηρίων και Ψηφιακής Εγκληματολογικής Ανάλυσης, ενότητα Απαιτήσεις διακυβέρνησης, ρήτρα 5.5, αναφέρει:
«Όλα τα συλλεγμένα τεκμήρια πρέπει να προσδιορίζονται μοναδικά, να επισημαίνονται και να αποθηκεύονται σε ασφαλές αποθετήριο με:»
Η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, ενότητα Τεκμήρια, τήρηση αρχείων και εμπιστευτικότητα, ρήτρα 4.5.1, συνδέει αυτά τα τεκμήρια με το αρχείο PIMS:
«[Και οι δύο] Ο Συντονιστής Αντιμετώπισης Περιστατικών ΠΡΕΠΕΙ να τηρεί πλήρες αρχείο REG10 για κάθε ύποπτο ή επιβεβαιωμένο περιστατικό δεδομένων προσωπικού χαρακτήρα από την εισαγωγή έως το κλείσιμο, συμπεριλαμβανομένων πραγματικών περιστατικών, χρόνου, ταξινόμησης, αξιολόγησης, ενεργειών, αποφάσεων, γνωστοποιήσεων, αναφορών τεκμηρίων και κατάστασης κλεισίματος.»
Το REG10 γίνεται η ενιαία πηγή αλήθειας για το περιστατικό. Το REG08 αποτυπώνει τις γνωστοποιήσεις προς πελάτες ή υπευθύνους επεξεργασίας, όπου εφαρμόζεται. Μαζί επιτρέπουν στις ομάδες ασφάλειας, ιδιωτικότητας, νομικής υποστήριξης και ελέγχου να λειτουργούν βάσει μίας ενιαίας αλυσίδας τεκμηρίων.
| Πεδίο REG10 | Παράδειγμα καταχώρισης |
|---|---|
| Αναγνωριστικό περιστατικού | PII-2026-034 |
| Χρονοσήμανση λήψης γνώσης | 2026-06-23 02:13 UTC, επιβεβαιώθηκε ειδοποίηση SOC |
| Ρόλος επεξεργασίας | Υπεύθυνος επεξεργασίας για άμεσους συνδρομητές, εκτελών την επεξεργασία για σύνολα δεδομένων επιχειρησιακών πελατών |
| Εμπλεκόμενα δεδομένα προσωπικού χαρακτήρα | Ονόματα, επαγγελματικά email, ιστορικά συναλλαγών, εθνικοί αριθμοί ταυτοποίησης |
| Αρχική ταξινόμηση | Επιβεβαιωμένο περιστατικό ασφάλειας με ύποπτη παραβίαση δεδομένων προσωπικού χαρακτήρα |
| Περιορισμός | Ανακλήθηκαν τα διαπιστευτήρια προγραμματιστή, τερματίστηκαν συνεδρίες, περιορίστηκε η πρόσβαση στην επηρεαζόμενη βάση δεδομένων |
| Αξιολόγηση κινδύνου | Προσπελάστηκαν μη δημόσια αναγνωριστικά, δεν μπορεί να αποκλειστεί κίνδυνος απάτης ταυτότητας |
| Απόφαση γνωστοποίησης | Εγκρίθηκε γνωστοποίηση προς εποπτική αρχή για δεδομένα υπευθύνου επεξεργασίας, οι επιχειρησιακοί πελάτες ειδοποιήθηκαν ως υπεύθυνοι επεξεργασίας |
| Αναφορές τεκμηρίων | Αρχείο καταγραφής αυθεντικοποίησης E-034-01, εξαγωγή ερωτημάτων E-034-02, τεκμήριο phishing E-034-03 |
| Κλείσιμο | Διορθώθηκε η βασική αιτία, ενισχύθηκαν οι έλεγχοι MFA, επικαιροποιήθηκε η εκπαίδευση phishing, ολοκληρώθηκε η παρακολούθηση με πελάτες |
Ο σκοπός δεν είναι η γραφειοκρατία. Είναι να αποτραπεί η ανακατασκευή της μνήμης του οργανισμού από διάσπαρτα μηνύματα Slack αφού καλέσει η ρυθμιστική αρχή.
Χαρτογράφηση της απόκρισης PIMS κατά ISO 27701 σε ISO 27001 και ISO 27002
Μια ώριμη διαδικασία παραβίασης δεδομένων προσωπικού χαρακτήρα βρίσκεται στη διασταύρωση της διακυβέρνησης ιδιωτικότητας και της διαχείρισης ασφάλειας πληροφοριών.
Οι ρήτρες 4.1 έως 4.4 του ISO/IEC 27001:2022 απαιτούν από τους οργανισμούς να κατανοούν το πλαίσιο, τα ενδιαφερόμενα μέρη, το πεδίο εφαρμογής του ISMS και τις διαδικασίες του συστήματος διαχείρισης. Για τη διαχείριση παραβίασης δεδομένων προσωπικού χαρακτήρα, αυτό σημαίνει ότι η διαδικασία πρέπει να αποτυπώνει κανονιστικές υποχρεώσεις, συμβάσεις πελατών, ρόλους επεξεργασίας, εξαρτήσεις από προμηθευτές και κλαδικές υποχρεώσεις πριν συμβεί περιστατικό.
Το Zenith Controls: The Cross-Compliance Guide Zenith Controls βοηθά στη χαρτογράφηση ελέγχων περιστατικών σε ευρύτερο μοντέλο διασφάλισης. Οι πιο συναφείς έλεγχοι ISO/IEC 27002:2022 είναι:
| Έλεγχος ISO/IEC 27002:2022 | Αντιμετώπιση στο Zenith Controls | Γιατί έχει σημασία για τη διαχείριση παραβίασης δεδομένων προσωπικού χαρακτήρα |
|---|---|---|
| 5.24 Σχεδιασμός και προετοιμασία διαχείρισης περιστατικών ασφάλειας πληροφοριών | Διορθωτικός έλεγχος, Απόκριση και ανάκαμψη, διακυβέρνηση και διαχείριση συμβάντων ασφάλειας πληροφοριών | Ορίζει σχέδια, ρόλους, διαδρομές κλιμάκωσης, πρότυπα επικοινωνίας και ετοιμότητα για παραβίαση ιδιωτικότητας |
| 5.25 Αξιολόγηση και απόφαση σχετικά με συμβάντα ασφάλειας πληροφοριών | Ανιχνευτικός έλεγχος, Εντοπισμός και απόκριση, διαχείριση συμβάντων ασφάλειας πληροφοριών | Δημιουργεί το δομημένο σημείο απόφασης για ταξινόμηση περιστατικών ιδιωτικότητας και ύποπτων παραβιάσεων δεδομένων προσωπικού χαρακτήρα |
| 5.26 Απόκριση σε περιστατικά ασφάλειας πληροφοριών | Διορθωτικός έλεγχος, Απόκριση και ανάκαμψη, διαχείριση συμβάντων ασφάλειας πληροφοριών | Ενεργοποιεί τον περιορισμό, τον συντονισμό, την υποστήριξη γνωστοποιήσεων, την ανάκαμψη και την επικοινωνία με ενδιαφερόμενα μέρη |
| 5.28 Συλλογή τεκμηρίων | Διατήρηση τεκμηρίων και αξιοπιστία διερεύνησης καθ’ όλο τον κύκλο ζωής περιστατικού | Υποστηρίζει λογοδοσία βάσει GDPR, ποιότητα ψηφιακής διερεύνησης, ερωτήματα ρυθμιστικής αρχής και τεκμηρίωση θέσης σε έλεγχο |
| 6.8 Αναφορά συμβάντων ασφάλειας πληροφοριών | Δίαυλος αναφοράς με επίκεντρο τον ανθρώπινο παράγοντα και εκπαίδευση ευαισθητοποίησης | Διασφαλίζει ότι ύποπτα περιστατικά δεδομένων προσωπικού χαρακτήρα αναφέρονται γρήγορα από εργαζόμενους, αναδόχους και ενδιαφερόμενα μέρη |
Το ISO/IEC 27035 υποστηρίζει δομημένη διαχείριση περιστατικών. Το ISO/IEC 27037 υποστηρίζει τον χειρισμό ψηφιακών τεκμηρίων. Το ISO/IEC 29134 μπορεί να υποστηρίξει τη λογική εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων όταν η αποκατάσταση παραβίασης αναδεικνύει ανάγκη για βαθύτερη ανασκόπηση DPIA. Στη συνέχεια, το ISO/IEC 27701:2025 εισάγει στο σύστημα διαχείρισης το πλαίσιο ρόλων ιδιωτικότητας, τον αντίκτυπο στα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, τις υποχρεώσεις υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία και τις απαιτήσεις τεκμηρίων PIMS.
Ένα περιστατικό, πολλοί κανονιστικοί φακοί
Το περιστατικό της Μαρίας δεν είναι μόνο ζήτημα GDPR. Επειδή η εταιρεία παρέχει υπηρεσίες νέφους σε πελάτες του χρηματοοικονομικού τομέα, μπορεί επίσης να εφαρμόζονται NIS2 και DORA. Οι συμβάσεις πελατών μπορεί να επιβάλλουν γνωστοποίηση εντός 24 ωρών. Η κυβερνοασφάλιση μπορεί να απαιτεί ταχεία ειδοποίηση. Η εσωτερική διακυβέρνηση μπορεί να απαιτεί αναφορά στο Διοικητικό Συμβούλιο.
Η δημιουργία ξεχωριστών αφηγήσεων για κάθε πλαίσιο δημιουργεί κίνδυνο αντιφάσεων. Η μέθοδος της Clarysec είναι να διατηρεί μία ενιαία αλυσίδα τεκμηρίων και στη συνέχεια να δημιουργεί από αυτήν παραδοτέα ανά πλαίσιο.
| Πλαίσιο ή κανονισμός | Οπτική περιστατικού | Παραδοτέο αλυσίδας τεκμηρίων Clarysec |
|---|---|---|
| GDPR | Παραβίαση δεδομένων προσωπικού χαρακτήρα, κίνδυνος για φυσικά πρόσωπα, γνωστοποίηση σε εποπτική αρχή, επικοινωνία με επηρεαζόμενα φυσικά πρόσωπα | Αρχείο απόφασης REG10, συμβουλή DPO, αιτιολόγηση Article 33 και 34, τεκμήρια επικοινωνίας |
| ISO/IEC 27701:2025 | Διακυβέρνηση PIMS, καθήκοντα υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία, κίνδυνος για υποκείμενα των δεδομένων προσωπικού χαρακτήρα, τεκμήρια ιδιωτικότητας | Ταξινόμηση περιστατικού δεδομένων προσωπικού χαρακτήρα, αξιολόγηση ρόλου, REG08 και REG10, διορθωτικές ενέργειες |
| ISO/IEC 27001:2022 | Πλαίσιο ISMS, ενδιαφερόμενα μέρη, διαδικασία αντιμετώπισης περιστατικών, συνεχής βελτίωση | Αρχείο περιστατικού, επικαιροποιήσεις αντιμετώπισης κινδύνων, εισροή ανασκόπησης της Διοίκησης, τεκμήρια αποτελεσματικότητας ελέγχων |
| NIS2 | Χειρισμός σημαντικού περιστατικού, σταδιακή αναφορά, ολιστική προσέγγιση του κινδύνου | Τεκμήρια έγκαιρης προειδοποίησης 24 ωρών, δέσμη γνωστοποίησης περιστατικού 72 ωρών, υποστήριξη τελικής αναφοράς ενός μήνα |
| DORA | Διαχείριση περιστατικών σχετιζόμενων με ΤΠΕ για χρηματοοικονομικές οντότητες και ψηφιακή επιχειρησιακή ανθεκτικότητα | Πραγματικά περιστατικά αντικτύπου ΤΠΕ, εξαρτήσεις τρίτων μερών, ανατροφοδότηση από δοκιμές ανθεκτικότητας, υποστήριξη αναφοράς περιστατικού |
| NIST CSF 2.0 | Τρέχον Προφίλ και Προφίλ-Στόχος, ιεραρχημένο σχέδιο δράσης, επικοινωνία κινδύνου | Επικαιροποιήσεις κενών, στοχευμένες βελτιώσεις, αφήγηση κινδύνου σε επίπεδο Διοικητικού Συμβουλίου |
| COBIT 2019 | Διακυβέρνηση, στόχοι διαχείρισης, λογοδοσία, απόδοση ελέγχων | RACI, αρχεία καταγραφής αποφάσεων, μετρικές διαδικασιών, παρακολούθηση διορθωτικών ενεργειών |
Το NIS2 Article 21 θεσπίζει μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, συμπεριλαμβανομένων χειρισμού περιστατικών, επιχειρησιακής συνέχειας, ασφάλειας εφοδιαστικής αλυσίδας, αξιολόγησης αποτελεσματικότητας, κυβερνοϋγιεινής, κρυπτογραφίας, ελέγχου πρόσβασης, διαχείρισης περιουσιακών στοιχείων, MFA και ασφαλών επικοινωνιών. Το NIS2 Article 23 θεσπίζει σταδιακή αναφορά για σημαντικά περιστατικά, συμπεριλαμβανομένης έγκαιρης προειδοποίησης εντός 24 ωρών, γνωστοποίησης περιστατικού εντός 72 ωρών, επικαιροποιήσεων όταν ζητούνται και τελικής αναφοράς το αργότερο έναν μήνα μετά τη γνωστοποίηση του περιστατικού.
Το DORA εφαρμόζεται από τις 17 Ιανουαρίου 2025 και θεσπίζει ενιαίες απαιτήσεις για τη διαχείριση κινδύνων ΤΠΕ, την αναφορά περιστατικών σχετιζόμενων με ΤΠΕ, τις δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, την ανταλλαγή πληροφοριών και τη διαχείριση κινδύνου τρίτων παρόχων υπηρεσιών ΤΠΕ για χρηματοοικονομικές οντότητες. Για έναν προμηθευτή FinTech, ένα ενιαίο περιστατικό μπορεί, συνεπώς, να είναι παραβίαση GDPR, σημαντικό περιστατικό NIS2, συμβάν ΤΠΕ σχετικό με DORA για πελάτες και συμβατικό γεγονός γνωστοποίησης.
Πώς θα ελέγξουν οι ελεγκτές τον κύκλο ζωής
Οι ελεγκτές σπάνια σταματούν στο «δείξτε μου την πολιτική αντιμετώπισης περιστατικών». Ελέγχουν αν ο κύκλος ζωής λειτουργεί υπό πίεση τεκμηρίων.
Ένας ελεγκτής ISO/IEC 27701:2025 ή ISO/IEC 27001:2022 θα ρωτήσει πώς εισέρχονται τα περιστατικά ιδιωτικότητας στο ISMS και στο PIMS, ποιος ταξινομεί τα συμβάντα, πώς διαφέρουν τα καθήκοντα υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία και πώς τα περιστατικά οδηγούν σε διορθωτικές ενέργειες.
Ένας ελεγκτής GDPR ή μια εποπτική αρχή θα εστιάσει στον χρόνο λήψης γνώσης, στον κίνδυνο για τα φυσικά πρόσωπα, στη συμμετοχή του DPO, στην αιτιολόγηση γνωστοποίησης, στην επικοινωνία με επηρεαζόμενα φυσικά πρόσωπα και στη λογοδοσία. Μπορεί να εξετάσουν δειγματοληπτικά περιστατικά που δεν γνωστοποιήθηκαν για να ελέγξουν αν τεκμηριώθηκε η αιτιολόγηση μη γνωστοποίησης.
Μια ανασκόπηση NIS2 ή DORA θα εξετάσει τα όρια σημαντικού περιστατικού, τη σταδιακή αναφορά, τον αντίκτυπο ΤΠΕ, τις εξαρτήσεις τρίτων μερών, τις επιπτώσεις στην ανθεκτικότητα και το κατά πόσον η αναφορά ευθυγραμμίστηκε με τη σχετική αρμόδια αρχή ή τις απαιτήσεις πελατών.
Ένας αξιολογητής NIST CSF 2.0 θα ρωτήσει αν το περιστατικό άλλαξε το Τρέχον Προφίλ και το Προφίλ-Στόχο του οργανισμού. Ένας ανασκοπητής COBIT 2019 θα εστιάσει στη διακυβέρνηση, τη λογοδοσία, την ιδιοκτησία διαδικασιών, τις μετρικές και την παρακολούθηση διορθωτικών ενεργειών.
Μια ισχυρή δέσμη τεκμηρίων ελέγχου πρέπει να περιλαμβάνει:
| Στοιχείο τεκμηρίων | Γιατί το ζητούν οι ελεγκτές |
|---|---|
| Αρχείο περιστατικού REG10 | Αποδεικνύει εισαγωγή, χρόνο, ταξινόμηση, αξιολόγηση, αποφάσεις, γνωστοποιήσεις και κλείσιμο |
| Αρχείο γνωστοποίησης REG08 προς πελάτη ή υπεύθυνο επεξεργασίας | Αποδεικνύει επικοινωνίες εκτελούντος την επεξεργασία και ιστορικό επικαιροποιήσεων προς πελάτες |
| Αρχική αναφορά ή ειδοποίηση | Καθορίζει πώς εντοπίστηκε το περιστατικό και πότε ξεκίνησε η λήψη γνώσης |
| Χρονογραμμή βασικών ενεργειών | Δείχνει περιορισμό, αξιολόγηση, εγκρίσεις και αποφάσεις γνωστοποίησης |
| Αξιολόγηση ρόλου επεξεργασίας | Τεκμηριώνει τον διαχωρισμό καθηκόντων υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία |
| Κατηγορίες δεδομένων προσωπικού χαρακτήρα και επηρεαζόμενα υποκείμενα | Υποστηρίζει την αξιολόγηση κινδύνου και το πεδίο γνωστοποίησης |
| Σύσταση DPO ή Συμβούλου Ιδιωτικότητας | Αποδεικνύει υπεύθυνη συμβουλή ιδιωτικότητας πριν από εξωτερική απόφαση |
| Αιτιολόγηση γνωστοποίησης ή μη γνωστοποίησης | Υποστηρίζει λογοδοσία βάσει GDPR Article 33 και 34 |
| Ευρετήριο αποθετηρίου τεκμηρίων | Τεκμηριώνει την ακεραιότητα των τεκμηρίων και την πειθαρχία της αλυσίδας φύλαξης |
| Βασική αιτία και σχέδιο διορθωτικών ενεργειών | Δείχνει συνεχή βελτίωση και ανασκόπηση αποτελεσματικότητας ελέγχων |
Εδώ το Zenith Controls έχει εμπορική και επιχειρησιακή αξία. Βοηθά στη χαρτογράφηση των ίδιων τεκμηρίων σε ελέγχους περιστατικών ISO/IEC 27002:2022, λογοδοσία GDPR, χειρισμό περιστατικών NIS2, προσδοκίες ανθεκτικότητας DORA, επικοινωνία NIST CSF και διακυβέρνηση COBIT, χωρίς να απαιτείται κάθε φορά ανακατασκευή της αφήγησης ελέγχου.
Επιχειρησιακός ρυθμός των πρώτων 24 ωρών
Ένα ρεαλιστικό πλάνο ενεργειών για παραβίαση δεδομένων προσωπικού χαρακτήρα πρέπει να είναι πρακτικό, όχι θεωρητικό. Εξετάστε μια έκθεση μεταξύ μισθωτών σε SaaS, η οποία αναφέρεται από πελάτη στις 08:12.
Στις 08:12, η ομάδα εξυπηρέτησης πελατών λαμβάνει την αναφορά και ακολουθεί τη συμπεριφορά αναφοράς από το Zenith Blueprint Βήμα 16. Το αίτημα επισημαίνεται ως ύποπτο περιστατικό δεδομένων προσωπικού χαρακτήρα.
Στις 08:25, ο Συντονιστής Αντιμετώπισης Περιστατικών ανοίγει το REG10. Το αρχείο περιλαμβάνει τη χρονοσήμανση λήψης γνώσης, τον αναφέροντα, το σύστημα, τους ύποπτους τύπους δεδομένων και τον υπεύθυνο.
Στις 09:02, η ομάδα μηχανικών αναιρεί την αλλαγή δικαιωμάτων. Τα αρχεία καταγραφής εξάγονται πριν από την εναλλαγή αρχείων καταγραφής. Ο θεματοφύλακας τεκμηρίων επισημαίνει την αναφορά πελάτη, την αλλαγή IAM, την εξαγωγή αρχείων καταγραφής πρόσβασης και την επιβεβαίωση περιορισμού στο ασφαλές αποθετήριο.
Στις 10:30, ο Επικεφαλής Ιδιωτικότητας προσδιορίζει ότι ο οργανισμός ενεργεί ως εκτελών την επεξεργασία για συνημμένα υποστήριξης πελατών. Βάσει της Πολιτικής Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, ρήτρα 4.4.4, οι επηρεαζόμενοι πελάτες-υπεύθυνοι επεξεργασίας πρέπει να ειδοποιηθούν χωρίς αδικαιολόγητη καθυστέρηση και εντός συμβατικών προθεσμιών. Ανοίγει το REG08.
Στις 12:00, ο DPO αξιολογεί τον κίνδυνο για τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα. Τα δεδομένα φαίνονται περιορισμένα, αλλά ορισμένα συνημμένα μπορεί να περιλαμβάνουν ονόματα εργαζομένων και εσωτερικά αναγνωριστικά. Ο DPO καταγράφει την αιτιολόγηση κινδύνου και τη σύσταση στο REG10.
Στις 15:00, οι επηρεαζόμενοι πελάτες-υπεύθυνοι επεξεργασίας λαμβάνουν την αρχική γνωστοποίηση: τι συνέβη, πότε εντοπίστηκε, τι περιορίστηκε, ποια δεδομένα προσωπικού χαρακτήρα μπορεί να εμπλέκονται, τι εξακολουθεί να αναλύεται και πότε θα αποσταλεί η επόμενη επικαιροποίηση.
Στις 18:00, η διοίκηση λαμβάνει σύντομη ενημέρωση: οι γνωστοποιήσεις προς πελάτες έχουν αποσταλεί, οι αποφάσεις γνωστοποίησης προς ρυθμιστικές αρχές ανήκουν στους υπευθύνους επεξεργασίας για τα δεδομένα προσωπικού χαρακτήρα πελατών, η εσωτερική επεξεργασία του υπευθύνου επεξεργασίας εξακολουθεί να αξιολογείται, τα τεκμήρια έχουν διατηρηθεί και η ανάλυση βασικής αιτίας βρίσκεται σε εξέλιξη.
Αυτός ο ρυθμός αποτρέπει τις συνηθέστερες αποτυχίες σε παραβιάσεις: χαμένες προθεσμίες, συγκεχυμένους ρόλους, μη τεκμηριωμένη συμβουλή και μη ελεγχόμενες επικοινωνίες.
Συνήθη μοτίβα αστοχίας που πρέπει να εξαλειφθούν πριν από την επόμενη ειδοποίηση
Οι πιο επιζήμιες αποτυχίες σε παραβιάσεις ιδιωτικότητας σπάνια προκαλούνται από ένα έγγραφο που λείπει. Προκαλούνται από ασυνέχειες μεταξύ ασφάλειας, ιδιωτικότητας, νομικής υποστήριξης, προμηθευτών και υπευθύνων επιχειρησιακών διεργασιών.
Η Clarysec συναντά συχνά τα ακόλουθα μοτίβα:
- Υπάρχουν σχέδια αντιμετώπισης περιστατικών, αλλά λείπει η ταξινόμηση παραβίασης δεδομένων προσωπικού χαρακτήρα.
- Αναφέρεται η γνωστοποίηση GDPR εντός 72 ωρών, αλλά οι εσωτερικές προθεσμίες δεν είναι συντομότερες από τη νομική προθεσμία.
- Η κλιμάκωση από εκτελούντα την επεξεργασία καθυστερεί επειδή οι ομάδες περιμένουν πλήρη ανάλυση βασικής αιτίας.
- Οι συμβάσεις προμηθευτών δεν απαιτούν ταχεία γνωστοποίηση παραβίασης ή υποστήριξη τεκμηρίων.
- Η συμβουλή DPO δίνεται προφορικά και δεν καταχωρίζεται ποτέ στο μητρώο παραβιάσεων.
- Η επικοινωνία προς φυσικά πρόσωπα υψηλού κινδύνου εξετάζεται πολύ αργά.
- Τα τεκμήρια αποθηκεύονται σε προσωπικούς φακέλους, νήματα συνομιλιών ή σχόλια αιτημάτων.
- Οι αποφάσεις μη γνωστοποίησης δεν τεκμηριώνονται.
- Τα διδάγματα που αντλήθηκαν δεν επικαιροποιούν ελέγχους, εκπαίδευση, ρήτρες προμηθευτών ή σχέδια αντιμετώπισης κινδύνων.
Το Zenith Blueprint, Βήμα 23, αποτυπώνει γιατί έχει σημασία η δομή:
«Μια απόκριση σε περιστατικό χωρίς δομή μετατρέπεται σε πανικό. Τα email πολλαπλασιάζονται, συγκαλούνται συσκέψεις και οι αποφάσεις λαμβάνονται συναισθηματικά ή ασυνεπώς. Όμως ένα ώριμο ISMS μετατρέπει την απόκριση σε πειθαρχία.»
Αυτή η πειθαρχία είναι ο σκοπός της διαχείρισης παραβιάσεων δεδομένων προσωπικού χαρακτήρα κατά ISO/IEC 27701:2025.
Δημιουργήστε τον κύκλο ζωής παραβίασης δεδομένων προσωπικού χαρακτήρα της Clarysec
Η προσέγγιση της Clarysec συνδυάζει τρία επίπεδα.
Πρώτον, το Zenith Blueprint παρέχει τον οδικό χάρτη υλοποίησης. Το Βήμα 16 διασφαλίζει ότι οι άνθρωποι αναγνωρίζουν και αναφέρουν ύποπτα περιστατικά. Το Βήμα 23 καθιστά επιχειρησιακά εφαρμόσιμες την αξιολόγηση, την απόφαση, την απόκριση και τη συλλογή τεκμηρίων μέσω των ελέγχων ISO/IEC 27002:2022 5.25, 5.26 και 5.28.
Δεύτερον, το σύνολο πολιτικών ορίζει αρμοδιότητες και υποχρεώσεις. Οι πολιτικές για ΜΜΕ καθιστούν πρακτικές για μικρότερους οργανισμούς την αναφορά, τη λήψη γνώσης εντός 72 ωρών και τα μητρώα περιστατικών. Οι επιχειρησιακές πολιτικές αναθέτουν ηγεσία DPO, όρια παραβίασης, επικοινωνία με επηρεαζόμενα φυσικά πρόσωπα, όρους γνωστοποίησης προμηθευτών, χειρισμό τεκμηρίων και διακυβέρνηση ψηφιακής διερεύνησης. Η ειδική για PIMS Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα προσθέτει καθήκοντα υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία ανά ρόλο, REG08, REG10, αιτιολόγηση γνωστοποίησης και τεκμήρια κλεισίματος.
Τρίτον, το Zenith Controls λειτουργεί ως πυξίδα χαρτογράφησης συμμόρφωσης μεταξύ πλαισίων. Χαρτογραφεί τον σχεδιασμό, την αξιολόγηση, την απόκριση και τα τεκμήρια περιστατικών σε ενοποιημένη προβολή σε ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST CSF 2.0 και προσδοκίες διασφάλισης τύπου COBIT.
Για τους Επικεφαλής Ασφάλειας Πληροφοριών, αυτό μειώνει την επιχειρησιακή σύγχυση. Για τους DPO, δημιουργεί τεκμηριώσιμη διαδρομή αποφάσεων ιδιωτικότητας. Για τους Διευθυντές Συμμόρφωσης, συνδέει ένα αρχείο περιστατικού με πολλαπλά κανονιστικά παραδοτέα. Για τους ελεγκτές, δημιουργεί ιχνηλάσιμα τεκμήρια. Για τη διοίκηση, μειώνει την πιθανότητα ένα διαχειρίσιμο περιστατικό ιδιωτικότητας να εξελιχθεί σε κανονιστική κρίση και κρίση φήμης.
Το επόμενο βήμα σας
Μην περιμένετε την ειδοποίηση στις 2 π.μ. για να διαπιστώσετε αν λειτουργεί η διαδικασία παραβίασης δεδομένων προσωπικού χαρακτήρα σας.
Ξεκινήστε αυτή την εβδομάδα με τρεις ενέργειες:
- Ανασκοπήστε αν η εισαγωγή περιστατικών καταγράφει ρητά ύποπτα περιστατικά δεδομένων προσωπικού χαρακτήρα.
- Επιβεβαιώστε ότι τα καθήκοντα υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία για παραβιάσεις διαχωρίζονται σε πολιτικές, συμβάσεις και μητρώα τεκμηρίων.
- Εκτελέστε άσκηση επιτραπέζιου σεναρίου με ρεαλιστικό σενάριο, όπως συμβιβασμένα διαπιστευτήρια, έκθεση μεταξύ μισθωτών, αρχείο μισθοδοσίας που στάλθηκε σε λάθος παραλήπτη, χαμένος κρυπτογραφημένος φορητός υπολογιστής ή συμβιβασμός προμηθευτή.
Η Clarysec μπορεί να σας βοηθήσει να το εφαρμόσετε στην πράξη μέσω του Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, του Zenith Controls: The Cross-Compliance Guide Zenith Controls και του συνόλου πολιτικών ISO/IEC 27701:2025 PIMS, συμπεριλαμβανομένων της Πολιτικής Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα, της Πολιτικής Προστασίας Δεδομένων και Ιδιωτικότητας Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας, της Πολιτικής Αντιμετώπισης Περιστατικών για ΜΜΕ Πολιτική Αντιμετώπισης Περιστατικών για ΜΜΕ, της Πολιτικής Ασφάλειας Τρίτων Μερών και Προμηθευτών Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών και της Πολιτικής Συλλογής Τεκμηρίων και Ψηφιακής Εγκληματολογικής Ανάλυσης Πολιτική Συλλογής Τεκμηρίων και Ψηφιακής Εγκληματολογικής Ανάλυσης.
Κατεβάστε το Clarysec PIMS toolkit, κλείστε αξιολόγηση ετοιμότητας για παραβίαση ή προγραμματίστε μια επίδειξη για να μετατρέψετε την απόκρισή σας σε GDPR εντός 72 ωρών από πανικό σε πειθαρχημένη, ελεγκτικά τεκμηριώσιμη διαδικασία.
Πιστοποιηθείτε στο PECB ISO/IEC 27701 και στήστε το PIMS σας
- ✓ Επίσημο εκπαιδευτικό υλικό PECB και δύο προσπάθειες εξέτασης
- ✓ Τέλος πιστοποίησης και ετήσιο τέλος διατήρησης (AMF) πρώτου έτους, όπου ισχύει
- ✓ Αυτοδιδασκαλία ή ζωντανά online · ανάθεση μαθήματος εντός 1 εργάσιμης ημέρας
Σχετικά με τον συγγραφέα
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council