Vaidmenimis pagrįsti privatumo mokymai ISO 27701 ir GDPR atitikčiai užtikrinti

Sarah, sparčiai augančios finansinių technologijų įmonės CISO, tikėjosi, kad ISO/IEC 27701:2025 PIMS auditas tikrins politikas, įrašus ir rizikos vertinimus. Antrąją dieną auditorius jau buvo išėjęs už įprastos komforto zonos ribų.

Jis neklausė, ar darbuotojai baigė metinį „Privacy 101“ modulį. Informacinėje suvestinėje buvo matomas 98 procentų užbaigimo rodiklis – tai atrodė įspūdingai, kol klausimai tapo labai konkretūs.

„Jūsų kūrėjai tvarko jautrią finansinę asmens identifikavimo informaciją (AII) ir diegia biometrinį autentifikavimą. Kokius konkrečius mokymus jie gavo apie privatumą pagal projektą, duomenų kiekio mažinimą API projektavime, saugų žurnalų tvarkymą, testavimo duomenų apribojimus ir specialių kategorijų duomenis pagal GDPR?“

Tada atėjo klientų aptarnavimo eilė.

„Jie gali matyti operacijų istorijas. Kaip jie mokomi atpažinti duomenų subjekto prieigos prašymą, patikrinti tapatybę, vengti perteklinių užklausų pastabų ir eskaluoti atsitiktinį atskleidimą?“

Tada – žmogiškųjų išteklių komanda.

„Jie ką tik pradėjo naudoti naują debesijos darbo užmokesčio sistemą, priglobtą už ES ribų. Kokius privatumo mokymus jie gavo apie duomenų tvarkytojo deramą patikrinimą, tarpvalstybinius duomenų perdavimus, darbuotojų įrašus ir saugojimą?“

Sarah turėjo politikas, duomenų tvarkymo veiklos įrašus (RoPA), tiekėjų nuostatas, pažeidimų valdymo procedūras ir apibrėžtą PIMS taikymo sritį. Ko ji neturėjo – tai įrodymais pagrindžiamų įrašų, kad tinkami žmonės buvo apmokyti pagal jiems taikomas privatumo atsakomybes.

Būtent ši spraga sužlugdo daugelį privatumo programų. ISO/IEC 27701:2025 ir GDPR organizacijų nevertina pagal bendrinį informuotumą. Jie reikalauja atskaitomybės, kompetencijos ir veiklos įrodymų. Jeigu darbuotojai renka, naudoja, peržiūri, saugo, bendrina, trina, stebi arba palaiko sistemas, kuriose yra asmens identifikavimo informacija (AII), jie turi žinoti, kas taikoma jų vaidmeniui, kada eskaluoti ir kur registruojami įrodymai.

Vaidmenimis pagrįsti privatumo informuotumo mokymai yra būdas PIMS paversti realiai veikiančia sistema.

Kodėl vienodi privatumo mokymai visiems neveikia

Dauguma organizacijų jau vykdo tam tikros formos saugumo informuotumo mokymus. Problema ta, kad privatumo įpareigojimai versle pasiskirstę nevienodai.

Kūrėjas turi suprasti privatumą pagal projektą, maskavimą, pseudoniminimą, saugų programavimą, žurnalų minimizavimą ir pakeitimų poveikį. Klientų aptarnavimo specialistui reikia tapatybės patikrinimo, užklausų minimizavimo, DSAR atpažinimo ir atsitiktinio atskleidimo eskalavimo. Žmogiškųjų išteklių komandai reikia darbuotojų privatumo, specialių kategorijų duomenų tvarkymo, konfidencialumo, saugojimo ir prieigos apribojimų. Pirkimų funkcija turi žinoti, kada tiekėjas yra duomenų tvarkytojas arba subtvarkytojas. Reagavimo į incidentus specialistai turi gebėti atskirti saugumo incidentą nuo asmens duomenų saugumo pažeidimo.

Vienas metinis GDPR testas negali sukurti veiklos kompetencijos visiems šiems vaidmenims.

GDPR tai aiškiai parodo per Article 5, kuriame apibrėžiami tokie principai kaip teisėtumas, sąžiningumas, skaidrumas, tikslo apribojimas, duomenų kiekio mažinimas, tikslumas, saugojimo trukmės apribojimas, vientisumas ir konfidencialumas. Article 5(2) papildo atskaitomybės principu, reikalaujančiu, kad duomenų valdytojai gebėtų įrodyti atitiktį. Article 32 reikalauja tinkamų techninių ir organizacinių priemonių tvarkymo saugumui užtikrinti. Articles 4, 6, and 9 vaidmenų aiškumą dar labiau sureikšmina, nes apibrėžia tvarkymą, duomenų valdytojo ir duomenų tvarkytojo santykius, teisinį pagrindą ir specialių kategorijų duomenis.

Praktinis audito klausimas paprastas: ar galite įrodyti, kad darbuotojai supranta su jų vaidmeniu susietas AII atsakomybes?

Clarysec SME politikos pozicija yra tiesi. Informacijos saugumo informuotumo ugdymo ir mokymo politikoje - SME, 1.3 punkte, nurodyta:

„Ši politika padeda užtikrinti atitiktį ISO/IEC 27001, NIS2, GDPR ir DORA, įtraukdama saugumo informuotumą į kasdienę darbo praktiką ir vaidmenimis pagrįstus lūkesčius.“

Frazė „kasdienę darbo praktiką“ yra esminė. Privatumo informuotumas nėra plakatas. Jis turi būti matomas renkant duomenis, suteikiant prieigą, bendrinant, saugant, trinant, įtraukiant tiekėjus, pranešant apie incidentus ir vykdant vadovybės peržiūrą.

Nuo informuotumo iki PIMS kompetencijos

Clarysec privatumo mokymus laiko valdysenos kontrolės priemone, o ne atskiru mokymosi ir darbuotojų ugdymo projektu. Įrodymais pagrindžiama PIMS mokymų programa turi keturis sluoksnius:

1. Bazinis privatumo informuotumas visiems darbuotojams, turintiems AII prieigą arba PIMS atsakomybę.
2. Vaidmenimis pagrįsti mokymai komandoms, kurių sprendimai daro įtaką privatumo rezultatams.
3. Įvykių inicijuojami mokymai po vaidmenų pakeitimų, naujų sistemų, incidentų, audito išvadų arba reglamentavimo pokyčių.
4. Įrodymų fiksavimas REG11, susietas su auditorija, vaidmeniu, mokymų tipu, privaloma baigimo data, patvirtinimais, vėluojančiais įrašais, žinių atnaujinimo įrodymais ir įrodymų savininkais.

Tai atitinka Zenith Blueprint struktūrą – Clarysec 30 žingsnių veiksmų planą auditui tinkamai valdymo sistemai įgyvendinti. 4 žingsnyje „Vaidmenys ir atsakomybės ISVS“ Blueprint pabrėžia vaidmenų komunikavimą, kad darbuotojai žinotų, kas už ką atsako, į ką kreiptis ir kaip pranešti apie incidentus.

5 žingsnis „Komunikacija, informuotumas ir kompetencija“ dar aiškesnis:

„Nustatykite reikiamas kompetencijas: nustatykite, kokių žinių ir įgūdžių reikia skirtingiems vaidmenims jūsų ISVS… jūsų kūrėjai turi žinoti saugaus programavimo principus, jūsų žmogiškųjų išteklių komanda turi žinoti, kaip saugiai tvarkyti asmens duomenis ir pan.“

Ta pati logika tiesiogiai taikoma ISO/IEC 27701:2025. Negalima priskirti AII atsakomybių ir tikėtis, kad jas padengs bendrinis informuotumas. Kompetencija turi būti nustatyta, apmokyta, išmatuota ir pagrįsta įrodymais.

Privatumo mokymų, informuotumo ugdymo ir kompetencijos politika šį principą paverčia PIMS darbo eiga. 4.1.6 punktas reikalauja:

„[Visi] Privatumo vadovas / PIMS vadovas PRIVALO REG11 įrašyti priskirtą mokymų auditoriją, mokymų tipą, privalomą baigimo datą ir įrodymų savininką prieš prasidedant kiekvienam metiniam mokymų ciklui.“

Taip sukuriama jungtis tarp privatumo vaidmenų ir audito įrodymų. Auditoriui nebereikia spėlioti, kas turėjo būti apmokytas. REG11 rodo priskyrimą, terminą, užbaigimą, vėlavimo būseną, patvirtinimą, žinių atnaujinimo ciklą ir savininką.

ISO/IEC 27002:2022 kontrolės priemonės, kuriomis grindžiami privatumo mokymai

Privatumo mokymai tampa audituojami tada, kai yra susieti su kontrolės priemonėmis, o ne vien su kursų užbaigimu. Zenith Controls Clarysec vaidmenimis pagrįstus privatumo mokymus susieja su trimis pagrindinėmis ISO/IEC 27002:2022 kontrolės priemonėmis: 6.3, 5.2 ir 5.34.

Zenith Controls 6.3 kontrolės priemonę priskiria prevencinėms kontrolės priemonėms, palaikančioms konfidencialumą, vientisumą ir prieinamumą, su kibernetinio saugumo sąvoka „Protect“, veiklos pajėgumu „Žmogiškųjų išteklių saugumas“ ir valdysenos bei ekosistemos sritimis. Jos tikslas – užkirsti kelią privatumo ir saugumo nesėkmėms, kurias sukelia žmogiškoji klaida, neaiškūs lūkesčiai ir vaidmenų painiava.

6.3 kontrolės priemonė taip pat priklauso nuo susijusių kontrolės priemonių:

Privatumo srityje 5.34 kontrolės priemonė yra atraminė. Zenith Blueprint, 23 žingsnis, paaiškina elgsenos reikalavimą, kuris slypi už privatumo ir AII apsaugos:

„Darbuotojai turi suprasti, kas yra AII, kaip pranešti apie netinkamą naudojimą ir kokia praktika yra draudžiama – ne teisiniais terminais, o kasdienės elgsenos lygmeniu.“

Šis sakinys tiksliai nusako, ko pasigenda daugelis PIMS įgyvendinimų. Privatumo politikos gali būti teisiniai artefaktai, tačiau privatumo mokymai turi būti veiklos lygmens.

Sukurkite vaidmenimis pagrįstą PIMS mokymų matricą

Naudingiausias privatumo mokymų valdysenos artefaktas yra vaidmenimis pagrįsta mokymų matrica. Ji susieja vaidmenį, AII poveikį, pagrindines rizikas, privalomus mokymus, laiką ir įrodymus.

Privatumo mokymų, informuotumo ugdymo ir kompetencijos politika to reikalauja prieš priskiriant PIMS atsakomybes. 4.3.1 punktas nurodo:

„[Visi] Privatumo vadovas / PIMS vadovas PRIVALO REG11 apibrėžti vaidmenimis pagrįstų privatumo mokymų temas prieš priskirdamas PIMS atsakomybes vaidmeniui.“

Praktinė matrica turėtų atrodyti taip:

Ši matrica taip pat padeda užtikrinti duomenų valdytojo ir duomenų tvarkytojo vaidmenų aiškumą. SaaS teikėjui, veikiančiam kaip duomenų tvarkytojas, reikia mokymų apie dokumentuotus kliento nurodymus, subtvarkytojų pasitelkimą, pagalbą dėl duomenų saugumo pažeidimų, grąžinimą ir ištrynimą bei toliau perduodamas prievoles. Ta pati organizacija, veikdama kaip duomenų valdytojas žmogiškųjų išteklių ir rinkodaros srityse, turi mokytis apie teisinį pagrindą, privatumo pranešimus, sutikimą, kai jis taikomas, duomenų subjektų teises ir saugojimą.

Šis skirtumas svarbus, nes GDPR Article 4 atskiria duomenų valdytojus ir duomenų tvarkytojus, o ISO/IEC 27701:2025 tikisi, kad šie privatumo vaidmenys bus suprantami veiklos lygmeniu.

Naudokite įvedimo į darbą, metinius ir įvykių inicijuojamus mokymus

PIMS mokymų programa turi atsakyti į tris laiko klausimus: kas vyksta žmogui prisijungus prie organizacijos, kas vyksta kasmet ir kas vyksta pasikeitus rizikai.

Privatumo mokymų, informuotumo ugdymo ir kompetencijos politika nustato bazę. 4.2.1 punktas reikalauja:

„[Visi] Privatumo vadovas / PIMS vadovas PRIVALO per 10 darbo dienų nuo įvedimo į darbą REG11 priskirti bazinius privatumo informuotumo mokymus darbuotojams, turintiems prieigą prie AII arba PIMS atsakomybes.“

4.2.3 punktas papildo:

„[Visi] Privatumo vadovas / PIMS vadovas PRIVALO REG11 priskirti metinius privatumo žinių atnaujinimo mokymus bent kartą per 12 mėnesių.“

SME Informacijos saugumo informuotumo ugdymo ir mokymo politika sustiprina aktualumo ir praktiškumo reikalavimą. 6.1.1 punktas nurodo:

„Medžiaga turi būti praktiška, tinkama vaidmeniui ir atnaujinama kasmet.“

Brandesnis žingsnis yra įvykių inicijuojami mokymai. Tos pačios SME politikos 6.5.1 punktas nurodo:

„Pasikeitus darbo vaidmenims arba įdiegus sistemas, gali būti reikalingi tiksliniai informuotumo mokymai (pvz., saugus failų bendrinimas, nauji duomenų apsaugos ir duomenų kiekio mažinimo reikalavimai).“

Čia privatumo mokymai tampa grindžiami rizika. Klientų aptarnavimo specialistas, paaukštintas į komandos vadovą, gali įgyti prieigos tvirtinimo pareigas. Nauja CRM sistema gali įtraukti eksportus, integracijas, saugojimo laukus ir poveikį duomenų subjektų prašymams. Nauja analitikos priemonė gali sukelti sekimo, profiliavimo arba sutikimo pasekmių. Naujas darbo užmokesčio tiekėjas gali lemti duomenų tvarkytojo deramą patikrinimą ir tarpvalstybinio perdavimo reikalavimus.

Mokymai turi būti inicijuojami šių pokyčių metu, o ne atidedami iki metinio žinių atnaujinimo.

Organizacijos lygmens Informacijos saugumo informuotumo ugdymo ir mokymo politika papildo aiškiu užbaigimo terminu. 6.1.3 punktas nurodo:

„Vaidmenimis pagrįsti mokymai (pvz., administratoriams, kūrėjams, vykdomiesiems vadovams) turi būti priskirti ir užbaigti per 60 dienų nuo vaidmens priskyrimo arba sistemos privilegijų pakėlimo.“

Didelės rizikos AII vaidmenims daugelis organizacijų pasirenka trumpesnius terminus, tačiau principas tas pats: vaidmenimis pagrįsti mokymai seka paskui atsakomybę.

Kaip REG11 padeda uždaryti audito išvadą

Apsvarstykite realistišką vidaus audito išvadą:

„Klientų aptarnavimo darbuotojai gali pasiekti klientų AII ir gali gauti duomenų subjektų prieigos prašymus, tačiau nėra įrodymų apie vaidmenimis pagrįstus privatumo mokymus aptarnavimo specialistams ar komandos vadovams.“

Clarysec įgyvendinimo komanda tokią išvadą uždarytų penkiais žingsniais.

Pirma, Privatumo vadovas sukuria REG11 mokymų auditoriją „Klientų aptarnavimo AII tvarkytojai“. Įrodymų savininkas yra Aptarnavimo operacijų vadovas. Mokymų tipas – „Vaidmenimis pagrįsti privatumo mokymai“. Baigimo terminas – 30 dienų. Susietos atsakomybės apima tapatybės patikrinimą, užklausų minimizavimą, saugius priedus, DSAR atpažinimą ir įtariamo pažeidimo eskalavimą.

Antra, Privatumo vadovas susieja turinį su politikos reikalavimais, įskaitant Privatumo mokymų, informuotumo ugdymo ir kompetencijos politikos 4.3.1 punktą ir organizacijos lygmens Informacijos saugumo informuotumo ugdymo ir mokymo politikos 6.1.3 punktą.

Trečia, mokymuose naudojamas scenarijais pagrįstas testavimas:

Ketvirta, užbaigimas registruojamas REG11: besimokantysis, vaidmuo, modulis, baigimo laiko žyma, testo arba scenarijaus balas, patvirtinimas, vėlavimo būsena, žinių atnaujinimo data ir įrodymų savininkas.

Privatumo mokymų, informuotumo ugdymo ir kompetencijos politikos 4.4.1 punktas reikalauja:

„[Visi] Privatumo vadovas / PIMS vadovas PRIVALO REG11 saugoti mokymų priskyrimo, užbaigimo, vėlavimo, patvirtinimo ir žinių atnaujinimo įrodymus kiekvienai privalomai privatumo mokymų veiklai.“

Penkta, audito išvada uždaroma įrodymais: REG11 eksportu, mokymų medžiaga, dalyvavimo įrašais, testų rezultatais, aptarnavimo procedūros atnaujinimu ir vidaus eskalavimo keliu.

Svarbiausia ne tai, kad aptarnavimo komanda gavo skaidrių rinkinį. Svarbiausia tai, kad konkrečiam vaidmeniui skirta kompetencija buvo priskirta, patikrinta, pagrįsta įrodymais ir susieta su PIMS pareigomis.

Kelių atitikties režimų vertė: GDPR, NIS2, DORA, NIST ir COBIT

Vaidmenimis pagrįsti privatumo mokymai nėra tik ISO/IEC 27701:2025 klausimas. Tai kelių atitikties režimų kontrolės priemonė.

GDPR suteikia privatumo turinį. Article 5(2) reikalauja atskaitomybės. Article 32 reikalauja tinkamų techninių ir organizacinių priemonių tvarkymo saugumui užtikrinti. Article 39(1)(b) taip pat numato, kad informuotumo didinimas ir darbuotojų mokymai yra DAP stebėsenos vaidmens dalis, kai DAP yra paskirtas.

Organizacijos lygmens Informacijos saugumo informuotumo ugdymo ir mokymo politika tai pripažįsta 11.4.1 punkte:

„Article 32 – Tvarkymo saugumas: įpareigoja, kad darbuotojai, tvarkantys asmens duomenis, būtų apmokyti atpažinti rizikas asmens informacijai, užkirsti joms kelią ir apie jas pranešti. Ši politika užtikrina, kad duomenų tvarkytojai ir visi susiję vaidmenys būtų atitinkamai apmokyti.“

NIS2 papildo kibernetiniu atsparumu. Article 20 reikalauja, kad esminių ir svarbių subjektų valdymo organo nariai dalyvautų kibernetinio saugumo mokymuose, ir skatina reguliarius darbuotojų mokymus. Article 21(2)(i) tarp rizikos valdymo priemonių įtraukia bazines kibernetinės higienos praktikas ir kibernetinio saugumo mokymus.

DORA papildo finansų sektoriaus specifiškumu. Article 13 reikalauja, kad finansų sektoriaus subjektai palaikytų skaitmeninės veiklos atsparumo mokymo programas kaip žmogiškųjų išteklių politikos dalį. Article 5 taip pat nustato IRT rizikos valdysenos pareigas valdymo organui. Finansų sektoriaus subjektams DORA tiesiogiai taikoma nuo 2025 m. sausio 17 d. ir veikia kaip sektoriui skirtas Sąjungos teisės aktas ten, kur jis persidengia su NIS2 IRT rizikos ir pranešimo apie incidentus įpareigojimais.

NIST CSF 2.0 suteikia organizacinį sluoksnį. GOVERN funkcija tikisi, kad teisiniai, reglamentavimo, sutartiniai, privatumo ir pilietinių laisvių įpareigojimai bus suprasti ir valdomi. PROTECT funkcija apima informuotumą ir mokymus per PR.AT-01 personalo informuotumui ir PR.AT-02 specializuotiems vaidmenų mokymams.

COBIT 2019 orientuojasi į valdyseną ir pajėgumą. APO07 palaiko žmogiškųjų išteklių valdymą, BAI05.07 palaiko įgūdžių ugdymą, APO13.01 palaiko saugumo valdymą, o DSS06.08 palaiko duomenų privatumo valdymą. COBIT požiūriu privatumo mokymai turi būti susieti su darbuotojų pajėgumu, valdysenos tikslais, vadovybės peržiūra ir korekciniais veiksmais.

Zenith Controls šias gijas sujungia. Ji susieja 6.3 kontrolės priemonę su GDPR mokymų ir informuotumo lūkesčiais, NIS2 Article 21(2)(i), DORA Article 13, NIST SP 800-53 informuotumo ir mokymo kontrolės priemonėmis bei COBIT įgūdžių ir darbo politikos tikslais. Ji susieja 5.2 kontrolės priemonę su GDPR atskaitomybe ir DAP užduotimis, NIS2 organizacinėmis priemonėmis, DORA valdysenos atsakomybėmis, NIST vaidmenų priskyrimu ir COBIT valdysenos struktūromis. Ji susieja 5.34 kontrolės priemonę su GDPR saugumu ir privatumu pagal projektą, NIS2 saugumo politikomis, DORA duomenų konfidencialumu, NIST privatumo kontrolės priemonėmis ir COBIT privatumo valdymu.

Verslo nauda – efektyvumas. Viena valdoma mokymų sistema gali pateikti įrodymus kelioms sistemoms, užuot vertusi komandas palaikyti atsietas atitikties programas.

Papildomos ISO gairės, stiprinančios programą

Vaidmenimis pagrįsti PIMS mokymai tampa stipresni, kai susiejami su susijusiomis ISO gairėmis.

ISO/IEC 27005:2024 žmogiškojo veiksnio rizikas, įskaitant fišingą, socialinę inžineriją ir aplaidų elgesį, laiko rizikos šaltiniais, kuriuos reikia valdyti. Todėl mokymai yra rizikos tvarkymo priemonė, o ne administracinė užduotis.

ISO/IEC 27035-1:2023 pabrėžia informuotumo svarbą incidentų valdymui. Darbuotojai turi atpažinti incidentus ir apie juos pranešti, įskaitant įtariamą netinkamą AII naudojimą arba atsitiktinį atskleidimą. Privatumo srityje tai kritiškai svarbu, nes pažeidimo vertinimo terminai dažnai prasideda tada, kai organizacija sužino apie problemą.

ISO/IEC 27017 palaiko debesijai būdingą vaidmenų aiškumą. Debesijos komandoms reikia mokymų apie bendros atsakomybės modelį, konfigūraciją, prieigos valdymą, atsarginių kopijų atsakomybes, žurnalų tvarkymą, stebėseną ir eskalavimą.

ISO/IEC 27018 palaiko AII apsaugą viešosios debesijos aplinkose. Debesijos paslaugų teikėjai ir klientai turėtų mokyti darbuotojus apie kliento nurodymus, neautorizuotą naudojimą, AII grąžinimą ir ištrynimą bei pagalbą dėl duomenų saugumo pažeidimų.

ISO/IEC 29100 pateikia privatumo principus, tokius kaip sutikimas, apribojimas, skaidrumas, minimizavimas ir atskaitomybė. Šie principai padeda teisinę kalbą paversti praktine elgsena.

ISO/IEC 27014 palaiko valdysenos delegavimą ir sprendimų priėmimą, o tai svarbu, kai vykdomiesiems vadovams, privatumo vadovams, rizikos savininkams ir sistemų savininkams reikia skirtingo mokymų gylio.

ISO/IEC 27036-2 palaiko tiekėjų santykių atsakomybes. Pirkimų funkcijai ir tiekėjų savininkams reikia privatumo mokymų, nes duomenų tvarkytojų sutartys, subtvarkytojų grandinės, audito teisės ir incidentų nuostatos daro įtaką realiai rizikai.

Ką auditoriai iš tikrųjų testuoja

Privatumo mokymų programa yra pagrindžiama tik tada, kai atlaiko testavimą.

Į ISO orientuotas auditorius pradės nuo taikymo srities, vaidmenų, kompetencijos, informuotumo ir įrašų. Jis gali atrinkti naujai priimtus darbuotojus, kūrėjus, privilegijuotus naudotojus, žmogiškųjų išteklių personalą, aptarnavimo specialistus, pirkimų savininkus, rangovus ir reagavimo į incidentus specialistus.

PIMS auditorius tikrins privatumo turinį. Jis gali klausti, ar darbuotojai supranta AII, DSAR atpažinimą, duomenų valdytojo ir duomenų tvarkytojo pareigas, tvarkymo nurodymus, pažeidimų eskalavimą ir draudžiamas praktikas.

Į NIST orientuotas vertintojas ieškos bendro informuotumo, specializuotų vaidmenų mokymų, mokymų įrašų ir stebimų spragų. Jis gali palyginti esamus ir tikslinius profilius bei peržiūrėti veiksmų planus.

COBIT auditorius vertins, ar mokymai palaiko valdysenos tikslus ir darbuotojų pajėgumą. Jis gali klausti, ar vadovybė peržiūri užbaigimo rodiklius, vėluojančius mokymus, fišingo simuliacijų tendencijas, pranešimo apie incidentus elgseną ir korekcinius veiksmus.

ISACA ITAF stiliaus auditorius gali sutelkti dėmesį į veikimo įrodymus: užbaigimo rodiklius, testų balus, interviu, simuliacijų rezultatus, incidentų tendencijas ir vadovybės veiksmus.

Zenith Controls 6.3 kontrolės priemonei šį audito požiūrį užfiksuoja aiškiai. Auditoriai gali peržiūrėti mokymo programas, grafikus, medžiagą, dalyvavimo įrašus, baigimo pažymėjimus, darbuotojų interviu, fišingo simuliacijų rezultatus ir tokius rodiklius kaip užbaigimo rodikliai bei testų balai. Praktinis interviu testas dažnai yra lemiamas: ar darbuotojai gali paaiškinti, ką darytų gavę įtartiną pranešimą, įtarę neautorizuotą AII prieigą arba gavę privatumo prašymą?

Įrodymai nėra vien skaičiuoklė. Tai ir tai, ar žmonės žino, ką daryti.

Dažnos PIMS mokymų neatitiktys

Clarysec įgyvendinimai atskleidžia pasikartojančias privatumo mokymų spragas:

• Mokymai egzistuoja, bet yra bendriniai, o ne vaidmenimis pagrįsti.
• AII tvarkytojai nėra aiškiai identifikuoti.
• Rangovai ir trečiosios šalys, turinčios AII arba sistemos prieigą, neįtraukiami.
• Kūrėjai gauna saugaus programavimo mokymus, bet ne mokymus apie privatumą pagal projektą ar testavimo duomenų apribojimus.
• Aptarnavimo komandos mokomos paslaugos kokybės, bet ne DSAR atpažinimo ar atsitiktinio atskleidimo.
• Žmogiškųjų išteklių komanda tvarko jautrius darbuotojų duomenis neturėdama konkrečiam vaidmeniui skirtų privatumo mokymų įrodymų.
• Pirkimų funkcija derasi dėl tiekėjų sutarčių neturėdama mokymų apie duomenų tvarkytojus ar subtvarkytojus.
• Reagavimo į incidentus specialistai žino kibernetinio eskalavimo tvarką, bet ne asmens duomenų saugumo pažeidimo triažą.
• Nauji darbuotojai baigia saugumo mokymus, bet privatumo mokymai vėluoja.
• Vaidmenų pakeitimai ir naujos sistemos neinicijuoja tikslinių mokymų.
• Užbaigimas stebimas, bet trūksta vėlavimo, patvirtinimo ir žinių atnaujinimo įrodymų.
• Vadovybė gauna informacines suvestines, bet nesiima veiksmų dėl spragų.

Duomenų apsaugos ir privatumo politika aiškiai apibrėžia tikėtiną valdymo drausmę. 4.7.3 punktas reikalauja, kad organizacijos:

„Palaikytų darbuotojų konfidencialumo susitarimus ir privatumo informuotumo mokymus.“

SME atveju Duomenų apsaugos ir privatumo politika - SME yra dar tiesesnė. 4.5.2 punktas nurodo:

„Privalo baigti privatumo mokymus“

7.2.2 punktas susieja mokymus su rizikos tvarkymu:

„Mokymai ir informuotumas turi būti naudojami kaip kontrolės priemonės žmogiškajai klaidai duomenų tvarkyme mažinti“

Tai ir yra esmė. Privatumo mokymai yra kontrolės priemonė, skirta rizikai mažinti.

Praktinis įgyvendinimo kontrolinis sąrašas

Įrodymais pagrindžiama privatumo mokymų programa neturi tapti biurokratinė. Jai reikia aiškaus veikimo modelio, kokybiškų įrodymų ir reguliaraus vadovybės dėmesio.

Naudokite šį kontrolinį sąrašą programai sukurti arba patobulinti:

Zenith Blueprint palaiko šį gyvavimo ciklą per lyderystę, taikymo sritį, vaidmenų priskyrimą, kompetenciją, komunikaciją ir kontrolės priemonių įgyvendinimą. „Kontrolės priemonės praktikoje“ fazėje, 15 žingsnyje „Personalo kontrolės priemonės I“, ji rekomenduoja metinius mokymus, konkretiems vaidmenims skirtus modulius, naujų darbuotojų įvedimą, simuliuotą fišingą, biuletenius, komandų instruktažus, dalyvavimo įrodymus ir mokymų išplėtimą rangovams ar trečiosioms šalims, turinčioms sistemos arba duomenų prieigą.

Politikų paketas suteikia valdysenos bazę. Privatumo sričiai skirta mokymų politika suteikia REG11 įrodymų darbo eigą. Duomenų apsaugos politikos apibrėžia atsakomybes ir informuotumo lūkesčius. Zenith Controls pateikia audito ir kelių atitikties režimų susiejimo sluoksnį.

Kartu šios priemonės padeda CISO, Privatumo vadovui, DAP, atitikties vadovui arba žmogiškųjų išteklių savininkui paaiškinti, kodėl viena mokymų programa palaiko ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST ir COBIT lūkesčius.

Paverskite privatumo atskaitomybę kasdiene elgsena

Jei jūsų ISO/IEC 27701:2025 arba GDPR programa remiasi bendriniu metiniu informuotumu, pradėkite nuo paprasto testo. Pasirinkite penkis vaidmenis, kurie dirba su AII: žmogiškųjų išteklių komandą, klientų aptarnavimą, kūrėjus, administratorius ir pirkimus.

Kiekvienam vaidmeniui paklauskite:

• Kokią AII jie tvarko?
• Kokius privatumo sprendimus jie priima?
• Kokios klaidos galėtų sukurti GDPR arba PIMS riziką?
• Kokius mokymus jie baigė?
• Kur yra įrodymai?
• Ar jie šiandien žinotų, kaip eskaluoti įtariamą AII incidentą?
• Ar mokymai buvo atnaujinti po sistemų pakeitimų, incidentų arba audito išvadų?

Jeigu negalite į šiuos klausimus atsakyti remdamiesi dokumentuotais įrodymais, mokymų programa dar nėra pagrindžiama.

Clarysec padeda organizacijoms pereiti nuo užbaigimo procentų prie išmatuojamos kompetencijos. Naudokite Privatumo mokymų, informuotumo ugdymo ir kompetencijos politiką, Informacijos saugumo informuotumo ugdymo ir mokymo politiką, Informacijos saugumo informuotumo ugdymo ir mokymo politiką - SME, Duomenų apsaugos ir privatumo politiką, Duomenų apsaugos ir privatumo politiką - SME, Zenith Blueprint ir Zenith Controls, kad sukurtumėte auditui tinkamą PIMS mokymų programą, paverčiančią privatumo atskaitomybę kasdiene elgsena.

Atsisiųskite politikų paketą, susiekite savo vaidmenis su REG11 ir suplanuokite Clarysec vertinimą, kad įrodytumėte, jog jūsų darbuotojai ne tik supranta privatumą. Jie yra kompetentingi, atskaitingi ir pasirengę auditui.