Oiliúint phríobháideachais bunaithe ar róil le haghaidh ISO 27701 agus GDPR

Bhí Sarah, CISO i FinTech a bhí ag fás go tapa, ag súil go ndéanfadh iniúchadh PIMS ISO/IEC 27701:2025 tástáil ar bheartais, ar thaifid agus ar mheasúnuithe riosca. Faoi dheireadh an dara lá, bhí an t-iniúchóir imithe thar an gcrios compoird.

Níor fhiafraigh sé ar chríochnaigh fostaithe an modúl bliantúil “Privacy 101”. Thaispeáin an painéal 98 faoin gcéad críochnaithe, rud a bhí láidir ar an gcéad amharc go dtí gur éirigh na ceisteanna fíorghéarchúiseach.

“Láimhseálann d’fhorbróirí PII airgeadais íogair agus tá fíordheimhniú bithmhéadrach á chur chun feidhme acu. Cén oiliúint shonrach a fuair siad maidir le príobháideachas trí dhearadh, íoslaghdú sonraí i ndearadh API, logáil shlán, srianta ar shonraí tástála agus catagóirí speisialta sonraí pearsanta faoi GDPR?”

Ansin tháinig tacaíocht custaiméirí.

“Is féidir leo stair idirbheart a fheiceáil. Conas a chuirtear oiliúint orthu chun iarratas rochtana ó ábhar sonraí a aithint, aitheantas a fhíorú, nótaí iomarcacha i dticéid a sheachaint agus nochtadh de thaisme a chur ar aghaidh?”

Ansin tháinig acmhainní daonna.

“Tá córas párolla néalbhunaithe nua díreach tugtha isteach acu atá óstáilte lasmuigh den AE. Cén oiliúint phríobháideachais a fuair siad maidir le dícheall cuí próiseálaithe, aistrithe sonraí trasteorann, taifid fostaithe agus coinneáil?”

Bhí beartais ag Sarah, Taifead ar Ghníomhaíochtaí Próiseála, clásail soláthraithe, nósanna imeachta sáraithe agus raon feidhme PIMS sainithe. Ní raibh aici, áfach, fianaise inchosanta gur cuireadh oiliúint ar na daoine cearta maidir leis na freagrachtaí príobháideachais cearta.

Sin í an bhearna a bhriseann go leor clár príobháideachais. Ní thugann ISO/IEC 27701:2025 ná GDPR luach saothair d’eagraíochtaí as feasacht chineálach. Éilíonn siad cuntasacht, inniúlacht agus cruthúnas oibríochtúil. Má bhailíonn, úsáideann, féachann, stórálann, comhroinneann, scriosann, déanann faireachán ar, nó tacaíonn daoine le córais ina bhfuil PII, ní mór dóibh a bheith ar an eolas faoi na ceanglais a bhaineann lena ról, cathain is gá ábhar a chur ar aghaidh, agus cá dtaifeadtar fianaise.

Is í oiliúint feasachta príobháideachais bunaithe ar róil an bealach a ndéantar PIMS a fhíorú i gcleachtas.

Cén fáth a dteipeann ar oiliúint phríobháideachais aonfhoirmeach

Tá cineál éigin oiliúna feasachta slándála ar siúl ag formhór na n-eagraíochtaí cheana féin. Is í an fhadhb atá ann go bhfuil oibleagáidí príobháideachais dáilte go míchothrom ar fud an ghnó.

Teastaíonn príobháideachas trí dhearadh, mascadh, bréagainmniú, códú slán, íoslaghdú logála agus feasacht ar thionchar athruithe ó fhorbróir. Teastaíonn meicníochtaí fíoraithe aitheantais, íoslaghdú ticéad, aithint DSAR agus cur ar aghaidh nochta de thaisme ó ghníomhaire tacaíochta. Teastaíonn príobháideachas fostaithe, láimhseáil catagóirí speisialta sonraí pearsanta, rúndacht, coinneáil agus srianta rochtana ó acmhainní daonna. Ní mór don soláthar a bheith ar an eolas cathain is próiseálaí nó fophhróiseálaí é soláthraí. Ní mór do láimhseálaithe teagmhas idirdhealú a dhéanamh idir teagmhas slándála agus sárú sonraí pearsanta.

Ní féidir le triail bhliantúil amháin faoi GDPR inniúlacht oibríochtúil a chruthú ar fud na ról sin go léir.

Léiríonn GDPR é seo trí Airteagal 5, a shainmhíníonn prionsabail amhail dlíthiúlacht, cothroime, trédhearcacht, teorannú cuspóra, íoslaghdú sonraí, cruinneas, teorannú stórála, sláine agus rúndacht. Cuireann Airteagal 5(2) prionsabal na cuntasachta leis, rud a éilíonn ar rialaitheoirí comhlíonadh a léiriú. Éilíonn Airteagal 32 bearta teicniúla agus eagraíochtúla iomchuí le haghaidh slándáil próiseála. Déanann Airteagail 4, 6 agus 9 soiléireacht róil níos tábhachtaí fós trí phróiseáil, caidrimh idir rialaitheoirí agus próiseálaithe, bonn dlíthiúil agus catagóirí speisialta sonraí pearsanta a shainmhíniú.

Tá an cheist iniúchta phraiticiúil simplí: an féidir leat a chruthú go dtuigeann an pearsanra na freagrachtaí PII atá ceangailte lena ról?

Tá seasamh beartais Clarysec do FBManna díreach. Sa Bheartas Feasachta agus Oiliúna um Shlándáil Faisnéise do FBManna, deir clásal 1.3:

“Tacaíonn an beartas seo le comhlíonadh ISO/IEC 27001, NIS2, GDPR agus DORA trí fheasacht slándála a leabú i gcleachtais oibre laethúla agus in ionchais bunaithe ar róil.”

Is é “cleachtais oibre laethúla” croílár na ceiste. Ní póstaer í feasacht phríobháideachais. Ní mór di a bheith le feiceáil i mbailiú, rochtain, comhroinnt, coinneáil, scriosadh, ionduchtú soláthraithe, tuairisciú teagmhas agus athbhreithniú bainistíochta.

Ó fheasacht go hinniúlacht PIMS

Déileálann Clarysec le hoiliúint phríobháideachais mar rialú rialachais, ní mar thionscadal foghlama agus forbartha ar leithligh. Tá ceithre shraith i gclár oiliúna PIMS atá inchosanta:

1. Feasacht bhunlíne phríobháideachais don phearsanra ar fad a bhfuil rochtain PII nó freagrachtaí PIMS acu.
2. Oiliúint bunaithe ar róil d’fhoirne a mbíonn tionchar ag a gcinntí ar thorthaí príobháideachais.
3. Oiliúint bunaithe ar spreagthóirí tar éis athruithe róil, córais nua, teagmhas, fionnachtana iniúchta nó athruithe rialála.
4. Gabháil fianaise in REG11, nasctha le spriocghrúpa, ról, cineál oiliúna, dáta críochnaithe riachtanach, admhálacha, taifid thar téarma, fianaise athnuachana agus úinéirí fianaise.

Leanann sé seo struchtúr Zenith Blueprint, treochlár 30 céim Clarysec chun córas bainistíochta atá ullamh don iniúchadh a chur chun feidhme. I gCéim 4, “Róil agus freagrachtaí san ISMS,” cuireann an Blueprint béim ar róil a chur in iúl ionas go mbeidh a fhios ag an bpearsanra cé leis a bhfuil úinéireacht, cé leis is ceart teagmháil a dhéanamh, agus conas teagmhais a thuairisciú.

Tá Céim 5, “Cumarsáid, feasacht agus inniúlacht,” níos soiléire fós:

“Sainaithin inniúlachtaí riachtanacha: Cinn an t-eolas agus na scileanna atá riachtanach do róil éagsúla i d’ISMS… ní mór d’fhorbróirí prionsabail chódaithe shlána a bheith ar eolas acu, ba cheart go mbeadh a fhios ag d’fhoireann acmhainní daonna conas sonraí pearsanta a láimhseáil go slán, etc.”

Baineann an loighic chéanna go díreach le ISO/IEC 27701:2025. Ní féidir freagrachtaí PII a shannadh agus a bheith ag súil go gclúdóidh feasacht chineálach iad. Ní mór inniúlacht a shainaithint, oiliúint a chur uirthi, í a thomhas agus í a fhianú.

Cuireann an Beartas Oiliúna, Feasachta agus Inniúlachta Príobháideachais an méid sin i sreabhadh oibre PIMS. Éilíonn Clásal 4.1.6:

“[All] NÍ MÓR don Privacy Lead / PIMS Manager an spriocghrúpa oiliúna sannta, an cineál oiliúna, an dáta críochnaithe riachtanach agus úinéir na fianaise a thaifeadadh in REG11 sula dtosaíonn gach timthriall oiliúna bliantúil.”

Cruthaíonn sé seo droichead idir róil phríobháideachais agus fianaise iniúchta. Ní gá don iniúchóir a thuilleadh tátal a bhaint as cé ba cheart a bheith oilte. Taispeánann REG11 an sannadh, an spriocdháta, an críochnú, an stádas thar téarma, an admháil, an timthriall athnuachana agus an t-úinéir.

Na rialuithe ISO/IEC 27002:2022 atá taobh thiar d’oiliúint phríobháideachais

Éiríonn oiliúint phríobháideachais in-iniúchta nuair a bhíonn sí ceangailte le rialuithe, ní hamháin le críochnú cúrsaí. In Zenith Controls, mapálann Clarysec oiliúint phríobháideachais bunaithe ar róil trí thrí rialú lárnacha ISO/IEC 27002:2022: 6.3, 5.2 agus 5.34.

Aicmíonn Zenith Controls rialú 6.3 mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht, leis an gcoincheap cibearshlándála “Cosain”, leis an gcumas oibríochtúil “Slándáil Acmhainní Daonna”, agus le fearainn rialachais agus éiceachórais. Is é a chuspóir teipeanna príobháideachais agus slándála a chosc a eascraíonn as earráid dhaonna, ionchais neamhsheilbhithe agus mearbhall róil.

Braitheann rialú 6.3 freisin ar rialuithe gaolmhara:

Maidir le príobháideachas, is é rialú 5.34 an t-ancaire. Míníonn Zenith Blueprint, Céim 23, an ceanglas iompraíochta atá taobh thiar de phríobháideachas agus cosaint PII:

“Ní mór don fhoireann a thuiscint cad is PII ann, conas mí-úsáid a thuairisciú, agus cad iad na cleachtais atá toirmiscthe, ní i dtéarmaí dlí amháin, ach mar iompar laethúil.”

Gabhann an abairt sin an rud a chailleann go leor cur chun feidhme PIMS. D’fhéadfadh beartais phríobháideachais a bheith ina ndéantáin dhlíthiúla, ach ní mór d’oiliúint phríobháideachais a bheith oibríochtúil.

Tóg an mhaitrís oiliúna PIMS bunaithe ar róil

Is í maitrís oiliúna bunaithe ar róil an déantán is úsáidí do rialachas oiliúna príobháideachais. Nascann sí ról, nochtadh PII, príomhrioscaí, oiliúint riachtanach, tráthúlacht agus fianaise.

Éilíonn an Beartas Oiliúna, Feasachta agus Inniúlachta Príobháideachais é seo sula sannfar freagrachtaí PIMS. Deir Clásal 4.3.1:

“[All] NÍ MÓR don Privacy Lead / PIMS Manager ábhair oiliúna príobháideachais bunaithe ar róil a shainiú in REG11 sula sanntar freagrachtaí PIMS do ról.”

Ba cheart go mbeadh maitrís phraiticiúil mar seo:

Tacaíonn an mhaitrís seo freisin le soiléireacht maidir le róil rialaitheora agus próiseálaí. Teastaíonn oiliúint ó sholáthraí SaaS atá ag gníomhú mar phróiseálaí maidir le treoir dhoiciméadaithe ón gcustaiméir, rannpháirtíocht fophhróiseálaithe, tacaíocht sáraithe, filleadh agus scriosadh, agus oibleagáidí conarthacha a chur ar aghaidh. Teastaíonn oiliúint ón eagraíocht chéanna, agus í ag gníomhú mar rialaitheoir d’acmhainní daonna agus do mhargaíocht, maidir le bonn dlíthiúil, fógraí príobháideachais, toiliú nuair is infheidhme, cearta ábhar sonraí agus coinneáil.

Tá an t-idirdhealú seo tábhachtach toisc go ndéanann GDPR Airteagal 4 idirdhealú idir rialaitheoirí agus próiseálaithe, agus go bhfuil ISO/IEC 27701:2025 ag súil go dtuigfear na róil phríobháideachais sin go hoibríochtúil.

Úsáid ionduchtú, oiliúint bhliantúil agus oiliúint bunaithe ar spreagthóirí

Ní mór do chlár oiliúna PIMS trí cheist ama a fhreagairt: cad a tharlaíonn nuair a thagann duine isteach, cad a tharlaíonn gach bliain, agus cad a tharlaíonn nuair a athraíonn riosca.

Leagann an Beartas Oiliúna, Feasachta agus Inniúlachta Príobháideachais an bhunlíne síos. Éilíonn Clásal 4.2.1:

“[All] NÍ MÓR don Privacy Lead / PIMS Manager oiliúint bhunlíne feasachta príobháideachais a shannadh in REG11 laistigh de 10 lá gnó ó ionduchtú do phearsanra a bhfuil rochtain acu ar PII nó a bhfuil freagrachtaí PIMS acu.”

Cuireann Clásal 4.2.3 leis:

“[All] NÍ MÓR don Privacy Lead / PIMS Manager oiliúint athnuachana phríobháideachais bhliantúil a shannadh in REG11 uair amháin ar a laghad gach 12 mhí.”

Treisíonn Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise do FBManna úire agus praiticiúlacht. Deir Clásal 6.1.1:

“Ní mór d’ábhair a bheith praiticiúil, oiriúnach don ról, agus nuashonraithe go bliantúil.”

Is í oiliúint bunaithe ar spreagthóirí an chéim níos aibí. Deir Clásal 6.5.1 den bheartas céanna do FBManna:

“Nuair a athraíonn róil poist nó nuair a thugtar córais isteach, d’fhéadfadh oiliúint feasachta spriocdhírithe a bheith riachtanach (m.sh., comhroinnt shlán comhad, cosaint sonraí nua agus ceanglais íoslaghdaithe sonraí).”

Seo an áit a n-éiríonn oiliúint phríobháideachais bunaithe ar fhaisnéis riosca. D’fhéadfadh dualgais formheasa rochtana a bheith ag gníomhaire tacaíochta a fhaigheann ardú céime go ceannaire foirne. D’fhéadfadh easpórtálacha, comhtháthuithe, réimsí coinneála agus tionchair ar iarratais ó ábhair sonraí teacht le CRM nua. D’fhéadfadh rianú, próifíliú nó impleachtaí toilithe teacht le huirlis anailísíochta nua. D’fhéadfadh ceanglais dícheall cuí próiseálaithe agus aistrithe sonraí trasteorann teacht le díoltóir párolla nua.

Ba cheart oiliúint a spreagadh leis na hathruithe sin, seachas í a chur ar athló go dtí an cúrsa athnuachana bliantúil.

Cuireann an Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise fiontraíochta fuinneog chríochnaithe shoiléir leis. Deir Clásal 6.1.3:

“Ní mór oiliúint rólbhunaithe (m.sh., riarthóirí, forbróirí, feidhmeannaigh) a shannadh agus a chríochnú laistigh de 60 lá ó shannadh róil nó ó ardú pribhléidí córais.”

Maidir le róil PII ardriosca, roghnaíonn go leor eagraíochtaí spriocdhátaí níos giorra, ach is é an prionsabal céanna é: leanann oiliúint rólbhunaithe an fhreagracht.

Conas a dhúnann REG11 fionnachtain iniúchta

Smaoinigh ar fhionnachtain réalaíoch ón iniúchadh inmheánach:

“Is féidir le pearsanra tacaíochta custaiméirí rochtain a fháil ar PII custaiméirí agus d’fhéadfadh siad iarratais rochtana ó ábhair sonraí a fháil, ach níl aon fhianaise ar oiliúint phríobháideachais bunaithe ar róil do ghníomhairí tacaíochta ná do cheannairí foirne.”

Dhúnfadh foireann cur chun feidhme Clarysec an fhionnachtain i gcúig chéim.

Ar dtús, cruthaíonn an Privacy Lead spriocghrúpa oiliúna REG11 darb ainm “Láimhseálaithe PII tacaíochta custaiméirí.” Is é an Bainisteoir Oibríochtaí Tacaíochta úinéir na fianaise. Is é “Oiliúint phríobháideachais bunaithe ar róil” an cineál oiliúna. Is é 30 lá an spriocdháta críochnaithe. Áirítear ar na freagrachtaí nasctha fíorú aitheantais, íoslaghdú ticéad, ceangaltáin shlána, aithint DSAR agus ardú sáraithe amhrasta.

Ar an dara dul síos, mapálann an Privacy Lead an t-ábhar chuig ceanglais bheartais, lena n-áirítear clásal 4.3.1 den Bheartas Oiliúna, Feasachta agus Inniúlachta Príobháideachais agus clásal 6.1.3 den Bheartas Feasachta agus Oiliúna um Shlándáil Faisnéise fiontraíochta.

Ar an tríú dul síos, úsáideann an oiliúint tástáil bunaithe ar chásanna:

Ar an gceathrú dul síos, taifeadtar an críochnú in REG11: foghlaimeoir, ról, modúl, stampa ama críochnaithe, scór trialach nó cásanna, admháil, stádas thar téarma, dáta athnuachana agus úinéir fianaise.

Éilíonn Clásal 4.4.1 den Bheartas Oiliúna, Feasachta agus Inniúlachta Príobháideachais:

“[All] NÍ MÓR don Privacy Lead / PIMS Manager fianaise ar shannadh oiliúna, críochnú, stádas thar téarma, admháil agus athnuachan a choinneáil in REG11 do gach gníomhaíocht oiliúna príobháideachais riachtanach.”

Ar an gcúigiú dul síos, dúntar an fhionnachtain iniúchta le fianaise: easpórtáil REG11, ábhar oiliúna, taifid tinrimh, torthaí trialacha, nuashonrú nós imeachta tacaíochta agus an bealach inmheánach ardaithe.

Ní hé an pointe gur fuair an fhoireann tacaíochta deic sleamhnán. Is é an pointe gur sannadh, gur tástáladh, gur fhianaíodh agus gur nascadh inniúlacht rólshonrach le dualgais PIMS.

Luach traschomhlíonta: GDPR, NIS2, DORA, NIST agus COBIT

Ní ceist ISO/IEC 27701:2025 amháin í oiliúint phríobháideachais bunaithe ar róil. Is rialú traschomhlíonta í.

Soláthraíonn GDPR substaint na príobháideachais. Éilíonn Airteagal 5(2) cuntasacht. Éilíonn Airteagal 32 bearta teicniúla agus eagraíochtúla iomchuí le haghaidh slándáil próiseála. Déanann Airteagal 39(1)(b) ardú feasachta agus oiliúint foirne mar chuid de ról faireacháin an Oifigigh Cosanta Sonraí (OCS) freisin, i gcás ina gceaptar OCS.

Aithníonn an Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise fiontraíochta é seo i gclásal 11.4.1:

“Airteagal 32 – Slándáil na Próiseála: Ceanglaíonn sé go gcuirfear oiliúint ar phearsanra a láimhseálann sonraí pearsanta chun rioscaí do fhaisnéis phearsanta a aithint, a chosc agus a thuairisciú. Cinntíonn an beartas seo go gcuirtear oiliúint dá réir ar láimhseálaithe sonraí agus ar gach ról ábhartha.”

Cuireann NIS2 athléimneacht chibear leis. Éilíonn Airteagal 20 ar chomhaltaí comhlachta bainistíochta eintiteas riachtanach agus tábhachtach oiliúint chibearshlándála a leanúint agus spreagann sé oiliúint rialta d’fhostaithe. Áirítear le Airteagal 21(2)(i) cleachtais bhunúsacha sláinteachais cibear agus oiliúint chibearshlándála i measc bearta bainistíochta riosca.

Cuireann DORA sainiúlacht don earnáil airgeadais leis. Éilíonn Airteagal 13 ar eintitis airgeadais cláir oiliúna athléimneachta oibríochtúla digití a choinneáil mar chuid de bheartas acmhainní daonna. Cuireann Airteagal 5 dualgais rialachais riosca TFC ar an gcomhlacht bainistíochta freisin. Maidir le heintitis airgeadais, tá DORA infheidhme go díreach ón 17 Eanáir 2025 agus feidhmíonn sé mar ghníomh dlíthiúil earnáilsonrach de chuid an Aontais nuair a fhorluíonn sé le hoibleagáidí NIS2 maidir le riosca TFC agus tuairisciú teagmhas.

Soláthraíonn NIST CSF 2.0 sraith eagrúcháin. Tá feidhm GOVERN ag súil go dtuigfear agus go mbainisteofar oibleagáidí dlíthiúla, rialála, conarthacha, príobháideachais agus saoirsí sibhialta. Áirítear leis an bhfeidhm PROTECT feasacht agus oiliúint trí PR.AT-01 le haghaidh feasacht pearsanra agus PR.AT-02 le haghaidh oiliúint ról speisialaithe.

Díríonn COBIT 2019 ar rialachas agus ar chumas. Tacaíonn APO07 le bainistíocht acmhainní daonna, tacaíonn BAI05.07 le forbairt scileanna, tacaíonn APO13.01 le bainistíocht slándála, agus tacaíonn DSS06.08 le bainistíocht príobháideachais sonraí. Ó pheirspictíocht COBIT, ní mór d’oiliúint phríobháideachais nascadh le cumas an lucht saothair, cuspóirí rialachais, athbhreithniú bainistíochta agus gníomhartha ceartaitheacha.

Tugann Zenith Controls na snáitheanna seo le chéile. Mapálann sé rialú 6.3 chuig ionchais oiliúna agus feasachta GDPR, NIS2 Airteagal 21(2)(i), DORA Airteagal 13, rialuithe feasachta agus oiliúna NIST SP 800-53, agus cuspóirí scileanna agus beartais saothair COBIT. Mapálann sé rialú 5.2 chuig cuntasacht GDPR agus cúraimí OCS, bearta eagraíochtúla NIS2, freagrachtaí rialachais DORA, sannadh róil NIST agus struchtúir rialachais COBIT. Mapálann sé rialú 5.34 chuig slándáil GDPR agus príobháideachas trí dhearadh, beartais slándála NIS2, rúndacht sonraí DORA, rialuithe príobháideachais NIST agus bainistíocht príobháideachais COBIT.

Is é éifeachtúlacht an tairbhe ghnó. Is féidir le córas oiliúna amháin faoi rialachas fianaise a tháirgeadh do roinnt creat, seachas iallach a chur ar fhoirne cláir chomhlíonta neamhcheangailte a choinneáil.

Treoir ISO thacaíochta a neartaíonn an clár

Éiríonn oiliúint PIMS bunaithe ar róil níos láidre nuair a nasctar í le treoir ISO ghaolmhar.

Déileálann ISO/IEC 27005:2024 le rioscaí fachtóra dhaonna, lena n-áirítear fioscaireacht, innealtóireacht shóisialta agus iompar faillíoch, mar fhoinsí riosca a éilíonn cóireáil. Dá bhrí sin, is cóireáil riosca í oiliúint, ní cleachtadh riaracháin.

Cuireann ISO/IEC 27035-1:2023 béim ar fheasacht maidir le bainistíocht teagmhas. Ní mór don phearsanra teagmhais a aithint agus a thuairisciú, lena n-áirítear mí-úsáid PII amhrasta nó nochtadh de thaisme. Maidir le príobháideachas, tá sé seo ríthábhachtach toisc go dtosaíonn amlínte measúnaithe sáraithe go minic nuair a thagann an eagraíocht ar an eolas faoi shaincheist.

Tacaíonn ISO/IEC 27017 le soiléireacht róil atá sonrach don néal. Teastaíonn oiliúint ó fhoirne néil maidir le freagracht chomhroinnte, cumraíocht, bainistíocht rochtana, freagrachtaí cúltaca, logáil, faireachán agus ardú.

Tacaíonn ISO/IEC 27018 le cosaint PII i dtimpeallachtaí néil phoiblí. Ba cheart do sholáthraithe néil agus do chustaiméirí oiliúint a chur ar phearsanra maidir le treoracha custaiméara, úsáid neamhúdaraithe, filleadh agus scriosadh PII, agus tacaíocht sáraithe.

Soláthraíonn ISO/IEC 29100 prionsabail phríobháideachais amhail toiliú, teorannú, trédhearcacht, íoslaghdú agus cuntasacht. Cabhraíonn na prionsabail seo le teanga dhlíthiúil a thiontú ina hiompar praiticiúil.

Tacaíonn ISO/IEC 27014 le tarmligean rialachais agus cinnteoireacht, rud atá tábhachtach nuair a bhíonn doimhneacht éagsúil oiliúna ag teastáil ó fheidhmeannaigh, ceannairí príobháideachais, úinéirí riosca agus úinéirí córas.

Tacaíonn ISO/IEC 27036-2 le freagrachtaí caidrimh soláthraithe. Teastaíonn oiliúint phríobháideachais ó sholáthar agus ó úinéirí díoltóirí toisc go mbíonn tionchar ag conarthaí próiseálaithe, slabhraí fophhróiseálaithe, cearta iniúchta agus clásail teagmhas ar riosca beo.

Cad a thástálann iniúchóirí i ndáiríre

Ní bhíonn clár oiliúna príobháideachais inchosanta ach amháin má mhaireann sé an tástáil.

Tosóidh iniúchóir atá dírithe ar ISO le raon feidhme, róil, inniúlacht, feasacht agus taifid. D’fhéadfadh siad sampla a ghlacadh d’fhostaithe nua, forbróirí, úsáideoirí pribhléideacha, pearsanra acmhainní daonna, gníomhairí tacaíochta, úinéirí soláthair, conraitheoirí agus freagróirí teagmhas.

Déanfaidh iniúchóir PIMS tástáil ar shubstaint phríobháideachais. D’fhéadfadh siad fiafraí an dtuigeann an pearsanra PII, aithint DSAR, dualgais rialaitheora agus próiseálaí, treoracha próiseála, ardú sáraithe agus cleachtais thoirmiscthe.

Lorgóidh measúnóir atá dírithe ar NIST feasacht ghinearálta, oiliúint róil speisialaithe, taifid oiliúna agus bearnaí rianaithe. D’fhéadfadh siad Próifílí Reatha agus Spriocphróifílí a chur i gcomparáid agus pleananna gníomhaíochta a athbhreithniú.

Déanfaidh iniúchóir COBIT measúnú an dtacaíonn oiliúint le cuspóirí rialachais agus cumas an lucht saothair. D’fhéadfadh siad fiafraí an ndéanann an bhainistíocht athbhreithniú ar rátaí críochnaithe, oiliúint thar téarma, treochtaí in ionsamhluithe fioscaireachta, iompar tuairiscithe teagmhas agus gníomhartha ceartaitheacha.

D’fhéadfadh iniúchóir de stíl ISACA ITAF díriú ar fhianaise feidhmíochta: rátaí críochnaithe, scóir trialacha, agallaimh, torthaí ionsamhlaithe, treochtaí teagmhas agus gníomh bainistíochta.

Gabhann Zenith Controls an lionsa iniúchta seo le haghaidh rialú 6.3. D’fhéadfadh iniúchóirí athbhreithniú a dhéanamh ar churaclaim, sceidil, ábhair, taifid tinrimh, teastais chríochnaithe, agallaimh fostaithe, torthaí ionsamhluithe fioscaireachta agus méadrachtaí amhail rátaí críochnaithe agus scóir trialacha. Is minic a bhíonn tástáil phraiticiúil agallaimh cinniúnach: an féidir le fostaithe a mhíniú cad a dhéanfadh siad dá bhfaighidís teachtaireacht amhrasach, dá mbeadh amhras orthu faoi rochtain neamhúdaraithe ar PII, nó dá bhfaighidís iarratas príobháideachais?

Ní scarbhileog amháin í fianaise. Is é atá inti an bhfuil a fhios ag daoine cad atá le déanamh.

Neamhchomhréireachtaí coitianta in oiliúint PIMS

Léiríonn cur chun feidhme Clarysec bearnaí athfhillteacha in oiliúint phríobháideachais:

• Tá oiliúint ann, ach tá sí cineálach agus ní bunaithe ar róil í.
• Ní shainaithnítear láimhseálaithe PII go soiléir.
• Fágtar conraitheoirí agus tríú páirtithe a bhfuil rochtain PII nó rochtain córais acu ar lár.
• Faigheann forbróirí oiliúint um chódú slán ach ní fhaigheann siad oiliúint ar phríobháideachas trí dhearadh ná ar shrianta sonraí tástála.
• Cuirtear oiliúint ar fhoirne tacaíochta maidir le cáilíocht seirbhíse ach ní maidir le haithint DSAR ná nochtadh de thaisme.
• Láimhseálann acmhainní daonna sonraí íogaire fostaithe gan fianaise oiliúna príobháideachais rólshonraigh.
• Idirbheartaíonn soláthar conarthaí soláthraithe gan oiliúint ar phróiseálaithe ná ar fhophróiseálaithe.
• Tá ardú cibear ar eolas ag freagróirí teagmhas ach níl triáis sáraithe sonraí pearsanta acu.
• Críochnaíonn fostaithe nua oiliúint slándála, ach cuirtear moill ar oiliúint phríobháideachais.
• Ní spreagann athruithe róil agus córais nua oiliúint spriocdhírithe.
• Rianaítear críochnú, ach tá fianaise thar téarma, admhála agus athnuachana in easnamh.
• Faigheann an bhainistíocht deais ach ní ghníomhaíonn sí ar bhearnaí.

Déanann an Beartas um Chosaint Sonraí agus Príobháideachas an disciplín bainistíochta a bhfuiltear ag súil leis soiléir. Éilíonn Clásal 4.7.3 ar eagraíochtaí:

“Comhaontuithe rúndachta foirne agus oiliúint feasachta príobháideachais a choinneáil.”

I gcás FBManna, tá an Beartas um Chosaint Sonraí agus Príobháideachas do FBManna níos dírí. Deir Clásal 4.5.2:

“Ní mór oiliúint phríobháideachais a chríochnú”

Nascann Clásal 7.2.2 oiliúint le cóireáil riosca:

“Ní mór oiliúint agus feasacht a úsáid mar rialuithe chun earráid dhaonna i láimhseáil sonraí a laghdú”

Sin croílár na ceiste. Is rialú í oiliúint phríobháideachais atá deartha chun riosca a laghdú.

Seicliosta cur chun feidhme praiticiúil

Ní gá do chlár oiliúna príobháideachais inchosanta a bheith maorlathach. Teastaíonn samhail oibriúcháin shoiléir, fianaise mhaith agus aird rialta bainistíochta uaidh.

Úsáid an seicliosta seo chun do chlár a thógáil nó a fheabhsú:

Tacaíonn Zenith Blueprint leis an saolré seo trí cheannaireacht, raon feidhme, sannadh róil, inniúlacht, cumarsáid agus cur chun feidhme rialuithe. Sa chéim “Rialuithe i nGníomh”, Céim 15, “Rialuithe Pearsanra I,” molann sé oiliúint bhliantúil, modúil rólshonracha, ionduchtú fostaithe nua, fioscaireacht ionsamhlaithe, feasacháin, brífálacha foirne, fianaise rannpháirtíochta, agus oiliúint a leathnú chuig conraitheoirí nó tríú páirtithe a bhfuil rochtain córais nó sonraí acu.

Tugann an pacáiste beartais an bhunlíne rialachais duit. Tugann an beartas oiliúna atá sonrach don phríobháideachas an sreabhadh oibre fianaise REG11 duit. Sainíonn na beartais um chosaint sonraí freagrachtaí agus ionchais feasachta. Soláthraíonn Zenith Controls an tsraith mapála iniúchta agus traschomhlíonta.

Le chéile, cabhraíonn na huirlisí seo le CISO, Privacy Lead, OCS, bainisteoir comhlíonta nó úinéir acmhainní daonna a mhíniú cén fáth a dtacaíonn clár oiliúna amháin le hionchais ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST agus COBIT.

Tiontaigh cuntasacht phríobháideachais ina hiompar laethúil

Má bhíonn do chlár ISO/IEC 27701:2025 nó GDPR ag brath ar fheasacht bhliantúil chineálach, tosaigh le tástáil shimplí. Roghnaigh cúig ról a bhaineann le PII: acmhainní daonna, tacaíocht custaiméirí, forbróirí, riarthóirí agus soláthar.

Maidir le gach ról, fiafraigh:

• Cén PII a láimhseálann siad?
• Cad iad na cinntí príobháideachais a dhéanann siad?
• Cad iad na botúin a d’fhéadfadh riosca GDPR nó PIMS a chruthú?
• Cén oiliúint atá críochnaithe acu?
• Cá bhfuil an fhianaise?
• An mbeadh a fhios acu conas teagmhas PII amhrasta a chur ar aghaidh inniu?
• Ar nuashonraíodh an oiliúint tar éis athruithe córais, teagmhais nó fionnachtana iniúchta?

Mura féidir leat na ceisteanna sin a fhreagairt ó fhaisnéis dhoiciméadaithe, níl an clár oiliúna inchosanta fós.

Cabhraíonn Clarysec le heagraíochtaí bogadh ó chéatadáin chríochnaithe go hinniúlacht intomhaiste. Úsáid an Beartas Oiliúna, Feasachta agus Inniúlachta Príobháideachais, Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise, Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise do FBManna, Beartas um Chosaint Sonraí agus Príobháideachas, Beartas um Chosaint Sonraí agus Príobháideachas do FBManna, Zenith Blueprint, agus Zenith Controls chun clár oiliúna PIMS atá ullamh don iniúchadh a thógáil a thiontaíonn cuntasacht phríobháideachais ina hiompar laethúil.

Íoslódáil an pacáiste beartais, mapáil do róil chuig REG11, agus sceideal measúnú Clarysec chun a chruthú nach bhfuil do dhaoine ar an eolas faoi phríobháideachas amháin. Tá siad inniúil, cuntasach agus ullamh don iniúchadh.