Rialachas ar athruithe fo-phróiseálaithe do SaaS agus MSPanna

D’oscail Sarah, Príomhoifigeach Slándála Faisnéise soláthraí FinTech SaaS a bhí ag fás go tapa, nuashonrú seirbhíse ó dhíoltóir bonneagair chriticiúil a raibh cuma ghnáthamh air. Faoin gceannteideal “optamuithe seirbhíse” bhí abairt amháin a d’athraigh a seachtain:

“Chun feidhmíocht anailísíochta a fheabhsú, aistreofar ualaí oibre próiseála sonraí chuig ár gcomhpháirtí nua, DataCrunch Analytics, le héifeacht i gceann 30 lá.”

Tríocha lá. Comhpháirtí anailísíochta nua. Léirigh seiceáil thapa go raibh an soláthraí lonnaithe lasmuigh den AE.

Chonaic an fhoireann innealtóireachta gnáthfheabhsú soláthraí. Ghlac Soláthar leis go raibh sé clúdaithe faoin gcomhaontú reatha. Ní raibh aon fheachtas fógra beartaithe ag an bhfoireann Rath Custaiméirí. Ní raibh athbhreithniú déanta ag an bhfoireann dlí ar na himpleachtaí aistrithe. Chonaic Sarah an fhadhb cheart láithreach: bhí a cuideachta ag gníomhú mar phróiseálaí do na céadta institiúid airgeadais ar fud na hEorpa. Ba rialaitheoirí faoi GDPR iad na custaiméirí sin. Bhí réamhfhógra faoi fho-phróiseálaithe nua caibidlithe ag cuid acu. Bhí cearta agóide ag cuid acu. Bhí oibleagáidí seachfhoinsithe agus riosca tríú páirtí TFC faoi DORA ar roinnt acu. Bhí dearbhuithe dochta maidir le suíomh sonraí ag cuid eile nach bhféadfaí a athrú go ciúin.

Seo an tráth a bhfaigheann go leor soláthraithe SaaS, MSPanna, MSSPanna agus soláthraithe seirbhísí néil amach nach tasc riaracháin príobháideachais é rialachas fo-phróiseálaithe. Is bainistíocht riosca soláthraithe, comhlíonadh conarthach, athléimneacht oibríochtúil, cumarsáid le custaiméirí, agus fianaise iniúchta in aon sreabhadh oibre amháin é.

Ní leor leathanach poiblí fo-phróiseálaithe. Ní leor fonóta ó dhíoltóir. Ní leor ceistneoir slándála. Ní mór do phróiseas inchosanta a léiriú cé a rinne measúnú ar an bhfo-phróiseálaí, cad iad na sonraí a phróiseáiltear, cé na custaiméirí atá buailte, cad iad na comhaontuithe a éilíonn fógra, ar láimhseáladh agóidí roimh úsáid, conas a nascadh fianaise aistrithe idirnáisiúnta, agus cá gcoinnítear an fhianaise deiridh.

Déileálann Clarysec leis seo mar phatrún rialaithe rialachais, ní mar shlabhra ríomhphoist ad hoc. Nascann an sreabhadh oibre bainistíocht príobháideachais, dearbhú soláthraithe, athbhreithniú dlí, riosca slabhra soláthair TFC, fógra do chustaiméirí, agus fianaise iniúchta trí bheartais Clarysec, Zenith Blueprint: Treochlár 30 céim d’iniúchóir, agus Zenith Controls: An treoir thras-chomhlíonta.

Cén fáth ar imeachtaí ardriosca soláthraithe iad athruithe fo-phróiseálaithe

Féadfaidh athrú fo-phróiseálaí próifíl riosca seirbhíse a athrú thar oíche. Féadfaidh sé athrú a dhéanamh ar an áit a n-óstáiltear sonraí pearsanta custaiméirí, ar an áit as a ndéantar rochtain orthu, ar cé aige a bhfuil rochtain tacaíochta phribhléideach, ar cé chomh fada a choinnítear logaí, ar conas a uaschéimnítear teagmhais, ar na freagrachtaí criptiúcháin is infheidhme, agus ar cé acu atá nó nach bhfuil sásra aistrithe idirnáisiúnta nua de dhíth.

I gcás soláthraithe SaaS agus soláthraithe seirbhísí bainistithe, is minic a bhíonn fo-phróiseálaithe suite laistigh de shlabhra seachadta an táirge. D’fhéadfadh soláthraithe óstála néil, ardáin ticéadaithe, seirbhísí seachadta ríomhphoist, uirlisí anailísíochta IS, ardáin jabanna cúlra, díoltóirí inbhreathnaitheachta, uirlisí tacaíochta, próiseálaithe íocaíochta, soláthraithe slándála bainistithe, agus seirbhísí saibhrithe sonraí a bheith san áireamh. Téann go leor de na soláthraithe seo i dteagmháil le sonraí pearsanta custaiméirí fiú nuair a chuireann foirne síos orthu mar uirlisí “bonneagair” nó “oibríochtaí”.

Faoi GDPR, tá sé seo tábhachtach mar go gceanglaíonn Article 28 ar phróiseálaithe próiseálaithe le sruth a bhainistiú faoi údarú rialaitheora. Má úsáidtear údarú ginearálta i scríbhinn, ní mór don phróiseálaí an rialaitheoir a chur ar an eolas faoi bhreiseanna nó ionaduithe beartaithe agus deis a thabhairt don rialaitheoir agóid a dhéanamh. Ceanglaíonn Article 28(4) freisin go gcuirfear oibleagáidí coibhéiseacha cosanta sonraí ar an bhfo-phróiseálaí. Cuireann Article 5(2) prionsabal na cuntasachta leis, rud a chiallaíonn nach mór don eagraíocht a bheith in ann comhlíonadh a léiriú, seachas é a mhaíomh amháin.

Méadaíonn DORA an riosca do sheirbhísí airgeadais. Ní mór d’eintitis airgeadais riosca tríú páirtí TFC a bhainistiú mar chuid lárnach de bhainistíocht riosca TFC. Ní mór dóibh cláir socruithe conarthacha a chothabháil, riosca comhchruinnithe a mheas, slabhraí fochonraitheoireachta a thuiscint, coimircí conarthacha a shainiú, cearta iniúchta agus rochtana a chinntiú, tacú le comhar teagmhais, agus pleanáil don imeacht. Fiú mura eintiteas airgeadais go díreach é soláthraí SaaS, beidh a chustaiméirí airgeadais ag súil le fianaise mar go gcaithfidh siadsan DORA a chomhlíonadh.

Leathnaíonn NIS2 an lionsa chuig slándáil an tslabhra soláthair agus cuntasacht bainistíochta. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla iomchuí, lena n-áirítear slándáil an tslabhra soláthair, láimhseáil teagmhais, leanúnachas gnó, rialú rochtana, bainistíocht sócmhainní, sealbhú agus cothabháil shlán, agus measúnú éifeachtachta. Cuireann Article 20 freagracht mhaoirseachta ar chomhlachtaí bainistíochta. I gcás soláthraithe néil, soláthraithe seirbhíse bainistithe, soláthraithe seirbhíse slándála bainistithe, soláthraithe seirbhíse lárionaid sonraí, soláthraithe seirbhíse iontaobhais, margaí ar líne, innill chuardaigh, agus seirbhísí cumarsáide áirithe, éiríonn infheictheacht fo-phróiseálaithe ina cuid de rialachas cibearshlándála.

Cuireann ISO/IEC 27001:2022 agus ISO/IEC 27701:2025 é seo i bhfeidhm go hoibríochtúil. Éilíonn ISO/IEC 27001:2022 ar an ISMS an comhthéacs, ceanglais páirtithe leasmhara, rioscaí, pleananna cóireála, rialuithe oibríochtúla, agus faisnéis dhoiciméadaithe a thuiscint. Síneann ISO/IEC 27701:2025 an smacht sin ar chóras bainistíochta isteach i mbainistíocht faisnéise príobháideachais. Ní mór do PIMS atá dírithe ar phróiseálaí a léiriú go bhfuil próiseáil le sruth ar PII custaiméirí intuigthe, rialaithe, rialaithe go conarthach, faoi fhaireachán, agus fianaithe.

Patrún Clarysec: liostaigh, measúnaigh, fógair, láimhseáil agóidí, conarthaigh, aistrigh, fianaigh

Tá an tsamhail rialachais fo-phróiseálaithe is láidre simplí go leor d’fhoirne oibríochtúla le leanúint agus dian go leor d’iniúchóirí le tástáil. Úsáideann Clarysec seacht mbriathar:

1. Liostaigh gach fo-phróiseálaí reatha agus beartaithe.
2. Measúnaigh riosca príobháideachais, slándála, athléimneachta agus spleáchais roimh úsáid.
3. Cuir custaiméirí ar an eolas de réir an chomhaontaithe infheidhme.
4. Bainistigh agóidí laistigh den fhuinneog chomhaontaithe.
5. Nuashonraigh an DPA, an iarscríbhinn slándála, agus na hoibleagáidí a chuirtear ar aghaidh.
6. Nasc fianaise óstála, suíomhanna próiseála agus aistrithe idirnáisiúnta.
7. Coinnigh fianaise i gcláir phríobháideachais agus soláthraithe.

Is é an chéad ancaire oibríochtúil an Beartas um Bainistíocht Príobháideachais Próiseálaithe, Fo-phróiseálaithe agus Tríú Páirtithe. Deir sé:

[Próiseálaí] NÍ MÓR don Úinéir Díoltóra/Soláthair liosta na bhfo-phróiseálaithe agus na bhfochonraitheoirí a úsáidtear chun PII custaiméirí a phróiseáil a chothabháil in REG08 roimh úsáid agus REG08 a nuashonrú laistigh de 10 lá gnó tar éis athrú formheasta.

Déanann an clásal sin clár rialaithe de liosta fo-phróiseálaithe. Déanann sé an t-amchlár soiléir freisin: nuashonraítear REG08 roimh úsáid, agus ansin athnuachantar é laistigh de 10 lá gnó tar éis athrú formheasta.

Déanann an beartas céanna fógra do chustaiméirí in-iniúchta:

[Próiseálaí] NÍ MÓR don Úinéir Díoltóra/Soláthair an custaiméir a chur ar an eolas faoi fho-phróiseálaithe nua nó ionadaíocha atá beartaithe de réir chomhaontú infheidhme an chustaiméara roimh úsáid agus an fógra, an tréimhse agóide, agus an toradh a thaifeadadh in REG08.

Seo an mionsonra atá in easnamh i mórán clár. Ní hé an cheist amháin an nuashonraíodh leathanach poiblí. Is í an cheist ar cuireadh na custaiméirí cearta ar an eolas ar an mbealach riachtanach, sular phróiseáil an fo-phróiseálaí a PII, agus ar caomhnaíodh an tréimhse agóide agus an toradh mar fhianaise.

Nascann an beartas rialachas athruithe le dícheall cuí freisin:

[Gach duine] NÍ MÓR don Úinéir Díoltóra/Soláthair fianaise dícheall cuí príobháideachais a chomhlánú in REG08 sula roghnaítear, sula n-athnuaitear, nó sula n-athraítear go hábhartha aon chaidreamh le próiseálaí, fo-phróiseálaí nó tríú páirtí a phróiseálann PII nó a fhaigheann rochtain ar PII.

D’fhéadfadh athrú ábhartha bonneagar a ionadú, soláthraí anailísíochta le sruth a chur leis, réigiúin óstála a bhogadh, rochtain tacaíochta ó thír nua a chumasú, catagóirí sonraí a leathnú, nó iompar coinneála seirbhíse a athrú.

Ar deireadh, dúnann an beartas an bhearna maidir le hoibleagáidí conarthacha a chur ar aghaidh:

[Próiseálaí] NÍ MÓR don Úinéir Díoltóra/Soláthair a chinntiú go bhfuil oibleagáidí príobháideachais, slándála, cúnaimh, fillte, scriosta, comhordaithe teagmhas, agus nascachta aistrithe lena gcuirtear oibleagáidí ar aghaidh i ngach conradh fo-phróiseálaí sula bpróiseálann an fo-phróiseálaí PII.

Tá sé seo tábhachtach mar ní leor aguisín slándála cineálach i gcónaí. Ní mór oibleagáidí sonracha próiseálaí a chur ar aghaidh le sruth sula dtosaíonn an phróiseáil.

An áit a nascann beartais Clarysec príobháideachas, soláthraithe agus aistrithe

Ní oibríonn rialachas fo-phróiseálaithe ach nuair a úsáideann príobháideachas, dlí, slándáil soláthraithe agus bainistíocht athruithe oibríochtúla an slabhra fianaise céanna.

Bunaíonn an Beartas um Chomhlíonadh Dlíthiúil agus Rialála - FGBM an riail réamh-chomhroinnte:

Ní mór clásail Chomhaontaithe um Phróiseáil Sonraí (DPA) nó téarmaí conarthacha coibhéiseacha a bheith comhaontaithe sula gcomhroinntear aon sonraí pearsanta nó íogaire.

I dtimpeallachtaí fiontair, déanann an Beartas um Chomhlíonadh Dlíthiúil agus Rialála an t-ionchas fianaise níos mionsonraithe trí éileamh a dhéanamh ar:

Nochtuithe fo-phróiseálaithe agus dearbhuithe geografacha aistrithe sonraí

Aithníonn sé freisin truiceanna rialachais a bhaineann le:

Athruithe ar shásraí aistrithe sonraí, fo-phróiseálaithe, nó sreafaí trasteorann sonraí

Deir an Beartas Slándála Tríú Páirtí agus Soláthraithe:

Úsáid fochonraitheoirí faoi réir toiliú roimh ré i scríbhinn

I gcás eagraíochtaí níos lú, soláthraíonn an Beartas Slándála Tríú Páirtí agus Soláthraithe - FGBM leagan inscálaithe:

Srianta ar fhochonraitheoireacht bhreise gan formheas

Déanann sé athmheasúnú ar athruithe soláthraithe soiléir freisin:

Ní mór gach athrú soláthraí — lena n-áirítear úinéireacht, cineál seirbhíse, suíomh óstála, nó fochonraitheoireacht — a athmheasúnú maidir le tionchar riosca agus ábharthacht chonarthach.

Áirítear sa Beartas um Chosaint Sonraí agus Príobháideachas:

Ceanglais formheasa fo-phróiseálaithe

Cuireann an Beartas Bainistíochta Riosca Spleáchais ar Sholáthraithe an dearcadh athléimneachta leis:

Nochtadh fochonraitheoirí: ní mór don soláthraí príomhfhochonraitheoirí agus aon athruithe orthu a chur in iúl dúinn, go háirithe nuair a chruthaíonn siad sraitheanna breise spleáchais.

Le chéile, cruthaíonn na beartais seo riail oibríochta iomlán: gan sonraí pearsanta a chomhroinnt gan téarmaí conarthacha, gan fo-phróiseálaithe ceilte, gan fochonraitheoireacht neamhbhainistithe, gan athrú óstála nó suímh gan mheasúnú, agus gan formheas gan fianaise aistrithe nuair is ábhartha.

Conas a chuireann Zenith Controls an tacar rialuithe soláthraithe i gcomhthéacs

In Zenith Controls, mapálann Clarysec rialachas ar athruithe fo-phróiseálaithe go príomha chuig rialuithe soláthraithe agus dlí ISO/IEC 27002:2022. Tá sé seo tábhachtach mar léiríonn sé nach próiseas príobháideachais amháin é rialachas fo-phróiseálaithe. Is rialú slándála faisnéise, bainistíochta soláthraithe, dlí agus athléimneachta é freisin.

Déanann Zenith Controls cur síos ar rialú 5.22, “Faireachán, athbhreithniú agus bainistíocht athruithe ar sheirbhísí soláthraithe,” mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht, ailínithe leis an gcoincheap cibearshlándála Identify agus le cumais oibríochtúla maidir le slándáil caidrimh le soláthraithe agus dearbhú slándála faisnéise. Sin é go díreach a éilíonn athrú fo-phróiseálaí: an t-athrú a shainaithint, an riosca a athmheasúnú, clúdach conarthach a dhearbhú, agus fianaise dearbhaithe a choinneáil.

I gcás rialú 5.20, cuireann Zenith Controls comhaontuithe soláthraithe i láthair mar rialuithe coisctheacha a chlúdaíonn rúndacht, sláine agus infhaighteacht. Is anseo a bhaineann téarmaí DPA, iarscríbhinní slándála, clásail fochonraitheoireachta, cearta iniúchta, cúnamh teagmhais, filleadh agus scriosadh, agus oibleagáidí nascachta aistrithe.

I gcás rialú 5.21, tá lionsa an tslabhra soláthair tábhachtach mar d’fhéadfadh fo-phróiseálaí spleáchas ceathrú páirtí a chruthú. D’fhéadfadh díoltóir SaaS brath ar sholáthraí bonneagair, a bhraitheann ar sholáthraí anailísíochta sonraí, a bhraitheann ar réigiún néil eile nó ar chomhpháirtí tacaíochta. Ní mór don eagraíocht an slabhra a thuiscint go leor chun riosca, gealltanais chustaiméirí agus roghanna scoir a bhainistiú.

An treochlár 30 céim: beartas a iompú ina nós imeachta oibríochta

Cuireann Zenith Blueprint riosca soláthraithe agus riosca le sruth i gCéim 23, rialuithe eagraíochtúla. Míníonn sé go dtugann comhaontuithe soláthraithe aghaidh de ghnáth ar rúndacht, rialú rochtana, rialuithe teicniúla agus eagraíochtúla (TOManna), amlínte tuairiscithe teagmhais, ceart iniúchta, rialuithe fochonraitheoirí, agus forálacha deireadh conartha. Déanann an Blueprint pointe ríthábhachtach:

Tá struchtúr an chomhaontaithe tábhachtach. D’fhéadfadh na clásail seo a bheith i Máistir-Chomhaontú Seirbhísí, i gComhaontú Próiseála Sonraí (DPA) tiomnaithe, nó in iarscríbhinn slándála ar leith. Is é atá tábhachtach ná go bhfuil siad ann, agus go dtuigeann agus go nglacann an dá pháirtí leo.

Insíonn an Blueprint d’fhoirne freisin cad atá le déanamh le fochonraitheoirí:

I gcás gach soláthraí criticiúil, sainaithin an úsáideann siad fochonraitheoirí (fo-phróiseálaithe) a d’fhéadfadh rochtain a fháil ar do shonraí nó ar do chórais. Doiciméadaigh conas a chuirtear do cheanglais slándála faisnéise ar aghaidh chuig na páirtithe seo, trí théarmaí conartha do sholáthraí nó trí do chlásail dhíreacha féin.

Maidir le rialachas athruithe soláthraithe, is é ISO/IEC 27002:2022 rialú 5.22 an t-ailíniú oibríochtúil ceart:

Bunaigh nós imeachta simplí inscálaithe chun athruithe ar sheirbhísí soláthraithe (5.22) a mheas, amhail imirce chuig an néal, fo-phróiseálaithe nua, nó athdhearadh bonneagair. Sainigh truiceanna a éilíonn athmheasúnú slándála.

Tugann sé seo bealach praiticiúil do CISOnna agus do cheannairí príobháideachais. Sainíonn Céim 23 intinn an rialaithe. Gabhann REG08 fianaise phríobháideachais maidir le próiseálaithe, fo-phróiseálaithe agus tríú páirtithe. Gabhann REG09 fianaise aistrithe. Nascann conarthaí soláthraithe, DPAnna agus ticéid athraithe an sreabhadh oibre leis an réaltacht oibríochtúil.

Sreabhadh oibre praiticiúil le haghaidh fógra athraithe fo-phróiseálaí

Ba cheart do shreabhadh oibre athraithe fo-phróiseálaí a bheith leadránach ar an mbealach ceart. Ba cheart úinéir, fianaise agus geata a bheith ag gach céim chun úsáid táirgthe roimh am a chosc.

Tá an príomhphrionsabal simplí: ní mór fógra do chustaiméirí a thabhairt roimh úsáid nuair a éilíonn an comhaontú é. Féadfaidh nuashonrú leathanach gréasáin poiblí tar éis cur chun feidhme trédhearcacht a thacú, ach ní chruthaíonn sé fógra sonrach do chustaiméir, údarú conarthach, ná láimhseáil agóidí.

An sreabhadh oibre a chur i bhfeidhm ar ghéarchéim Sarah

Truiceálann fógra díoltóra Sarah faoi DataCrunch Analytics an próiseas iomlán.

Ar dtús, osclaíonn an tÚinéir Díoltóra taifead athraithe REG08. Sainaithníonn an taifead CoreStack, DataCrunch Analytics, cuspóir na seirbhíse, tionchar ar thionóntaí custaiméirí, ról próiseála, catagóirí sonraí, suíomhanna próiseála, samhail rochtana tacaíochta, tréimhse coinneála, agus cé acu a d’fhéadfadh nó nach bhféadfadh catagóirí speisialta nó sonraí custaiméirí airgeadais rialáilte a bheith i láthair.

Ar an dara dul síos, déanann Príobháideachas agus Slándáil dícheall cuí. Déanann siad athbhreithniú ar rialuithe teicniúla agus eagraíochtúla DataCrunch Analytics, criptiú, rialú rochtana, logáil, fógra teagmhais, cumais scriosta, dearbhú iniúchta, liosta fo-phróiseálaithe, agus deimhnithe slándála. Toisc go bhfuil an soláthraí lasmuigh den AE, tá an t-athbhreithniú suíomhanna agus aistrithe éigeantach.

Ar an tríú dul síos, seiceálann Dlí an mbaineann údarú sonrach nó údarú ginearálta le fógra le DPAnna custaiméirí. Roinntear custaiméirí ina ngrúpaí fógra: custaiméirí caighdeánacha le fógra 30 lá, custaiméirí fiontair le fuinneoga agóide 45 lá, custaiméirí a éilíonn formheas sonrach, custaiméirí srianta le teorainneacha suímh, agus custaiméirí nach bhfuil buailte agus nach mbaineann a sonraí leis an ualach oibre anailísíochta.

Ar an gceathrú dul síos, nasctar fianaise aistrithe. Éilíonn an Beartas um Bainistíocht Príobháideachais Próiseálaithe, Fo-phróiseálaithe agus Tríú Páirtithe:

[An dá ról] NÍ MÓR don Úinéir Díoltóra/Soláthair suíomhanna próiseála, suíomhanna óstála, agus táscairí aistrithe idirnáisiúnta a thaifeadadh in REG08 agus fianaise aistrithe infheidhme a nascadh le REG09 sula bhformheastar próiseálaí, fo-phróiseálaí, athrú suímh, nó athrú seirbhíse atá ábhartha d’aistriú.

Ar an gcúigiú dul síos, seolann an fhoireann Rath Custaiméirí fógraí foirmiúla trí chainéil cheadaithe. Áirítear i ngach fógra an fo-phróiseálaí beartaithe, an cuspóir, catagóirí sonraí, achoimre suímh, dáta éifeachta, spriocdháta agóide, agus bealach teagmhála.

Ar an séú dul síos, bainistítear agóidí. Má dhéanann institiúid airgeadais agóid toisc go ndéanann an t-athrú difear d’fheidhm chriticiúil nó d’aistriú chuig tríú tír, déanann foireann Sarah roghanna eile a mheas: an tionónta a eisiamh, an seanbhealach próiseála a choinneáil, tacaíocht AE-amháin a éileamh, coimircí conarthacha a leasú, nó moill a chur ar an athrú go dtí go réitítear an agóid.

Ar an seachtú dul síos, ní fhaigheann Innealtóireacht formheas ach do thionóntaí agus d’ualaí oibre a rith an geata. Nascann an ticéad athraithe táirgthe le REG08, REG09, formheas dlí, fianaise fógra, agus aon eisiamh sonrach do chustaiméir. Tar éis an churtha beo, nuashonraítear an clár inmheánach, leathanach poiblí na bhfo-phróiseálaithe, agus an stór conarthaí.

Sin é an difríocht idir comhrac dóiteáin imoibríoch agus rialachas inchosanta.

Mapáil thras-chomhlíonta le haghaidh aon slabhra fianaise amháin

Is é buntáiste Clarysec gur féidir le sreabhadh oibre amháin ilchreataí a shásamh nuair a dheartar fianaise i gceart ón tús.

Tá NIST CSF 2.0 úsáideach mar shraith neodrach eagrúcháin. Áirítear ina fheidhm GOVERN oibleagáidí dlíthiúla, rialála, conarthacha, príobháideachais agus saoirsí sibhialta a thuiscint, róil a shannadh, beartais a bhunú, feidhmíocht a athbhreithniú, agus riosca slabhra soláthair cibearshlándála a bhainistiú. Tá an chatagóir GV.SC ag súil le próisis riosca soláthraithe, criticiúlacht soláthraithe, ceanglais chibearshlándála chonarthacha, dícheall cuí, faireachán saolré, pleanáil teagmhais, agus gníomhaíochtaí iar-chaidrimh.

Tá DORA níos saintreoraí d’eintitis airgeadais. Éilíonn Articles 28 to 30 bainistíocht riosca tríú páirtí TFC, cláir chonarthacha, aicmiú feidhme criticiúla nó tábhachtacha, infheictheacht slabhraí fochonraitheoireachta, feasacht suímh, coimircí conarthacha, cearta iniúchta, comhar teagmhais, agus pleanáil scoir. Má thacaíonn d’ardán SaaS le custaiméirí airgeadais, éiríonn d’fhianaise fo-phróiseálaithe mar chuid dá bpacáiste fianaise DORA.

Cuireann NIS2 cuntasacht bainistíochta leis. Éilíonn Article 20 ar chomhlachtaí bainistíochta bearta bainistíochta riosca cibearshlándála a fhormheas agus maoirseacht a dhéanamh ar chur chun feidhme. Éilíonn Article 21 slándáil slabhra soláthair agus measúnú ar chleachtais chibearshlándála soláthraithe. Dá bhrí sin, ba cheart athrú suntasach fo-phróiseálaí a bheith le feiceáil i dtuairisciú riosca, ní a bheith i bhfolach i bhfillteán soláthair.

Cad a thástálfaidh iniúchóirí

Cruthaíonn próiseas aibí fo-phróiseálaithe líne dhíreach ó bheartas go fianaise.

Tosóidh iniúchóir ISO/IEC 27001:2022 le raon feidhme ISMS, ceanglais páirtithe leasmhara, rioscaí, an Ráiteas Infheidhmeachta, agus rialuithe oibríochtúla. Is dócha go dtástálfaidh siad caidrimh le soláthraithe, comhaontuithe soláthraithe, slabhra soláthair TFC, faireachán agus bainistíocht athruithe soláthraithe, ceanglais dhlíthiúla, seirbhísí néil, cosaint príobháideachais, logáil, agus rialú athruithe oibríochtúil.

Díreoidh iniúchóir PIMS ISO/IEC 27701:2025 ar shoiléireacht rólanna. An próiseálaí, rialaitheoir, rialaitheoir comhpháirteach, nó iad araon i seirbhísí éagsúla thú? I gcás gníomhaíochtaí próiseálaí, iarrfaidh siad liosta na bhfo-phróiseálaithe, bonn údaraithe, fianaise fógra, láimhseáil agóidí, conarthaí le sruth, fianaise aistrithe, tacaíocht scriosta, comhordú teagmhas, agus taifid faireacháin.

Tástálfaidh athbhreithneoir príobháideachais GDPR cuntasacht. Fiafróidh siad cé a phróiseálann sonraí pearsanta, cén cuspóir atá leis, faoin gcomhaontú a dhéanann siad é, cén suíomh, cé na coimircí, agus cén trédhearcacht a thugtar do chustaiméirí. Má rinne custaiméir agóid, fiafróidh siad cad a tharla sular thosaigh an phróiseáil.

Fiafróidh iniúchóir custaiméara DORA an dtacaíonn an fo-phróiseálaí le feidhm chriticiúil nó thábhachtach, an bhfuil slabhraí fochonraitheoireachta infheicthe, an bhfuil suíomhanna sonraí doiciméadaithe, an bhfuil cúnamh teagmhais ráthaithe go conarthach, an gcuirtear cearta iniúchta ar aghaidh, ar breithníodh riosca comhchruinnithe, agus an bhfuil imeacht indéanta.

Díreoidh measúnóir NIS2 ar shlándáil slabhra soláthair, maoirseacht bainistíochta, ullmhacht teagmhais, agus rialuithe comhréireacha. D’fhéadfadh siad fiafraí conas a bhraitear athruithe soláthraithe, conas a mheasúnaítear soláthraithe díreacha, conas a chuirtear leochaileachtaí soláthraithe san áireamh, agus conas a uaschéimnítear teagmhais a bhaineann le faighteoirí seirbhíse.

Ba cheart go mbeadh sé éasca an tacar fianaise a athchruthú:

• Iarratas athraithe fo-phróiseálaí formheasta.
• Taifead dícheall cuí REG08.
• Measúnú ar chatagóir sonraí agus ar chuspóir próiseála.
• Fianaise ar shuíomhanna próiseála agus óstála.
• Fianaise aistrithe REG09 nuair is ábhartha.
• Athbhreithniú ar oibleagáidí DPA agus conartha a chuirtear ar aghaidh.
• Liosta fógraí custaiméirí, dátaí, foclaíocht, agus fianaise seachadta.
• Loga agóidí agus fianaise réitigh.
• Ticéad athraithe táirgthe nasctha le formheas.
• Liosta nuashonraithe fo-phróiseálaithe agus sceideal faireacháin.
• Glacadh le riosca nó formheas eisceachta nuair is gá.

Patrúin choitianta teipe

Is é an chéad teip leathanach fo-phróiseálaithe a chóireáil mar an próiseas iomlán. Tacaíonn leathanach poiblí le trédhearcacht, ach ní chruthaíonn sé fógra sonrach do chustaiméir, láimhseáil agóidí, ná údarú.

Is é an dara teip fianaise phríobháideachais, slándála agus soláthair a scaradh. Féadfaidh Príobháideachas an DPA a fhormheas, féadfaidh Slándáil tuarascáil SOC 2 a athbhreithniú, agus féadfaidh Soláthar an conradh a chomhdú, ach ní nascann aon taifead amháin an cinneadh.

Is é an tríú teip nascadh aistrithe a fhágáil ar lár. Taifeadann foirne ainm an tsoláthraí ach ní thaifeadann siad suíomhanna próiseála, suíomhanna óstála, suíomhanna tacaíochta, táscairí aistrithe idirnáisiúnta, ná fianaise REG09.

Is é an ceathrú teip táirgeadh a chumasú sula ndúnann fuinneoga agóide. Nuair a phróiseálann an fo-phróiseálaí nua PII custaiméirí, d’fhéadfadh an eagraíocht an comhaontú a bheith sáraithe cheana féin.

Is é an cúigiú teip oibleagáidí laga a chur ar aghaidh. Glacann an soláthraí díreach le téarmaí láidre, ach níl a sholáthraithe le sruth faoi cheangal ag oibleagáidí coibhéiseacha príobháideachais, slándála, cúnaimh, fillte, scriosta, teagmhais, iniúchta agus aistrithe.

Is é an séú teip brath lag athruithe. Athraíonn soláthraí úinéireacht, suíomh óstála, cineál seirbhíse, samhail tacaíochta, nó slabhra fochonraitheoirí, agus ní dhéanann aon duine an riosca a athmheasúnú.

Is é an seachtú teip easpa rian iniúchta. Cuimhníonn foirne ar an gcinneadh, ach ní féidir leo a chruthú cathain a tharla sé, cé a d’fhormheas é, cé na custaiméirí ar cuireadh ar an eolas iad, agus conas a réitíodh agóidí.

Tuairisciú bainistíochta do CISOnna agus do cheannairí príobháideachais

Ba cheart do rialachas fo-phróiseálaithe faisnéis bhainistíochta a tháirgeadh, ní déantáin chomhlíonta amháin.

Oireann an tuairisciú seo do shamhail an chórais bhainistíochta. Tá ISO/IEC 27001:2022 ag súil le ceannaireacht, rialú oibríochtúil, meastóireacht feidhmíochta, agus feabhsú leanúnach. Ardaíonn DORA agus NIS2 cuntasacht bainistíochta. Ba cheart rialachas fo-phróiseálaithe a bheith le feiceáil i gcruinnithe stiúrtha príobháideachais, in athbhreithnithe riosca soláthraithe, in athbhreithniú bainistíochta ISMS, agus i dtuairisciú riosca TFC nuair is ábhartha.

Tóg do phacáiste fianaise um athrú fo-phróiseálaí

Tosaigh le hathrú soláthraí le déanaí agus tástáil an féidir le d’eagraíocht na ceisteanna seo a fhreagairt:

• Ar sainaithníodh an soláthraí mar phróiseálaí, fo-phróiseálaí, soláthraí, soláthraí TFC, nó mar gach ceann díobh seo?
• Ar nuashonraíodh REG08 nó clár coibhéiseach roimh úsáid?
• Ar taifeadadh suíomhanna próiseála agus suíomhanna óstála?
• Ar measúnaíodh táscairí aistrithe idirnáisiúnta?
• Ar nascadh fianaise aistrithe le REG09 nó le comhad coibhéiseach?
• An raibh oibleagáidí príobháideachais, slándála, cúnaimh, fillte, scriosta, teagmhais, iniúchta agus aistrithe lena gcuirtear oibleagáidí ar aghaidh sa chonradh?
• Ar cuireadh custaiméirí ar an eolas de réir a gcomhaontuithe sular thosaigh an phróiseáil?
• Ar rianaíodh agus ar réitíodh fuinneoga agóide?
• Ar cuireadh bac ar chumasú táirgthe go dtí gur tugadh formheas?
• An bhféadfadh iniúchóir rian an chinnidh a athchruthú i níos lú ná 30 nóiméad?

Más é “níl” an freagra, ní bearna dhlíthiúil amháin atá ann. Is bearna oibríochtúil, chonarthach, riosca soláthraithe, phríobháideachais agus ullmhachta iniúchta í.

Cabhraíonn Clarysec le foirne an bhearna sin a dhúnadh go tapa. Úsáid Zenith Blueprint chun rialachas fo-phróiseálaithe a chur i do threochlár cur chun feidhme ISMS agus PIMS. Úsáid Zenith Controls chun rialuithe caidrimh le soláthraithe, comhaontuithe soláthraithe, slabhra soláthair TFC, athruithe soláthraithe, seirbhísí néil agus ceanglais dhlíthiúla a mhapáil ar fud ISO/IEC 27001:2022, ISO/IEC 27701:2025, GDPR, DORA, NIS2, NIST CSF 2.0 agus COBIT 2019. Úsáid an Beartas um Bainistíocht Príobháideachais Próiseálaithe, Fo-phróiseálaithe agus Tríú Páirtithe, an Beartas Slándála Tríú Páirtí agus Soláthraithe, an Beartas um Chomhlíonadh Dlíthiúil agus Rialála, an Beartas um Chosaint Sonraí agus Príobháideachas, agus an Beartas Bainistíochta Riosca Spleáchais ar Sholáthraithe chun an mhapáil a iompú ina cur chun feidhme laethúil.

Ná fan leis an bhfonóta gan choinne i ríomhphost díoltóra. Tóg an sreabhadh oibre, an pacáiste fianaise agus an léarscáil rialuithe anois, ionas go mbeidh gach athrú fo-phróiseálaí ina chruthúnas ar rialachas aibí seachas ina ghéarchéim chomhlíonta.