Rialachas anaithnidithe agus riosca ath-shainaitheantais

Bhí cúig bliana sonraí de dhíth ar an tionscadal IS. Bhí fianaise de dhíth ar an iniúchóir.

Tháinig an togra chuig deasc Maria Kuznetsov, an Príomhoifigigh Slándála Faisnéise, agus é curtha i láthair amhail is go raibh sé faofa go hinmheánach cheana mar thosaíocht ghnó. Bhí cúig bliana de stair idirbheart custaiméirí agus iompair custaiméirí de dhíth ar an bhfoireann eolaíochta sonraí chun inneall pearsantaithe nua bunaithe ar intleacht shaorga (IS) a oiliúint. Bhí tuar imeachta custaiméirí níos saibhre de dhíth ar an bhfoireann táirgí. Bhí tagarmharcanna comhiomlánaithe custaiméirí de dhíth ar dhíolacháin. Bhí airgeadas ag iarraidh nochtadh stórála a laghdú trí tháblaí foinse a scriosadh agus sonraí treochta a choinneáil.

Bhí an dearbhú gearr agus muiníneach: “Ná bíodh imní ort, déanfaimid na sonraí a anaithnidiú.”

Bhí a fhios ag Maria nach rialú a bhí san abairt sin. Faoi GDPR, ní bratach bunachair sonraí, script mhascaithe ná gealltanas ó fhoireann táirgí é “anaithnid”. Ní bhíonn sonraí lasmuigh de GDPR ach amháin nuair nach féidir daoine aonair a shainaithint a thuilleadh trí mhodhanna ar dóigh go réasúnach go n-úsáidfí iad, agus an comhthéacs iarbhír ina bhfuil na sonraí á n-úsáid á chur san áireamh. Áirítear leis an gcomhthéacs sin úsáideoirí inmheánacha, córais tacaíochta, ardáin soláthraithe, uirlisí anailísíochta, seirbhísí néil, taifid phoiblí, easpórtálacha custaiméirí, agus saibhriú amach anseo.

Ansin chuir an t-iniúchóir príobháideachais an cheist a chuir stop leis an seomra:

“Taispeáin dom conas a mheas sibh riosca ath-shainaitheantais, cé a d’fhormheas an cinneadh anaithnidithe, agus conas atá a fhios agaibh go bhfuil an tacar sonraí fós neamh-inaitheanta tar éis foinsí nua sonraí a chur leis.”

Sin é an dúshlán rialachais dáiríre atá taobh thiar d’anaithnidiú faoi ISO 27701:2025 agus GDPR. Ní leor ainmneacha, ríomhphoist agus aitheantais chuntais a bhaint. Ní mór don eagraíocht a chruthú, le himeacht ama, nach féidir sonraí claochlaithe a nascadh go réasúnach le duine ina timpeallacht ghnó, theicniúil, dhlíthiúil agus soláthraithe.

Do CISOanna, Oifigigh Chosanta Sonraí, bainisteoirí comhlíonta, iniúchóirí agus úinéirí gnó, tá anaithnidiú tarraingteach toisc go dtacaíonn sé le hanailísíocht, íoslaghdú sonraí, tástáil níos sábháilte, riosca coinneála laghdaithe, agus comhroinnt sheachtrach sonraí. Tá sé contúirteach freisin nuair a chaitear leis mar lipéad draíochta. Is féidir bréagainmniú lag a aisiompú. Is féidir le comhiomláin daoine a aonrú fós. Is féidir tacair sonraí tástála a nascadh le logaí táirgthe. Is féidir le foirne IS agus BI tacair sonraí “shábháilte” a chur le chéile agus rud neamhshábháilte a chruthú.

Tá seasamh Clarysec simplí: ní mór anaithnidiú agus riosca ath-shainaitheantais a rialú mar chóireáil riosca príobháideachais laistigh den tsamhail chomhtháite chéanna d’fhianaise ISMS agus PIMS a thacaíonn le ISO/IEC 27001:2022, ISO 27701:2025, GDPR, NIS2, DORA, NIST CSF 2.0, COBIT 2019, agus iniúchtaí custaiméirí.

Cinneadh rialachais is ea anaithnidiú, ní céim sa phíblíne

Úsáideann go leor eagraíochtaí téarmaí príobháideachais ar bhealach idirmhalartach, rud a chruthaíonn nochtadh dlíthiúil agus iniúchta. Is é an chéad chéim ná a shainiú cad is brí le gach staid sonraí agus cén cheist rialachais a ardaíonn sí.

Déanann GDPR an t-idirdhealú sin ríthábhachtach. Sainmhíníonn Airteagal 4 sonraí pearsanta go leathan mar fhaisnéis a bhaineann le duine sainaitheanta nó inaitheanta. Sainmhíníonn Airteagal 4(5) bréagainmniú mar phróiseáil sonraí pearsanta ar bhealach nach féidir iad a chur i leith duine ar leith a thuilleadh gan faisnéis bhreise, ar choinníoll go gcoinnítear an fhaisnéis bhreise sin ar leithligh agus go gcosnaítear í. Fanann sonraí bréagainmnithe ina sonraí pearsanta.

Soiléiríonn Aithris 26 an tairseach ard le haghaidh anaithnidithe. Ní bhaineann prionsabail GDPR le faisnéis a rinneadh anaithnid ar bhealach nach bhfuil an t-ábhar sonraí inaitheanta, nó nach bhfuil sé inaitheanta a thuilleadh. Ní hé an tástáil ná ar baineadh aitheantóirí díreacha. Is í an tástáil ná an bhfuil sainaithint fós indéanta go réasúnach.

Ardaíonn Airteagal 5 an tairseach cuntasachta ansin. Ní mór sonraí pearsanta a phróiseáil go dleathach, go cothrom agus go trédhearcach, chun críocha sonraithe, teoranta don mhéid atá riachtanach, coinnithe i bhfoirm inaitheanta chomh fada agus is gá amháin, agus slánaithe go cuí. Éilíonn Airteagal 5(2) ar an rialaitheoir comhlíonadh a léiriú.

Ciallaíonn sé sin go dteastaíonn fianaise ó éileamh anaithnidithe. Más féidir le heochracha inmheánacha, airíonna neamhchoitianta, stampaí ama, geoshuíomh, seichimh idirbheart, méarloirg gléis, ticéid tacaíochta custaiméirí, tacair sonraí phoiblí, nó saibhriú soláthraithe na sonraí a athnascadh le duine, d’fhéadfadh an tacar sonraí a bheith fós ina shonraí pearsanta.

Déileálann Beartas Coinneála, Scriosta agus Diúscartha PII fiontraíochta Clarysec le hanaithnidiú mar chinneadh rialaithe coinneála agus diúscartha, ní mar bhealach chun scriosadh a sheachaint:

[An dá cheann] NÍ MÓR don Úinéir Próisis / Úinéir Gnó anaithnidiú, dí-shainaithint nó bréagainmniú a dhoiciméadú mar bheart laghdaithe riosca coinneála nó mar thoradh diúscartha deiridh in REG02 sula gclaochlaítear PII inaitheanta.

Ón rannán “Anaithnidiú, dí-shainaithint agus íoslaghdú coinneála”, clásal beartais 4.5.1.

Éilíonn an beartas céanna formheas sula n-úsáidtear anaithnidiú mar rogha mhalartach ar scriosadh:

[An dá cheann] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS úsáid anaithnidithe nó dí-shainaitheantais mar rogha mhalartach ar scriosadh a fhormheas in REG02 sula gcoinnítear an PII inaitheanta bunaidh thar a chuspóir nó a tréimhse choinneála.

Ón rannán “Anaithnidiú, dí-shainaithint agus íoslaghdú coinneála”, clásal beartais 4.5.2.

Seo an pointe iniúchta a chailleann go leor eagraíochtaí. Ní féidir le húinéir gnó a rá, “D’anaithnidíomar é, mar sin ní bhaineann coinneáil leis a thuilleadh.” Ní mór don fhianaise a thaispeáint cén fáth a raibh anaithnidiú cuí, cad a claochlaíodh, cad a tharla don PII inaitheanta bunaidh, cé a d’fhormheas an cinneadh, agus cathain a dhéanfar athbhreithniú ar an riosca iarmharach.

Slabhra cuntasachta GDPR taobh thiar de riosca ath-shainaitheantais

Tosaíonn clár inchosanta rialachais anaithnidithe le loighic oibríochtúil GDPR.

Ar dtús, cinntigh an bhfuil GDPR infheidhme. Leathnaíonn Airteagal 3 GDPR chuig próiseáil i gcomhthéacs bunaíochta san AE, agus chuig eagraíochtaí neamh-AE a thairgeann earraí nó seirbhísí do dhaoine aonair san AE nó a dhéanann faireachán ar a n-iompar san AE. Is féidir le SaaS, fintech, anailísíocht, adtech, ardáin AD, soláthraithe néil, agus díoltóirí IS a bheith faoi raon feidhme fiú nuair atá an cheanncheathrú nó an bonneagar lasmuigh den AE.

Ar an dara dul síos, sainigh ról na heagraíochta. Cinneann rialaitheoir críocha agus modhanna. Gníomhaíonn próiseálaí de réir treoracha doiciméadaithe ón rialaitheoir. Roinneann rialaitheoirí comhpháirteacha cinnteoireacht agus cuntasacht. Faigheann fophhróiseálaithe srianta conarthacha agus oibleagáidí teicniúla le hoidhreacht. Tá sé seo tábhachtach toisc go mbíonn cinntí anaithnidithe éagsúil de réir róil:

• Ní mór do rialaitheoir cuspóir, bonn dlíthiúil, coinneáil, trédhearcacht agus próiseáil bhreise a chosaint.
• Ní mór do phróiseálaí treoracha custaiméara a leanúint agus athúsáid neamhspleách a sheachaint mura bhfuil ról dleathach aige.
• Ní mór do fophhróiseálaí cloí le srianta lena gcuirtear oibleagáidí ar aghaidh, oibleagáidí scriosta, agus teorainneacha comhroinnte ar aghaidh.
• Ní mór do rialaitheoirí comhpháirteacha freagrachtaí comhroinnte a dhoiciméadú agus trédhearcacht shoiléir a sholáthar.

Ar an tríú dul síos, nasc anaithnidiú le hAirteagal 6. Má athúsáidtear sonraí le haghaidh anailísíochta, tagarmharcála, oiliúint samhla, nó úsáid oibríochtúil thánaisteach, ní mór don eagraíocht bonn dlíthiúil agus comhoiriúnacht a mheas. D’fhéadfadh anaithnidiú riosca a laghdú, ach fanann an cheist ann an bhfuil an t-aschur fíor-anaithnid nó an sonraí pearsanta claochlaithe atá ann.

Ar an gceathrú dul síos, sainaithin riosca catagóirí speisialta nó tátail íogaire. Cuireann Airteagal 9 coinníollacha níos déine i bhfeidhm maidir le sonraí sláinte, sonraí bithmhéadracha le haghaidh sainaithint uathúil, sonraí géiniteacha, tuairimí polaitiúla, reiligiún, ballraíocht i gceardchumann, bunadh ciníoch nó eitneach, saol gnéis agus claonadh gnéasach. Fiú nuair a bhaintear aitheantóirí soiléire, is féidir le teaglamaí neamhchoitianta agus airíonna tátailte dochar a dhéanamh do dhaoine.

Leagann Beartas um Chosaint Sonraí agus Príobháideachas - FGBM Clarysec amach é seo mar ionchas praiticiúil cóireála riosca:

Ní mór rialuithe a chur chun feidhme chun rioscaí sainaitheanta a laghdú, lena n-áirítear criptiú, anaithnidiú, diúscairt shlán, agus srianta rochtana

Ón rannán “Cóireáil riosca agus eisceachtaí”, clásal beartais 7.2.1.

Maidir le FGBManna, tá an teachtaireacht díreach d’aon ghnó. Is coimirce amháin as go leor í anaithnidiú. Ní mór di oibriú le criptiú, srianta rochtana, diúscairt shlán, rialuithe soláthraithe, logáil agus athbhreithniú.

Cén fáth a bhfuil ISO/IEC 27001:2022 tábhachtach fós d’fhianaise PIMS ISO 27701:2025

Braitheann rialachas príobháideachais ISO 27701:2025 ar chnámh droma córais bhainistíochta. Leathnaíonn sé oibleagáidí príobháideachais trí PIMS, ach braitheann fianaise láidir fós ar dhisciplín ISMS ISO/IEC 27001:2022.

Ní ceanglais theicniúla amháin iad na ceanglais ISO/IEC 27001:2022 is tábhachtaí d’anaithnidiú. Is ceanglais rialachais iad:

• Bunaíonn clásail 4.1 go 4.4 comhthéacs eagraíochtúil, páirtithe leasmhara, raon feidhme, comhéadain, spleáchais, agus próisis chórais bhainistíochta.
• Éilíonn clásail 5.1 go 5.3 ceannaireacht, beartas, róil, freagrachtaí, cuntasacht agus tuairisciú.
• Éilíonn clásail 6.1.1 go 6.1.3 pleanáil rioscaí agus deiseanna, measúnú riosca slándála faisnéise, cóireáil riosca, roghnú rialuithe, an Ráiteas Infheidhmeachta, pleananna cóireála, agus glacadh le riosca iarmharach.

Ciallaíonn sé seo gur sa Chlár Rioscaí, sa phlean cóireála agus sa Ráiteas Infheidhmeachta atá riosca anaithnidithe, ní i dticéad innealtóireachta sonraí amháin.

Déanann Zenith Blueprint an inrianaitheacht seo follasach i gcéim Bainistíocht Riosca, Céim 13, Pleanáil Cóireála Riosca agus Ráiteas Infheidhmeachta:

Is doiciméad droichid é an SoA i ndáiríre: nascann sé do mheasúnú/cóireáil riosca leis na rialuithe iarbhír atá agat.

Ón gcéim Bainistíocht Riosca, Céim 13: Pleanáil Cóireála Riosca agus Ráiteas Infheidhmeachta.

Maidir le hanaithnidiú agus riosca ath-shainaitheantais, ba cheart don droichead sin na nithe seo a nascadh:

• Gníomhaíocht phróiseála agus cuspóir GDPR
• Ról rialaitheora, próiseálaí, rialaitheora chomhpháirtigh nó fophhróiseálaí
• Oibleagáid PIMS ISO 27701:2025 agus úinéir príobháideachais
• Cás riosca ath-shainaitheantais agus samhail ionsaitheora
• Catagóirí sonraí, córais, faighteoirí agus soláthraithe
• Coimircí curtha i bhfeidhm, amhail comhiomlánú, ceilt, mascadh, bréagainmniú, scriosadh, rialú rochtana, teorainneacha conarthacha, agus faireachán
• Rialuithe ISO/IEC 27002:2022 amhail 5.9 Fardal faisnéise agus sócmhainní gaolmhara eile, 5.12 Aicmiú faisnéise, 5.15 Rialú rochtana, 5.18 Cearta rochtana, 5.21 Bainistiú slándála faisnéise i slabhra soláthair TFC, 5.23 Slándáil faisnéise le haghaidh úsáid seirbhísí néil, 5.34 Príobháideachas agus cosaint PII, 8.10 Scriosadh faisnéise, 8.11 Mascadh sonraí, 8.12 Cosc ar sceitheadh sonraí, 8.15 Logáil, 8.24 Úsáid cripteagrafaíochta, agus 8.33 Faisnéis tástála
• Glacadh le riosca iarmharach agus minicíocht athbhreithnithe

Má iarrann custaiméir cén fáth a gcoinnítear teiliméadracht anaithnidithe tar éis dúnadh cuntais, níor cheart gurb é an freagra “toisc go bhfuil sí de dhíth ar an táirge.” Ba cheart gurb é an freagra iontráil sa chlár gníomhaíochtaí próiseála, measúnú riosca príobháideachais, taifead indéantachta anaithnidithe, formheas diúscartha coinneála, fianaise theicniúil, logaí rochtana, srianta soláthraithe agus glacadh bainistíochta.

Léarscáil rialuithe Clarysec maidir le príobháideachas, scriosadh, mascadh agus sonraí tástála

Éiríonn rialachas anaithnidithe inchreidte nuair a mhapáiltear beartas, riosca agus rialuithe teicniúla le chéile.

Déileálann Zenith Controls le rialú ISO/IEC 27002:2022 5.34, Príobháideachas agus cosaint PII, mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht. Ailíníonn sé le coincheapa Identify agus Protect agus feidhmíonn sé trasna Cosaint Faisnéise chomh maith le Dlí agus Comhlíonadh.

Míníonn Zenith Controls go mbraitheann 5.34 ar eolas a bheith agat cá bhfuil PII. Nascann sé 5.34 le 5.9, Fardal faisnéise agus sócmhainní gaolmhara eile, toisc nach mór bunachair sonraí custaiméirí, comhaid AD, logaí, sonraí teiliméadrachta, cúltacaí, easpórtálacha agus taifid tacaíochta a áireamh i bhfardail sócmhainní. Gan fardal, fágfaidh bearta príobháideachais amhail bainistíocht toilithe, criptiú, mascadh, scriosadh, anaithnidiú agus srianta soláthraithe stórtha sonraí ar lár.

Nascann Zenith Controls 5.34 le 8.11, Mascadh sonraí, freisin, toisc go laghdaíonn mascadh nochtadh fíorshonraí pearsanta i dtuarascálacha, timpeallachtaí neamhtháirgthe, ardáin anailísíochta agus sreafaí oibre comhroinnte. Maidir le 8.11, aithníonn Zenith Controls é mar rialú rúndachta coisctheach sa choincheap Protect, le cumas oibríochtúil i gCosaint Faisnéise. Nascann sé 8.11 le:

• 5.12, Aicmiú faisnéise, toisc go mbraitheann mascadh ar aicmiú íogaireachta.
• 5.34, Príobháideachas agus cosaint PII, toisc go gcuireann mascadh príobháideachas trí dhearadh i bhfeidhm go hoibríochtúil.
• 8.33, Faisnéis tástála, toisc gur cheart tacair sonraí tástála shábháilte a bheith sintéiseach, anaithnidithe nó mascaithe.

Maidir le 8.10, Scriosadh faisnéise, nascann Zenith Controls scriosadh le 8.11 Mascadh sonraí agus 8.12 Cosc ar sceitheadh sonraí, agus straitéis saolré á cruthú aige: sonraí in úsáid a chosaint, sceitheadh a chosc, agus a chinntiú nach féidir sonraí a aisghabháil tar éis nach bhfuil gá leo a thuilleadh.

Treisíonn Zenith Blueprint é seo sa chéim Rialuithe i bhFeidhm, Céim 21, Rialuithe 8.27 go 8.34:

I ndeireadh na dála, cuireann Rialú 8.33 i gcuimhne dúinn nach gcailleann faisnéis a luach díreach toisc go bhfuil sí i ngaineamhlann.

Ón gcéim Rialuithe i bhFeidhm, Céim 21: Rialuithe 8.27-8.34.

Baineann an abairt sin le gach sreabhadh oibre sonraí tástála, QA, anailísíochta, BI agus ML.

Sreabhadh oibre praiticiúil Clarysec chun tacar sonraí anailísíochta anaithnidithe a fhormheas

Ní theastaíonn “ní hea” iomlán ó thionscadal IS Maria. Teastaíonn “tá, má” rialaithe uaidh. Leanfadh cur chun feidhme faoi threoir Clarysec sreabhadh oibre in-athdhéanta.

1. Cláraigh an ghníomhaíocht phróiseála

Nuashonraíonn an Comhordaitheoir Príobháideachais nó Bainisteoir PIMS an clár gníomhaíochtaí próiseála le catagóirí sonraí, cuspóir, bonn dlíthiúil, coinneáil, faighteoirí, córais, soláthraithe agus ról PIMS.

Éilíonn Beartas um Chosaint Sonraí agus Príobháideachas - FGBM Clarysec an bhonnlíne seo:

Ní mór don Chomhordaitheoir Príobháideachais clár a chothabháil de gach gníomhaíocht próiseála sonraí pearsanta, lena n-áirítear catagóirí sonraí, cuspóir, bonn dlíthiúil agus tréimhsí coinneála

Ón rannán “Ceanglais rialachais”, clásal beartais 5.2.1.

Maidir le fianaise PIMS fiontraíochta, ba cheart don taifead a shainaithint freisin an bhfuil an eagraíocht ag gníomhú mar rialaitheoir, próiseálaí, rialaitheoir comhpháirteach nó fophhróiseálaí. Más próiseálaí é an soláthraí SaaS le haghaidh teiliméadracht custaiméirí, d’fhéadfadh treoir chustaiméara a bheith de dhíth air sula gcruthaíonn sé tacair sonraí dhíorthacha anaithnidithe. Más rialaitheoir é le haghaidh anailísíochta táirge, teastaíonn bonn dlíthiúil agus doiciméadú cuspóra uaidh.

2. Cruthaigh go bhfuil próiseáil inaitheanta riachtanach

Sula bhformheastar PII inaitheanta le haghaidh anailísíochta, tuairiscithe, tástála nó úsáid thánaisteach, ní mór don úinéir gnó a mheas an bhfuil próiseáil neamh-inaitheanta indéanta.

Deir an Beartas Príobháideachais trí Dhearadh agus de réir Réamhshocraithe fiontraíochta:

[An dá cheann] NÍ MÓR don Úinéir Próisis / Úinéir Gnó indéantacht dí-shainaitheantais, bréagainmnithe, comhiomlánaithe nó próiseála neamh-inaitheanta a dhoiciméadú in REG04 sula bhformheastar PII inaitheanta le haghaidh tástála, anailísíochta, tuairiscithe nó úsáid oibríochtúil thánaisteach.

Ón rannán “Íoslaghdú sonraí agus dearadh príobháideachais de réir réamhshocraithe”, clásal beartais 4.2.5.

Seo an áit a gcuireann rialachas cosc ar róbhailiú. B’fhéidir nach bhfuil stampaí ama amh, suíomhanna beachta, seichimh iomlána imeachtaí, fearainn neamh-mhascaithe ná airíonna deighleoige neamhchoitianta de dhíth ar an bhfoireann eolaíochta sonraí. D’fhéadfadh buicéadú dátaí, comhiomlánú, ceilt cohórt beag, giniúint gnéithe sintéiseacha agus baint aitheantóirí uathúla gléis fóntas a chaomhnú le riosca níos ísle.

3. Meas riosca ath-shainaitheantais

Ba cheart don mheasúnú riosca príobháideachais aonrú duine, innascacht, tátal, uathúlacht, rochtain inmheánach, tacair sonraí sheachtracha, rochtain soláthraithe agus saibhriú amach anseo a mheas. Ba cheart dó samhail réalaíoch ionsaitheora a shainiú, lena n-áirítear fostaí fiosrach, anailísí soláthraí, custaiméir a bhfuil eolas páirteach aige, nó páirtí seachtrach diongbháilte.

Éilíonn Beartas Coinneála, Scriosta agus Diúscartha PII fiontraíochta athbhreithniú ar thoimhdí le haghaidh sonraí ardriosca nó sonraí a chomhroinntear go seachtrach:

[An dá cheann] NÍ MÓR don Oifigeach Cosanta Sonraí / Comhairleoir Príobháideachais athbhreithniú a dhéanamh ar thoimhdí riosca ath-shainaitheantais in REG12 sula bhformheastar anaithnidiú nó dí-shainaithint le haghaidh tacair sonraí ardriosca nó tacair sonraí a chomhroinntear go seachtrach.

Ón rannán “Anaithnidiú, dí-shainaithint agus íoslaghdú coinneála”, clásal beartais 4.5.4.

Ba cheart do REG12 ceisteanna praiticiúla iniúchta a fhreagairt: cé na haitheantóirí díreacha a baineadh, cé na leath-aitheantóirí atá fágtha, cé na tairseacha comhiomlánaithe atá i bhfeidhm, an gceiltear grúpaí beaga, an féidir le seichimh imeachtaí daoine aonair a shainaithint, an féidir le fostaithe an t-aschur a nascadh le córais táirgthe, an féidir le díoltóirí é a shaibhriú, an bhfuil tátail chatagóirí speisialta ann, cén riosca iarmharach atá fágtha, cé a ghlac leis, agus cathain a dhéanfar athbhreithniú air.

4. Cuir rialuithe i bhfeidhm agus coinnigh fianaise theicniúil

D’fhéadfadh loighic claochlaithe, scripteanna mascaithe, socruithe uirlisí anaithnidithe, torthaí samplála, tástáil uathúlachta, seiceálacha comhiomlánaithe, logaí scriosta le haghaidh sonraí foinse, liostaí rialaithe rochtana, formheasanna easpórtála, logaí boghtaí eochracha agus foláirimh faireacháin a bheith san fhianaise theicniúil.

Deir Zenith Blueprint, céim Rialuithe i bhFeidhm, Céim 19, Rialuithe Teicneolaíochta I, go mbaineann mascadh sonraí le “nochtadh neamhriachtanach a chosc laistigh de d’eagraíocht” agus molann sé cásanna úsáide a shainiú ina bhfuil mascadh nó anaithnidiú éigeantach, lena n-áirítear timpeallachtaí tástála, ardáin ML nó BI, agus sonraí a chomhroinntear le díoltóirí seachtracha. Deir sé freisin go bhféadfadh scripteanna nó cumraíochtaí mascaithe stóráilte, socruithe nó logaí uirlisí, agus nósanna imeachta scríofa a rialaíonn cruthú tacar sonraí sábháilte a bheith san fhianaise.

Baineann an fhianaise sin le clár fianaise PIMS agus ba cheart í a nascadh leis an ngníomhaíocht phróiseála, measúnú REG04, toimhdí REG12, an Clár Rioscaí, an plean cóireála agus an SoA.

5. Rialaigh inchúlaitheacht agus eochracha

Más bréagainmniú seachas anaithnidiú atá sa tacar sonraí, ní mór don inchúlaitheacht a bheith eisceachtúil, formheasta, logáilte agus leithscartha.

Deir Beartas Mascaithe Sonraí agus Bréagainmnithe fiontraíochta Clarysec:

Ní ceadmhach inchúlaitheacht sonraí bréagainmnithe a chumasú de réir réamhshocraithe riamh agus ní mór í a rialú go docht, lena n-áirítear trí rianta iniúchta agus trí fhorfheidhmiú rialú rochtana bunaithe ar róil.

Ón rannán “Cóireáil riosca agus eisceachtaí”, clásal beartais 7.5.

Leagann an leagan FGBM béim ar iompar toirmiscthe nó ardriosca. Aithníonn Beartas Mascaithe Sonraí agus Bréagainmnithe - FGBM cás cóireála riosca agus eisceachta mar seo:

Ath-shainaithint sonraí bréagainmnithe gan formheas doiciméadaithe.

Ón rannán “Cóireáil riosca agus eisceachtaí”, clásal beartais 7.3.4.

Brataíonn sé dearadh inchúlaithe lag freisin:

Bréagainmniú lag nó inchúlaithe a eascraíonn as bainistíocht eochracha neamhleor.

Ón rannán “Cóireáil riosca agus eisceachtaí”, clásal beartais 7.1.1.3.

D’iniúchóirí, seo an áit a n-éiríonn príobháideachas ina fhianaise rialaithe slándála: bainistíocht eochracha, scaradh dualgas, formheasanna rochtana, logáil, foláireamh agus athbhreithniú eisceachtaí.

6. Dún le riosca iarmharach agus truicear athbhreithnithe

Éilíonn Beartas um Measúnú Riosca Príobháideachais agus DPIA fiontraíochta dúnadh disciplínithe:

[An dá cheann] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS a chinntiú go dtaifeadann gach measúnú REG04 rátáil riosca, cinneadh cóireála, úinéir, dáta dlite, riosca iarmharach, stádas formheasa agus dáta athbhreithnithe sula ndúntar é.

Ón rannán “Measúnú riosca príobháideachais agus forghníomhú DPIA”, clásal beartais 4.3.7.

Má shaibhrítear an tacar sonraí níos déanaí, má chomhroinntear go seachtrach é, má úsáidtear é le haghaidh oiliúint samhla, má nasctar é le sonraí tacaíochta, má bhogtar chuig seirbhís néil eile é, nó má chomhcheanglaítear é le hairíonna nua custaiméirí, ba cheart don truicear athbhreithnithe an measúnú a athoscailt.

Is i sonraí tástála a theipeann cláir anaithnidithe go minic

De ghnáth, bíonn rialuithe níos láidre ag córais táirgthe ná mar atá ag timpeallachtaí tástála. Is minic a bhíonn rochtain níos leithne, faireachán níos laige, dintiúir chomhroinnte, rialacha líonra níos scaoilte, tástáil amach ón gcósta, seanchóipeanna bunachair sonraí agus úinéireacht neamhshoiléir ag timpeallachtaí stáitsithe, QA, forbartha agus gaineamhlanna anailísíochta.

Fágann sé sin gur crios coitianta riosca ath-shainaitheantais iad sonraí tástála.

Éilíonn Beartas maidir le Sonraí Tástála agus Timpeallachtaí Tástála - FGBM FGBM Clarysec:

Ní mór na sonraí a anaithnidiú nó a bhréagainmniú ag úsáid uirlisí cuí

Ón rannán “Ceanglais chun an beartas a chur chun feidhme”, clásal beartais 6.1.2.2.

Téann Beartas maidir le Sonraí Tástála agus Timpeallachtaí Tástála fiontraíochta níos faide trína éileamh go ndéanfaí tacair sonraí anaithnidithe nó mascaithe a:

Fhíorú chun ath-shainaithint trí chrostagairt a chosc

Ón rannán “Ceanglais chun an beartas a chur chun feidhme”, clásal beartais 6.2.1.2.

Ciallaíonn sé sin gur cheart sonraí QA a thástáil i gcoinne ionsaithe réalaíocha nasctha. An féidir le forbróir custaiméir VIP a shainaithint ó am idirbhirt agus cathair? An féidir ticéid tacaíochta a nascadh le taifid tástála? An féidir le patrúin neamhchoitianta úsáide táirge tionónta fiontair amháin a shainaithint? An féidir le ríomhphoist mhascaithe ainmneacha úsáideora nó fearainn a nochtadh? An féidir le logaí, gabhálacha scáileáin nó rianta dífhabhtaithe aitheantóirí bunaidh a nochtadh? An féidir bunachair sonraí tástála agus táirgthe a nascadh trí uimhreacha cuntais a coinníodh?

Ba cheart d’fhianaise PIMS ISO 27701:2025 an riail, an eisceacht, an formheas, an choimirce agus an glanadh a léiriú.

Ionchais traschomhlíonta maidir le rialachas anaithnidithe

Tá rialachas anaithnidithe faoi stiúir príobháideachais, ach ní príobháideachas amháin atá i gceist leis.

Éilíonn Airteagal 21 de NIS2 ar eintitis riachtanacha agus thábhachtacha bearta teicniúla, oibríochtúla agus eagraíochtúla cuí agus comhréireacha a chur chun feidhme chun rioscaí do chórais líonra agus faisnéise a bhainistiú agus tionchar teagmhas a íoslaghdú. Áirítear lena bhearta anailís riosca, láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, forbairt shlán, measúnú éifeachtachta rialuithe, oiliúint, cripteagrafaíocht, rialú rochtana, bainistíocht sócmhainní agus fíordheimhniú. Tá Airteagal 23 de NIS2 tábhachtach freisin toisc go bhféadfadh teagmhas ath-shainaitheantais a bheith inthuairiscithe má chruthaíonn sé cur isteach oibríochtúil suntasach, caillteanas airgeadais, nó damáiste ábhartha nó neamhábhartha do dhaoine.

Baineann DORA le go leor eintiteas airgeadais ón 17 Eanáir 2025. Fágann Airteagail 5 agus 6 go bhfuil rialachas riosca TFC faoi úinéireacht an bhoird agus faoi iniúchadh. Éilíonn Airteagail 17 go 19 brath, aicmiú, uaschéimniú, tuairisciú, anailís bunchúise agus fógra do chliaint maidir le teagmhais TFC nuair a bhíonn leasanna airgeadais i gceist. Éilíonn Airteagail 28 go 30 cláir tríú páirtithe TFC, dícheall cuí, rialuithe conarthacha, rúndacht sonraí, sláine, infhaighteacht, cearta rochtana agus téarnaimh, cearta iniúchta agus pleanáil scoir. Má chomhroinneann fintech tacair sonraí idirbheart dí-shainaitheanta le soláthraí anailísíochta néil, is rialachas athléimneachta tríú páirtí é rialachas anaithnidithe freisin.

Cabhraíonn NIST CSF 2.0 le feidhmeannaigh riosca príobháideachais a aistriú ina riosca fiontair. Áirítear lena fheidhm GOVERN GV.OC-03 le haghaidh oibleagáidí dlíthiúla, rialála, conarthacha, príobháideachais agus saoirsí sibhialta, GV.RM-03 chun riosca cibearshlándála a chomhtháthú i mbainistíocht riosca fiontair, GV.RM-06 le haghaidh ríomh agus tosaíochtú caighdeánaithe riosca, agus GV.PO-01 agus GV.PO-02 le haghaidh bunú, cur chun feidhme, athbhreithniú agus nuashonrú beartais.

Díríonn peirspictíochtaí dearbhaithe COBIT 2019 agus ISACA ar chearta cinnteoireachta, úinéireacht rialuithe, rialachas saolré sonraí, éifeachtacht oibriúcháin rialuithe, glacadh le riosca agus iontaofacht fianaise. Fiafróidh athbhreithneoir atá dírithe ar COBIT an bhfuil róil, spriocanna feidhmíochta, freagrachtaí faireacháin agus láimhseáil eisceachtaí sainithe ag an mbainistíocht.

Is féidir le caighdeáin ISO thacúla cur chun feidhme a neartú. Déanann Céim 19 de Zenith Blueprint tagairt do ISO/IEC 27555 maidir le scriosadh agus bréagainmniú nó anaithnidiú PII, ISO/IEC 20889 maidir le teicnící dí-shainaitheantais a fheabhsaíonn príobháideachas, ISO/IEC 27018 maidir le cosaint PII i dtimpeallachtaí néil phoiblí, agus ISO/IEC 29134 maidir le treoir do mheasúnú tionchair príobháideachais.

Conas a thástálfaidh iniúchóirí rialachas anaithnidithe agus ath-shainaitheantais

Féadfaidh iniúchóirí éagsúla an tacar sonraí céanna a scrúdú trí lionsaí éagsúla, ach bíonn patrún na fianaise comhsheasmhach.

Mapálann an tábla seo a leanas stáit choitianta sonraí chuig stádas GDPR, riosca, gníomh rialachais agus rialuithe ábhartha ISO/IEC 27002:2022.

Ní ghlacfaidh iniúchóir le “bhaineamar ainmneacha” mar fhianaise leordhóthanach. Bí ag súil le sampláil, agallaimh, cigireacht ar loighic chlaochlaithe, athbhreithniú ar chonairí rochtana, tástáil ar cheilt cohórt beag, scrúdú ar chonarthaí soláthraithe, agus fíorú nach bhfuil anaithnidiú á úsáid chun scriosadh a sheachaint gan formheas.

Patrúin choitianta teipe le baint roimh an iniúchadh

Is teipeanna rialachais iad na teipeanna anaithnidithe is minice, agus iad faoi cheilt mar aicearraí innealtóireachta:

1. Aitheantóirí díreacha bainte, leath-aitheantóirí fágtha gan mheas. Tá ainmneacha agus ríomhphoist imithe, ach fanann suíomh, aois, am idirbhirt, fostóir, aitheantas gléis agus seicheamh imeachtaí uathúil.
2. Bréagainmniú á dhíol mar anaithnidiú. Tá tábla cuardaigh, boghta tóicení nó eochair inchúlaithe ann, ach glaonn páirtithe leasmhara an t-aschur anaithnid.
3. Loighic choinneála seachanta. Anaithnidíonn foirne sonraí sonraí chun iad a choinneáil go deo gan doiciméadú cén fáth a bhfuil coinneáil leanúnach údaraithe.
4. Sonraí táirgthe cóipeáilte isteach i dtástáil. Úsáideann forbróirí fíorshonraí toisc “nach bhfuil ann ach stáitsiú,” cé go bhfuil rialuithe níos laige ag an timpeallacht stáitsithe.
5. Saibhriú soláthraithe gan mheasúnú. Faigheann díoltóir sonraí dí-shainaitheanta ach is féidir leis iad a chomhcheangal lena thacair sonraí féin.
6. Gan athbhreithniú tar éis foinsí nua sonraí. Éiríonn tacar sonraí a bhí ísealriosca roimhe seo innasctha tar éis CRM, teiliméadracht, tacaíocht nó sonraí margaíochta a chur leis.
7. Gan playbook teagmhais le haghaidh ath-shainaitheantais. Tá nósanna imeachta sáraithe ann, ach níl critéir ann d’athnascadh neamhúdaraithe, teip anaithnidithe nó tátal a bhfuil tionchar príobháideachais aige.
8. Gan rian iniúchta le haghaidh aisiompaithe. Tá eochracha bréagainmnithe ann, ach níl rochtain formheasta, logáilte ná athbhreithnithe.

Tá patrún an cheartaithe comhsheasmhach: cláraigh, aicmigh, meas, cóirigh, formheas, bailigh fianaise, déan faireachán agus déan athbhreithniú.

Seicliosta praiticiúil rialachais anaithnidithe

Úsáid an seicliosta seo sula bhformheastar anailísíocht, oiliúint IS, tagarmharcáil custaiméirí, comhroinnt sheachtrach, claochlú coinneála nó úsáid sonraí tástála:

• Deimhnigh an bhfuil an eagraíocht ag gníomhú mar rialaitheoir, próiseálaí, rialaitheoir comhpháirteach nó fophhróiseálaí.
• Sainaithin an cuspóir próiseála, an bonn dlíthiúil, an measúnú comhoiriúnachta nó an treoir chustaiméara.
• Nuashonraigh an clár gníomhaíochtaí próiseála le catagóirí sonraí, córais, faighteoirí, soláthraithe agus coinneáil.
• Aicmigh an tacar sonraí de réir PII, catagóirí speisialta, rúndachta agus íogaireachta gnó.
• Socraigh an bhfuil próiseáil inaitheanta fíor-riachtanach.
• Meas indéantacht dí-shainaitheantais, comhiomlánaithe, mascaithe, bréagainmnithe nó sonraí sintéiseacha.
• Doiciméadaigh toimhdí riosca ath-shainaitheantais, lena n-áirítear samhlacha ionsaitheora inmheánacha agus seachtracha.
• Bailíochtaigh an t-aschur i gcoinne riosca aonrú duine, innascachta, tátail, uathúlachta agus crostagartha.
• Sainigh tairseacha íosta comhiomlánaithe agus rialacha ceilt cohórt beag.
• Bain, ginearáltaigh nó buicéadaigh airíonna neamhchoitianta, stampaí ama beachta, suíomhanna, aitheantóirí gléis agus seichimh imeachtaí ardriosca.
• Cuir srian le rochtain ar an tacar sonraí claochlaithe ag úsáid rialú rochtana bunaithe ar róil agus prionsabal na pribhléide is lú.
• Logáil rochtain, easpórtálacha, aisiompuithe, saibhriú, athruithe riaracháin agus úsáid eochracha.
• Formheas aon bhréagainmniú inchúlaithe trí shreabhadh oibre doiciméadaithe.
• Nasc an cinneadh le sceidil choinneála, scriosadh sonraí foinse agus fianaise diúscartha deiridh.
• Ceangail soláthraithe trí shrianta conarthacha ar athnascadh, saibhriú, athúsáid, comhroinnt ar aghaidh agus fochonraitheoireacht.
• Stóráil fianaise i gclár fianaise PIMS agus nasc í leis an SoA.
• Sceidealaigh athbhreithniú tar éis saibhrithe, comhroinnte seachtraí, foinsí nua sonraí, teagmhais, athoiliúint samhla nó athruithe móra táirge.

Tá an seicliosta seo trasfheidhmiúil d’aon ghnó. Sainíonn an t-úinéir gnó an cuspóir. Rialaíonn an Ceannaire Príobháideachais nó Bainisteoir PIMS an riosca. Déanann an tOifigeach Cosanta Sonraí nó Comhairleoir Príobháideachais athbhreithniú ar thoimhdí ardriosca. Cinntíonn an CISO rialuithe slándála. Bailíochtaíonn Dlí oibleagáidí. Cuireann Innealtóireacht claochluithe i bhfeidhm. Déanann Iniúchadh Inmheánach fianaise a thástáil.

Tiontaigh anaithnidiú ó éileamh ina chóras rialuithe in-iniúchta

Ní rachaidh an brú chun sonraí a úsáid le haghaidh anailísíochta, IS, feabhsú táirgí, tagarmharcáil custaiméirí agus éifeachtúlacht oibríochtúil ach i méid. Ní hé an freagra nuálaíocht a bhlocáil. Is é an freagra í a rialú.

Cabhraíonn Clarysec le heagraíochtaí rialachas anaithnidithe agus riosca ath-shainaitheantais a thógáil trí:

• Zenith Blueprint le haghaidh cur chun feidhme céimnithe, lena n-áirítear Céim 13 le haghaidh cóireáil riosca agus inrianaitheacht SoA, Céim 19 le haghaidh mascadh sonraí, Céim 21 le haghaidh faisnéis tástála, agus Céim 23 le haghaidh príobháideachas agus cosaint PII.
• Zenith Controls le haghaidh mapáil traschomhlíonta thar chosaint príobháideachais, scriosadh faisnéise, mascadh sonraí, faisnéis tástála, aicmiú, fardal sócmhainní, riosca soláthraithe, slándáil néil, logáil, cripteagrafaíocht agus peirspictíochtaí iniúchta.
• Teimpléid bheartais fiontraíochta Clarysec amhail Beartas Coinneála, Scriosta agus Diúscartha PII, Beartas Príobháideachais trí Dhearadh agus de réir Réamhshocraithe, Beartas um Measúnú Riosca Príobháideachais agus DPIA, Beartas Mascaithe Sonraí agus Bréagainmnithe, agus Beartas maidir le Sonraí Tástála agus Timpeallachtaí Tástála.
• Leaganacha atá réidh do FGBManna, lena n-áirítear Beartas um Chosaint Sonraí agus Príobháideachas - FGBM, Beartas Mascaithe Sonraí agus Bréagainmnithe - FGBM, agus Beartas maidir le Sonraí Tástála agus Timpeallachtaí Tástála - FGBM.

Tá do chéad ghníomh eile simplí: roghnaigh tacar sonraí anailísíochta, IS, tagarmhairc nó tástála ardluacha amháin agus rith é trí shreabhadh oibre rialachais anaithnidithe Clarysec. Mura féidir leat an clár gníomhaíochtaí próiseála, an measúnú íoslaghdaithe, an t-athbhreithniú riosca ath-shainaitheantais, an taifead formheasa, an fhianaise theicniúil chlaochlaithe, na rialuithe rochtana, an cinneadh coinneála, srianta soláthraithe agus an truicear athbhreithnithe a thaispeáint, níl an tacar sonraí réidh don iniúchadh.

Is féidir le Clarysec cabhrú leat é a dhéanamh réidh don iniúchadh.