Fianaise PIMS ISO 27701:2025 le haghaidh iniúchtaí GDPR

Tá sé 08:40 maidin Déardaoin, agus tá Ava, Bainisteoir Comhlíonta FinScale, díreach tar éis an ríomhphost a oscailt a fhaigheann gach cuideachta B2B SaaS atá ag fás go tapa luath nó mall.

Tá custaiméir mór fiontair sa Ghearmáin tar éis ceistneoir díchill chuí GDPR a sheoladh le spriocdháta 48 uair an chloig. Ní beartas príobháideachais atá á iarraidh aige. Ní leor deimhniú dó. Tá fianaise á lorg aige.

Cuir ar fáil do Thaifead ar Ghníomhaíochtaí Próiseála maidir lenár sonraí. Taispeáin fianaise ar dhícheall cuí ionduchtaithe fo-phróiseálaithe. Mínigh conas a léiríonn tú d’oibleagáidí faoi GDPR Article 28 le fianaise. Sainaithin an bhfeidhmíonn d’ardán mar rialaitheoir PII, próiseálaí, rialaitheoir comhpháirteach nó fo-phróiseálaí do gach sreabhadh oibre. Cruthaigh gur bailíochtaíodh an bunús dleathach do do ghné tacaíochta le cúnamh IS. Taispeáin oibleagáidí scriosta, cearta iniúchta, tacaíocht teagmhas agus rialuithe conartha.

Tá a fhios ag Ava go bhfuil na comhpháirteanna ag FinScale. Tá an Comhaontú Próiseála Sonraí ag an bhfoireann Dlí. Tá Ráiteas Infheidhmeachta ISO/IEC 27001:2022 ag an bhfoireann Slándála. Tá seicliostaí seolta ag an bhfoireann Táirge. Tá conarthaí díoltóirí ag an bhfoireann Soláthair. Tá clár próiseála ag Comhlíonadh, cé go bhfuil cuid de na hiontrálacha as dáta. Ní hé an fhadhb nach bhfuil fianaise ann. Is í an fhadhb go bhfuil an fhianaise scaipthe, go bhfuil débhríocht rólanna gan réiteach, agus nach féidir le duine ar bith gníomhaíocht phróiseála a rianú go tapa ó chuspóir go bunús dleathach, cinneadh riosca, rialú soláthraí, rialú slándála, taifead iniúchta agus athbhreithniú bainistíochta.

Sin í an bhearna chuntasachta dáiríre.

Éiríonn ISO 27701:2025 cumhachtach nuair a dhúnann sé an bhearna sin. Ní fillteán beartas le haghaidh deimhniú príobháideachais amháin é Córas Bainistíochta Faisnéise Príobháideachais, nó PIMS. Is samhail oibriúcháin é chun fianaise iontaofa a tháirgeadh. Do CISOnna, bainisteoirí comhlíonta, ceannairí príobháideachais, iniúchóirí agus úinéirí gnó, tá an cuspóir simplí: PIMS a thógáil a chruthaíonn cuntasacht GDPR do rialaitheoirí PII agus do phróiseálaithe, agus a thacaíonn freisin le hionchais ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 agus COBIT 2019.

Is fadhb fianaise í cuntasacht GDPR

Tuigtear cuntasacht GDPR go minic mar cheanglas doiciméadúcháin amháin. Tá sí níos déine ná sin.

Sainíonn GDPR Article 5 croíphrionsabail phróiseáil sonraí pearsanta, lena n-áirítear dleathacht, cothroime, trédhearcacht, teorannú cuspóra, íoslaghdú sonraí, cruinneas, teorannú stórála, sláine agus rúndacht. Cuireann Article 5(2) freagracht ar an rialaitheoir as a bheith in ann comhlíonadh a léiriú. Sainíonn Article 4 stór focal na sonraí pearsanta, na próiseála, an rialaitheora, an phróiseálaí, na bréagainmniúcháin agus an tsáraithe sonraí pearsanta. Éilíonn Article 6 bunús dleathach do gach gníomhaíocht phróiseála rialaitheora. Cuireann Article 9 coinníollacha níos déine i bhfeidhm ar chatagóirí speisialta sonraí pearsanta. Rialaíonn Article 28 oibleagáidí próiseálaí agus téarmaí conartha.

Ní shásaítear na hoibleagáidí sin le fógra príobháideachais poiblí amháin. Teastaíonn fianaise uathu ar leibhéal na gníomhaíochta próiseála.

Ní mór do shamhail phraiticiúil fianaise PIMS ISO 27701:2025 na ceisteanna seo a fhreagairt:

• Cén PII atá á phróiseáil?
• Cén fáth a bhfuil sé á phróiseáil?
• An bhfuil an eagraíocht ag gníomhú mar rialaitheoir, próiseálaí, rialaitheoir comhpháirteach nó fo-phróiseálaí?
• Cén bunús dleathach atá i bhfeidhm nuair is í an eagraíocht an rialaitheoir?
• Cén treoir dhoiciméadaithe atá i bhfeidhm nuair is í an eagraíocht an próiseálaí?
• Cé na córais, díoltóirí, fo-phróiseálaithe agus láithreacha atá i gceist?
• Cén scagadh riosca príobháideachais nó cinneadh DPIA a rinneadh?
• Cé na rialuithe slándála a chosnaíonn an PII?
• Cén fhianaise a chruthaíonn gur oibrigh an rialú?
• Cé a d’fhormheas riosca iarmharach, eisceachtaí agus gníomhartha ceartaitheacha?

Tiontaíonn cur chuige Clarysec na ceisteanna sin ina n-oibleagáidí beartais, ina gcláir agus ina n-oibiachtaí fianaise inrianaithe. Is é an toradh PIMS atá in ann seasamh le dícheall cuí custaiméara, athbhreithniú údaráis mhaoirseachta, iniúchadh inmheánach, iniúchadh ISO, measúnú DORA agus grinnscrúdú an Bhoird.

Tosaigh le soiléireacht rólanna: rialaitheoir, próiseálaí nó an dá cheann

Is é an bealach is tapúla chun teip in iniúchadh PIMS ná caitheamh le gach gníomhaíocht phróiseála ar an mbealach céanna.

Faoi GDPR, cinneann rialaitheoir cuspóirí agus modhanna na próiseála. Próiseálann próiseálaí sonraí pearsanta thar ceann rialaitheora. Déanann go leor cuideachtaí SaaS agus teicneolaíochta an dá rud. Is próiseálaí é FinScale nuair a óstálann sé sonraí úsáideoirí deiridh custaiméara faoi threoracha custaiméara. Is rialaitheoir é maidir le taifid fostaithe, luaidheanna margaíochta, teagmhálaithe billeála, sonraí earcaíochta agus roinnt anailísíochta táirge.

Tiomáineann an t-idirdhealú seo ceanglais fianaise.

Déanann Privacy Information Management System Policy de chuid Clarysec ceanglas oibríochtúil den aicmiú ról:

[An dá cheann] NÍ MÓR don Úinéir Próisis / Úinéir Gnó ról PIMS na heagraíochta a aicmiú do gach gníomhaíocht phróiseála PII in REG02 sula dtosaíonn an ghníomhaíocht phróiseála.

Athraíonn an oibleagáid amháin seo samhail oibriúcháin an phríobháideachais. Ní smaoineamh iardheireadh ag an seoladh é athbhreithniú dlí a thuilleadh. Ní mór do gach úinéir próisis ról PIMS a aicmiú sula dtosaíonn próiseáil. Socraíonn an t-aicmiú sin an slabhra fianaise iartheachtach.

Maidir le gníomhaíochtaí rialaitheora, éilíonn PII Processing Inventory and Lawful Basis Policy de chuid Clarysec bailíochtú an bhunúis dhleathaigh:

[Rialaitheoir] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS an bunús dleathach atá taifeadta in REG02 a bhailíochtú sula dtosaíonn próiseáil rialaitheora agus sula dtagann aon athrú cuspóra i bhfeidhm.

Ón rannán “Taifid ar chuspóir rialaitheora agus ar bhunús dleathach”, clásal beartais 4.2.2.

Maidir le gníomhaíochtaí próiseálaí, aistríonn fócas na fianaise chuig treoracha doiciméadaithe, rialuithe conartha, rialachas fo-phróiseálaithe, bearta slándála, oibleagáidí cúnaimh, tacaíocht teagmhas agus filleadh nó scriosadh ag foirceannadh. Sin é an áit a mbíonn REG08 ríthábhachtach.

Éilíonn Processor, Subprocessor and Third-Party Privacy Management Policy de chuid Clarysec:

[Rialaitheoir] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS a fhíorú go gclúdaíonn réimsí rialaithe conartha próiseálaí in REG08 raon feidhme na próiseála, fad, cuspóir, catagóirí PII, catagóirí ábhar sonraí PII, rúndacht, slándáil, údarú fo-phróiseálaithe, cúnamh, iniúchadh nó dearbhú, filleadh, scriosadh agus foirceannadh roimh fhormheas.

Ón rannán “Rialuithe conartha agus treoracha doiciméadaithe”, clásal beartais 4.3.2.

Bunaíonn REG02 an ghníomhaíocht phróiseála agus an ról. Déanann REG04 scagadh ar riosca príobháideachais. Bailíochtaíonn REG08 rialuithe próiseálaí, fo-phróiseálaí agus soláthraí. Innéacsaíonn REG12 an fhianaise. Le chéile, cruthaíonn siad slabhra fianaise PIMS.

An slabhra fianaise PIMS a mbíonn iniúchóirí ag súil leis

Ní chuireann PIMS láidir ar fhoirne scarbhileoga dícheangailte a chothabháil. Sainíonn sé oibiachtaí fianaise, úinéirí, uainiú, timthriallta athbhreithnithe agus rianta iniúchta.

Deir PIMS Documented Information and Evidence Management Policy de chuid Clarysec:

[Gach duine] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS innéacs faisnéise doiciméadaithe PIMS a chothabháil in REG12 roimh fhoilsiú tosaigh PIMS agus go ráithiúil ina dhiaidh sin.

Cuireann REG12 cosc ar an gclár príobháideachais dul ina fhillteán PDFanna as dáta. Insíonn sé don iniúchóir cén fhianaise atá ann, cá bhfuil sí stóráilte, cé leis í, cathain a rinneadh athbhreithniú deireanach uirthi, agus cé na gníomhaíochtaí próiseála, rioscaí, oibleagáidí nó rialuithe a dtacaíonn sí leo.

Ailíníonn an slabhra fianaise seo go nádúrtha le ceanglais ISO/IEC 27001:2022 maidir le comhthéacs, páirtithe leasmhara, pleanáil riosca, rialú oibríochtúil, faisnéis dhoiciméadaithe, meastóireacht feidhmíochta, iniúchadh inmheánach, athbhreithniú bainistíochta agus feabhsú leanúnach. Nascann sé freisin le rialuithe ISO/IEC 27002:2022 amhail 5.2 Róil agus freagrachtaí slándála faisnéise, 5.20 Dul i ngleic le slándáil faisnéise i gcomhaontuithe soláthraithe, 5.21 Slándáil faisnéise a bhainistiú sa slabhra soláthair TFC, 5.34 Príobháideachas agus cosaint PII, agus 8.10 Scriosadh faisnéise.

Ní hionann fianaise rialaitheora agus fianaise próiseálaí

Ní hamháin go bhfuil custaiméir Gearmánach Ava ag fiafraí an bhfuil beartais phríobháideachais ag FinScale. Tá cruthúnas uaidh go dtuigeann FinScale cén ról atá aige do gach sreabhadh sonraí.

Nuair a ghníomhaíonn FinScale mar rialaitheoir, ní mór dó údar a thabhairt leis an gcúis a bpróiseálann sé sonraí. Mar shampla, d’fhéadfadh próiseáil phárolla fostaithe brath ar riachtanas conarthach agus ar oibleagáid dhlíthiúil. D’fhéadfadh margaíocht brath ar thoiliú nó ar leasanna dlisteanacha, ag brath ar chomhthéacs agus ar dhlínse. D’fhéadfadh teorainneacha coinneála, trédhearcacht agus rialuithe rochtana a bheith ag teastáil ó earcaíocht. Ní hé an bunús dleathach roghnaithe amháin an fhianaise. Is í an fhianaise an taifead bailíochtaithe, an fógra, an riail choinneála, an nós imeachta ceart agus an cinneadh riosca.

Nuair a ghníomhaíonn FinScale mar phróiseálaí, ní mór dó a chruthú go ngníomhaíonn sé faoi threoracha doiciméadaithe custaiméara. Áirítear san fhianaise an DPA, cumraíocht táirge, logaí córais, rialuithe slándála, údaruithe fo-phróiseálaithe, nósanna imeachta cúnaimh, próiseas tacaíochta sáraithe, cearta iniúchta agus fianaise scriosta nó fillte.

Treisíonn P17 Data Protection and Privacy Policy de chuid Clarysec gur gá príobháideachas a chomhtháthú san ISMS:

Coinneoidh an eagraíocht Creat foirmiúil Rialachais Príobháideachais atá comhtháite sa Chóras Bainistíochta Slándála Faisnéise (ISMS) chun an beartas seo a chur chun feidhme.

Ón rannán “Ceanglais rialachais”, clásal beartais 5.1.

Coinníonn an leagan SME, Data Protection and Privacy Policy-sme, an disciplín fianaise céanna:

Ní mór don Chomhordaitheoir Príobháideachais clár de gach gníomhaíocht phróiseála sonraí pearsanta a chothabháil, lena n-áirítear catagóirí sonraí, cuspóir, bunús dleathach agus tréimhsí coinneála

Éilíonn sé freisin:

Ní mór an bunús dleathach (m.sh., toiliú, conradh, oibleagáid dhlíthiúil) a dhoiciméadú sa chlár próiseála

Maidir le cláir fiontair, cuireann P17 Data Protection and Privacy Policy úinéireacht leis:

Coinneoidh agus nuashonróidh an Roinn Dlí an Clár Bunúis Dhleathaigh.

Siúlóid phraiticiúil: anailísíocht táirge a sheoladh

Sampla is ea gné anailísíochta táirge a rianaíonn nascleanúint úsáideoirí, glacadh gnéithe, meiteashonraí seisiúin, aitheantas eagraíochta, ról úsáideora agus faisnéis gléis. Tá léargais úsáide ag teastáil ón bhfoireann Táirge. Tá méadrachtaí glactha ag teastáil ón bhfoireann Díolacháin. Tá comharthaí imirce custaiméara ag teastáil ón bhfoireann Rath Custaiméara. Fiafraíonn an fhoireann Dlí an bhfuil FinScale ina rialaitheoir nó ina phróiseálaí. Fiafraíonn an fhoireann Slándála an bhfuil sonraí pearsanta sna logaí. Tugann an fhoireann Soláthair faoi deara go n-úsáideann an díoltóir anailísíochta fo-phróiseálaithe.

Tiontaíonn PIMS láidir é seo ina shreabhadh oibre in-athdhéanta.

1. Cruthaigh nó nuashonraigh REG02 sula dtosaíonn próiseáil

Taifeadann an t-úinéir gnó an ghníomhaíocht in REG02. Ba cheart go mbeadh cuspóir, catagóirí PII, catagóirí ábhar sonraí PII, córais, tréimhse choinneála, aistrithe, bearta slándála, aicmiú ról agus bunús dleathach nó treoir dhoiciméadaithe sa taifead.

Má úsáidtear anailísíocht chun críocha feabhsaithe táirge FinScale féin, d’fhéadfadh FinScale a bheith ina rialaitheoir don ghníomhaíocht sin. Má dhéantar anailísíocht faoi shocruithe atá cumraithe ag an gcustaiméir amháin thar ceann an chustaiméara, d’fhéadfadh FinScale a bheith ina phróiseálaí. I go leor timpeallachtaí SaaS, is féidir leis an dá ról a bheith ann in aon ghné amháin, ag brath ar shreabhadh sonraí agus ar chuspóir.

2. Bailíochtaigh bunús dleathach nó treoir dhoiciméadaithe

Más é FinScale an rialaitheoir, bailíochtaíonn an Ceannaire Príobháideachais nó an fhoireann Dlí an bunús dleathach in REG02 sula dtosaíonn próiseáil. Má tá sonraí catagóire speisialta i gceist, ní mór don fhoireann an coinníoll ábhartha faoi GDPR Article 9 agus coimircí breise a shainaithint freisin.

Más é FinScale an próiseálaí, ní mór don fhianaise tagairt a dhéanamh do threoir dhoiciméadaithe an chustaiméara. Is í an cheist ansin: cá bhfuil an treoir, cén phróiseáil atá ceadaithe, agus conas a chruthaíonn FinScale gur lean sé an treoir?

3. Cuir scagadh riosca príobháideachais REG04 ar siúl

Éilíonn Privacy Risk Assessment and DPIA Policy de chuid Clarysec:

[An dá cheann] NÍ MÓR don Úinéir Próisis / Úinéir Gnó scagadh riosca príobháideachais a thionscnamh in REG04 sula dtosaíonn próiseáil PII nua nó próiseáil PII a athraíodh go hábhartha agus atá taifeadta in REG02.

Ón rannán “Scagadh riosca príobháideachais”, clásal beartais 4.1.1.

Ba cheart don scagadh íogaireacht, scála, impleachtaí faireacháin, ionchais ábhar sonraí, próifíliú, cinnteoireacht uathoibrithe, aistrithe trasteorann, rochtain díoltóirí, coinneáil agus éifeachtacht rialaithe a mheas. Má tá an riosca ardaithe, ba cheart don PIMS DPIA a thionscnamh agus an cinneadh a thaifeadadh.

4. Nuashonraigh REG08 do dhíoltóirí agus d’fho-phróiseálaithe

Má fhaigheann soláthraí anailísíochta tríú páirtí PII, nuashonraíonn Soláthar, Dlí agus Príobháideachas REG08. Ba cheart do réimsí conartha raon feidhme, fad, cuspóir, catagóirí PII, rúndacht, slándáil, údarú fo-phróiseálaithe, cúnamh, iniúchadh nó dearbhú, filleadh, scriosadh agus foirceannadh a chlúdach.

Tacaíonn Third-Party and Supplier Security Policy-sme leis an disciplín oibríochtúil seo trína éileamh:

Fíorú ar chleachtais láimhseála sonraí nó ar chomhlíonadh príobháideachais sonraí i gcás ina bhfuil faisnéis inaitheanta pearsanta (PII) i gceist

Éilíonn P17 Data Protection and Privacy Policy freisin:

Fíoróidh foirne Soláthair agus Dlí agus Comhlíonta comhlíonadh Article 28 de GDPR agus éileoidh siad athmheasúnú bliantúil ar gach díoltóir ardriosca.

5. Innéacsaigh fianaise in REG12

Ar deireadh, nuashonraíonn Bainisteoir PIMS REG12 le naisc chuig REG02, bailíochtú bunúis dhleathaigh, treoir dhoiciméadaithe, scagadh REG04, DPIA más gá, taifead díoltóra REG08, DPA, athbhreithniú slándála, cinneadh coinneála, formheas táirge agus fianaise faireacháin.

Sin é a thiontaíonn príobháideachas trí dhearadh ina fhianaise atá réidh d’iniúchadh.

Zenith Blueprint a úsáid chun inrianaitheacht a thógáil

Níl a bheith ar an eolas cén fhianaise atá le bailiú ach leath an dúshláin. Is é an chuid is deacra córas a thógáil a tháirgeann í go hiontaofa.

Cuireann Zenith Blueprint: An Auditor’s 30-Step Roadmap é seo i bhfráma i gcéim Fhondúireacht agus Cheannaireacht an ISMS, Step 2: Riachtanais Páirtithe Leasmhara agus Raon Feidhme ISMS. Léiríonn an treoir conas a éiríonn ionchais páirtithe leasmhara ina rialuithe pleanáilte:

Custaiméirí
(B2B SaaS)
Rúndacht sonraí, aga fónaimh de réir
SLA, fógra sáraithe laistigh de
24h
Cuir rialuithe rochtana agus criptiú chun feidhme;
áirítear nósanna imeachta fógartha sa
phlean freagartha do theagmhais.

Áirítear ann freisin:

Mír ghníomhaíochta 4.2: Tiomsaigh liosta de na páirtithe leasmhara suntasacha go léir agus tabhair faoi deara a riachtanais a bhaineann le slándáil faisnéise.

Maidir le ISO 27701:2025, leathnaigh an mhír ghníomhaíochta sin chuig príobháideachas. Áirítear ar pháirtithe leasmhara custaiméirí, ábhair sonraí, rialálaithe, próiseálaithe, fo-phróiseálaithe, fostaithe, foirne táirge, iniúchadh inmheánach, bainistíocht, cliaint san earnáil airgeadais agus rialálaithe earnála i gcás ina bhfuil NIS2 nó DORA i bhfeidhm.

Sa chéim Bainistíocht Riosca, Step 13: Pleanáil Cóireála Riosca agus Ráiteas Infheidhmeachta, molann Zenith Blueprint inrianaitheacht:

Déan crostagairt do rialacháin: Má chuirtear rialuithe áirithe chun feidhme go sonrach chun cloí le GDPR, NIS2, nó DORA, is féidir leat é sin a thabhairt faoi deara sa Chlár Rioscaí (mar chuid den údar tionchair riosca) nó i nótaí an SoA.

Cruthaíonn sé seo an snáithe órga atá á lorg ag iniúchóirí: ceanglas, riosca, rialú, úinéir, fianaise, toradh tástála agus gníomh feabhsúcháin.

Cá n-oireann Zenith Controls sa tsamhail PIMS

Cabhraíonn Zenith Controls: The Cross-Compliance Guide de chuid Clarysec le foirne cláir chomhlíonta dhúbláilte a sheachaint trí théamaí rialaithe ISO/IEC 27001:2022 agus ISO/IEC 27002:2022 a mhapáil chuig caighdeáin eile, ionchais iniúchta agus patrúin fianaise.

Maidir le fianaise PIMS ISO 27701:2025, tá ceithre rialú ISO/IEC 27002:2022 thar a bheith tábhachtach:

• 5.2 Róil agus freagrachtaí slándála faisnéise
• 5.20 Dul i ngleic le slándáil faisnéise i gcomhaontuithe soláthraithe
• 5.21 Slándáil faisnéise a bhainistiú sa slabhra soláthair TFC
• 5.34 Príobháideachas agus cosaint PII

Tacaíonn Rialú 5.2 le soiléireacht rólanna. Teastaíonn cuntasacht shainithe ó PIMS don Bhainisteoir PIMS, don Cheannaire Príobháideachais, don Úinéir Próisis, don Úinéir Gnó, don fhoireann Dlí, don fhoireann Soláthair, don fhoireann Slándála, d’Iniúchadh Inmheánach agus don ardbhainistíocht.

Tacaíonn Rialú 5.34 leis an gcroíoibleagáid phríobháideachais. Míníonn Zenith Blueprint, céim Controls in Action, Step 23, an t-ionchas iniúchta:

Ó thaobh iniúchta de, tá níos mó airde á tabhairt ar an rialú seo. Tá iniúchóirí, rialálaithe agus custaiméirí araon ag iarraidh a fheiceáil:

✓ Cá bhfuil PII suite,
✓ Cén bunús dleathach a rialaíonn a phróiseáil,
✓ Conas a shriantar rochtain,
✓ Conas a thuairiscítear teagmhais,
✓ Agus conas a urramaíonn an eagraíocht cearta agus a choinníonn sí trédhearcacht.

Leanann Zenith Blueprint ar aghaidh:

Ní bosca le tic a chur ann amháin é Rialú 5.34. Is ráiteas ar mhaoirseacht eiticiúil é.

Nascann Rialuithe 5.20 agus 5.21 fianaise PIMS le rialachas soláthraithe agus slabhra soláthair TFC. Liostaíonn Zenith Blueprint, céim Controls in Action, Step 23, ábhair chomhaontaithe soláthraithe:

Áirítear de ghnáth ar na príomhréimsí a chlúdaítear i gcomhaontuithe soláthraithe:

✓ Oibleagáidí rúndachta, lena n-áirítear raon feidhme, fad agus srianta ar nochtadh do thríú páirtithe;
✓ Freagrachtaí rialaithe rochtana, amhail cé atá in ann rochtain a fháil ar do shonraí, conas a bhainistítear dintiúir, agus cén faireachán atá i bhfeidhm;
✓ Bearta teicniúla agus eagraíochtúla le haghaidh cosaint sonraí, criptiú, tarchur slán, cúltaca agus gealltanais infhaighteachta;
✓ Amlínte agus prótacail tuairiscithe teagmhas, go minic le tréimhsí ama sainithe (m.sh., “fógra a thabhairt laistigh de 24 uair an chloig”);
✓ Ceart iniúchta, lena n-áirítear minicíocht, raon feidhme agus rochtain ar fhianaise ábhartha (m.sh., tuarascálacha tástála treáite, SoA, deimhnithe);
✓ Rialuithe fochonraitheoirí, a éilíonn ar do sholáthraí oibleagáidí slándála coibhéiseacha a chur ar aghaidh chuig a gcomhpháirtithe iartheachtacha;
✓ Forálacha deireadh conartha, amhail filleadh nó scriosadh sonraí, aisghabháil sócmhainní agus díghníomhachtú cuntas.

Is é seo an droichead idir cuntasacht GDPR agus fianaise ISMS.

Fianaise PIMS a mhapáil thar GDPR, NIS2, DORA, NIST agus COBIT 2019

Is annamh a fhreastalaíonn fianaise príobháideachais ar chreat amháin amháin. Is féidir le hoibiacht fianaise PIMS atá dea-dheartha roinnt ceisteanna iniúchta a shásamh.

Daingníonn GDPR cuntasacht príobháideachais trí bhunús dleathach, soiléireacht rólanna, conarthaí próiseálaí, cearta, láimhseáil sáraithe agus comhlíonadh inléirithe.

Tá NIS2 tábhachtach d’eintitis riachtanacha agus thábhachtacha, lena n-áirítear soláthraithe néalríomhaireachta áirithe, Soláthraithe Seirbhíse Bainistithe, soláthraithe seirbhíse slándála bainistithe, soláthraithe ionad sonraí agus eagraíochtaí bonneagair dhigitigh. Cuireann NIS2 Article 20 freagracht rialachais cibearshlándála ar chomhlachtaí bainistíochta. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla iomchuí, lena n-áirítear anailís riosca, láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, forbairt shlán, measúnú éifeachtachta, oiliúint, cripteagrafaíocht, slándáil AD, rialú rochtana, bainistíocht sócmhainní agus MFA nó fíordheimhniú leanúnach nuair is iomchuí. Tugann Article 23 isteach ionchais maidir le tuairisciú teagmhas suntasach, lena n-áirítear réamhrabhadh laistigh de 24 uair an chloig agus fógra teagmhais laistigh de 72 uair an chloig.

Tá DORA tábhachtach d’eintitis airgeadais agus do sholáthraithe seirbhíse TFC tríú páirtí in éiceachórais airgeadais. Éilíonn DORA Articles 5 agus 6 rialachas riosca TFC, beartais, straitéis, tástáil agus feabhsú leanúnach. Clúdaíonn Articles 17 go 19 brath teagmhas TFC, aicmiú, uaschéimniú, tuairisciú, anailís bunchúise agus ceachtanna foghlamtha. Éilíonn Articles 28 go 30 straitéis riosca tríú páirtí TFC, cláir, dícheall cuí, forálacha conarthacha, cearta iniúchta, cúnamh teagmhais, cosaint sonraí, pleanáil scoir agus athbhreithniú ar riosca comhchruinnithe.

Soláthraíonn NIST CSF 2.0 teanga rialachais agus riosca trí GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND agus RECOVER. Cuireann COBIT 2019 cuspóirí rialachais, cleachtais bhainistíochta, úinéireacht, méadrachtaí, dearbhú agus cumas próisis leis.

Tá buntáiste an chomhlíonta soiléir. Is féidir le slabhra fianaise PIMS rialaithe amháin tacú le GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 agus dícheall cuí custaiméara.

Conas a thástálfaidh iniúchóirí do PIMS

Ní athbhreithniú doiciméad é iniúchadh PIMS. Is cleachtadh inrianaitheachta fianaise é.

Tacaíonn P33 Audit and Compliance Monitoring Policy de chuid Clarysec leis an tsamhail iniúchta:

Coinneoidh an eagraíocht Clár Iniúchta ina mbeidh:

Cuireann an leagan SME, Audit and Compliance Monitoring Policy-sme, ceanglas tábhachtach maidir le cáilíocht fianaise leis:

Ní mór meiteashonraí (m.sh., cé a bhailigh iad, cathain, agus cén córas as ar tháinig siad) a dhoiciméadú.

Tá an ceanglas meiteashonraí sin beag ach cumhachtach. Is fianaise lag iad gabhálacha scáileáin gan fhoinse, dáta, bailitheoir agus comhthéacs córais. Cruthaíonn fianaise iniúchta rialaithe barántúlacht, cothrom le dáta agus inrianaitheacht.

Cén chuma atá ar fhianaise mhaith PIMS

Glac leis go roghnaíonn iniúchóir gníomhaíocht amháin: anailís ar thicéid tacaíochta custaiméara.

Freagra lag is ea: “Tá beartas príobháideachais againn agus clúdaíonn ár DPA é.”

Freagra láidir PIMS is ea:

1. Sainaithníonn REG02 an ghníomhaíocht, córais, catagóirí PII, ábhair sonraí PII, cuspóir, aicmiú ról, coinneáil, aistrithe, rialuithe slándála agus úinéir.
2. Léiríonn aicmiú ról an bhfuil an eagraíocht ina rialaitheoir, ina próiseálaí, nó ina dhá rud do chodanna sonracha den sreabhadh oibre.
3. Más rialaitheoir í, bailíochtaítear an bunús dleathach agus taifeadtar é sa Chlár Bunúis Dhleathaigh.
4. Más próiseálaí í, nasctar treoir an chustaiméara agus clásal DPA.
5. Léiríonn REG04 scagadh riosca príobháideachais roimh sheoladh nó athrú ábhartha.
6. Sainaithníonn REG08 an t-ardán ticéadaithe, an díoltóir achoimrithe IS, fo-phróiseálaithe, rialuithe conartha, cearta iniúchta, dearbhuithe slándála, téarmaí scriosta agus cúnamh teagmhais.
7. Léiríonn fianaise rialaithe rochtana go bhfuil rochtain phearsanra tacaíochta bunaithe ar róil agus faoi athbhreithniú.
8. Léiríonn fianaise logála agus faireacháin go ndéantar faireachán ar rochtain ar thicéid tacaíochta.
9. Léiríonn fianaise coinneála agus scriosta go scriostar nó go hanaithnidítear ticéid de réir na tréimhse coinneála formheasta.
10. Innéacsaíonn REG12 an fhianaise tacaíochta ar fad le húinéir agus dáta athbhreithnithe.
11. Léiríonn an Clár Iniúchta ar tástáladh an ghníomhaíocht, cad iad na fionnachtana a ardaíodh, agus ar dúnadh gníomhartha ceartaitheacha.

Seo mar a éiríonn ISO 27701:2025 oibríochtúil. Cruthaíonn sé slabhra cuntasachta in-athdhéanta.

Teipeanna coitianta i bhfianaise PIMS

I dtimpeallachtaí SaaS, fintech, seirbhísí bainistithe agus teicneolaíochta B2B, tagann na bearnaí céanna chun cinn arís agus arís eile.

Ar dtús, coinníonn eagraíochtaí RoPA nó clár próiseála, ach ní aicmíonn siad rólanna rialaitheora agus próiseálaí de réir gníomhaíochta. Cruthaíonn sé sin mearbhall faoi bhunús dleathach, treoracha doiciméadaithe agus oibleagáidí fo-phróiseálaithe.

Ar an dara dul síos, taifeadtar bunús dleathach uair amháin agus ní athbhailíochtaítear é nuair a athraíonn an cuspóir. Éilíonn GDPR Article 6 disciplín cuspóra agus bunúis dhleathaigh. D’fhéadfadh measúnú comhoiriúnachta agus coimircí a bheith ag teastáil ó phróiseáil bhreise.

Ar an tríú dul síos, liostaíonn fardail díoltóirí soláthraithe ach ní léiríonn siad réimsí rialaithe conartha. Ní hionann liosta soláthraithe agus rialachas próiseálaí.

Ar an gceathrú dul síos, bíonn cinntí DPIA neamhfhoirmiúil. Deir foirne “ní ardriosca é” ach ní féidir leo critéir scagtha, formheastóir, dáta nó fianaise a thaispeáint.

Ar an gcúigiú dul síos, tá fianaise iniúchta ann ach níl sí rialaithe. Bíonn meiteashonraí in easnamh ó ghabhálacha scáileáin. Tá beartais cothrom le dáta, ach tá cláir as dáta. Tá conarthaí ann, ach cailltear athmheasúnuithe athnuachana.

Ar an séú dul síos, díríonn próisis teagmhas ar imeachtaí cibearshlándála ach ní aicmíonn siad sáruithe sonraí pearsanta go soiléir. Ní mór anailís sáraithe sonraí pearsanta GDPR, tuairisciú teagmhas suntasach NIS2 agus tuairisciú teagmhas TFC DORA a chomhordú, ní a dhúbláil.

Téann Clarysec i ngleic leis na teipeanna sin trí fhianaise PIMS a láimhseáil mar chóras bainistíochta rialaithe, ní mar rás iniúchta ag an nóiméad deireanach.

Seicliosta ullmhachta fianaise PIMS ISO 27701:2025

Úsáid an seicliosta seo don chéad athbhreithniú inmheánach ullmhachta eile.

• Sainigh raon feidhme PIMS agus páirtithe leasmhara, lena n-áirítear custaiméirí, rialálaithe, ábhair sonraí, díoltóirí, iniúchadh inmheánach agus bainistíocht.
• Sann rólanna agus freagrachtaí PIMS, lena n-áirítear Bainisteoir PIMS, Ceannaire Príobháideachais, Úinéir Próisis, Dlí, Soláthar, Slándáil agus Iniúchadh Inmheánach.
• Cruthaigh iontrálacha REG02 do gach gníomhaíocht phróiseála PII.
• Aicmigh ról rialaitheora, próiseálaí, rialaitheora chomhpháirtigh nó fo-phróiseálaí do gach gníomhaíocht.
• Bailíochtaigh bunús dleathach do phróiseáil rialaitheora sula dtosaíonn próiseáil agus roimh athrú cuspóra.
• Taifead treoracha doiciméadaithe do ghníomhaíochtaí próiseálaí.
• Cuir scagadh riosca príobháideachais REG04 ar siúl roimh phróiseáil nua nó próiseáil a athraíodh go hábhartha.
• Críochnaigh DPIA i gcás ina léiríonn scagadh riosca riosca príobháideachais ardaithe.
• Coinnigh REG08 do phróiseálaithe, fo-phróiseálaithe, soláthraithe TFC agus díoltóirí atá ábhartha don phríobháideachas.
• Fíoraigh réimsí conartha maidir le raon feidhme, fad, cuspóir, catagóirí PII, rúndacht, slándáil, cúnamh, cearta iniúchta, filleadh, scriosadh agus foirceannadh.
• Coinnigh REG12 mar innéacs faisnéise doiciméadaithe PIMS.
• Mapáil fianaise PIMS chuig cóireáil riosca ISO/IEC 27001:2022 agus nótaí SoA.
• Déan crostagairt d’oibleagáidí GDPR, NIS2, DORA, NIST CSF 2.0 agus COBIT 2019 nuair is ábhartha.
• Déan iniúchtaí bliantúla inmheánacha ar chomhlíonadh príobháideachais agus nuashonraigh an Clár Iniúchta.
• Déan athbhreithniú ráithiúil ar fhionnachtana oscailte, gníomhartha ceartaitheacha, cinntí riosca agus tuairisciú bainistíochta.

Treisíonn P17 Data Protection and Privacy Policy timthriall an iniúchta:

Déanfar iniúchadh inmheánach ar chomhlíonadh príobháideachais go bliantúil nó ar mhórathruithe eagraíochtúla nó rialála. Áireofar i raon feidhme an iniúchta:

Tá an teachtaireacht simplí. Déantar faireachán ar chomhlíonadh príobháideachais; ní ghlactar leis mar réamhshocrú.

Tóg do shamhail fianaise PIMS le Clarysec

Tá ISO 27701:2025 ar a luach is mó nuair atá sé comhtháite le ISO/IEC 27001:2022 agus deartha chun fianaise a tháirgeadh de réir réamhshocraithe. Sin mar a éiríonn príobháideachas ina shamhail oibriúcháin inchosanta seachas ina thionscadal deimhniúcháin.

Nuair a iarrann custaiméir dearbhú príobháideachais, is féidir leat fianaise a thaispeáint. Nuair a fhiafraíonn rialálaí cén fáth ar phróiseáil tú sonraí, is féidir leat ról, cuspóir, bunús dleathach, coimircí agus formheasanna a thaispeáint. Nuair a fhiafraíonn iniúchóir conas a rialaíonn tú fo-phróiseálaithe, is féidir leat REG08, rialuithe conartha, athmheasúnuithe agus cearta iniúchta a thaispeáint. Nuair a fhiafraíonn an Bord an bhfuil riosca príobháideachais faoi smacht, is féidir leat méadrachtaí, gníomhartha oscailte, torthaí iniúchta agus athbhreithniú bainistíochta a thaispeáint.

Má tá do PIMS fós trom ar bheartais agus éadrom ar fhianaise, tosaigh leis an slabhra a leanfaidh iniúchóirí:

Fardal próiseála REG02, scagadh riosca príobháideachais REG04, rialachas próiseálaithe agus fo-phróiseálaithe REG08, innéacs fianaise REG12, Clár Bunúis Dhleathaigh, Clár Iniúchta agus mapáil SoA.

Is féidir le Clarysec cabhrú leat an slabhra sin a oibriú trí:

• Zenith Blueprint: An Auditor’s 30-Step Roadmap, go háirithe Step 2 le haghaidh ceanglais páirtithe leasmhara, Step 13 le haghaidh cóireáil riosca agus inrianaitheacht SoA, agus Step 23 le haghaidh príobháideachas, soláthraithe agus rialuithe eagraíochtúla.
• Zenith Controls: The Cross-Compliance Guide, ag úsáid rialuithe ISO/IEC 27002:2022 5.2, 5.20, 5.21 agus 5.34 mar ancairí praiticiúla cuntasachta príobháideachais.
• Sraith beartas PIMS ISO 27701 de chuid Clarysec, lena n-áirítear Privacy Information Management System Policy, PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Processor, Subprocessor and Third-Party Privacy Management Policy, agus PIMS Documented Information and Evidence Management Policy.
• Tacaíocht fiontair agus SME trí P17 Data Protection and Privacy Policy, Data Protection and Privacy Policy-sme, Third-Party and Supplier Security Policy-sme, P33 Audit and Compliance Monitoring Policy, agus Audit and Compliance Monitoring Policy-sme.

Tá do chéad ghníomh eile simplí: roghnaigh gníomhaíocht phróiseála PII ardriosca amháin agus siúil an slabhra fianaise ó REG02 go REG12. Má bhriseann an slabhra, sin é do chéad tionscadal feabhsúcháin. Má sheasann sé, leathnaigh an tsamhail ar fud d’fhardail próiseála.

Sin mar a éiríonn ISO 27701:2025 níos mó ná deimhniú. Éiríonn sé ina chruthúnas ar chuntasacht GDPR.