Leabhar oibre 72 uair an chloig GDPR maidir le sáruithe PII do CISOanna
Tá sé 2:13 r.n. maidin Dé Máirt nuair a spreagtar an foláireamh.
Dúisíonn Maria, CISO ardáin FinTech SaaS atá ag fás go tapa, le hardú ón SOC: tá fiosruithe neamhghnácha bunachair sonraí ag teacht ó chuntas forbróra. Rinne an cuntas rochtain ar tháblaí ina raibh ainmneacha custaiméirí, seoltaí ríomhphoist, stair idirbheart agus uimhreacha aitheantais náisiúnta. Laistigh de chúpla nóiméad, deimhníonn an fhoireann gur goideadh dintiúir an fhorbróra in ionsaí fioscaireachta. Níl fuinneog an nochta soiléir. Níl rún an ionsaitheora ar eolas. Tá raon an tionchair fós á ríomh.
Tosaíonn an clog anois.
Maidir le GDPR, d’fhéadfadh 72 uair an chloig a bheith ag Maria chun fógra a thabhairt d’údarás maoirseachta más dócha go mbeidh riosca do dhaoine aonair mar thoradh ar an teagmhas. Maidir le NIS2, más eintiteas riachtanach nó eintiteas tábhachtach í an chuideachta agus más teagmhas suntasach atá ann, d’fhéadfadh réamhrabhadh a bheith dlite laistigh de 24 uair an chloig agus fógra foirmiúil laistigh de 72 uair an chloig. Maidir le DORA, d’fhéadfadh tuairisciú teagmhas TFC san earnáil airgeadais agus dualgais athléimneachta oibríochtúla a bheith i gceist freisin. Beidh freagraí ag teastáil ó chustaiméirí, árachóirí, comhairle dlí, feidhmeannaigh agus iniúchóirí araon.
Is ag an bpointe seo a theipeann ar phlean cineálach freagartha do theagmhais go minic. D’fhéadfadh runbook bogearraí mailíseacha míniú a thabhairt ar óstaigh a leithlisiú. D’fhéadfadh nós imeachta SOC míniú a thabhairt ar logaí a chaomhnú. Ach ní mór do phróiseas bainistíochta sáraithe PII ISO/IEC 27701:2025 ceisteanna níos deacra a fhreagairt faoi bhrú:
- Ar nochtadh, ar athraíodh, ar cailleadh, ar scriosadh sonraí pearsanta, nó an bhfuarthas rochtain orthu gan údarú?
- An bhfuil an eagraíocht ag gníomhú mar rialaitheoir, próiseálaí, comhrialaitheoir nó fophhróiseálaí?
- Cathain a tháinig an fheasacht chun cinn, agus cén fhianaise a chruthaíonn é?
- An bhfuil fógra rialála riachtanach faoi GDPR Article 33?
- An bhfuil daoine aonair lena mbaineann faoi ardriosca faoi GDPR Article 34?
- Má tá sí ag gníomhú mar phróiseálaí, cé chomh tapa is gá fógra a thabhairt don rialaitheoir?
- Cén fhianaise a chosnóidh an cinneadh sé mhí ina dhiaidh sin le linn iniúchta?
Ní hé líon na n-uirlisí slándála sa chruach teicneolaíochta a dhéanann an difríocht idir anord agus rialú. Is í an cheist an bhfuil Córas Bainistíochta Faisnéise Príobháideachais, nó PIMS, disciplínithe tógtha ag an eagraíocht a nascann freagairt do theagmhais, rialachas príobháideachais, láimhseáil fianaise, ardú soláthraithe agus tuairisciú rialála in aon saolré inchosanta amháin.
Tosaíonn bainistíocht sáraithe sula ndeir aon duine “sárú”
Is é an chéad bhotún oibríochtúil ná glacadh leis nach dtosaíonn bainistíocht sáraithe PII ach amháin tar éis don fhoireann dlí sárú sonraí pearsanta a dheimhniú. I ndáiríre, tosaíonn an próiseas nuair a thugann duine, córas, soláthraí nó custaiméir rud éigin faoi deara a d’fhéadfadh PII a bheith i gceist leis.
Cuireann Zenith Blueprint: An Auditor’s 30-Step Roadmap Clarysec Zenith Blueprint an truicear daonna seo i gcéim Controls in Action, Céim 16: People Controls II. Deir an treoir:
“Ní le huirlisí a thosaíonn córas éifeachtach freagartha do theagmhais, ach le daoine. Leagann Control 6.8 béim ar a thábhachtaí atá sé a chinntiú go bhfuil a fhios ag gach fostaí, conraitheoir nó páirtí leasmhar conas teagmhas slándála féideartha a aithint agus a thuairisciú, agus go mothaíonn siad sábháilte agus cumasaithe é sin a dhéanamh.”
Tá tábhacht leis seo mar ní SIEM a bhraitheann go leor teagmhas príobháideachais ar dtús. Tosaíonn siad nuair a fheiceann gníomhaire tacaíochta ceangaltán custaiméara eile, nuair a thugann fostaí párolla scarbhileog mhíthreoraithe faoi deara, nuair a thuairiscíonn custaiméir sonrasc úsáideora eile, nó nuair a thuairiscíonn soláthraí ríomhaire glúine caillte.
Déanann Data Protection and Privacy Policy-sme Data Protection and Privacy Policy-sme, roinn Cur chun feidhme agus comhlíonadh, clásal 8.3.1, oibleagáid láithreach de seo:
“Ní mór gach sárú sonraí pearsanta nó teagmhas amhrasta a thuairisciú láithreach don Chomhordaitheoir Príobháideachais”
Maidir le cláir fiontair, sannann an Beartas um Chosaint Sonraí agus Príobháideachas Beartas um Chosaint Sonraí agus Príobháideachas, roinn Cur chun feidhme agus comhlíonadh, clásal 8.3.2, an cheannaireacht:
“Beidh an tOifigeach Cosanta Sonraí (OCS) i gceannas ar shrianadh, anailís agus ardú sáraithe de réir ISO/IEC 27035 agus GDPR Articles 33 agus 34.”
Is é sin an t-aistriú ó “tá TF á fhiosrú” go “tá saolré sáraithe PIMS gníomhachtaithe”.
An chéad phointe brú: imeacht, teagmhas slándála, teagmhas príobháideachais, nó sárú PII
Ag 2:13 r.n., tá foláireamh ag foireann Maria. Níl sárú inthuairiscithe deimhnithe acu fós. Is é an t-aicmiú an chéad chinneadh criticiúil.
Míníonn Zenith Blueprint, céim Controls in Action, Céim 23: Rialuithe eagraíochtúla, rialú ISO/IEC 27002:2022 5.25, Measúnú agus cinneadh maidir le himeachtaí slándála faisnéise:
“Ní tubaiste gach aimhrialtacht. Ní comhartha comhréitigh gach foláireamh. Sa saol fíor, bíonn foirne slándála agus aonaid ghnó faoi thuilte torainn: iarrachtaí logála isteach, aimhrialtachtaí logaí, mionsáruithe beartais, gníomhaíocht TF scátha. Ní sa bhrath amháin atá an fíordhúshlán, ach i ndíriú ar an difríocht idir an neamhurchóideach agus an díobhálach, agus fios a bheith agat cad a éilíonn uaschéimniú.”
Ní mór don saolré sáraithe príobháideachais an t-idirdhealú sin a dhéanamh ar bhealach in-athdhéanta. Níor cheart go mbeadh sé ag brath ar cé atá ar dualgas ar glao, cén dlíodóir a cheanglaíonn ar dtús, nó an bhfuil an CISO compordach leis an éiginnteacht.
Scarann samhail phraiticiúil aicmithe Clarysec ceithre chéim:
| Céim aicmithe | Ceist | Úinéir tipiciúil | Fianaise riachtanach |
|---|---|---|---|
| Imeacht | Ar tharla rud neamhghnách? | Deasc chabhrach, SOC, úinéir gnó | Ticéad, tuairisc, foláireamh, ríomhphost, sliocht loga |
| Teagmhas slándála | Ar bhagair an t-imeacht ar shlándáil faisnéise nó ar comhréitíodh í? | Comhordaitheoir Freagartha do Theagmhais | Ticéad teagmhais, nótaí triáise, córais lena mbaineann |
| Teagmhas príobháideachais | An bhféadfadh PII nó oibleagáidí príobháideachais a bheith i gceist leis an imeacht? | Ceannaire Príobháideachais nó OCS | Catagóirí PII, ábhair sonraí, ról próiseála |
| Sárú PII deimhnithe nó amhrasta | Ar nochtadh, ar cailleadh, ar athraíodh, ar scriosadh PII, nó an bhfuarthas rochtain air go neamhdhleathach nó de thaisme? | OCS, Ceannaire Príobháideachais, comhairle dlí, úinéir gnó | Measúnú riosca, cinneadh maidir le fógra, clár fianaise |
Tá an focal “amhrasta” riachtanach. Ní mholann Clarysec fanacht le cinnteacht iomlán sula n-osclaítear sreabhadh oibre sáraithe príobháideachais. Ba cheart an clár sáraithe a oscailt nuair atá amhras réasúnach ann faoi shárú PII, agus é a nuashonrú de réir mar a aibíonn na fíricí.
Éilíonn an PII Incident and Breach Management Policy PII Incident and Breach Management Policy, roinn Aicmiú agus measúnú sáraithe, clásal 4.2.3, ar rialaitheoirí an cinneadh a dhoiciméadú sula ndéantar gníomh seachtrach:
“[Rialaitheoir] NÍ MÓR don Oifigeach Cosanta Sonraí / Comhairleoir Príobháideachais an riosca d’ábhair PII lena mbaineann a mheasúnú do gach sárú PII deimhnithe nó amhrasta go réasúnach agus an moladh fógra, bonn cirt riosca, agus comhairle a thaifeadadh in REG10 sula ndéantar an cinneadh maidir le fógra seachtrach.”
Is é an clásal sin croílár oibríochtúil freagartha GDPR atá réidh don iniúchadh: measúnaigh riosca, taifead an bonn cirt, gabh an chomhairle, déan cinneadh, agus caomhnaigh an fhianaise in REG10.
Fadhb fianaise is ea an clog 72 uair an chloig, ní meabhrúchán féilire
Déileálann go leor foirne le ceanglas fógra 72 uair an chloig GDPR mar spriocdháta i bplean tionscadail. I dteagmhas fíor, is é an chuid dheacair ná a chruthú cathain a tháinig an fheasacht chun cinn, cad a bhí ar eolas ag an tráth sin, cé chomh tapa a ghníomhaigh an eagraíocht, agus cén fáth a raibh an cinneadh maidir le fógra réasúnach.
Leagann an Incident Response Policy-sme Incident Response Policy-sme, roinn Cuspóir, clásal 1.2, an cuspóir amach:
“Cuireann an beartas seo ar chumas na heagraíochta dochar a íoslaghdú, sonraí custaiméirí a chosaint, agus oibleagáidí rialála a chomhlíonadh amhail ceanglas GDPR maidir le fógra faoi shárú sonraí pearsanta laistigh de 72 uair an chloig.”
Deir Data Protection and Privacy Policy-sme, roinn Cur chun feidhme agus comhlíonadh, clásal 8.3.3:
“Nuair is gá, ní mór fógra a thabhairt d’údaráis agus do dhaoine aonair lena mbaineann laistigh de 72 uair an chloig”
Maidir le cláir fiontair, deir an Beartas um Chosaint Sonraí agus Príobháideachas, roinn Cur chun feidhme agus comhlíonadh, clásal 8.3.3:
“Tabharfar tuairisc ar sháruithe a chomhlíonann an tairseach dhlíthiúil fógra d’údaráis mhaoirseachta laistigh de 72 uair an chloig.”
Ní hé an pointe fógra a thabhairt faoi gach aimhrialtacht. Is é an pointe cinneadh inchosanta a dhéanamh chomh tapa sin gur féidir an fógra riachtanach a thabhairt in am. Dá bhrí sin, úsáideann PIMS aibí spriocdhátaí inmheánacha atá níos giorra ná spriocdhátaí dlíthiúla seachtracha.
| Am ón bhfeasacht | Gníomh PIMS | Fianaise le gabháil in REG10 |
|---|---|---|
| 0 go 4 huaire an chloig | Oscail taifead teagmhais PII, sann úinéir, caomhnaigh fianaise tosaigh, sainaithin ról próiseála | Tuairisc iontógála, stampa ama feasachta, rólanna sannta, córais agus sonraí tosaigh lena mbaineann |
| 4 go 12 uair an chloig | Srian an nochtadh, sainaithin catagóirí PII, cinntigh oibleagáidí rialaitheora nó próiseálaí | Gníomhartha srianta, cineálacha sonraí lena mbaineann, measúnú róil, spleáchais soláthraithe nó custaiméirí |
| 12 go 24 uair an chloig | Déan réamh-mheasúnú riosca agus cinntigh an dócha go mbeidh fógra maoirseachta ag teastáil | Bonn cirt riosca, tionchar dóchúil, éiginnteacht, comhairle OCS, ionchur dlíthiúil |
| 24 go 48 uair an chloig | Ullmhaigh fógra nó bonn cirt le gan fógra a thabhairt, comhordaigh cumarsáidí custaiméara nó rialaitheora | Dréachtfhógra, loga cinntí, formheasanna, fógraí custaiméara, tagairtí fianaise |
| 48 go 72 uair an chloig | Cuir isteach fógra riachtanach, doiciméadaigh bonn cirt le moill más gá, ullmhaigh cumarsáid aonair má tá ardriosca ann | Fianaise aighneachta, tagairt ón údarás, cinneadh deiridh, plean cumarsáide |
| Tar éis 72 uair an chloig | Lean den imscrúdú, nuashonraigh an t-údarás más gá, cuir daoine aonair ar an eolas nuair is gá, cuir ceachtanna foghlamtha i gcrích | Tuarascálacha leantacha, gníomhartha ceartaitheacha, formheas dúnta, cúltaca feabhsúcháin |
Déanann an PII Incident and Breach Management Policy, roinn Fógra agus cumarsáidí, clásal 4.4.1, an ceanglas doiciméadaithe soiléir:
“[Rialaitheoir] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS cinneadh doiciméadaithe maidir le fógra rialála a ullmhú do gach sárú PII deimhnithe gan moill mhíchuí agus laistigh de spriocdháta inmheánach a thacaíonn le hamlínte fógra seachtracha is infheidhme, agus NÍ MÓR an fógra, an bonn cirt le gan fógra a thabhairt, nó an bonn cirt le moill a choinneáil in REG10.”
D’fhéadfadh údarás maoirseachta dúshlán a thabhairt do chinneadh. D’fhéadfadh iniúchóir tástáil a dhéanamh ar leanadh an próiseas. Ach má tá an eagraíocht in ann fianaise thráthúil, critéir struchtúrtha, comhairle OCS agus bonn cirt doiciméadaithe a thaispeáint, tá sí i bhfad níos láidre ná foireann a deir, “Phléamar é ar ghlao.”
Teastaíonn conairí sáraithe éagsúla ó rialaitheoirí agus próiseálaithe
Is minic a oibríonn cuideachtaí SaaS nua-aimseartha i níos mó ná ról príobháideachais amháin. D’fhéadfadh ardán FinTech Maria a bheith ina rialaitheoir dá shíntiúsóirí díreacha agus ina phróiseálaí do chustaiméirí fiontair. I gcás eile, d’fhéadfadh tairseach tacaíochta B2B a bheith ina próiseálaí do cheangaltáin ticéad custaiméara ach ina rialaitheoir dá meiteashonraí tacaíochta inmheánacha féin.
Athraíonn an t-idirdhealú sin an chonair fógra.
| Oibleagáid | Ról rialaitheora PII | Ról próiseálaí PII |
|---|---|---|
| Príomhdhualgas | Don údarás maoirseachta agus do dhaoine aonair lena mbaineann nuair a chomhlíontar tairseacha | Don rialaitheoir nó custaiméir lena mbaineann |
| Sprioc fógra | Údarás maoirseachta ábhartha agus, má tá ardriosca ann, daoine aonair lena mbaineann | Custaiméir nó rialaitheoir ainmnithe sa chonradh |
| Truicear fógra | Riosca do chearta agus saoirsí daoine aonair | Feasacht ar shárú a dhéanann difear do PII custaiméara |
| Amlíne | Gan moill mhíchuí agus, nuair is indéanta, laistigh de 72 uair an chloig tar éis feasachta | Gan moill mhíchuí agus laistigh de spriocdhátaí conarthacha, go minic 24 nó 48 uair an chloig |
| Measúnú riosca | Ní mór riosca do dhaoine aonair a mheasúnú agus cinneadh a dhéanamh maidir le fógra Article 33 agus Article 34 | Soláthraíonn sé fíricí ionas gur féidir leis an rialaitheoir riosca a mheasúnú |
Maidir le próiseálaithe, deir an PII Incident and Breach Management Policy, roinn Fógra agus cumarsáidí, clásal 4.4.4:
“[Próiseálaí] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS fógra a thabhairt don rialaitheoir nó don chustaiméir lena mbaineann gan moill mhíchuí agus laistigh d’aon spriocdháta conarthach is infheidhme tar éis dó teacht ar an eolas faoi shárú PII a dhéanann difear do PII custaiméara, agus NÍ MÓR fógraí tosaigh agus leantacha a thaifeadadh in REG08 agus REG10.”
Níor cheart do phróiseálaí fanacht go dtí go gcuirtear anailís riosca GDPR an rialaitheora i gcrích. Ní mór dó fógra a thabhairt don rialaitheoir leis na fíricí atá ar fáil agus nuashonruithe a sholáthar de réir mar a leanann an t-imscrúdú. Ansin déanann an rialaitheoir cinneadh maidir le fógra don údarás maoirseachta agus cumarsáid le daoine aonair lena mbaineann dá phróiseáil féin.
Maidir le tionchair ardriosca ar dhaoine aonair, ní mór don rialaitheoir cumarsáid dhíreach a mheas freisin. Deir an PII Incident and Breach Management Policy, clásal 4.4.3:
“[Rialaitheoir] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS cumarsáid a chomhordú le hábhair PII lena mbaineann nuair a shainaithníonn an measúnú sáraithe truicear cumarsáide ardriosca nó coibhéiseach, agus NÍ MÓR ábhar na cumarsáide, an sprioclucht, an t-am, an modh seachadta agus fianaise formheasa a thaifeadadh in REG10.”
Treisíonn an Beartas um Chosaint Sonraí agus Príobháideachas fiontair, roinn Cur chun feidhme agus comhlíonadh, clásal 8.3.4, é seo:
“Má shainaithnítear ardriosca do dhaoine aonair, cuirfear ábhair sonraí lena mbaineann ar an eolas gan moill mhíchuí mura bhfuil eisceacht i bhfeidhm (m.sh., má tá criptiú láidir i bhfeidhm).”
Ní mór don eisceacht sin a bheith bunaithe ar fhianaise. Ní leor a rá “bhí na sonraí criptithe”. Ní mór don eagraíocht a chruthú nach raibh na sonraí nochtaithe inléite ag páirtithe neamhúdaraithe agus nár comhréitíodh na heochracha ábhartha.
Is féidir le soláthraithe na chéad 24 uair an chloig a dhéanamh nó a bhriseadh
Is minic a bhíonn na fíricí a theastaíonn le haghaidh aicmithe agus fógra i seilbh tríú páirtithe. D’fhéadfadh logaí rochtana a bheith ag soláthraí scamall. D’fhéadfadh próiseálaí párolla a bheith ar an eolas cé na fostaithe a bhí i gceist. D’fhéadfadh Soláthraí Seirbhísí Bainistithe an t-athrú cumraíochta a dhéanamh. D’fhéadfadh teiliméadracht fhóiréinseach a bheith ag fophhróiseálaí.
Dá bhrí sin, ní mór téarmaí sáraithe soláthraithe a dhearadh roimh an teagmhas.
Áirítear leis an Third party and supplier security policy Third party and supplier security policy, roinn Ceanglais rialachais, clásal 5.3.3, rialachas conarthach maidir le:
“Amlínte fógra sáraithe (m.sh., laistigh de 24 nó 72 uair an chloig, ag brath ar chriticiúlacht agus ar cheanglais rialála)”
Maidir le heagraíochtaí níos lú, tacaíonn an Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy-sme mar an gcéanna le hamlínte fógra sáraithe i rialachas soláthraithe.
Molann Clarysec go sainmhíneodh conarthaí soláthraithe agus comhaontuithe próiseála sonraí:
- Cad is sárú PII amhrasta ann
- Cé dó a gcaithfear fógra a thabhairt agus cén cainéal a úsáidfear
- Spriocdháta an fhógra tosaigh, go minic níos giorra ná spriocdháta rialála an rialaitheora
- Na fíricí íosta atá riachtanach sa chéad fhógra
- Minicíocht nuashonruithe le linn imscrúdaithe
- Dualgais chaomhnaithe fianaise
- Cur ar aghaidh fógraí chuig fophhróiseálaithe
- Tacaíocht do chumarsáidí rialtóra agus ábhar sonraí
- Oibleagáidí gníomhartha ceartaitheacha iar-theagmhais
Má úsáideann comhaontuithe soláthraithe frásaí doiléire amhail “a luaithe is indéanta”, d’fhéadfadh clog GDPR an rialaitheora brath ar dhíospóireacht inmheánach in eagraíocht eile. Ní samhail oibriúcháin inchosanta é sin.
Athraíonn fianaise freagairt ina comhlíonadh inchosanta
Le linn theagmhas Maria, teastaíonn logaí fíordheimhnithe, taifid fiosraithe bunachair sonraí, fianaise fhioscaireachta, athruithe ar rialú rochtana, liostaí custaiméirí lena mbaineann, gníomhartha srianta, comhairle OCS agus dréachtaí cumarsáide ón bhfoireann. I gcás tairseach SaaS B2B, d’fhéadfadh gabhálacha scáileáin, ceadanna stórála oibiachtaí, aitheantais ticéad tacaíochta, athruithe IAM agus logaí rochtana tras-thionónta a bheith ag teastáil ón bhfoireann.
Ní mór an fhianaise a chaomhnú i gceart. Ní leor gabhálacha scáileáin scaoilte, easpórtálacha comhrá agus fillteáin phearsanta.
Pléann Zenith Blueprint, céim Controls in Action, Céim 23, rialú ISO/IEC 27002:2022 5.28, Bailiú fianaise:
“Nuair a tharlaíonn teagmhas slándála faisnéise, is é ceann de na heilimintí freagartha is criticiúla, cé go ndéantar faillí air go minic, ná fianaise. Ní logaí, ní gabhálacha scáileáin, ní scéalta scaoilte, ach fianaise atá caomhnaithe i gceart, a urramaíonn slabhra coimeádta, agus atá frithionramhála.”
Deir an Beartas um Bhailiú Fianaise agus Fóiréinsic Beartas um Bhailiú Fianaise agus Fóiréinsic, roinn Ceanglais rialachais, clásal 5.5:
“Déanfar an fhianaise uile a bhailítear a shainaithint go huathúil, a lipéadú, agus a stóráil i stór slán le:”
Nascann an PII Incident and Breach Management Policy, roinn Fianaise, coimeád taifead agus rúndacht, clásal 4.5.1, an fhianaise sin le taifead PIMS:
“[An dá cheann] NÍ MÓR don Chomhordaitheoir Freagartha do Theagmhais taifead iomlán REG10 a chothabháil do gach teagmhas PII amhrasta nó deimhnithe ó iontógáil go dúnadh, lena n-áirítear fíricí, amanna, aicmiú, measúnú, gníomhartha, cinntí, fógraí, tagairtí fianaise, agus stádas dúnta.”
Éiríonn REG10 ina fhoinse aonair fírinne don teagmhas. Gabhann REG08 fógraí custaiméara nó rialaitheora nuair is infheidhme. Le chéile, ligeann siad d’fhoirne slándála, príobháideachais, dlí agus iniúchta oibriú ó phríomhshnáithe fianaise amháin.
| Réimse REG10 | Iontráil shamplach |
|---|---|
| Aitheantas teagmhais | PII-2026-034 |
| Stampa ama feasachta | 2026-06-23 02:13 UTC, foláireamh SOC deimhnithe |
| Ról próiseála | Rialaitheoir do shíntiúsóirí díreacha, próiseálaí do thacair sonraí custaiméirí fiontair |
| PII lena mbaineann | Ainmneacha, ríomhphoist oibre, stair idirbheart, uimhreacha aitheantais náisiúnta |
| Aicmiú tosaigh | Teagmhas slándála deimhnithe le sárú PII amhrasta |
| Srianadh | Dintiúir an fhorbróra cúlghairthe, seisiúin foirceanta, rochtain ar an mbunachar sonraí lena mbaineann srianta |
| Measúnú riosca | Fuarthas rochtain ar aitheantóirí neamhphoiblí, ní féidir riosca calaoise aitheantais a chur as an áireamh |
| Cinneadh maidir le fógra | Fógra don údarás maoirseachta formheasta do shonraí rialaitheora, custaiméirí fiontair curtha ar an eolas mar rialaitheoirí |
| Tagairtí fianaise | Loga fíordheimhnithe E-034-01, easpórtáil fiosraithe E-034-02, déantán fioscaireachta E-034-03 |
| Dúnadh | Bunchúis socraithe, rialuithe MFA neartaithe, oiliúint fhioscaireachta nuashonraithe, obair leantach custaiméirí críochnaithe |
Ní maorlathas an cuspóir. Is é atá ann cosc a chur ar an eagraíocht cuimhne a atógáil ó theachtaireachtaí Slack scaipthe tar éis don údarás glaoch.
Freagairt PIMS ISO 27701 a mhapáil chuig ISO 27001 agus ISO 27002
Tá próiseas aibí sáraithe PII suite ag an bpointe trasnaithe idir rialachas príobháideachais agus bainistíocht slándála faisnéise.
Éilíonn clásail 4.1 go 4.4 de ISO/IEC 27001:2022 ar eagraíochtaí comhthéacs, páirtithe leasmhara, raon feidhme ISMS agus próisis chórais bhainistíochta a thuiscint. Maidir le bainistíocht sáraithe PII, ciallaíonn sé seo go gcaithfidh an próiseas dualgais rialála, conarthaí custaiméirí, rólanna próiseála, spleáchais soláthraithe agus oibleagáidí earnála a léiriú sula dtarlaíonn teagmhas.
Cuidíonn Zenith Controls: The Cross-Compliance Guide Zenith Controls le rialuithe teagmhais a mhapáil isteach i samhail dearbhaithe níos leithne. Is iad seo a leanas na rialuithe ISO/IEC 27002:2022 is ábhartha:
| Rialú ISO/IEC 27002:2022 | Cóireáil in Zenith Controls | Cén fáth a bhfuil sé tábhachtach do bhainistíocht sáraithe PII |
|---|---|---|
| 5.24 Pleanáil agus ullmhúchán bainistíochta teagmhas slándála faisnéise | Rialú ceartaitheach, Freagair agus Téarnaigh, rialachas agus bainistíocht imeachtaí slándála faisnéise | Sainmhíníonn sé pleananna, rólanna, conairí ardaithe, teimpléid chumarsáide agus ullmhacht do sháruithe príobháideachais |
| 5.25 Measúnú agus cinneadh maidir le himeachtaí slándála faisnéise | Rialú braite, Braith agus Freagair, bainistíocht imeachtaí slándála faisnéise | Cruthaíonn sé an pointe cinnteoireachta struchtúrtha chun teagmhais phríobháideachais agus sáruithe PII amhrasta a aicmiú |
| 5.26 Freagairt do theagmhais slándála faisnéise | Rialú ceartaitheach, Freagair agus Téarnaigh, bainistíocht imeachtaí slándála faisnéise | Gníomhachtaíonn sé srianadh, comhordú, tacaíocht fógra, téarnamh agus cumarsáid le páirtithe leasmhara |
| 5.28 Bailiú fianaise | Caomhnú fianaise agus iontaofacht imscrúdaitheach tríd an saolré teagmhais | Tacaíonn sé le cuntasacht GDPR, cáilíocht fhóiréinseach, ceisteanna ó údaráis agus inchosantacht iniúchta |
| 6.8 Tuairisciú imeachtaí slándála faisnéise | Cainéal tuairiscithe agus oiliúint feasachta faoi thiomáint daoine | Cinntíonn sé go dtuairiscíonn fostaithe, conraitheoirí agus páirtithe leasmhara teagmhais PII amhrasta go tapa |
Tacaíonn ISO/IEC 27035 le bainistíocht struchtúrtha teagmhas. Tacaíonn ISO/IEC 27037 le láimhseáil fianaise dhigiteach. Is féidir le ISO/IEC 29134 tacú le loighic measúnaithe tionchair príobháideachais nuair a léiríonn cóireáil sáraithe gá le hathbhreithniú DPIA níos doimhne. Ansin tugann ISO/IEC 27701:2025 comhthéacs ról príobháideachais, tionchar ar ábhair PII, oibleagáidí rialaitheora agus próiseálaí, agus ceanglais fianaise PIMS isteach sa chóras bainistíochta.
Teagmhas amháin, go leor lionsaí rialála
Ní ceist GDPR amháin é teagmhas Maria. Toisc go soláthraíonn an chuideachta seirbhísí scamall do chustaiméirí san earnáil airgeadais, d’fhéadfadh NIS2 agus DORA a bheith infheidhme freisin. D’fhéadfadh conarthaí custaiméirí fógra laistigh de 24 uair an chloig a fhorchur. D’fhéadfadh fógra tapa a bheith ag teastáil ó árachas cibear. D’fhéadfadh rialachas inmheánach tuairisciú don Bhord a éileamh.
Cruthaíonn insintí ar leith do gach creat riosca contrárthachta. Is é modh Clarysec príomhshnáithe fianaise amháin a chothabháil, agus ansin aschuir chreatshonracha a chruthú uaidh.
| Creat nó rialachán | Lionsa teagmhais | Aschur ó phríomhshnáithe fianaise Clarysec |
|---|---|---|
| GDPR | Sárú sonraí pearsanta, riosca do dhaoine aonair, fógra don údarás maoirseachta, cumarsáid le daoine aonair lena mbaineann | Taifead cinnteoireachta REG10, comhairle OCS, bonn cirt Article 33 agus Article 34, fianaise chumarsáide |
| ISO/IEC 27701:2025 | Rialachas PIMS, dualgais rialaitheora agus próiseálaí, riosca d’ábhair PII, fianaise phríobháideachais | Aicmiú teagmhais PII, measúnú róil, REG08 agus REG10, gníomhartha ceartaitheacha |
| ISO/IEC 27001:2022 | Comhthéacs ISMS, páirtithe leasmhara, próiseas freagartha do theagmhais, feabhsú leanúnach | Taifead teagmhais, nuashonruithe cóireála riosca, ionchur athbhreithnithe bainistíochta, fianaise ar éifeachtacht rialaithe |
| NIS2 | Láimhseáil teagmhas suntasach, tuairisciú céimnithe, bearta slándála uile-ghuaiseacha | Fianaise réamhrabhaidh 24 uair an chloig, pacáiste fógra teagmhais 72 uair an chloig, tacaíocht do thuarascáil deiridh aon mhí amháin |
| DORA | Bainistíocht teagmhas a bhaineann le TFC d’eintitis airgeadais agus athléimneacht oibríochtúil dhigiteach | Fíricí tionchair TFC, spleáchais tríú páirtí, aiseolas ar thástáil athléimneachta, tacaíocht do thuairisciú teagmhais |
| NIST CSF 2.0 | Próifílí Reatha agus Spriocphróifílí, plean gníomhaíochta tosaíochta, cumarsáid riosca | Nuashonruithe bearnaí, feabhsuithe spriocdhírithe, insint riosca ar leibhéal an Bhoird |
| COBIT 2019 | Rialachas, cuspóirí bainistíochta, cuntasacht, feidhmíocht rialuithe | RACI, logaí cinntí, méadrachtaí próisis, rianú gníomhartha ceartaitheacha |
Bunaíonn NIS2 Article 21 bearta bainistíochta riosca cibearshlándála, lena n-áirítear láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, measúnú éifeachtachta, sláinteachas cibear, cripteagrafaíocht, rialú rochtana, bainistíocht sócmhainní, MFA agus cumarsáid shlán. Cruthaíonn NIS2 Article 23 tuairisciú céimnithe do theagmhais shuntasacha, lena n-áirítear réamhrabhadh laistigh de 24 uair an chloig, fógra teagmhais laistigh de 72 uair an chloig, nuashonruithe nuair a iarrtar iad, agus tuarascáil deiridh tráth nach déanaí ná mí amháin tar éis an fhógra teagmhais.
Tá DORA infheidhme ón 17 Eanáir 2025 agus bunaíonn sé ceanglais aonfhoirmeacha maidir le bainistíocht riosca TFC, tuairisciú teagmhas a bhaineann le TFC, tástáil athléimneachta oibríochtúla digití, comhroinnt faisnéise, agus bainistíocht riosca tríú páirtí TFC d’eintitis airgeadais. Maidir le soláthraí FinTech, d’fhéadfadh teagmhas amháin a bheith ina shárú GDPR, ina theagmhas suntasach NIS2, ina imeacht TFC atá ábhartha do DORA do chustaiméirí, agus ina imeacht fógra conarthach.
Conas a thástálfaidh iniúchóirí an saolré
Is annamh a stopann iniúchóirí ag “taispeáin dom do bheartas freagartha do theagmhais.” Tástálann siad an n-oibríonn an saolré faoi bhrú fianaise.
Fiafróidh iniúchóir ISO/IEC 27701:2025 nó ISO/IEC 27001:2022 conas a théann teagmhais phríobháideachais isteach san ISMS agus sa PIMS, cé a aicmíonn imeachtaí, conas a bhíonn dualgais rialaitheora agus próiseálaí éagsúil, agus conas a spreagann teagmhais gníomh ceartaitheach.
Díreoidh iniúchóir GDPR nó údarás maoirseachta ar am feasachta, riosca do dhaoine aonair, rannpháirtíocht an OCS, bonn cirt fógra, cumarsáid le daoine aonair lena mbaineann, agus cuntasacht. D’fhéadfadh siad samplaí de theagmhais nár tugadh fógra fúthu a roghnú chun tástáil a dhéanamh ar dhoiciméadaíodh an bonn cirt le gan fógra a thabhairt.
Scrúdóidh athbhreithniú NIS2 nó DORA tairseacha teagmhas suntasach, tuairisciú céimnithe, tionchar TFC, spleáchais tríú páirtí, impleachtaí athléimneachta, agus an raibh tuairisciú ailínithe leis an údarás inniúil ábhartha nó le ceanglais custaiméirí.
Fiafróidh measúnóir NIST CSF 2.0 ar athraigh an teagmhas Próifíl Reatha agus Spriocphróifíl na heagraíochta. Díreoidh athbhreithneoir COBIT 2019 ar rialachas, cuntasacht, úinéireacht próisis, méadrachtaí agus rianú gníomhartha ceartaitheacha.
Ba cheart na nithe seo a leanas a bheith i bpacáiste láidir fianaise iniúchta:
| Mír fianaise | Cén fáth a n-iarrann iniúchóirí í |
|---|---|
| Taifead teagmhais REG10 | Cruthaíonn sé iontógáil, amanna, aicmiú, measúnú, cinntí, fógraí agus dúnadh |
| Taifead REG08 um fhógra custaiméara nó rialaitheora | Cruthaíonn sé cumarsáidí próiseálaí agus stair nuashonraithe custaiméirí |
| Tuairisc nó foláireamh bunaidh | Bunaíonn sé conas a braitheadh an teagmhas agus cathain a thosaigh an fheasacht |
| Amlíne príomhghníomhartha | Taispeánann sé srianadh, measúnú, formheasanna agus cinntí fógra |
| Measúnú róil próiseála | Léiríonn sé scaradh dualgas rialaitheora agus próiseálaí |
| Catagóirí PII agus ábhair lena mbaineann | Tacaíonn sé le measúnú riosca agus raon feidhme fógra |
| Moladh OCS nó Comhairleora Príobháideachais | Cruthaíonn sé comhairle phríobháideachais chuntasach roimh chinneadh seachtrach |
| Fógra nó bonn cirt le gan fógra a thabhairt | Tacaíonn sé le cuntasacht GDPR Article 33 agus Article 34 |
| Innéacs stór fianaise | Léiríonn sé sláine fianaise agus disciplín slabhra coimeádta |
| Bunchúis agus plean gníomhaíochta ceartaithí | Taispeánann sé feabhsú leanúnach agus athbhreithniú ar éifeachtacht rialaithe |
Seo an áit a bhfuil Zenith Controls luachmhar ó thaobh tráchtála agus oibríochta de. Cuidíonn sé leis an bhfianaise chéanna a mhapáil chuig rialuithe teagmhais ISO/IEC 27002:2022, cuntasacht GDPR, láimhseáil teagmhas NIS2, ionchais athléimneachta DORA, cumarsáid NIST CSF agus rialachas COBIT gan scéal an iniúchta a atógáil gach uair.
Rithim oibriúcháin don chéad 24 uair an chloig
Ba cheart go mbraithfeadh leabhar oibre réalaíoch sáraithe PII praiticiúil, ní teoiriciúil. Smaoinigh ar nochtadh tras-thionónta SaaS a thuairiscíonn custaiméir ag 08:12.
Ag 08:12, faigheann foireann ratha custaiméirí an tuairisc agus leanann sí an t-iompar tuairiscithe ó Zenith Blueprint Céim 16. Cuirtear clib ar an ticéad mar theagmhas PII amhrasta.
Ag 08:25, osclaíonn an Comhordaitheoir Freagartha do Theagmhais REG10. Áirítear sa taifead stampa ama na feasachta, an tuairisceoir, an córas, na cineálacha sonraí amhrasta agus an t-úinéir.
Ag 09:02, cuireann innealtóireacht an t-athrú ceadanna ar ais. Easpórtáiltear logaí roimh rothlú. Lipéadaíonn coimeádaí na fianaise tuairisc an chustaiméara, an t-athrú IAM, easpórtáil an loga rochtana agus dearbhú srianta sa stór slán.
Ag 10:30, cinneann an Ceannaire Príobháideachais go bhfuil an eagraíocht ag gníomhú mar phróiseálaí do cheangaltáin tacaíochta custaiméirí. Faoin PII Incident and Breach Management Policy, clásal 4.4.4, ní mór custaiméirí rialaitheora lena mbaineann a chur ar an eolas gan moill mhíchuí agus laistigh de spriocdhátaí conarthacha. Osclaítear REG08.
Ag 12:00, déanann an OCS measúnú ar riosca d’ábhair PII. Is cosúil go bhfuil na sonraí teoranta, ach d’fhéadfadh ainmneacha fostaithe agus aitheantais inmheánacha a bheith i gceangaltáin áirithe. Taifeadann an OCS an bonn cirt riosca agus an moladh in REG10.
Ag 15:00, faigheann custaiméirí rialaitheora lena mbaineann an fógra tosaigh: cad a tharla, cathain a braitheadh é, cad a sriantaíodh, cén PII a d’fhéadfadh a bheith i gceist, cad atá fós á anailísiú, agus cathain a thiocfaidh an chéad nuashonrú eile.
Ag 18:00, faigheann an bhainistíocht brífáil ghearr: seoladh fógraí custaiméara, baineann cinntí maidir le fógra rialtóra le rialaitheoirí do PII custaiméara, tá próiseáil rialaitheora inmheánach fós á measúnú, tá fianaise caomhnaithe, agus tá anailís bunchúise ar siúl.
Cuireann an rithim sin cosc ar na teipeanna sáraithe is coitianta: spriocdhátaí caillte, rólanna measctha, comhairle neamhdoiciméadaithe agus cumarsáidí neamhrialaithe.
Patrúin teipe choitianta le baint roimh an gcéad fholáireamh eile
Is annamh a bhíonn na teipeanna sáraithe príobháideachais is dochraí mar thoradh ar dhoiciméad amháin a bheith in easnamh. Bíonn siad mar thoradh ar dhícheangail idir slándáil, príobháideachas, dlí, soláthraithe agus úinéirí gnó.
Feiceann Clarysec na patrúin seo go minic:
- Tá pleananna freagartha do theagmhais ann, ach tá aicmiú sáraithe PII in easnamh.
- Luaitear fógra GDPR 72 uair an chloig, ach níl spriocdhátaí inmheánacha níos giorra ná an spriocdháta dlíthiúil.
- Cuirtear moill ar ardú próiseálaí toisc go bhfanann foirne le hanailís bunchúise iomlán.
- Ní éilíonn conarthaí soláthraithe fógra tapa sáraithe ná tacaíocht fianaise.
- Tá comhairle OCS ó bhéal agus ní chuirtear isteach sa chlár sáraithe í riamh.
- Déantar cumarsáid ardriosca le daoine aonair a mheas ródhéanach.
- Stóráiltear fianaise i bhfillteáin phearsanta, snáitheanna comhrá nó tráchtanna ticéid.
- Ní dhéantar cinntí gan fógra a dhoiciméadú.
- Ní nuashonraíonn ceachtanna foghlamtha rialuithe, oiliúint, clásail soláthraithe ná pleananna cóireála riosca.
Gabhann Zenith Blueprint, Céim 23, cén fáth a bhfuil struchtúr tábhachtach:
“Gan struchtúr, éiríonn freagairt do theagmhas ina scramble. Eitlíonn ríomhphoist, glaotar cruinnithe, agus déantar cinntí go mothúchánach nó go neamh-chomhsheasmhach. Ach athraíonn ISMS aibí freagairt ina dhisciplín.”
Is é an disciplín sin cuspóir bhainistíocht sáraithe PII ISO/IEC 27701:2025.
Tóg saolré sáraithe PII Clarysec
Comhcheanglaíonn cur chuige Clarysec trí shraith.
Ar dtús, soláthraíonn Zenith Blueprint an treochlár cur chun feidhme. Cinntíonn Céim 16 go n-aithníonn daoine teagmhais amhrasta agus go dtuairiscíonn siad iad. Cuireann Céim 23 measúnú, cinneadh, freagairt agus bailiú fianaise i bhfeidhm go hoibríochtúil trí rialuithe ISO/IEC 27002:2022 5.25, 5.26 agus 5.28.
Ar an dara dul síos, sainmhíníonn an tsraith beartas údarás agus oibleagáidí. Déanann beartais SME tuairisciú, feasacht 72 uair an chloig agus cláir teagmhas praiticiúil d’eagraíochtaí níos lú. Sannann beartais fiontair ceannaireacht OCS, tairseacha sáraithe, cumarsáid le daoine aonair lena mbaineann, téarmaí fógra soláthraithe, láimhseáil fianaise agus rialachas fóiréinseach. Cuireann an PII Incident and Breach Management Policy atá sonrach do PIMS dualgais rólbhunaithe rialaitheora agus próiseálaí, REG08, REG10, bonn cirt fógra agus fianaise dúnta leis.
Ar an tríú dul síos, feidhmíonn Zenith Controls mar chompás tras-chomhlíonta. Mapálann sé pleanáil, measúnú, freagairt agus fianaise teagmhais isteach i radharc comhtháite thar ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST CSF 2.0 agus ionchais dearbhaithe de chineál COBIT.
Maidir le CISOanna, laghdaíonn sé seo mearbhall oibríochtúil. Maidir le OCSanna, cruthaíonn sé rian cinnteoireachta príobháideachais inchosanta. Maidir le bainisteoirí comhlíonta, nascann sé taifead teagmhais amháin le haschuir rialála iolracha. Maidir le hiniúchóirí, cruthaíonn sé fianaise inrianaithe. Maidir le feidhmeannaigh, laghdaíonn sé an seans go n-éireoidh teagmhas príobháideachais inbhainistithe ina ghéarchéim rialála agus cháil.
Do chéad chéim eile
Ná fan leis an bhfoláireamh ag 2 r.n. chun a fháil amach an n-oibríonn do phróiseas sáraithe PII.
Tosaigh an tseachtain seo le trí ghníomh:
- Déan athbhreithniú ar cé acu a ghabhann d’iontógáil teagmhais teagmhais PII amhrasta go sainráite.
- Deimhnigh go bhfuil dualgais sáraithe rialaitheora agus próiseálaí scartha i mbeartas, i gconarthaí agus i gcláir fianaise.
- Rith cleachtadh boird ag úsáid cás réalaíoch, amhail dintiúir comhréitithe, nochtadh tras-thionónta, comhad párolla míthreoraithe, ríomhaire glúine criptithe caillte, nó comhréiteach soláthraí.
Is féidir le Clarysec cabhrú leat é seo a chur i bhfeidhm go hoibríochtúil trí Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, Zenith Controls: The Cross-Compliance Guide Zenith Controls, agus sraith beartas PIMS ISO/IEC 27701:2025, lena n-áirítear an PII Incident and Breach Management Policy PII Incident and Breach Management Policy, Beartas um Chosaint Sonraí agus Príobháideachas Beartas um Chosaint Sonraí agus Príobháideachas, Incident Response Policy-sme Incident Response Policy-sme, Third party and supplier security policy Third party and supplier security policy, agus Beartas um Bhailiú Fianaise agus Fóiréinsic Beartas um Bhailiú Fianaise agus Fóiréinsic.
Íoslódáil foireann uirlisí PIMS Clarysec, cuir measúnú ullmhachta sáraithe in áirithe, nó sceidealaigh taispeántas chun do fhreagairt GDPR 72 uair an chloig a athrú ó scramble go próiseas disciplínithe atá réidh don iniúchadh.
Faigh deimhniú PECB ISO/IEC 27701 agus bunaigh do PIMS
- ✓ Ábhar oifigiúil cúrsa PECB agus dhá iarracht scrúdaithe
- ✓ Táille deimhniúcháin agus AMF na chéad bhliana san áireamh, nuair is infheidhme
- ✓ Féinstaidéar nó beo ar líne · sanntar an cúrsa laistigh de 1 lá oibre
Faoin údar
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council