További adatfeldolgozói változásirányítás SaaS- és MSP-szolgáltatóknál

Sarah, egy gyorsan növekvő fintech SaaS-szolgáltató információbiztonsági vezetője (CISO), megnyitotta egy kritikus infrastruktúrát biztosító beszállító rutinszerűnek tűnő szolgáltatásfrissítését. A „szolgáltatásoptimalizálások” között elrejtve egyetlen mondat szerepelt, amely átírta az egész hetét:

„Az analitikai teljesítmény javítása érdekében az adatkezelési munkaterheléseket 30 nap múlva új partnerünkhöz, a DataCrunch Analyticshez migráljuk.”

Harminc nap. Egy új analitikai partner. Egy gyors ellenőrzésből kiderült, hogy a szolgáltató az EU-n kívül működik.

A mérnöki csapat rutinszerű beszállítói fejlesztésnek tekintette. A beszerzés feltételezte, hogy a meglévő szerződés lefedi. Az ügyfélkapcsolati csapat nem tervezett értesítési kampányt. A jogi terület nem vizsgálta az adattovábbítási következményeket. Sarah azonnal felismerte a valódi problémát: vállalata Európa-szerte több száz pénzügyi intézmény adatfeldolgozójaként járt el. Ezek az ügyfelek a GDPR szerint adatkezelők voltak. Egyesek előzetes értesítést kötöttek ki az új további adatfeldolgozókról. Mások kifogásolási joggal rendelkeztek. Több ügyfélre DORA által vezérelt kiszervezési és IKT-vonatkozású harmadikfél-kockázati kötelezettségek vonatkoztak. Néhányan szigorú helyszínre vonatkozó nyilatkozatokat írtak elő, amelyeket nem lehetett csendben módosítani.

Ez az a pont, ahol sok SaaS-szolgáltató, MSP, MSSP és felhőszolgáltató felismeri, hogy a további adatfeldolgozók irányítása nem adminisztratív adatvédelmi feladat. Egyetlen munkafolyamatban egyesíti a beszállítói kockázatkezelést, a szerződéses megfelelést, az operatív rezilienciát, az ügyfélkommunikációt és az auditbizonyítékokat.

Egy nyilvános további adatfeldolgozói oldal önmagában nem elég. Egy beszállítói lábjegyzet nem elég. Egy biztonsági kérdőív nem elég. Az igazolható folyamatnak meg kell mutatnia, ki értékelte a további adatfeldolgozót, milyen adatokat kezelnek, mely ügyfelek érintettek, mely szerződések írnak elő értesítést, kezelték-e a kifogásokat a használat előtt, hogyan kapcsolták össze az adattovábbítási bizonyítékokat, és hol őrzik a végső bizonyítékokat.

A Clarysec ezt irányított kontrollmintaként kezeli, nem eseti e-mail-láncként. A munkafolyamat a Clarysec szabályzatain, a Zenith Blueprint: auditoroknak szóló 30 lépéses ütemterv és a Zenith Controls: megfelelőségi keretrendszerek közötti útmutató segítségével kapcsolja össze az adatvédelmi irányítást, a beszállítói bizonyosságot, a jogi felülvizsgálatot, az IKT-ellátási lánc kockázatát, az ügyfélértesítést és az auditbizonyítékokat.

Miért magas kockázatú beszállítói események a további adatfeldolgozói változások?

Egy további adatfeldolgozói változás egyik napról a másikra módosíthatja egy szolgáltatás kockázati profilját. Megváltoztathatja, hol tárolják az ügyfelek személyes adatait, honnan férnek hozzá ezekhez, kinek van emelt szintű támogatási hozzáférése, mennyi ideig őrzik a naplókat, hogyan eszkalálják az incidenseket, mely titkosítási felelősségek alkalmazandók, és szükség van-e új nemzetközi adattovábbítási mechanizmusra.

SaaS- és menedzselt szolgáltatók esetében a további adatfeldolgozók gyakran a termékszállítási lánc részét képezik. Ide tartozhatnak a felhőalapú tárhelyszolgáltatók, jegykezelő platformok, e-mail-kézbesítési szolgáltatások, AI-analitikai eszközök, háttérfeladat-platformok, megfigyelhetőségi beszállítók, támogatási eszközök, fizetési adatfeldolgozók, menedzselt biztonsági szolgáltatók és adatgazdagítási szolgáltatások. E szolgáltatók közül sok hozzáfér az ügyfelek személyes adataihoz akkor is, ha a csapatok „infrastruktúra-” vagy „üzemeltetési” eszközként hivatkoznak rájuk.

A GDPR alapján ez azért lényeges, mert az Article 28 előírja, hogy az adatfeldolgozók az adatkezelő felhatalmazása alapján vegyenek igénybe további adatfeldolgozókat. Ha általános írásbeli felhatalmazást alkalmaznak, az adatfeldolgozónak tájékoztatnia kell az adatkezelőt a további adatfeldolgozók tervezett bevonásáról vagy cseréjéről, és lehetőséget kell biztosítania a kifogásra. Az Article 28(4) azt is előírja, hogy a további adatfeldolgozóra egyenértékű adatvédelmi kötelezettségeket kell telepíteni. Az Article 5(2) hozzáadja az elszámoltathatóság elvét, vagyis a szervezetnek képesnek kell lennie a megfelelés bizonyítására, nem csupán annak állítására.

A DORA magasabbra teszi a mércét a pénzügyi szolgáltatásoknál. A pénzügyi szervezeteknek az IKT-kockázatkezelés szerves részeként kell kezelniük az IKT-vonatkozású harmadikfél-kockázatot. Fenn kell tartaniuk a szerződéses megállapodások nyilvántartásait, értékelniük kell a koncentrációs kockázatot, ismerniük kell az alvállalkozói láncokat, szerződéses garanciákat kell meghatározniuk, biztosítaniuk kell az auditálási és hozzáférési jogokat, támogatniuk kell az incidensekkel kapcsolatos együttműködést, és meg kell tervezniük a kilépést. Még ha egy SaaS-szolgáltató közvetlenül nem is pénzügyi szervezet, pénzügyi ügyfelei bizonyítékokat fognak elvárni, mert nekik maguknak kell megfelelniük a DORA követelményeinek.

A NIS2 az ellátási lánc biztonságára és a vezetői elszámoltathatóságra terjeszti ki a fókuszt. Az Article 21 megfelelő technikai, operatív és szervezeti intézkedéseket ír elő, ideértve az ellátási lánc biztonságát, az incidenskezelést, az üzletmenet-folytonosságot, a hozzáférés-szabályozást, az eszközkezelést, a biztonságos beszerzést és karbantartást, valamint az eredményesség értékelését. Az Article 20 a vezető testületekre telepíti a felügyeleti felelősséget. Felhőszolgáltatók, menedzselt szolgáltatók, menedzselt biztonsági szolgáltatók, adatközponti szolgáltatók, bizalmi szolgáltatók, online piacterek, keresőmotorok és bizonyos kommunikációs szolgáltatások esetén a további adatfeldolgozói átláthatóság a kiberbiztonsági irányítás részévé válik.

Az ISO/IEC 27001:2022 és az ISO/IEC 27701:2025 ezt működési szintre emeli. Az ISO/IEC 27001:2022 megköveteli, hogy az IBIR értse a kontextust, az érdekelt felek követelményeit, a kockázatokat, a kockázatkezelési terveket, az operatív kontrollokat és a dokumentált információt. Az ISO/IEC 27701:2025 ezt az irányítási rendszerben alkalmazott fegyelmet kiterjeszti az adatvédelmi információkezelésre. Egy adatfeldolgozói fókuszú PIMS-nek be kell mutatnia, hogy az ügyfél-PII további kezelése ismert, kontrollált, szerződésesen szabályozott, nyomon követett és bizonyítékokkal alátámasztott.

A Clarysec-minta: listázás, értékelés, értesítés, kifogáskezelés, szerződés, adattovábbítás, bizonyíték

A legerősebb további adatfeldolgozói irányítási modell elég egyszerű ahhoz, hogy az operatív csapatok kövessék, és elég szigorú ahhoz, hogy az auditorok teszteljék. A Clarysec hét igére épít:

1. Listázni kell minden jelenlegi és tervezett további adatfeldolgozót.
2. A használat előtt értékelni kell az adatvédelmi, biztonsági, reziliencia- és függőségi kockázatot.
3. Az ügyfeleket az alkalmazandó megállapodás szerint értesíteni kell.
4. A kifogásokat a megállapodás szerinti határidőn belül kezelni kell.
5. Frissíteni kell a DPA-t, a biztonsági mellékletet és a továbbadott követelményeket.
6. Össze kell kapcsolni a tárhely-, adatkezelési helyszín- és nemzetközi adattovábbítási bizonyítékokat.
7. A bizonyítékokat meg kell őrizni az adatvédelmi és beszállítói nyilvántartásokban.

Az első operatív horgony a Adatfeldolgozói, további adatfeldolgozói és harmadik féllel fennálló adatvédelmi kapcsolatok kezelésére vonatkozó szabályzat. Ez kimondja:

[Adatfeldolgozó] A beszállítói / beszerzési felelős KÖTELES a használat előtt a REG08-ban nyilvántartani az ügyfél-PII kezeléséhez használt további adatfeldolgozók és alvállalkozók listáját, és egy jóváhagyott változást követő 10 munkanapon belül frissíteni a REG08-at.

Ez a rendelkezés a további adatfeldolgozói listát szabályozott nyilvántartássá alakítja. Az időzítést is egyértelművé teszi: a REG08-at a használat előtt kell frissíteni, majd a jóváhagyott változást követő 10 munkanapon belül naprakésszé kell tenni.

Ugyanez a szabályzat az ügyfélértesítést is auditálhatóvá teszi:

[Adatfeldolgozó] A beszállítói / beszerzési felelős KÖTELES az alkalmazandó ügyfélszerződés szerint, a használat előtt értesíteni az ügyfelet a tervezett új vagy lecserélendő további adatfeldolgozókról, és a REG08-ban rögzíteni az értesítést, a kifogásolási időszakot és az eredményt.

Sok programból éppen ez a részlet hiányzik. A kérdés nem csupán az, hogy frissült-e egy nyilvános oldal. A kérdés az, hogy a megfelelő ügyfeleket a megkövetelt módon, azelőtt értesítették-e, hogy a további adatfeldolgozó kezelte volna a PII-jüket, és a kifogásolási időszakot, valamint az eredményt bizonyítékként megőrizték-e.

A szabályzat a változásirányítást az átvilágításhoz is kapcsolja:

[Valamennyi] A beszállítói / beszerzési felelős KÖTELES a REG08-ban rögzíteni az adatvédelmi átvilágítás bizonyítékait minden olyan adatfeldolgozó, további adatfeldolgozó vagy harmadik féllel fennálló kapcsolat kiválasztása, megújítása vagy lényeges módosítása előtt, amely PII-t kezel vagy ahhoz hozzáfér.

Lényeges változás lehet az infrastruktúra lecserélése, egy további analitikai szolgáltató bevonása, tárhelyrégiók áthelyezése, támogatási hozzáférés engedélyezése új országból, adatkategóriák bővítése vagy egy szolgáltatás megőrzési működésének módosítása.

Végül a szabályzat lezárja a szerződéses továbbadott követelmények hiányát:

[Adatfeldolgozó] A beszállítói / beszerzési felelős KÖTELES biztosítani, hogy minden további adatfeldolgozói szerződés tartalmazza a továbbadott adatvédelmi, biztonsági, segítségnyújtási, visszaszolgáltatási, törlési, incidenskapcsolati és adattovábbításhoz kapcsolódó kötelezettségeket, mielőtt a további adatfeldolgozó PII-t kezel.

Ez azért fontos, mert egy általános biztonsági melléklet nem mindig elég. Az adatfeldolgozó-specifikus kötelezettségeknek az adatkezelés megkezdése előtt tovább kell áramolniuk a láncban.

Hol kapcsolják össze a Clarysec szabályzatai az adatvédelmet, a beszállítókat és az adattovábbításokat?

A további adatfeldolgozói irányítás csak akkor működik, ha az adatvédelmi, jogi, beszállítóbiztonsági és operatív változáskezelési területek ugyanazt a bizonyítékláncot használják.

A Jogi és szabályozói megfelelési szabályzat - KKV meghatározza az adatmegosztás előtti szabályt:

Az adatfeldolgozási szerződés (DPA) kikötéseiről vagy azzal egyenértékű szerződéses feltételekről meg kell állapodni, mielőtt bármilyen személyes vagy érzékeny adat megosztására sor kerül.

Vállalati környezetben a Jogi és szabályozói megfelelési szabályzat részletesebb bizonyítékelvárást rögzít az alábbiak megkövetelésével:

További adatfeldolgozói közzétételek és földrajzi adattovábbítási nyilatkozatok

A szabályzat olyan irányítási kiváltó eseményeket is azonosít, mint:

Az adattovábbítási mechanizmusok, további adatfeldolgozók vagy határokon átnyúló adatáramlások változásai

A Harmadik felekre és beszállítókra vonatkozó biztonsági szabályzat kimondja:

Alvállalkozók igénybevétele előzetes írásbeli hozzájárulással

Kisebb szervezetek számára a Harmadik felekre és beszállítókra vonatkozó biztonsági szabályzat - KKV skálázható változatot ad:

További alvállalkozásba adás korlátozása jóváhagyás nélkül

A beszállítói változás ismételt értékelését is egyértelművé teszi:

Minden beszállítói változást – ideértve a tulajdonosi kör, a szolgáltatástípus, a tárhelyszín vagy az alvállalkozásba adás változását – újra kell értékelni a kockázati hatás és a szerződéses relevancia szempontjából.

Az Adatvédelmi és magánszféra-védelmi szabályzat tartalmazza:

További adatfeldolgozói jóváhagyási követelmények

A Beszállítói függőségi kockázatok kezelésére vonatkozó szabályzat a reziliencia nézőpontját adja hozzá:

Alvállalkozók feltárása: a beszállítónak tájékoztatnia kell minket a kulcsfontosságú alvállalkozókról és ezek bármely változásáról, különösen akkor, ha ezek további függőségi rétegeket hoznak létre.

Ezek a szabályzatok együtt teljes működési szabályt alkotnak: nincs személyesadat-megosztás szerződéses feltételek nélkül, nincsenek rejtett további adatfeldolgozók, nincs kezeletlen alvállalkozásba adás, nincs értékeletlen tárhely- vagy helyszínváltozás, és ahol releváns, nincs jóváhagyás adattovábbítási bizonyíték nélkül.

Hogyan keretezi a Zenith Controls a beszállítói kontrollkészletet?

A Zenith Controls rendszerben a Clarysec a további adatfeldolgozói változásirányítást elsősorban az ISO/IEC 27002:2022 beszállítói és jogi kontrolljaihoz rendeli. Ez azért fontos, mert megmutatja, hogy a további adatfeldolgozói irányítás nem csupán adatvédelmi folyamat. Egyben információbiztonsági, beszállítókezelési, jogi és reziliencia-kontroll is.

A Zenith Controls az 5.22 kontrollt, „A beszállítói szolgáltatások monitorozása, felülvizsgálata és változáskezelése” megelőző kontrollként írja le, amely támogatja a bizalmasságot, a sértetlenséget és a rendelkezésre állást, összhangban az Identify kiberbiztonsági koncepcióval, valamint a beszállítói kapcsolatok biztonságát és az információbiztonsági bizonyosságot szolgáló operatív képességekkel. Egy további adatfeldolgozói változás pontosan ezt követeli meg: a változás azonosítását, a kockázat újbóli értékelését, a szerződéses lefedettség megerősítését és a bizonyossági bizonyítékok megőrzését.

Az 5.20 kontroll esetében a Zenith Controls a beszállítói megállapodásokat a bizalmasságot, sértetlenséget és rendelkezésre állást lefedő megelőző kontrollként keretezi. Ide tartoznak a DPA-feltételek, a biztonsági mellékletek, az alvállalkozásba adási kikötések, az auditálási jogok, az incidensekkel kapcsolatos segítségnyújtás, a visszaszolgáltatás és törlés, valamint az adattovábbításhoz kapcsolódó kötelezettségek.

Az 5.21 kontrollnál az ellátási lánc nézőpontja azért lényeges, mert egy további adatfeldolgozó negyedik féllel kapcsolatos függőséget hozhat létre. Egy SaaS-beszállító támaszkodhat infrastruktúra-szolgáltatóra, az pedig adat-analitikai szolgáltatóra, amely további felhőrégióra vagy támogatási partnerre támaszkodik. A szervezetnek elég jól kell értenie a láncot ahhoz, hogy kezelje a kockázatot, az ügyfélvállalásokat és a kilépési lehetőségeket.

A 30 lépéses ütemterv: a szabályzat működési eljárássá alakítása

A Zenith Blueprint a beszállítói és további adatkezelési kockázatokat a 23. lépésben, a szervezeti kontrollok között helyezi el. Kifejti, hogy a beszállítói megállapodások jellemzően a bizalmasságot, a hozzáférés-szabályozást, a technikai és szervezeti intézkedéseket, az incidensjelentési határidőket, az auditálási jogot, az alvállalkozói kontrollokat és a szerződés megszűnéséhez kapcsolódó rendelkezéseket kezelik. A Blueprint kritikus megállapítást tesz:

A megállapodás szerkezete számít. Ezek a kikötések szerepelhetnek keretszolgáltatási szerződésben, külön adatfeldolgozási szerződésben (DPA) vagy önálló biztonsági mellékletben. Az a lényeg, hogy létezzenek, és mindkét fél értse és elfogadja őket.

A Blueprint azt is megmondja a csapatoknak, mit tegyenek az alvállalkozókkal:

Minden kritikus beszállítónál azonosítani kell, használ-e olyan alvállalkozókat (további adatfeldolgozókat), akik hozzáférhetnek az Ön adataihoz vagy rendszereihez. Dokumentálni kell, hogyan kerülnek továbbadásra az információbiztonsági követelmények ezekre a felekre, akár a beszállító szerződéses feltételein, akár az Ön közvetlen kikötésein keresztül.

A beszállítói változásirányítás helyes operatív megfeleltetése az ISO/IEC 27002:2022 5.22 kontrollja:

Egyszerű, skálázható eljárást kell kialakítani a beszállítói szolgáltatások változásainak (5.22) értékelésére, például felhőbe migrálás, új további adatfeldolgozók vagy infrastruktúra-újratervezés esetén. Meg kell határozni azokat a kiváltó eseményeket, amelyek biztonsági újraértékelést igényelnek.

Ez gyakorlati utat ad a CISO-k és DPO-k számára. A 23. lépés meghatározza a kontroll célját. A REG08 rögzíti az adatfeldolgozói, további adatfeldolgozói és harmadik féllel kapcsolatos adatvédelmi bizonyítékokat. A REG09 rögzíti az adattovábbítási bizonyítékokat. A beszállítói szerződések, DPA-k és változtatási jegyek a munkafolyamatot az operatív valósághoz kapcsolják.

Gyakorlati munkafolyamat a további adatfeldolgozói változásértesítéshez

A további adatfeldolgozói változási munkafolyamatnak a jó értelemben véve unalmasnak kell lennie. Minden szakasznak legyen felelőse, bizonyítéka és olyan kapuja, amely megakadályozza az idő előtti éles használatot.

Az alapelv egyszerű: ahol a szerződés előírja, az ügyfélértesítésnek a használat előtt meg kell történnie. Egy nyilvános weboldal megvalósítást követő frissítése támogathatja az átláthatóságot, de nem bizonyítja az ügyfélspecifikus értesítést, a szerződéses felhatalmazást vagy a kifogáskezelést.

A munkafolyamat alkalmazása Sarah krízisére

Sarah beszállítói értesítése a DataCrunch Analyticsről a teljes folyamatot elindítja.

Először a beszállítói felelős megnyit egy REG08 változásbejegyzést. A bejegyzés azonosítja a CoreStacket, a DataCrunch Analyticset, a szolgáltatás célját, az ügyfélbérlőkre gyakorolt hatást, az adatkezelési szerepkört, az adatkategóriákat, az adatkezelési helyszíneket, a támogatási hozzáférési modellt, a megőrzési időt, valamint azt, hogy jelen lehetnek-e különleges kategóriájú vagy szabályozott pénzügyi ügyféladatok.

Másodszor az adatvédelmi és biztonsági terület átvilágítást végez. Áttekintik a DataCrunch Analytics technikai és szervezési intézkedéseit, titkosítását, hozzáférés-szabályozását, naplózását, incidensbejelentését, törlési képességeit, auditbizonyosságát, további adatfeldolgozói listáját és biztonsági tanúsítványait. Mivel a szolgáltató az EU-n kívül található, a helyszín- és adattovábbítási felülvizsgálat kötelező.

Harmadszor a jogi terület ellenőrzi, hogy az ügyfél-DPA-k konkrét felhatalmazást vagy értesítéssel járó általános felhatalmazást alkalmaznak-e. Az ügyfeleket értesítési csoportokba sorolják: standard 30 napos értesítésű ügyfelek, 45 napos kifogásolási időablakkal rendelkező vállalati ügyfelek, konkrét jóváhagyást igénylő ügyfelek, helyszíni korlátozásokkal rendelkező ügyfelek, valamint nem érintett ügyfelek, akiknek az adatai nem érintik az analitikai munkaterhelést.

Negyedszer az adattovábbítási bizonyítékokat összekapcsolják. Az Adatfeldolgozói, további adatfeldolgozói és harmadik féllel fennálló adatvédelmi kapcsolatok kezelésére vonatkozó szabályzat előírja:

[Mindkét szerep] A beszállítói / beszerzési felelős KÖTELES a REG08-ban rögzíteni az adatkezelési helyszíneket, tárhelyszíneket és nemzetközi adattovábbítási indikátorokat, továbbá a vonatkozó adattovábbítási bizonyítékokat a REG09-hez kapcsolni, mielőtt adatfeldolgozót, további adatfeldolgozót, helyszínváltozást vagy adattovábbítás szempontjából releváns szolgáltatásváltozást hagyna jóvá.

Ötödször az ügyfélkapcsolati csapat hivatalos értesítéseket küld a jóváhagyott csatornákon keresztül. Minden értesítés tartalmazza a tervezett további adatfeldolgozót, a célt, az adatkategóriákat, a helyszínösszefoglalót, a hatálybalépés dátumát, a kifogásolási határidőt és a kapcsolattartási útvonalat.

Hatodszor a kifogásokat kezelik. Ha egy pénzügyi intézmény azért kifogásol, mert a változás kritikus funkciót vagy harmadik országba irányuló adattovábbítást érint, Sarah csapata alternatívákat értékel: a bérlő kizárását, a régi adatkezelési útvonal megtartását, kizárólag EU-ból nyújtott támogatás előírását, a szerződéses garanciák módosítását vagy a változás elhalasztását a kifogás rendezéséig.

Hetedszer a mérnöki csapat csak azokhoz a bérlőkhöz és munkaterhelésekhez kap jóváhagyást, amelyek átmentek a kapun. Az éles változtatási jegy a REG08-ra, a REG09-re, a jogi jóváhagyásra, az értesítési bizonyítékokra és az ügyfélspecifikus kizárásokra hivatkozik. Az éles indulás után frissül a belső nyilvántartás, a nyilvános további adatfeldolgozói oldal és a szerződéstár.

Ez különbözteti meg a reaktív tűzoltást az igazolható irányítástól.

Megfelelőségi keretrendszerek közötti megfeleltetés egyetlen bizonyítékláncra

A Clarysec előnye, hogy egyetlen munkafolyamat több keretrendszernek is megfelelhet, ha a bizonyítékokat kezdettől megfelelően tervezik meg.

A NIST CSF 2.0 semleges rendszerező rétegként hasznos. GOVERN funkciója magában foglalja a jogi, szabályozói, szerződéses, adatvédelmi és polgári szabadságjogi kötelezettségek megértését, a szerepkörök kijelölését, a szabályzatok kialakítását, a teljesítmény felülvizsgálatát és a kiberbiztonsági ellátási lánc kockázatának kezelését. A GV.SC kategória beszállítói kockázati folyamatokat, beszállítói kritikusságot, szerződéses kiberbiztonsági követelményeket, átvilágítást, életciklus-alapú nyomon követést, incidens-tervezést és a kapcsolat megszűnését követő tevékenységeket vár el.

A DORA a pénzügyi szervezetek számára előíróbb jellegű. Az Articles 28 to 30 IKT-vonatkozású harmadikfél-kockázatkezelést, szerződéses nyilvántartásokat, kritikus vagy fontos funkció szerinti besorolást, alvállalkozói lánc átláthatóságát, helyszíntudatosságot, szerződéses garanciákat, auditálási jogokat, incidensekkel kapcsolatos együttműködést és kilépési tervezést ír elő. Ha az Ön SaaS-platformja pénzügyi ügyfeleket támogat, a további adatfeldolgozói bizonyítékok az ő DORA bizonyítékcsomagjuk részévé válnak.

A NIS2 vezetői elszámoltathatóságot ad hozzá. Az Article 20 előírja, hogy a vezető testületek hagyják jóvá a kiberbiztonsági kockázatkezelési intézkedéseket és felügyeljék azok végrehajtását. Az Article 21 ellátási lánc biztonságot és a beszállítók kiberbiztonsági gyakorlatainak értékelését követeli meg. Egy jelentős további adatfeldolgozói változásnak ezért láthatónak kell lennie a kockázati jelentéstételben, nem maradhat elrejtve egy beszerzési mappában.

Mit fognak tesztelni az auditorok?

Egy érett további adatfeldolgozói folyamat egyenes vonalat hoz létre a szabályzattól a bizonyítékokig.

Egy ISO/IEC 27001:2022 auditor az IBIR alkalmazási területével, az érdekelt felek követelményeivel, a kockázatokkal, az alkalmazhatósági nyilatkozattal és az operatív kontrollokkal kezdi. Valószínűleg tesztelni fogja a beszállítói kapcsolatokat, a beszállítói megállapodásokat, az IKT-ellátási láncot, a beszállítói monitorozást és változáskezelést, a jogi követelményeket, a felhőszolgáltatásokat, az adatvédelmi védelmet, a naplózást és az operatív változáskezelést.

Egy ISO/IEC 27701:2025 PIMS auditor a szerepkörök egyértelműségére fog összpontosítani. Ön adatfeldolgozó, adatkezelő, közös adatkezelő, vagy különböző szolgáltatásokban ezek kombinációja? Adatfeldolgozói tevékenységek esetén kérni fogja a további adatfeldolgozói listát, a felhatalmazási alapot, az értesítési bizonyítékokat, a kifogáskezelést, a további adatfeldolgozói szerződéseket, az adattovábbítási bizonyítékokat, a törlési támogatást, az incidenskapcsolatot és a nyomonkövetési bejegyzéseket.

Egy GDPR adatvédelmi felülvizsgáló az elszámoltathatóságot teszteli. Meg fogja kérdezni, ki kezel személyes adatokat, milyen célból, mely megállapodás alapján, mely helyszínen, milyen garanciákkal és milyen ügyféltranszparencia mellett. Ha egy ügyfél kifogást emelt, meg fogja kérdezni, mi történt az adatkezelés megkezdése előtt.

Egy DORA szerinti ügyfélauditor azt fogja kérdezni, hogy a további adatfeldolgozó támogat-e kritikus vagy fontos funkciót, láthatók-e az alvállalkozói láncok, dokumentáltak-e az adathelyszínek, szerződésesen garantált-e az incidensekkel kapcsolatos segítségnyújtás, továbbadásra kerülnek-e az auditálási jogok, figyelembe vették-e a koncentrációs kockázatot, és lehetséges-e a kilépés.

Egy NIS2 értékelő az ellátási lánc biztonságára, a vezetői felügyeletre, az incidensekre való felkészültségre és az arányos kontrollokra fog összpontosítani. Rákérdezhet, hogyan észlelik a beszállítói változásokat, hogyan értékelik a közvetlen beszállítókat, hogyan veszik figyelembe a beszállítói sérülékenységeket, és hogyan eszkalálják a szolgáltatást igénybe vevőket érintő incidenseket.

A bizonyítékkészletnek könnyen rekonstruálhatónak kell lennie:

• Jóváhagyott további adatfeldolgozói változtatási kérelem.
• REG08 szerinti átvilágítási feljegyzés.
• Adatkategória- és adatkezelési célértékelés.
• Adatkezelési és tárhelyszínekre vonatkozó bizonyítékok.
• REG09 adattovábbítási bizonyítékok, ahol releváns.
• DPA- és szerződéses továbbadott követelmények felülvizsgálata.
• Ügyfélértesítési lista, dátumok, szövegezés és kézbesítési igazolás.
• Kifogásnapló és rendezést igazoló bizonyítékok.
• Jóváhagyáshoz kapcsolt éles változtatási jegy.
• Frissített további adatfeldolgozói lista és monitorozási ütemezés.
• Kockázatelfogadás vagy kivételjóváhagyás, ahol szükséges.

Gyakori hibamintázatok

Az első hiba az, amikor a további adatfeldolgozói oldalt tekintik a teljes folyamatnak. Egy nyilvános oldal támogatja az átláthatóságot, de nem bizonyítja az ügyfélspecifikus értesítést, a kifogáskezelést vagy a felhatalmazást.

A második hiba az adatvédelmi, biztonsági és beszerzési bizonyítékok szétválasztása. Az adatvédelmi terület jóváhagyhatja a DPA-t, a biztonsági terület felülvizsgálhat egy SOC 2 jelentést, a beszerzés pedig irattározhatja a szerződést, de nincs egyetlen bejegyzés, amely összekötné a döntést.

A harmadik hiba az adattovábbítási kapcsolódás hiánya. A csapatok rögzítik a beszállító nevét, de nem rögzítik az adatkezelési helyszíneket, tárhelyszíneket, támogatási helyszíneket, nemzetközi adattovábbítási indikátorokat vagy REG09 bizonyítékokat.

A negyedik hiba az éles használat engedélyezése a kifogásolási időablakok lezárása előtt. Amint az ügyfél-PII-t az új további adatfeldolgozó kezeli, a szervezet már megsérthette a megállapodást.

Az ötödik hiba a gyenge továbbadás. A közvetlen beszállító erős feltételeket fogad el, de további szolgáltatóit nem kötik egyenértékű adatvédelmi, biztonsági, segítségnyújtási, visszaszolgáltatási, törlési, incidenskezelési, auditálási és adattovábbítási kötelezettségek.

A hatodik hiba a gyenge változásészlelés. Egy beszállító tulajdonosi kört, tárhelyszínt, szolgáltatástípust, támogatási modellt vagy alvállalkozói láncot módosít, és senki nem értékeli újra a kockázatot.

A hetedik hiba az auditnyom hiánya. A csapatok emlékeznek a döntésre, de nem tudják bizonyítani, mikor történt, ki hagyta jóvá, mely ügyfeleket értesítették, és hogyan rendezték a kifogásokat.

Vezetői jelentéstétel CISO-k és DPO-k számára

A további adatfeldolgozói irányításnak vezetői információt kell előállítania, nem csak megfelelési artefaktumokat.

Ez a jelentéstétel illeszkedik az irányítási rendszer modelljéhez. Az ISO/IEC 27001:2022 vezetői szerepvállalást, operatív kontrollt, teljesítményértékelést és folyamatos fejlesztést vár el. A DORA és a NIS2 magasabb szintre emeli a vezetői elszámoltathatóságot. A további adatfeldolgozói irányításnak meg kell jelennie az adatvédelmi irányító értekezleteken, a beszállítói kockázati felülvizsgálatokon, az IBIR vezetőségi átvizsgálásán és – ahol releváns – az IKT-kockázati jelentéstételben.

Építse fel a további adatfeldolgozói változás bizonyítékcsomagját

Kezdje egy közelmúltbeli beszállítói változással, és tesztelje, hogy a szervezet meg tudja-e válaszolni az alábbi kérdéseket:

• A szolgáltatót adatfeldolgozóként, további adatfeldolgozóként, beszállítóként, IKT-szolgáltatóként vagy ezek mindegyikeként azonosították?
• A REG08-at vagy egy egyenértékű nyilvántartást frissítették a használat előtt?
• Rögzítették az adatkezelési helyszíneket és a tárhelyszíneket?
• Értékelték a nemzetközi adattovábbítási indikátorokat?
• Az adattovábbítási bizonyítékokat összekapcsolták a REG09-cel vagy egy egyenértékű fájllal?
• A szerződés tartalmazta a továbbadott adatvédelmi, biztonsági, segítségnyújtási, visszaszolgáltatási, törlési, incidenskezelési, auditálási és adattovábbítási kötelezettségeket?
• Az ügyfeleket a megállapodásaik szerint, az adatkezelés megkezdése előtt értesítették?
• A kifogásolási időablakokat nyomon követték és lezárták?
• Az éles használat engedélyezését blokkolták a jóváhagyásig?
• Egy auditor 30 percen belül rekonstruálni tudná a döntési nyomvonalat?

Ha a válasz nem, a hiányosság nem csak jogi jellegű. Operatív, szerződéses, beszállítói kockázati, adatvédelmi és auditfelkészültségi hiányosságról van szó.

A Clarysec segít a csapatoknak gyorsan lezárni ezt a hiányosságot. Használja a Zenith Blueprint megoldást a további adatfeldolgozói irányítás elhelyezésére az IBIR- és PIMS-bevezetési ütemtervében. Használja a Zenith Controls megoldást a beszállítói kapcsolat, a beszállítói megállapodás, az IKT-ellátási lánc, a beszállítói változás, a felhőszolgáltatás és a jogi követelmények kontrolljainak megfeleltetésére az ISO/IEC 27001:2022, az ISO/IEC 27701:2025, a GDPR, a DORA, a NIS2, a NIST CSF 2.0 és a COBIT 2019 között. Használja az Adatfeldolgozói, további adatfeldolgozói és harmadik féllel fennálló adatvédelmi kapcsolatok kezelésére vonatkozó szabályzatot, a Harmadik felekre és beszállítókra vonatkozó biztonsági szabályzatot, a Jogi és szabályozói megfelelési szabályzatot, az Adatvédelmi és magánszféra-védelmi szabályzatot és a Beszállítói függőségi kockázatok kezelésére vonatkozó szabályzatot, hogy a megfeleltetés napi végrehajtássá váljon.

Ne várja meg a meglepetésszerű lábjegyzetet egy beszállítói e-mailben. Építse ki most a munkafolyamatot, a bizonyítékcsomagot és a kontrolltérképet, hogy minden további adatfeldolgozói változás megfelelési krízis helyett az érett irányítás bizonyítéka legyen.