ISO 27701:2025 PIMS-i tõendusmaterjal GDPR-i audititeks

On neljapäeva hommik kell 08:40 ja FinScale’i vastavusjuht Ava on just avanud e-kirja, mille saab varem või hiljem iga kiiresti kasvav B2B SaaS-i ettevõte.

Suur Saksamaa äriklient on saatnud GDPR-i hoolsuskontrolli küsimustiku 48-tunnise tähtajaga. Ta ei küsi privaatsuspoliitikat. Teda ei rahulda sertifikaat. Ta küsib tõendusmaterjali.

Esitage meie andmete kohta töötlemistoimingute register. Näidake tõendusmaterjali alltöötlejate kaasamise hoolsuskontrolli kohta. Selgitage, kuidas tõendate oma GDPR Article 28 kohustusi. Määrake iga töövoo kohta, kas teie platvorm tegutseb PII vastutava töötleja, volitatud töötleja, kaasvastutava töötleja või alltöötlejana. Tõendage, et teie tehisintellektil põhineva klienditoe funktsiooni õiguslik alus on valideeritud. Näidake kustutamiskohustusi, auditeerimisõigusi, intsidenditoe korraldust ja lepingulisi kontrollimeetmeid.

Ava teab, et FinScale’il on vajalikud komponendid olemas. Õigusosakonnal on andmetöötlusleping. Infoturbemeeskonnal on ISO/IEC 27001:2022 kohaldatavusdeklaratsioon. Tootemeeskonnal on kasutuselevõtu kontrollnimekirjad. Hankeüksusel on tarnijalepingud. Vastavusfunktsioonil on töötlemisregister, kuigi mõned kirjed on aegunud. Probleem ei ole selles, et tõendusmaterjali ei ole. Probleem on selles, et tõendusmaterjal on hajutatud, rollide ebaselgus on lahendamata ning keegi ei suuda kiiresti jälgida töötlemistoimingut eesmärgist õigusliku aluse, riskiotsuse, tarnija kontrollimeetme, turbekontrolli, auditikirje ja juhtkonnapoolse läbivaatamiseni.

See on tegelik vastutuse tõendamise lünk.

ISO 27701:2025 muutub väärtuslikuks siis, kui see selle lünga sulgeb. Privaatsusteabe haldussüsteem ehk PIMS ei ole ainult privaatsussertifitseerimise poliitikakaust. See on toimimismudel usaldusväärse tõendusmaterjali loomiseks. Infoturbejuhtide, vastavusjuhtide, privaatsusvaldkonna juhtide, audiitorite ja ärijuhtide eesmärk on lihtne: luua PIMS, mis tõendab GDPR-i vastutuspõhimõtte täitmist PII vastutavate töötlejate ja volitatud töötlejate puhul ning toetab samal ajal ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 ja COBIT 2019 ootusi.

GDPR-i vastutuspõhimõte on tõendusmaterjali probleem

GDPR-i vastutuspõhimõtet mõistetakse sageli ekslikult dokumenteerimisnõudena. Tegelikult on see nõudlikum.

GDPR Article 5 määratleb isikuandmete töötlemise põhiprintsiibid, sealhulgas seaduslikkuse, õigluse, läbipaistvuse, eesmärgi piirangu, võimalikult väheste andmete kogumise, täpsuse, säilitamise piirangu, tervikluse ja konfidentsiaalsuse. Article 5(2) paneb vastutavale töötlejale kohustuse suuta vastavust tõendada. Article 4 määratleb isikuandmete, töötlemise, vastutava töötleja, volitatud töötleja, pseudonüümimise ja isikuandmetega seotud rikkumise mõisted. Article 6 nõuab iga vastutava töötleja töötlemistoimingu jaoks õiguslikku alust. Article 9 lisab eriliiki isikuandmete jaoks rangemad tingimused. Article 28 reguleerib volitatud töötleja kohustusi ja lepingutingimusi.

Neid kohustusi ei täida üksnes avalik privaatsusteade. Need nõuavad tõendusmaterjali töötlemistoimingu tasandil.

Praktiline ISO 27701:2025 PIMS-i tõendusmudel peab vastama järgmistele küsimustele:

• Millist PII-d töödeldakse?
• Miks seda töödeldakse?
• Kas organisatsioon tegutseb vastutava töötleja, volitatud töötleja, kaasvastutava töötleja või alltöötlejana?
• Milline õiguslik alus kohaldub juhul, kui organisatsioon on vastutav töötleja?
• Milline dokumenteeritud juhis kohaldub juhul, kui organisatsioon on volitatud töötleja?
• Millised süsteemid, tarnijad, alltöötlejad ja asukohad on seotud?
• Milline privaatsusriskide eelanalüüs või DPIA otsus tehti?
• Millised turbekontrollid kaitsevad PII-d?
• Milline tõendusmaterjal tõendab, et kontrollimeede toimis?
• Kes kiitis heaks jääkriski, erandid ja parandusmeetmed?

Claryseci lähenemine muudab need küsimused poliitikast tulenevateks kohustusteks, registriteks ja jälgitavateks tõendusmaterjali objektideks. Tulemuseks on PIMS, mis peab vastu kliendi hoolsuskontrollile, järelevalveasutuse läbivaatamisele, siseauditile, ISO auditile, DORA hindamisele ja juhatuse kontrollile.

Alusta rolliselgusest: vastutav töötleja, volitatud töötleja või mõlemad

Kiireim viis PIMS-i auditil ebaõnnestuda on käsitleda kõiki töötlemistoiminguid ühtemoodi.

GDPR-i kohaselt määrab vastutav töötleja töötlemise eesmärgid ja vahendid. Volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel. Paljud SaaS- ja tehnoloogiaettevõtted teevad mõlemat. FinScale on volitatud töötleja, kui ta majutab kliendi lõppkasutajate andmeid kliendi juhiste alusel. Ta on vastutav töötleja töötajate kirjete, turundusvihjete, arvelduskontaktide, värbamisandmete ja osa tooteanalüütika puhul.

See eristus määrab tõendusmaterjali nõuded.

Claryseci privaatsusteabe haldussüsteemi poliitika muudab rolliklassifikatsiooni operatiivseks nõudeks:

[Mõlemad] Protsessiomanik / ettevõtte omanik PEAB klassifitseerima organisatsiooni PIMS-i rolli iga PII töötlemistoimingu kohta REG02-s enne töötlemistoimingu algust.

See üks kohustus muudab privaatsuse toimimismudelit. Õiguslik läbivaatamine ei ole enam kasutuselevõtujärgne järelmõte. Iga protsessiomanik peab enne töötlemise alustamist klassifitseerima PIMS-i rolli. See klassifikatsioon määrab järgneva tõendusahela.

Vastutava töötleja tegevuste puhul nõuab Claryseci PII töötlemisregistri ja õigusliku aluse poliitika õigusliku aluse valideerimist:

[Vastutav töötleja] Privaatsusvaldkonna juht / PIMS-i juht PEAB valideerima REG02-s kirjendatud õigusliku aluse enne vastutava töötleja töötlemise algust ja enne mis tahes eesmärgimuudatuse jõustumist.

Jaotisest „Vastutava töötleja eesmärgi ja õigusliku aluse kirjed“, poliitikapunkt 4.2.2.

Volitatud töötleja tegevuste puhul nihkub tõendusmaterjali fookus dokumenteeritud juhistele, lepingulistele kontrollimeetmetele, alltöötlejate haldusele, turvameetmetele, abistamiskohustustele, intsidenditoele ning lõpetamisel tagastamisele või kustutamisele. Seetõttu on REG08 kriitilise tähtsusega.

Claryseci volitatud töötlejate, alltöötlejate ja kolmandate osapoolte privaatsushalduse poliitika nõuab:

[Vastutav töötleja] Privaatsusvaldkonna juht / PIMS-i juht PEAB enne heakskiitu kontrollima, et REG08 volitatud töötleja lepinguliste kontrollimeetmete väljad käsitleksid töötlemise ulatust, kestust, eesmärki, PII kategooriaid, isikuandmesubjektide kategooriaid, konfidentsiaalsust, turvalisust, alltöötleja autoriseerimist, abistamist, auditit või kindluse andmist, tagastamist, kustutamist ja lõpetamist.

Jaotisest „Lepingu ja dokumenteeritud juhiste kontrollimeetmed“, poliitikapunkt 4.3.2.

REG02 määratleb töötlemistoimingu ja rolli. REG04 teeb privaatsusriski eelanalüüsi. REG08 valideerib volitatud töötleja, alltöötleja ja tarnija kontrollimeetmed. REG12 indekseerib tõendusmaterjali. Koos moodustavad need PIMS-i tõendusahela.

PIMS-i tõendusahel, mida audiitorid eeldavad

Tugev PIMS ei pane meeskondi haldama omavahel sidumata arvutustabeleid. See määratleb tõendusmaterjali objektid, omanikud, ajastuse, läbivaatamistsüklid ja auditijäljed.

Claryseci PIMS-i dokumenteeritud teabe ja tõendusmaterjali halduse poliitika sätestab:

[Kõik] Privaatsusvaldkonna juht / PIMS-i juht PEAB pidama REG12-s PIMS-i dokumenteeritud teabe indeksit enne PIMS-i esmast avaldamist ja seejärel kord kvartalis.

REG12 takistab privaatsusprogrammil muutumast aegunud PDF-ide kaustaks. See ütleb audiitorile, milline tõendusmaterjal on olemas, kus seda säilitatakse, kes seda omab, millal seda viimati läbi vaadati ning milliseid töötlemistoiminguid, riske, kohustusi või kontrollimeetmeid see toetab.

See tõendusahel joondub loomulikult ISO/IEC 27001:2022 nõuetega, mis käsitlevad konteksti, huvitatud osapooli, riskide kavandamist, tegevuse ohjet, dokumenteeritud teavet, toimivuse hindamist, siseauditit, juhtkonnapoolset läbivaatamist ja pidevat täiustamist. Samuti seostub see ISO/IEC 27002:2022 kontrollimeetmetega, nagu 5.2 infoturbe rollid ja vastutused, 5.20 infoturbe käsitlemine tarnijakokkulepetes, 5.21 infoturbe juhtimine IKT tarneahelas, 5.34 privaatsus ja PII kaitse ning 8.10 teabe kustutamine.

Vastutava töötleja ja volitatud töötleja tõendusmaterjal ei ole sama

Ava Saksamaa klient ei küsi ainult seda, kas FinScale’il on privaatsuspoliitikad. Klient tahab tõendust, et FinScale mõistab iga andmevoo puhul, millises rollis ta tegutseb.

Vastutava töötlejana tegutsedes peab FinScale põhjendama, miks ta andmeid töötleb. Näiteks töötajate palgaarvestuse töötlemine võib tugineda lepingu täitmise vajadusele ja õiguslikule kohustusele. Turundus võib sõltuvalt kontekstist ja jurisdiktsioonist tugineda nõusolekule või õigustatud huvile. Värbamine võib nõuda säilitamispiiranguid, läbipaistvust ja juurdepääsukontrolle. Tõendusmaterjal ei ole ainult valitud õiguslik alus. See on valideeritud kirje, teade, säilitamisreegel, õiguste menetlus ja riskiotsus.

Volitatud töötlejana tegutsedes peab FinScale tõendama, et ta tegutseb dokumenteeritud kliendijuhiste alusel. Tõendusmaterjal hõlmab andmetöötluslepingut, tootekonfiguratsiooni, süsteemilogisid, turbekontrolle, alltöötlejate autoriseerimisi, abistamisprotseduure, rikkumise toe protsessi, auditeerimisõigusi ning kustutamise või tagastamise tõendusmaterjali.

Claryseci P17 andmekaitse ja privaatsuspoliitika rõhutab, et privaatsus tuleb integreerida ISMS-i:

Organisatsioon peab hoidma ametlikku andmekaitse juhtimisraamistikku, mis on integreeritud infoturbe juhtimissüsteemi (ISMS), et tagada selle poliitika rakendamine.

Jaotisest „Juhtimisnõuded“, poliitikapunkt 5.1.

VKE-versioon andmekaitse ja privaatsuspoliitika SME säilitab sama tõendusdistsipliini:

Andmekaitsekoordinaator peab pidama kõigi isikuandmete töötlemistoimingute registrit, mis sisaldab andmekategooriaid, eesmärki, õiguslikku alust ja säilitustähtaegu.

Samuti nõuab see:

Õiguslik alus (nt nõusolek, leping, õiguslik kohustus) tuleb dokumenteerida töötlemisregistris.

Ettevõtte taseme programmide puhul lisab P17 andmekaitse ja privaatsuspoliitika vastutuse:

Õigusosakond peab pidama ja ajakohastama õigusliku aluse registrit.

Praktiline läbikäik: tooteanalüütika kasutuselevõtt

Võtame tooteanalüütika funktsiooni, mis jälgib kasutaja navigeerimist, funktsioonide kasutuselevõttu, seansi metaandmeid, organisatsiooni ID-d, kasutajarolli ja seadmeteavet. Tootemeeskond soovib kasutusülevaateid. Müük soovib kasutuselevõtu mõõdikuid. Kliendiedu meeskond soovib lahkumisriski signaale. Õigusosakond küsib, kas FinScale on vastutav töötleja või volitatud töötleja. Infoturbemeeskond küsib, kas logid sisaldavad isikuandmeid. Hankeüksus märgib, et analüütikatarnija kasutab alltöötlejaid.

Tugev PIMS muudab selle korratavaks töövooks.

1. Loo või ajakohasta REG02 enne töötlemise algust

Ettevõtte omanik kirjendab tegevuse REG02-s. Kirje peab sisaldama eesmärki, PII kategooriaid, isikuandmesubjektide kategooriaid, süsteeme, säilitustähtaega, edastusi, turvameetmeid, rolliklassifikatsiooni ning õiguslikku alust või dokumenteeritud juhist.

Kui analüütikat kasutatakse FinScale’i enda tootearenduse eesmärkidel, võib FinScale olla selle tegevuse puhul vastutav töötleja. Kui analüütikat tehakse ainult kliendi seadistatud konfiguratsiooni alusel kliendi nimel, võib FinScale olla volitatud töötleja. Paljudes SaaS-keskkondades võivad mõlemad rollid esineda ühes funktsioonis, sõltuvalt andmevoost ja eesmärgist.

2. Valideeri õiguslik alus või dokumenteeritud juhis

Kui FinScale on vastutav töötleja, valideerib privaatsusvaldkonna juht või õigusosakond REG02-s õigusliku aluse enne töötlemise algust. Kui kaasatud on eriliiki isikuandmed, peab meeskond tuvastama ka asjakohase GDPR Article 9 tingimuse ja täiendavad kaitsemeetmed.

Kui FinScale on volitatud töötleja, peab tõendusmaterjal viitama kliendi dokumenteeritud juhisele. Küsimus on: kus juhis asub, milline töötlemine on lubatud ja kuidas FinScale tõendab, et järgis juhist?

3. Käivita REG04 privaatsusriskide eelanalüüs

Claryseci privaatsusriskide hindamise ja DPIA poliitika nõuab:

[Mõlemad] Protsessiomanik / ettevõtte omanik PEAB algatama REG04-s privaatsusriskide eelanalüüsi enne REG02-s kirjendatud uue või oluliselt muudetud PII töötlemise algust.

Jaotisest „Privaatsusriskide eelanalüüs“, poliitikapunkt 4.1.1.

Eelanalüüs peab hindama tundlikkust, ulatust, seirega seotud mõjusid, andmesubjektide ootusi, profiilianalüüsi, automatiseeritud otsuseid, piiriüleseid andmeedastusi, tarnija juurdepääsu, säilitamist ja kontrollimeetmete tõhusust. Kui risk on kõrgem, peab PIMS käivitama DPIA ja otsuse kirjendama.

4. Ajakohasta REG08 tarnijate ja alltöötlejate kohta

Kui kolmandast osapoolest analüütikapakkuja saab PII-d, ajakohastavad hange, õigus ja privaatsus REG08. Lepinguväljad peavad käsitlema ulatust, kestust, eesmärki, PII kategooriaid, konfidentsiaalsust, turvalisust, alltöötleja autoriseerimist, abistamist, auditit või kindluse andmist, tagastamist, kustutamist ja lõpetamist.

Kolmandate osapoolte ja tarnijate turbepoliitika SME toetab seda operatiivset distsipliini, nõudes järgmist:

Andmetöötlustavade või andmekaitsenõuetele vastavuse kontrollimine juhul, kui kaasatud on isikut tuvastav teave (PII).

P17 andmekaitse ja privaatsuspoliitika nõuab samuti:

Hanke-, õigus- ja vastavusmeeskonnad peavad kontrollima GDPR Article 28 vastavust ning nõudma kõigi kõrge riskiga tarnijate iga-aastast kordushindamist.

5. Indekseeri tõendusmaterjal REG12-s

Lõpuks ajakohastab PIMS-i juht REG12 linkidega REG02-le, õigusliku aluse valideerimisele, dokumenteeritud juhisele, REG04 eelanalüüsile, vajaduse korral DPIA-le, REG08 tarnijakirjele, andmetöötluslepingule, turbeülevaatusele, säilitamisotsusele, toote heakskiidule ja seire tõendusmaterjalile.

Just see muudab lõimitud andmekaitse auditivalmis tõendusmaterjaliks.

Zenith Blueprinti kasutamine jälgitavuse loomiseks

Teadmine, millist tõendusmaterjali koguda, on ainult pool väljakutsest. Keerulisem on luua süsteem, mis seda usaldusväärselt toodab.

Zenith Blueprint: audiitori 30-sammuline teekaart käsitleb seda ISMS-i vundamendi ja juhtimise etapis, 2. sammus: sidusrühmade vajadused ja ISMS-i kohaldamisala. Juhend näitab, kuidas sidusrühmade ootustest saavad kavandatud kontrollimeetmed:

Kliendid
(B2B SaaS)
Andmete konfidentsiaalsus, tööaeg vastavalt
SLA-le, rikkumisest teavitamine
24 h jooksul
Rakenda juurdepääsukontrollid, krüptimine;
intsidendile reageerimise plaan sisaldab
teavitusprotseduure.

See sisaldab ka järgmist:

Tegevuspunkt 4.2: Koosta loend kõigist olulistest huvitatud osapooltest ja märgi nende infoturbega seotud nõuded.

ISO 27701:2025 puhul laienda seda tegevuspunkti privaatsusele. Huvitatud osapooled hõlmavad kliente, andmesubjekte, regulaatoreid, volitatud töötlejaid, alltöötlejaid, töötajaid, tootemeeskondi, siseauditit, juhtkonda, finantssektori kliente ja sektoriregulaatoreid, kus kohaldub NIS2 või DORA.

Riskijuhtimise etapis, 13. sammus „Riski käsitlemise planeerimine ja kohaldatavusdeklaratsioon“, soovitab Zenith Blueprint jälgitavust:

Viita õigusaktidele ristviidetega: kui teatud kontrollimeetmed rakendatakse konkreetselt GDPR, NIS2 või DORA nõuete täitmiseks, saab selle märkida kas riskiregistris (riskimõju põhjenduse osana) või SoA märkustes.

See loob audiitorite soovitud kuldlõime: nõue, risk, kontrollimeede, omanik, tõendusmaterjal, testitulemus ja parendustegevus.

Kuidas Zenith Controls sobitub PIMS-i mudelisse

Claryseci Zenith Controls: raamistikeülene vastavusjuhend aitab meeskondadel vältida dubleerivaid vastavusprogramme, kaardistades ISO/IEC 27001:2022 ja ISO/IEC 27002:2022 kontrolliteemad teiste standardite, auditiootuste ja tõendusmaterjali mustritega.

ISO 27701:2025 PIMS-i tõendusmaterjali puhul on eriti olulised neli ISO/IEC 27002:2022 kontrollimeedet:

• 5.2 infoturbe rollid ja vastutused
• 5.20 infoturbe käsitlemine tarnijakokkulepetes
• 5.21 infoturbe juhtimine IKT tarneahelas
• 5.34 privaatsus ja PII kaitse

Kontroll 5.2 toetab rolliselgust. PIMS vajab määratletud vastutust PIMS-i juhi, privaatsusvaldkonna juhi, protsessiomaniku, ettevõtte omaniku, õigusosakonna, hanke, infoturbe, siseauditi ja tippjuhtkonna jaoks.

Kontroll 5.34 toetab põhilist privaatsuskohustust. Zenith Blueprint selgitab etapis „Kontrollimeetmed praktikas“, 23. sammus, auditiootust:

Auditi vaates on see kontrollimeede järjest suurema tähelepanu all. Audiitorid, regulaatorid ja kliendid soovivad näha:

✓ kus PII asub,
✓ milline õiguslik alus selle töötlemist reguleerib,
✓ kuidas juurdepääs on piiratud,
✓ kuidas intsidentidest teatatakse,
✓ ning kuidas organisatsioon järgib õigusi ja hoiab läbipaistvust.

Zenith Blueprint jätkab:

Kontroll 5.34 ei ole lihtsalt linnuke kontrollnimekirjas. See on eetilise vastutava halduse avaldus.

Kontrollid 5.20 ja 5.21 seovad PIMS-i tõendusmaterjali tarnijate ja IKT tarneahela juhtimisega. Zenith Blueprint loetleb etapis „Kontrollimeetmed praktikas“, 23. sammus, tarnijalepingute teemad:

Tarnijalepingutes käsitletakse tavaliselt järgmisi põhivaldkondi:

✓ konfidentsiaalsuskohustused, sealhulgas ulatus, kestus ja kolmandatele osapooltele avalikustamise piirangud;
✓ juurdepääsukontrolli vastutused, näiteks kes saab teie andmetele juurde pääseda, kuidas autentimisandmeid hallatakse ja milline seire on kasutusel;
✓ tehnilised ja korralduslikud meetmed andmekaitseks, krüptimiseks, turvaliseks edastuseks, varunduseks ja käideldavuskohustusteks;
✓ intsidentidest teatamise tähtajad ja protokollid, sageli määratud ajaraamidega (nt „teavita 24 tunni jooksul“);
✓ auditeerimisõigus, sealhulgas sagedus, ulatus ja juurdepääs asjakohasele tõendusmaterjalile (nt penetratsioonitestide aruanded, SoA, sertifikaadid);
✓ alltöövõtjate kontrollimeetmed, mis nõuavad, et tarnija annaks samaväärsed turbekohustused edasi oma tarneahelas allpool asuvatele partneritele;
✓ lepingu lõppemise sätted, näiteks andmete tagastamine või hävitamine, varade taastamine ja kontode deaktiveerimine.

See on sild GDPR-i vastutuspõhimõtte ja ISMS-i tõendusmaterjali vahel.

PIMS-i tõendusmaterjali kaardistamine GDPR, NIS2, DORA, NIST ja COBIT 2019 lõikes

Privaatsuse tõendusmaterjal teenib harva ainult üht raamistikku. Hästi kavandatud PIMS-i tõendusmaterjali objekt võib vastata mitmele auditiküsimusele.

GDPR ankurdab privaatsuse vastutuspõhimõtte õigusliku aluse, rolliselguse, volitatud töötleja lepingute, õiguste, rikkumiste käsitlemise ja tõendatava vastavuse kaudu.

NIS2 on oluline elutähtsate ja oluliste üksuste jaoks, sealhulgas teatud pilveteenuse pakkujate, hallatud teenusepakkujate, hallatud turvateenuse pakkujate, andmekeskuste pakkujate ja digitaalse taristu organisatsioonide jaoks. NIS2 Article 20 paneb küberturbe juhtimise vastutuse juhtorganitele. Article 21 nõuab asjakohaseid tehnilisi, operatiivseid ja organisatsioonilisi meetmeid, sealhulgas riskianalüüsi, intsidentide käsitlemist, talitluspidevust, tarneahela turvet, turvalist arendust, tõhususe hindamist, koolitust, krüptograafiat, personaliturvet, juurdepääsukontrolli, varahaldust ning vajaduse korral MFA-d või pidevat autentimist. Article 23 kehtestab oluliste intsidentide teavitamise ootused, sealhulgas varajase hoiatuse 24 tunni jooksul ja intsidenditeavituse 72 tunni jooksul.

DORA on oluline finantsüksustele ja finantsökosüsteemide IKT kolmandatest osapooltest teenuseosutajatele. DORA Articles 5 ja 6 nõuavad IKT-riski juhtimist, poliitikaid, strateegiat, testimist ja pidevat täiustamist. Articles 17 kuni 19 käsitlevad IKT intsidentide tuvastamist, klassifitseerimist, eskaleerimist, teavitamist, algpõhjuse analüüsi ja õppetunde. Articles 28 kuni 30 nõuavad IKT kolmandate osapoolte riskistrateegiat, registreid, hoolsuskontrolli, lepingulisi sätteid, auditeerimisõigusi, intsidendiabi, andmekaitset, väljumise planeerimist ja kontsentratsiooniriski läbivaatamist.

NIST CSF 2.0 annab juhtimise ja riski keele funktsioonide GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND ja RECOVER kaudu. COBIT 2019 lisab juhtimiseesmärgid, juhtimispraktikad, omandi, mõõdikud, kindluse andmise ja protsessivõimekuse.

Vastavuse eelis on selge. Üks kontrollitud PIMS-i tõendusahel võib toetada GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 ja kliendi hoolsuskontrolli nõudeid.

Kuidas audiitorid teie PIMS-i testivad

PIMS-i audit ei ole dokumendiläbivaatus. See on tõendusmaterjali jälgitavuse harjutus.

Claryseci P33 auditi ja vastavuse seire poliitika toetab auditimudelit:

Organisatsioon peab pidama auditiregistrit, mis sisaldab:

VKE-ekvivalent auditi ja vastavuse seire poliitika SME lisab olulise tõendusmaterjali kvaliteedinõude:

Metaandmed (nt kes selle kogus, millal ja millisest süsteemist) tuleb dokumenteerida.

See metaandmete nõue on väike, kuid mõjus. Ekraanitõmmised ilma allika, kuupäeva, koguja ja süsteemikontekstita on nõrk tõendusmaterjal. Kontrollitud audititõendus tõendab autentsust, ajakohasust ja jälgitavust.

Milline on hea PIMS-i tõendusmaterjal

Oletame, et audiitor valib ühe tegevuse: klienditoe piletite analüüsi.

Nõrk vastus on: „Meil on privaatsuspoliitika ja meie andmetöötlusleping katab selle.“

Tugev PIMS-i vastus on:

1. REG02 tuvastab tegevuse, süsteemid, PII kategooriad, isikuandmesubjektid, eesmärgi, rolliklassifikatsiooni, säilitamise, edastused, turbekontrollid ja omaniku.
2. Rolliklassifikatsioon näitab, kas organisatsioon on töövoo konkreetsetes osades vastutav töötleja, volitatud töötleja või mõlemad.
3. Kui roll on vastutav töötleja, on õiguslik alus valideeritud ja kirjendatud õigusliku aluse registris.
4. Kui roll on volitatud töötleja, on kliendi juhis ja andmetöötluslepingu punkt lingitud.
5. REG04 näitab privaatsusriskide eelanalüüsi enne kasutuselevõttu või olulist muudatust.
6. REG08 tuvastab piletihaldusplatvormi, tehisintellektil põhineva kokkuvõtete tarnija, alltöötlejad, lepingulised kontrollimeetmed, auditeerimisõigused, turbekinnitused, kustutamistingimused ja intsidendiabi.
7. Juurdepääsukontrolli tõendusmaterjal näitab, et tugipersonali juurdepääs on rollipõhine ja läbi vaadatud.
8. Logimise ja seire tõendusmaterjal näitab, et juurdepääsu klienditoe piletitele seiratakse.
9. Säilitamise ja kustutamise tõendusmaterjal näitab, et piletid kustutatakse või anonüümitakse vastavalt kinnitatud säilitustähtajale.
10. REG12 indekseerib kogu toetava tõendusmaterjali koos omaniku ja läbivaatamise kuupäevaga.
11. Auditiregister näitab, kas tegevust testiti, millised leiud tõstatati ja kas parandusmeetmed suleti.

Nii muutub ISO 27701:2025 operatiivseks. See loob korratava vastutuse tõendamise ahela.

Levinud PIMS-i tõendusmaterjali puudused

SaaS-, fintech-, hallatud teenuste ja B2B tehnoloogiakeskkondades korduvad samad lüngad.

Esiteks peavad organisatsioonid RoPA-t või töötlemisregistrit, kuid ei klassifitseeri vastutava töötleja ja volitatud töötleja rolle iga tegevuse kohta. See tekitab segadust õigusliku aluse, dokumenteeritud juhiste ja alltöötlejate kohustuste osas.

Teiseks kirjendatakse õiguslik alus üks kord, kuid seda ei valideerita uuesti eesmärgi muutumisel. GDPR Article 6 nõuab distsipliini eesmärgi ja õigusliku aluse osas. Edasine töötlemine võib nõuda kooskõla hindamist ja kaitsemeetmeid.

Kolmandaks loetlevad tarnijaregistrid tarnijaid, kuid ei näita lepinguliste kontrollimeetmete välju. Tarnijate loend ei ole sama mis volitatud töötlejate juhtimine.

Neljandaks on DPIA otsused mitteametlikud. Meeskonnad ütlevad „ei ole kõrge risk“, kuid ei suuda näidata eelanalüüsi kriteeriume, heakskiitjat, kuupäeva ega tõendusmaterjali.

Viiendaks on audititõendus olemas, kuid ohjamata. Ekraanitõmmistel puuduvad metaandmed. Poliitikad on ajakohased, kuid registrid on aegunud. Lepingud on olemas, kuid uuendamise kordushindamised jäävad tegemata.

Kuuendaks keskenduvad intsidendiprotsessid küberturbe sündmustele, kuid ei klassifitseeri selgelt isikuandmetega seotud rikkumisi. GDPR-i isikuandmetega seotud rikkumise analüüs, NIS2 oluliste intsidentide teavitamine ja DORA IKT intsidentidest teavitamine peavad olema koordineeritud, mitte dubleeritud.

Clarysec käsitleb neid puudusi, nähes PIMS-i tõendusmaterjali kontrollitud juhtimissüsteemina, mitte viimase hetke auditikriisina.

ISO 27701:2025 PIMS-i tõendusmaterjali valmiduse kontrollnimekiri

Kasuta seda kontrollnimekirja järgmisel sisemisel valmisoleku ülevaatusel.

• Määratle PIMS-i kohaldamisala ja huvitatud osapooled, sealhulgas kliendid, regulaatorid, andmesubjektid, tarnijad, siseaudit ja juhtkond.
• Määra PIMS-i rollid ja vastutused, sealhulgas PIMS-i juht, privaatsusvaldkonna juht, protsessiomanik, õigus, hange, infoturve ja siseaudit.
• Loo REG02 kirjed iga PII töötlemistoimingu kohta.
• Klassifitseeri iga tegevuse puhul vastutava töötleja, volitatud töötleja, kaasvastutava töötleja või alltöötleja roll.
• Valideeri vastutava töötleja töötlemise õiguslik alus enne töötlemise algust ja enne eesmärgimuudatust.
• Kirjenda volitatud töötleja tegevuste dokumenteeritud juhised.
• Käivita REG04 privaatsusriskide eelanalüüs enne uut või oluliselt muudetud töötlemist.
• Tee DPIA juhul, kui riskide eelanalüüs viitab kõrgendatud privaatsusriskile.
• Pea REG08-t volitatud töötlejate, alltöötlejate, IKT tarnijate ja privaatsuse seisukohast asjakohaste tarnijate kohta.
• Kontrolli lepinguvälju, mis käsitlevad ulatust, kestust, eesmärki, PII kategooriaid, konfidentsiaalsust, turvalisust, abistamist, auditeerimisõigusi, tagastamist, kustutamist ja lõpetamist.
• Pea REG12-t PIMS-i dokumenteeritud teabe indeksina.
• Kaardista PIMS-i tõendusmaterjal ISO/IEC 27001:2022 riskikäsitluse ja SoA märkustega.
• Lisa vajaduse korral ristviited GDPR, NIS2, DORA, NIST CSF 2.0 ja COBIT 2019 kohustustele.
• Tee iga-aastased sisemised privaatsuse vastavusauditid ja ajakohasta auditiregistrit.
• Vaata kord kvartalis läbi avatud leiud, parandusmeetmed, riskiotsused ja juhtkonna aruandlus.

P17 andmekaitse ja privaatsuspoliitika tugevdab audititsüklit:

Sisemine privaatsuse vastavusaudit tuleb teha igal aastal või suuremate organisatsiooniliste või regulatiivsete muudatuste korral. Auditi kohaldamisala peab hõlmama:

Sõnum on lihtne. Privaatsuse vastavust seiratakse, seda ei eeldata.

Loo oma PIMS-i tõendusmudel koos Claryseciga

ISO 27701:2025 on kõige väärtuslikum siis, kui see on integreeritud ISO/IEC 27001:2022-ga ja kavandatud vaikimisi tõendusmaterjali tootma. Nii muutub privaatsus kaitstavaks toimimismudeliks, mitte sertifitseerimisprojektiks.

Kui klient küsib privaatsuse kindlustandvat teavet, saad näidata tõendusmaterjali. Kui regulaator küsib, miks andmeid töödeldi, saad näidata rolli, eesmärki, õiguslikku alust, kaitsemeetmeid ja heakskiite. Kui audiitor küsib, kuidas juhid alltöötlejaid, saad näidata REG08-t, lepingulisi kontrollimeetmeid, kordushindamisi ja auditeerimisõigusi. Kui juhatus küsib, kas privaatsusrisk on kontrolli all, saad näidata mõõdikuid, avatud tegevusi, audititulemusi ja juhtkonna läbivaatamist.

Kui sinu PIMS on endiselt poliitikarohke ja tõendusmaterjali poolest nõrk, alusta ahelast, mida audiitorid järgivad:

REG02 töötlemisregister, REG04 privaatsusriskide eelanalüüs, REG08 volitatud töötlejate ja alltöötlejate haldus, REG12 tõendusmaterjali indeks, õigusliku aluse register, auditiregister ja SoA kaardistus.

Clarysec aitab selle ahela kasutusele võtta järgmiste vahenditega:

• Zenith Blueprint: audiitori 30-sammuline teekaart, eriti 2. samm sidusrühmade nõuete jaoks, 13. samm riskikäsitluse ja SoA jälgitavuse jaoks ning 23. samm privaatsuse, tarnijate ja organisatsiooniliste kontrollimeetmete jaoks.
• Zenith Controls: raamistikeülene vastavusjuhend, kasutades ISO/IEC 27002:2022 kontrollimeetmeid 5.2, 5.20, 5.21 ja 5.34 praktiliste privaatsuse vastutuspõhimõtte ankrutena.
• Claryseci ISO 27701 PIMS-i poliitikakomplekt, sealhulgas privaatsusteabe haldussüsteemi poliitika, PII töötlemisregistri ja õigusliku aluse poliitika, privaatsusriskide hindamise ja DPIA poliitika, volitatud töötlejate, alltöötlejate ja kolmandate osapoolte privaatsushalduse poliitika ning PIMS-i dokumenteeritud teabe ja tõendusmaterjali halduse poliitika.
• Ettevõtte ja VKE tugi järgmiste dokumentide kaudu: P17 andmekaitse ja privaatsuspoliitika, andmekaitse ja privaatsuspoliitika SME, kolmandate osapoolte ja tarnijate turbepoliitika SME, P33 auditi ja vastavuse seire poliitika ning auditi ja vastavuse seire poliitika SME.

Sinu järgmine tegevus on lihtne: vali üks kõrge riskiga PII töötlemistoiming ja käi tõendusahel läbi REG02-st REG12-ni. Kui ahel katkeb, on see sinu esimene parendusprojekt. Kui ahel püsib, laienda mudelit kogu töötlemisregistrile.

Nii muutub ISO 27701:2025 enamaks kui sertifikaadiks. Sellest saab GDPR-i vastutuspõhimõtte tõendus.