ISO 27001 szerinti adatéletciklus-irányítás 2026-ra

Maria, egy gyorsan növekvő fintech vállalat információbiztonsági vezetője (CISO) olyan péntek délutánt élt át, amikor egy megfelelőségi hiányosság igazgatósági szintű problémává válik.

A vállalat éppen új uniós piacokra lépett be. A bevétel nőtt, az ügyfélbeléptetés felgyorsult, és hetente kerültek be új SaaS-eszközök. Ekkor szinte egyszerre három üzenet érkezett.

A jogi terület figyelmeztetett, hogy az adatvédelmi hatóságok fokozzák a GDPR szerinti tárolási korlátozás érvényesítését. A megfelelési terület emlékeztette arra, hogy a vállalat DORA szerinti IKT-kockázati kötelezettségei immár a napi működés részét képezik. Az igazgatóság azt kérdezte, hogy kontroll alatt van-e a szervezet NIS2-kitettsége, beleértve a beszállítói és kiberhigiéniai követelményeket.

Ezután egy ügyfél kérte a fiókja és az ahhoz kapcsolódó valamennyi személyes adat törlését.

Az egyszerű kérelem funkciók közötti kapkodássá vált. A jogi terület szerint egyes nyilvántartásokra szükség lehet egy szerződéses vitában. A pénzügy szerint a jogszabály alapján megőrzendő nyilvántartásokat meg kell tartani. A termékcsapat megerősítette, hogy az ügyfél adatai megtalálhatók az éles adatbázisban, az analitikai platformon, a támogatási jegyekben, az objektumtárolóban, a Kubernetes-naplókban, az adatbázis-pillanatképekben és egy harmadik fél ügyfélsiker-eszközében. A felhőmérnökség megkérdezte, mely biztonsági mentések tartalmazzák az adatokat. Az adatvédelmi tisztviselő (DPO) rákérdezett, hogy bármely másolatot továbbra is kezelnek-e az EU-n kívül. Maria bizonyítékokat kért.

Végül valaki kimondta azt a mondatot, amely feltárta a valódi problémát:

„Nincs egyetlen helyünk, ahol ez az életciklus látható lenne.”

Ez a 2026-os adatéletciklus-irányítási probléma. Nem csupán adatmegőrzésről van szó. Osztályozásról, tulajdonosi elszámoltathatóságról, jogalapról, hozzáférésről, helyről, replikációról, biztonsági mentések megőrzéséről, jogi zárolásról, felhőből történő kivezetésről, beszállítói törlésről, archívum-felülvizsgálatról, incidensbizonyítékokról és igazolható megsemmisítésről van szó.

A KKV-k, fintechek, menedzselt szolgáltatók, felhőközpontú vállalatok és szabályozott szervezetek esetében a kockázat már nem az, hogy az adat hiányzik. A kockázat az, hogy az adat mindenhol jelen van, duplikált, elavult, túlzott jogosultságokkal érhető el, alulosztályozott, és lehetetlen igazolni a törlését.

Egy érett ISO 27001 szerinti adatéletciklus-irányítási program ezt a kapkodást szabályozott munkafolyamattá alakítja.

Miért változott meg az adatéletciklus-irányítás 2026-ban

A GDPR-t, a NIS2-t és a DORA-t gyakran három különálló megfelelőségi ellenőrzőlistaként kezelik. Ez hibás működési modell. Ugyanazon üzleti követelmény eltérő szabályozási megjelenései: ismerje az adatait, kockázat alapján védje azokat, megfelelő indokkal őrizze meg őket, és tudja bizonyítani, mi történt velük.

A GDPR 5. cikke előírja, hogy a személyes adatokat jogszerűen, tisztességesen és átláthatóan kell kezelni, meghatározott célokból kell gyűjteni, a szükséges mértékre kell korlátozni, pontosan kell tartani, csak a szükséges ideig lehet megőrizni, és védeni kell a jogosulatlan vagy jogellenes kezeléssel, a véletlen elvesztéssel, megsemmisüléssel vagy károsodással szemben. Az 5(2). cikk hozzáteszi az elszámoltathatóságot, vagyis az adatkezelőnek képesnek kell lennie a megfelelés igazolására. A GDPR szerinti megőrzés irányítása ezért nem táblázatkezelési feladat. Működési bizonyítékokat igényel.

A NIS2 a kiberbiztonságot vezető testületi kérdéssé teszi. A 20. cikk irányítási elvárásokat határoz meg a vezető testületek számára, míg a 21. cikk megfelelő és arányos technikai, működési és szervezeti intézkedéseket követel meg. Ezek közé tartozik a kockázatelemzés, az információs rendszerek biztonsági szabályzatai, az incidenskezelés, az üzletmenet-folytonosság, az ellátásilánc-biztonság, a biztonságos fejlesztés, a hatékonyság értékelése, a kiberhigiénia, a képzés, a kriptográfia, a hozzáférés-szabályozás és az eszközkezelés. Az ismeretlen vagy elavult adat nem csupán adatvédelmi probléma. Támadási felületi probléma is.

A DORA az IKT-kockázatkezelést, a digitális működési rezilienciát és az IKT harmadik felekhez kapcsolódó kockázatot közvetlenül kikényszeríthetővé teszi a pénzügyi szervezetek számára. Az 5. és 6. cikk a vezető testületre helyezi a felelősséget, és dokumentált IKT-kockázatkezelési keretrendszert ír elő. A DORA azt is elvárja, hogy a pénzügyi szervezetek védjék az adatok rendelkezésre állását, hitelességét, sértetlenségét és bizalmasságát, tartsanak fenn incidenskezelési képességeket, teszteljék a rezilienciát, és irányítsák az IKT harmadik felektől való függőségeket.

A DORA általában ágazatspecifikus szabályozási rendszerként működik a pénzügyi szervezetek egymást átfedő működési kiberbiztonsági kötelezettségei tekintetében, míg a NIS2 továbbra is releváns a tágabb ökoszisztéma számára, beleértve a felhőszolgáltatókat, a menedzselt szolgáltatókat és számos digitális infrastruktúrát működtető szervezetet. Ez azért fontos, mert egy fintech közvetlenül a DORA hatálya alá tartozhat, miközben SaaS-szolgáltatója vagy menedzselt szolgáltatója a NIS2 alkalmazási körében lehet.

Az ISO/IEC 27001:2022 az az irányítási rendszer, amely ezeket a kötelezettségeket egyben képes tartani. A 4.1–4.4 pontok előírják, hogy a szervezet értse a környezetét, az érdekelt felek igényeit és elvárásait, a jogszabályi és szerződéses követelményeket, valamint az IBIR alkalmazási területét. Az 5.1–5.3 pontok vezetői elkötelezettséget, szerepköröket és felelősségeket követelnek meg. A 6.1.2 és 6.1.3 pontok információbiztonsági kockázatértékelést, kockázatkezelést, kontrollkiválasztást, az A melléklettel való összevetést és megőrzött dokumentált információt írnak elő.

Ez a struktúra az oka annak, hogy az ISO 27001 nem „egy újabb ellenőrzőlista”. Ez az adatéletciklus-irányítás működési rendszere.

Az életciklusmodell: hét kérdés, amelyre minden adatgazdának válaszolnia kell

Egy gyakorlati adatéletciklus-irányítási modellnek minden fontos adatkategória esetében hét kérdésre kell választ adnia:

1. Mi az adat?
2. Miért kezeljük?
3. Ki a tulajdonosa?
4. Mennyire érzékeny?
5. Hol található és hová replikálódik?
6. Mennyi ideig kell megőrizni, vagy mikor kell a törlését felfüggeszteni?
7. Hogyan védjük, vizsgáljuk felül, töröljük és igazoljuk?

A Clarysec megközelítése ezeket a kérdéseket ISO 27001 kontrollokhoz és működési bizonyítékokhoz kapcsolja. A Zenith Blueprint: 30 lépéses auditóri ütemterv „Kontrollok működés közben” szakasza az eszköznyilvántartást és az osztályozást működési alapként kezeli, nem adminisztratív papírmunkaként. A 22. lépés kifejti, hogy a nyilvántartásnak tartalmaznia kell a fizikai eszközöket, digitális vagyontárgyakat, logikai vagyonelemeket, szolgáltatással kapcsolatos vagyonelemeket, valamint a személyeket a felelősségek, hozzáférések és kitettség szempontjából.

A Zenith Blueprint így fogalmaz:

„Minden vagyonelemnek meghatározott tulajdonossal kell rendelkeznie — nem azzal a személlyel, aki használja, hanem azzal, aki elszámoltatható a használatáért, védelméért és életciklusáért.”

Ez a mondat a fordulópont. Az adatéletciklus-irányítás akkor bukik el, amikor a tulajdonosi felelősséget az „IT”-hez vagy „az üzlethez” rendelik. Akkor működik, ha egy nevesített, elszámoltatható tulajdonos jóvá tudja hagyni az osztályozást, a megőrzést, a hozzáférést, a jogi zárolási döntéseket, az archívum felülvizsgálatát és a törlési bizonyítékokat.

A Clarysec Eszközkezelési szabályzat — KKV ugyanazt a fegyelmet erősíti meg:

„A tulajdonosi felelősséget, a célt, a hozzáférési jogosultságokat és a megújítási határidőket dokumentálni kell.”

Ez a követelmény az Eszközkezelési szabályzat — KKV „A szabályzat végrehajtásának követelményei” szakaszának 6.6.2 pontjában szerepel. Tulajdonosi felelősség és cél nélkül a megőrzés találgatássá, a törlés pedig veszélyessé válik.

Az osztályozás az első megőrzési kontroll

Sok szervezet megőrzési ütemterveket próbál kialakítani, mielőtt megbízható osztályozással rendelkezne. Ez rendszerint kudarcot vall.

Ha egy ügyféltámogatási export, HR-dokumentum, tranzakciós nyilvántartás vagy alkalmazásnapló nincs osztályozva, a szervezet nem tud következetesen dönteni arról, hogy ki férhet hozzá, hol tárolható, felhasználható-e tesztelésre, milyen erős titkosítás szükséges, igényel-e jogi zárolási védelmet, vagy hogyan kell törölni.

A Clarysec Adatosztályozási és címkézési szabályzat — KKV egyértelmű:

„Minden dokumentumot, fájlt és rendszert a létrehozásakor vagy beérkezésekor osztályozni kell.”

Ez az Adatosztályozási és címkézési szabályzat — KKV „A szabályzat végrehajtásának követelményei” szakaszának 6.1.1 pontjában szerepel.

A vállalati Adatosztályozási és címkézési szabályzat az osztályozást a teljes kezelési lánchoz kapcsolja:

„Az információk valamennyi adatkezelésének, továbbításának, hozzáférésének, tárolásának és megsemmisítésének összhangban kell lennie az osztályozási szinttel. Minimálisan:”

Ez az Adatosztályozási és címkézési szabályzat „A szabályzat végrehajtásának követelményei” szakaszának 6.3.1 pontjában szerepel.

A Zenith Blueprint végrehajtási útmutatást ad az ISO/IEC 27002:2022 5.12 kontrolljához, az információk osztályozásához. Az osztályozási rendszernek olyan szinteket kell meghatároznia, mint a Nyilvános, Belső, Bizalmas és Korlátozott, tartalmaznia kell a jogosulatlan hozzáférésből, elvesztésből vagy módosításból eredő kár alapján meghatározott kritériumokat, ki kell terjednie az információ minden formájára, és függetlennek kell maradnia a tárolási formátumtól vagy helytől.

Egyszerűen fogalmazva: az osztályozás a tartalmat követi, nem a tárolási helyet.

Egy korlátozott adatkészlet nem válik alacsonyabb kockázatúvá attól, hogy adatbázisból SaaS analitikai eszközbe került. Egy jogi zárolás alá tartozó bejegyzés nem veszíti el a státuszát attól, hogy CSV-be exportálták. A személyes adat nem szűnik meg szabályozott adatnak lenni attól, hogy egy naplóüzenetben jelenik meg.

Az osztályozásnak metaadatként meg kell jelennie az eszköznyilvántartásban, a megőrzési nyilvántartásban, az adatáramlási térképen, a hozzáférési felülvizsgálatban, a felhőbevezetési ellenőrzőlistában és a megsemmisítési bejegyzésben.

Az ISO 27001 kontrollgerince az életciklus-irányításhoz

A leghatékonyabb adatéletciklus-programok kontrollgerinccel rendelkeznek. Ez a gerinc az ISO/IEC 27002:2022 kontrollokat működési bizonyítékokhoz kapcsolja.

A Clarysec Zenith Controls: keresztmegfelelőségi útmutató ehhez a munkához ad keresztmegfelelőségi útmutatót. Az adatéletciklus-irányítás szempontjából három kontroll központi jelentőségű: 5.33 Nyilvántartások védelme, 5.34 Adatvédelem és PII védelme, valamint 8.10 Információk törlése.

A Zenith Controls az ISO/IEC 27002:2022 5.33 kontrollt, a Nyilvántartások védelmét megelőző kontrolljellemzőkön keresztül írja le, amelyek támogatják a bizalmasságot, a sértetlenséget és a rendelkezésre állást, jogi és megfelelőségi, eszközkezelési és információvédelmi működési képességekkel. Kapcsolódik a biztonsági mentéshez, az osztályozáshoz, a berendezések biztonságos megsemmisítéséhez, a jogi és szabályozási követelményekhez, a szabályzatoknak való megfeleléshez, a hozzáférés-szabályozáshoz és az incidensreagáláshoz.

Az 5.34 kontroll, az Adatvédelem és PII védelme, támogatja a bizalmasságot, a sértetlenséget és a rendelkezésre állást. A Zenith Controls ezt az eszköznyilvántartáshoz, az adatmaszkoláshoz, a felhőbiztonsághoz, az osztályozáshoz, az információátadáshoz, a hozzáférés-szabályozáshoz, az identitáskezeléshez, valamint a projektek és változások biztonsági felülvizsgálatához kapcsolja.

A 8.10 kontroll, az Információk törlése, megelőző jellegű és a bizalmasságra összpontosít. A Zenith Controls ezt a jelöléshez, az információátadáshoz, a szellemi tulajdonhoz, az emelt jogosultságú hozzáféréshez, az adatmaszkoláshoz, az adatszivárgás-megelőzéshez, a nyilvántartások védelméhez, a konfigurációkezeléshez, valamint a szabályzatoknak és szabványoknak való megfeleléshez kapcsolja.

Ezek a kontrollok együtt hozzák létre az életciklus-láncot.

Ez a táblázat nem csak auditoroknak szól. Működési modell CISO-k, DPO-k, megfelelési vezetők és üzleti tulajdonosok számára, akiknek egységes irányítási nyelvre van szükségük az adatvédelem, a kiberbiztonság és a reziliencia területén.

A megőrzési nyilvántartást a törlési folyamat előtt kell kialakítani

Megőrzési nyilvántartás nélküli törlési folyamat veszélyes. Eltávolíthat olyan nyilvántartásokat, amelyeket meg kell őrizni, kihagyhat olyan adatokat, amelyeket törölni kellene, vagy nem tud különbséget tenni a működési törlés és a jogi zárolás miatti felfüggesztés között.

A Clarysec Adatmegőrzési és biztonságos megsemmisítési szabályzat — KKV meghatározza az alapkövetelményt:

„Megőrzési nyilvántartást kell létrehozni és fenntartani, amely tartalmazza a fő nyilvántartási kategóriákat, a jogi követelményeket és a hozzárendelt megőrzési időket.”

Ez az Adatmegőrzési és biztonságos megsemmisítési szabályzat — KKV „Irányítási követelmények” szakaszának 5.1.1 pontjában szerepel.

Vállalati programok esetében a Clarysec Adatmegőrzési és megsemmisítési szabályzat így határozza meg a célt:

„Egységes megőrzési ütemtervek létrehozása és betartatása az információosztályozás, a vagyonelem típusa, az alkalmazandó jogszabályok és a kockázati kitettség alapján.”

Ez az Adatmegőrzési és megsemmisítési szabályzat „Célkitűzések” szakaszának 3.3 pontjában szerepel.

Egy használható megőrzési nyilvántartásnak össze kell kapcsolnia a jogi, működési, biztonsági és felhővel kapcsolatos valóságot.

Egy kisebb fintech megőrzési nyilvántartása például a következőket tartalmazhatja:

A lényeg az, hogy a megőrzésnek kockázatalapúnak és bizonyítékokkal alátámasztottnak kell lennie. A GDPR tárolási korlátozása előírja, hogy a személyes adatokat nem lehet a szükségesnél hosszabb ideig megőrizni, ugyanakkor lehetővé teszi a megőrzést, ha jogszerű kötelezettség vagy jogos igény áll fenn. A NIS2 eszközkezelést, hozzáférés-szabályozást és kiberhigiéniát vár el. A DORA dokumentált IKT-kockázatkezelést és folytonossági fegyelmet vár el. A megőrzési nyilvántartás az a hely, ahol ezekből a kötelezettségekből döntések lesznek.

A jogi zárolásokat rendszerszinten kell megvalósítani, nem e-mailben kezelni

Egy érett életciklus-programnak törölnie kell az adatokat, amikor már nincs rájuk szükség, de nem törölhet jogi zárolás, vizsgálat vagy auditmegőrzés alatt álló nyilvántartásokat.

Az Adatmegőrzési és biztonságos megsemmisítési szabályzat — KKV egyértelmű:

„Jogi zárolás és törlési felfüggesztés hatálya alatt álló nyilvántartás nem semmisíthető meg és nem módosítható, még akkor sem, ha a megőrzési ideje lejárt.”

Ez az Adatmegőrzési és biztonságos megsemmisítési szabályzat — KKV „A szabályzat végrehajtásának követelményei” szakaszának 6.3.4 pontjában szerepel.

A vállalati Adatmegőrzési és megsemmisítési szabályzat ugyanezt az irányítási elvet alkalmazza:

„Ha jogi zárolást és törlési felfüggesztést rendelnek el — például folyamatban lévő peres eljárás, vizsgálat vagy audit miatt —, az egyébként megsemmisítésre kerülő adatokat a normál megőrzési időn túl is meg kell őrizni.”

Ez az Adatmegőrzési és megsemmisítési szabályzat „A szabályzat végrehajtásának követelményei” szakaszának 6.4.1 pontjában szerepel.

A jogi zárolás nem lehet olyan e-mail, amely eljut vagy nem jut el a rendszergazdákhoz. A megőrzési nyilvántartásban szereplő státusznak kell lennie, amely rendszerekhez, nyilvántartási kategóriákhoz, adatgondnokokhoz és törlési automatizmusokhoz kapcsolódik.

Egy igazolható jogi zárolási munkafolyamat tartalmazza:

• Kiváltó ok, például peres eljárás, szabályozó hatósági megkeresés, biztonsági incidens, audit vagy belső vizsgálat
• Zárolás tulajdonosa, jellemzően a jogi vagy megfelelési terület
• Érintett nyilvántartási kategóriák, rendszerek és adatgondnokok
• Felfüggesztési utasítások törlési feladatokra, biztonsági mentések lejáratára és archívumok törlésére
• Hozzáférési korlátozások a sértetlenség megőrzésére
• A zárolás időszakos felülvizsgálata
• Feloldási jóváhagyás és dokumentált visszatérés a normál megőrzéshez
• Bizonyíték arról, hogy mit őriztek meg, ki által és mikor

Ez különösen fontos incidensreagálás során. Naplókat, rendszerképeket, exportokat és kommunikációkat akkor is meg kellhet őrizni, ha a normál megőrzési idő lejárt. A törlésnek elég kontrolláltnak kell lennie ahhoz, hogy megállítható, indokolható és újraindítható legyen.

A felhő- és SaaS-törlés az a pont, ahol az életciklus-irányítás megszakad

2026-ban a legtöbb szervezet nem az elsődleges adatbázisában veszíti el az életciklus feletti kontrollt. Hanem felhőalapú tárolókban, SaaS-exportokban, támogatási platformokon, CRM-csatolmányokban, együttműködési munkaterületeken, API-naplókban, adattárházakban, pillanatképekben és biztonsági mentési trezorokban.

A Zenith Blueprint „Kontrollok működés közben” szakaszának 23. lépése, amely az ISO/IEC 27002:2022 5.23 kontrollját, a felhőszolgáltatások használatának információbiztonságát tárgyalja, figyelmeztet arra, hogy a felhőszolgáltatók az infrastruktúrát védik, de az ügyfél továbbra is elszámoltatható az adatokért, konfigurációkért, hozzáférési szabályokért és az incidensreagálási felkészültségért. A hibásan konfigurált tárolók, nyilvános irányítópultok és túlzott felhő IAM-jogosultságok irányítási hibák, nem szolgáltatói hibák.

Azt is kimondja, hogy a felhőhasználatot az IBIR részeként kell kezelni. A szervezeteknek osztályozniuk kell a felhőszolgáltatásokat, érteniük kell, milyen adatokat kezelnek vagy tárolnak bennük, értékelniük kell a szolgáltató kockázati helyzetét, szerződéses záradékokat kell kialakítaniuk, és kezelniük kell a változásokat vagy az alkalmazási terület bővülését.

A Clarysec Felhőszolgáltatás-használati szabályzat — KKV ezt kivezetési követelménnyé alakítja:

„A biztonságos törlési eljárások megerősítése a fiók lezárása előtt”

Ez a Felhőszolgáltatás-használati szabályzat — KKV „A szabályzat végrehajtásának követelményei” szakaszának 6.3.5 pontjában szerepel.

A vállalati Felhőszolgáltatás-használati szabályzat irányítást követel meg a következők felett:

„Adattulajdon és az adatok visszaadása vagy törlése a megszűnéskor”

Ez a Felhőszolgáltatás-használati szabályzat „Irányítási követelmények” szakaszának 5.4.1 pontjában szerepel.

DORA hatálya alá tartozó pénzügyi szervezetek esetében ez nem opcionális higiénia. A DORA 28. cikke IKT harmadik fél kockázatkezelést, az IKT szerződéses megállapodások nyilvántartását, szerződéskötés előtti kellő gondosságot, koncentrációs kockázat mérlegelését, auditálási és hozzáférési jogokat, megszüntetési jogokat, valamint kilépési stratégiákat ír elő a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokra. A 30. cikk olyan szerződéses feltételeket követel meg, amelyek lefedik a szolgáltatásleírásokat, az adatkezelési és tárolási helyeket, a rendelkezésre állás, hitelesség, sértetlenség és bizalmasság védelmét, az adathozzáférést, a helyreállítást, a visszaadást, az incidenskezelési támogatást és az átállási támogatást.

NIS2 hatálya alá tartozó szervezeteknél a beszállítói döntéseknek figyelembe kell venniük az ellátási lánc kiberbiztonságát, valamint a termékek és szolgáltatások sérülékenységeit és rezilienciáját. Az adatéletciklus-irányításnak ezért ki kell terjednie a beszállítókra is, nem állhat meg a beszerzési jóváhagyásnál.

Egyhetes sprint életciklus-kontrollcsomag létrehozására

Ne azzal kezdje, hogy a vállalat minden rendszerét megpróbálja feltérképezni. Kezdjen egy magas kockázatú adatáramlással, és hozzon létre ismételhető kontrollcsomagot.

1. nap: Válasszon egy magas kockázatú adatáramlást

Válasszon jelentős adatáramlást, például ügyfélbeléptetést, munkavállalói kiléptetést, fizetési viták kezelését, támogatási jegykezelést vagy biztonsági naplózást.

Egy fintech esetében az ügyfélbeléptetés erős jelölt, mert tartalmazhat személyazonosító dokumentumokat, PII-t, tranzakciós nyilvántartásokat, csalásjelzéseket, harmadik fél ellenőrzési szolgáltatókat, felhőalapú tárolást, támogatási hozzáférést és szabályozási megőrzést.

2. nap: Készítse el a mini eszköz- és adatnyilvántartást

Használja a Zenith Blueprint „Kontrollok működés közben” szakaszának 22. lépését, az ISO/IEC 27002:2022 5.9 kontrollt, a fizikai, digitális, logikai, szolgáltatással kapcsolatos és felelősségalapú vagyonelemek rögzítésére.

Dokumentálja a gyűjtött adatkategóriákat, a hiteles nyilvántartási rendszereket, a másolatokat fogadó SaaS-platformokat, az alkalmazásprogramozási interfészeket, az integrációkat, a felhasználói szerepköröket, az emelt jogosultságú szerepköröket, a biztonsági mentési helyeket, az archív helyeket, az adatgazdát, a rendszerfelelőst, az osztályozást, a PII-jelöléseket és a beszállítói függőségeket.

A cél nem a tökéletesség. A cél a rejtett replikációs pontok feltárása.

3. nap: Alkalmazza az osztályozási és hozzáférési logikát

Alkalmazza az Adatosztályozási és címkézési szabályzatot, és osztályozzon minden adatkategóriát. Ezután ellenőrizze, hogy a hozzáférési jogosultságok tükrözik-e az osztályozást.

A korlátozott ügyfélazonosító dokumentumok nem lehetnek széles körben hozzáférhetők támogatási eszközökön keresztül. Az azonosítókat tartalmazó biztonsági naplókat nem szabad alkalomszerűen nem felügyelt táblázatokba exportálni. A hozzáférésnek a szerepkörhöz, célhoz, jóváhagyáshoz és felülvizsgálati bizonyítékhoz kell igazodnia.

4. nap: Hozzon létre megőrzési és jogi zárolási bejegyzéseket

Használja az Adatmegőrzési és megsemmisítési szabályzatot, valamint az Adatmegőrzési és biztonságos megsemmisítési szabályzat — KKV dokumentumot, és hozzon létre megőrzési bejegyzéseket minden nyilvántartási kategóriához. Tartalmazza a jogalapot, az üzleti célt, a jogi követelményt, a megőrzési időt, a törlési módszert és a jogi zárolás státuszát.

Ha aktív vita, incidens vagy vizsgálat van folyamatban, jelölje a törlési felfüggesztést, és rögzítse a jóváhagyót.

5. nap: Ellenőrizze a felhő- és beszállítói törlést

Használja a Felhőszolgáltatás-használati szabályzatot és a Felhőszolgáltatás-használati szabályzat — KKV dokumentumot az adatáramlásban érintett minden felhő- vagy SaaS-szolgáltató ellenőrzésére.

Erősítse meg az adattulajdonra vonatkozó feltételeket, a megszűnéskori visszaadást vagy törlést, a törlési határidőket, a biztonsági mentések törlési viselkedését, az al-adatfeldolgozói következményeket, a törlési bizonyítékokat és az incidenssegítségnyújtási kötelezettségeket.

DORA-környezetekben frissítse az IKT harmadik fél nyilvántartást és a kilépési tervet. NIS2-környezetekben dokumentálja a beszállítói kockázati szempontokat és a kiberhigiéniai függőségeket.

6. nap: Határozza meg a bizonyítékokat és a felügyeletet

A bizonyítékokat nem az auditkérelem után kell létrehozni. A folyamat tervezése során kell meghatározni őket.

Az Adatmegőrzési és megsemmisítési szabályzat előírja, hogy a megsemmisítést:

„Rögzíteni kell a megsemmisítési nyilvántartásban, beleértve az eszközazonosítót, az osztályozást, a módszert és az operátort”

Ez az Adatmegőrzési és megsemmisítési szabályzat „A szabályzat végrehajtásának követelményei” szakaszának 6.5.3.2 pontjában szerepel.

Egy erős bizonyítékcsomag tartalmazza a megőrzési nyilvántartás bejegyzéseit, a hozzáférési felülvizsgálatok eredményeit, a törlési jegyeket, a megsemmisítési nyilvántartás naplóit, a felhőbeli törlés megerősítéseit, a jogi zárolási jóváhagyásokat, a biztonsági mentések megőrzési beállításait, a beszállítói szerződéses záradékokat és az archívum-felülvizsgálati bejegyzéseket.

7. nap: Frissítse a kockázatokat és az alkalmazhatósági nyilatkozatot

Frissítse az ISO 27001 kockázati nyilvántartást és az alkalmazhatósági nyilatkozatot. Ha az életciklus-felülvizsgálat nem kezelt SaaS-exportokat, határozatlan idejű biztonsági mentés-megőrzést, túlzott hozzáférést, tisztázatlan törlési feltételeket vagy hiányzó tulajdonosi felelősséget tárt fel, ezek kockázatok, amelyek kezelést igényelnek.

Ez az egyhetes sprint ismételhető életciklus-kontrollcsomagot hoz létre. Ismételje meg a következő adatáramlással, majd az azt követővel.

Keresztmegfelelőségi megfeleltetés: egy életciklus-program, sok kötelezettség

Az ISO 27001 szerinti adatéletciklus-irányítás értéke abban áll, hogy ugyanazok a bizonyítékok támogatni tudják az adatvédelmi, kiberhigiéniai, IKT-kockázati és auditelvárásokat.

A NIST CSF 2.0 hasznos a felsővezetői kommunikációban, mert GOVERN funkciója elvárja, hogy a jogi, szabályozási, szerződéses és adatvédelmi kötelezettségeket megértsék és kezeljék, a kockázatvállalási hajlandóságot meghatározzák, a vezetői elszámoltathatóság egyértelmű legyen, a szabályzatokat betartassák, és az eredményeket felülvizsgálják. Eszközkezelési eredményei nyilvántartásokat és életciklus-kezelést követelnek meg hardverekre, szoftverekre, rendszerekre, szolgáltatásokra és adatokra.

A COBIT 2019 irányítási nyelvet ad az igazgatóságok és auditbizottságok számára. A Zenith Controls a Nyilvántartások védelmét olyan COBIT-folyamatokhoz rendeli, mint a biztonsági mentések és helyreállítás kezelése, a tárolt információk biztonságának kezelése és a nyilvántartások kezelése. Az Adatvédelem és PII védelmét az adatvédelemhez, az információvédelemhez és az adatvédelmi program irányításához rendeli. Az Információk törlését kockázati és működési célkitűzésekhez rendeli, megerősítve, hogy a törlés irányított folyamat, nem eseti takarítási feladat.

Mit fognak ténylegesen tesztelni az auditorok

Egy életciklus-irányítási program csak akkor hiteles, ha megállja a helyét az auditvizsgálat során.

Egy ISO/IEC 27001:2022 auditor az alkalmazási területtel, az érdekelt felek követelményeivel, a kockázatokkal, az alkalmazhatósági nyilatkozattal, a dokumentált információval és a működési kontrollbizonyítékokkal kezdi. Az életciklus-irányításnál mintavételre kell számítani. Az auditor kiválaszthat egy szerződést, HR-nyilvántartást, naplókészletet vagy pénzügyi nyilvántartást, és végigkövetheti a létrehozáson, tároláson, biztonsági mentésen, hozzáférésen és megsemmisítésen keresztül.

A Zenith Controls Nyilvántartások védelmére vonatkozó auditnézőpontját használva az auditorok ellenőrzik, hogy az alkalmazási körbe tartozó nyilvántartásokat azonosították-e, léteznek-e megőrzési ütemtervek, hogyan tárolják a nyilvántartásokat, hogyan szabályozzák a hozzáférést, és hogyan védik a sértetlenséget.

Az Információk törlése kapcsán a Zenith Controls kifejti, hogy az auditorok áttekintik a megőrzési és törlési szabályzatokat, a törlési módszereket, a felelősségeket, a törlési naplókat, az auditnyomokat, az adathordozó-megsemmisítési tanúsítványokat és az adattisztító eszközökből származó bizonyítékokat. Azt is vizsgálják, hogy a biztonsági mentések és archívumok lefedettek-e.

Egy adatvédelmi vagy PII-auditor áttekinti az adatvédelmi szabályzatokat, az adatnyilvántartásokat, a DPIA-kat vagy PIA-kat, a képzési naplókat és az olyan technikai intézkedéseket, mint a tárolt és továbbított adatok titkosítása. Mintát vehetnek egy érintetti kérelemből, megerősíthetik, hol találhatók a releváns adatok, ellenőrizhetik, hogy alkalmazták-e a törlést vagy korlátozást, és megvizsgálhatják, hogy az olyan kivételek, mint a jogi zárolás, indokoltak-e.

Egy NIST-orientált értékelő vizsgálhatja az összhangot a NIST CSF eredményekkel és az olyan technikai kontrollokkal, mint a NIST SP 800-53 AU-11 Audit Record Retention, valamint a NIST SP 800-88 által támogatott adathordozó-adattisztítási gyakorlatokkal. Tesztelheti a biztonsági mentések helyreállítását, ellenőrizheti a naplómegőrzési szabályokat, megerősítheti a titkosítást, és megvizsgálhatja, hogy a szükségtelen PII-t minimalizálták-e.

Egy COBIT- vagy ISACA-auditor az irányítási folyamatokra és a bizonyítékok minőségére összpontosít. Meg fogja kérdezni, ki a nyilvántartások tulajdonosa, az üzleti folyamatkontrollok megőrzik-e a sértetlenséget, a megfelelés nyomon követése észleli-e a túlzott megőrzést, és az üzemeltetés tartalmaz-e biztonságos törlési feladatokat.

Gyakori életciklus-irányítási hibaminták

A Clarysec gyakran ugyanazokat a mintákat látja KKV-knál és szabályozott szervezeteknél.

Az első az osztályozás betartatás nélkül. Az adatot bizalmasnak jelölik, de a hozzáférési jogosultságok, a SaaS-megosztás, az exportok és a törlési módszerek nem változnak.

A második a megőrzés replikák nélkül. Az ütemterv lefedi az elsődleges rendszert, de nem fedi le a naplókat, biztonsági mentéseket, adattárházakat, támogatási exportokat, táblázatokat vagy harmadik fél platformokat.

A harmadik a felhőből történő kivezetés bizonyíték nélkül. A szerződés kimondja, hogy az adatokat törölni fogják, de senki sem ismeri a törlési módszert, az ütemezést, a biztonsági mentési viselkedést vagy a bizonyíték formátumát.

A negyedik a jogi zárolás e-mailben. A jogi terület utasításokat küld, de a törlési feladatok tovább futnak, mert egyetlen működési rendszer sem használja a zárolási státuszt.

Az ötödik az utólag létrehozott auditbizonyíték. A csapatok manuálisan rekonstruálják a törlési és megőrzési bizonyítékokat, ami következetlenséget és elkerülhető kétséget okoz.

A hatodik a biztonsági mentésből történő „feltámadás”. Az éles környezetből törölt adat helyreállítás vagy tesztelés során újra megjelenik, mert a biztonsági mentések megőrzési és törlési logikáját soha nem hangolták össze az adatmegőrzési szabályzattal.

Minden hiba megelőzhető, ha az osztályozást, a nyilvántartást, a megőrzést, a felhőirányítást, a törlést és a bizonyítékokat egyetlen életciklusként tervezik meg.

A Clarysec adatéletciklus-irányítási működési modellje

A Clarysec modellje egyszerű: hozzon létre életciklus-kontrollgerincet, majd kapcsolja hozzá a szabályozási kötelezettségeket és bizonyítékokat.

A kontrollgerinc elemei:

• Eszköz- és adatnyilvántartás
• Tulajdonosi felelősség és cél
• Osztályozás és jelölés
• Jogalap és adatkezelési cél
• Megőrzési nyilvántartás
• Jogi zárolás és törlési felfüggesztés
• Felhő- és beszállítói életciklus-záradékok
• Hozzáférés-szabályozás és emelt jogosultságú hozzáférések irányítása
• Biztonsági mentési és archiválási szabályok
• Biztonságos törlés és megsemmisítési nyilvántartás
• Naplózás, felügyelet és incidensbizonyítékok
• Időszakos felülvizsgálat és kockázatkezelési frissítések

A Zenith Blueprint végrehajtási ütemtervet ad a „Kontrollok működés közben” lépéseken keresztül a nyilvántartás, az osztályozás, a felhőirányítás és az információtörlés területén. A Zenith Controls keresztmegfelelőségi útmutatót ad, amely megmutatja, hogyan kapcsolódnak az ISO/IEC 27002:2022 kontrollok a GDPR, NIS2, DORA, NIST, COBIT, ISO/IEC 27701, ISO/IEC 27018, ISO/IEC 27017, ISO/IEC 27040, ISO 15489 és ISO 22301 követelményeihez. A Clarysec szabályzatai olyan működési záradékokat adnak, amelyeket a csapatok azonnal be tudnak vezetni.

Az életciklus-irányítás nem élhet kizárólag az adatvédelemben, a biztonságban vagy az IT-ben. Megosztott irányítási rendszernek kell lennie.

Ha a szervezete nem tud válaszolni arra, hol találhatók a szabályozott adatok, ki a tulajdonosuk, mennyi ideig őrzik meg őket, mi akadályozza meg a törlést jogi zárolás alatt, hogyan távolítják el a SaaS-adatokat, és milyen bizonyíték igazolja a megsemmisítést, most kell javítani rajta.

Kezdjen egy magas kockázatú adatáramlással. Használja a Zenith Blueprint: 30 lépéses auditóri ütemterv dokumentumot a nyilvántartási és osztályozási alapok kialakításához. Használja a Zenith Controls: keresztmegfelelőségi útmutató dokumentumot a Nyilvántartások védelme, az Adatvédelem és PII védelme, valamint az Információk törlése megfeleltetésére a GDPR, NIS2, DORA, NIST és COBIT között. Ezután vezesse be a releváns Clarysec szabályzatokat, beleértve az Adatosztályozási és címkézési szabályzatot, az Adatmegőrzési és megsemmisítési szabályzatot, a Felhőszolgáltatás-használati szabályzatot, valamint adott esetben ezek KKV-megfelelőit.

A gyakorlati cél nem az, hogy vakon kevesebb adatot őrizzünk meg. A cél az, hogy a megfelelő adatot, megfelelő okból, megfelelő kontrollok alatt, megfelelő ideig őrizzük meg, olyan bizonyítékokkal, amelyek megállják a helyüket az ügyfelek, szabályozó hatóságok, auditorok és az igazgatóság előtt.

Töltse le a Clarysec szabályzatcsomagokat, feleltesse meg kontrolljait a Zenith Controls segítségével, vagy használja a Zenith Blueprint dokumentumot az első életciklus-kontrollsprint lefuttatásához, mielőtt a következő törlési kérelemből auditmegállapítás lesz.