Subtvarkytojų pokyčių valdysena SaaS ir MSP organizacijoms

Sarah, sparčiai augančio FinTech SaaS teikėjo CISO, atidarė iš pažiūros įprastą kritinės infrastruktūros tiekėjo pranešimą apie paslaugos atnaujinimą. Po „paslaugų optimizavimo“ antrašte buvo paslėptas vienas sakinys, pakeitęs jos savaitę:

„Siekiant pagerinti analizės našumą, duomenų tvarkymo darbo krūviai po 30 dienų bus perkelti mūsų naujam partneriui DataCrunch Analytics.“

Trisdešimt dienų. Naujas analizės partneris. Greita patikra parodė, kad teikėjas yra įsisteigęs už ES ribų.

Inžinerijos komanda tai vertino kaip įprastą tiekėjo patobulinimą. Pirkimų komanda manė, kad tai apima esamas susitarimas. Klientų sėkmės komanda nebuvo suplanavusi jokios pranešimų kampanijos. Teisės komanda nebuvo įvertinusi perdavimo pasekmių. Sarah iš karto pamatė tikrąją problemą: jos įmonė veikė kaip duomenų tvarkytojas šimtams finansų įstaigų visoje Europoje. Tie klientai pagal GDPR buvo duomenų valdytojai. Kai kurie buvo susiderėję dėl išankstinio pranešimo apie naujus subtvarkytojus. Kai kurie turėjo prieštaravimo teisę. Keli turėjo DORA grindžiamų užsakomųjų paslaugų ir sutartinių susitarimų su trečiųjų šalių IRT paslaugų teikėjais prievolių. Keliems buvo taikomos griežtos vietos deklaracijos, kurių nebuvo galima tyliai pakeisti.

Būtent tada daugelis SaaS teikėjų, MSP, MSSP ir debesijos paslaugų teikėjų supranta, kad subtvarkytojų valdysena nėra administracinė privatumo užduotis. Tai yra tiekėjų rizikos valdymas, sutartinė atitiktis, operacinis atsparumas, komunikacija su klientais ir audito įrodymai vienoje darbo eigoje.

Viešo subtvarkytojų puslapio nepakanka. Tiekėjo pastabos smulkiu šriftu nepakanka. Saugumo klausimyno nepakanka. Pagrindžiamas procesas turi parodyti, kas įvertino subtvarkytoją, kokie duomenys tvarkomi, kuriems klientams daromas poveikis, kurie susitarimai reikalauja pranešimo, ar prieštaravimai buvo išspręsti prieš pradedant naudojimą, kaip susieti tarptautinio perdavimo įrodymai ir kur saugomi galutiniai įrodymai.

Clarysec tai traktuoja kaip valdomą kontrolės modelį, o ne kaip ad hoc el. laiškų grandinę. Darbo eiga per Clarysec politikas, Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planą ir Zenith Controls: kelių atitikties režimų vadovą sujungia privatumo valdymą, tiekėjų patikinimą, teisinę peržiūrą, IRT tiekimo grandinės riziką, pranešimus klientams ir audito įrodymus.

Kodėl subtvarkytojų pokyčiai yra didelės rizikos tiekėjų įvykiai

Subtvarkytojo pakeitimas gali per naktį pakeisti paslaugos rizikos profilį. Jis gali pakeisti, kur saugomi klientų asmens duomenys, iš kur jie pasiekiami, kas turi privilegijuotąją techninės pagalbos prieigą, kiek laiko saugomi žurnalai, kaip eskaluojami incidentai, kokios šifravimo atsakomybės taikomos ir ar reikalinga nauja tarptautinio perdavimo priemonė.

SaaS ir valdomų paslaugų teikėjams subtvarkytojai dažnai yra produkto teikimo grandinės dalis. Tai gali būti debesijos prieglobos paslaugų teikėjai, užklausų valdymo platformos, el. pašto pristatymo paslaugos, AI analizės priemonės, foninių užduočių platformos, stebimumo tiekėjai, pagalbos priemonės, mokėjimų tvarkytojai, valdomų saugumo paslaugų teikėjai ir duomenų praturtinimo paslaugos. Daugelis šių teikėjų tvarko klientų asmens duomenis net tada, kai komandos juos apibūdina kaip „infrastruktūros“ arba „operacijų“ priemones.

Pagal GDPR tai svarbu, nes Article 28 reikalauja, kad duomenų tvarkytojai valdytų paskesnius duomenų tvarkytojus remdamiesi duomenų valdytojo leidimu. Jei taikomas bendras rašytinis leidimas, duomenų tvarkytojas privalo informuoti duomenų valdytoją apie numatomą subtvarkytojų pasitelkimą arba pakeitimą ir suteikti duomenų valdytojui galimybę pareikšti prieštaravimą. Article 28(4) taip pat reikalauja subtvarkytojui nustatyti lygiavertes duomenų apsaugos prievoles. Article 5(2) papildomai įtvirtina atskaitomybės principą, reiškiantį, kad organizacija turi gebėti įrodyti atitiktį, o ne tik ją deklaruoti.

DORA padidina reikšmę finansinių paslaugų sektoriuje. Finansų sektoriaus subjektai privalo valdyti sutartinių susitarimų su trečiųjų šalių IRT paslaugų teikėjais riziką kaip neatskiriamą IRT rizikos valdymo dalį. Jie turi tvarkyti sutartinių susitarimų registrus, vertinti koncentracijos riziką, suprasti subtiekimo grandines, apibrėžti sutartines apsaugos priemones, užtikrinti audito ir prieigos teises, palaikyti bendradarbiavimą incidentų atveju ir planuoti pasitraukimą. Net jei SaaS teikėjas tiesiogiai nėra finansų sektoriaus subjektas, jo finansų sektoriaus klientai tikėsis įrodymų, nes jie patys turi atitikti DORA.

NIS2 praplečia perspektyvą iki tiekimo grandinės saugumo ir vadovybės atskaitomybės. Article 21 reikalauja tinkamų techninių, operacinių ir organizacinių priemonių, įskaitant tiekimo grandinės saugumą, incidentų valdymą, veiklos tęstinumą, prieigos kontrolę, turto valdymą, saugų įsigijimą ir priežiūrą bei veiksmingumo vertinimą. Article 20 priežiūros atsakomybę nustato valdymo organams. Debesijos paslaugų teikėjams, valdomų paslaugų teikėjams, valdomų saugumo paslaugų teikėjams, duomenų centrų paslaugų teikėjams, patikimumo užtikrinimo paslaugų teikėjams, internetinėms prekyvietėms, paieškos sistemoms ir tam tikroms ryšių paslaugoms subtvarkytojų matomumas tampa kibernetinio saugumo valdysenos dalimi.

ISO/IEC 27001:2022 ir ISO/IEC 27701:2025 tai paverčia operaciniu reikalavimu. ISO/IEC 27001:2022 reikalauja, kad ISVS suprastų kontekstą, suinteresuotųjų šalių reikalavimus, rizikas, rizikos tvarkymo planus, operacines kontrolės priemones ir dokumentuotą informaciją. ISO/IEC 27701:2025 išplečia šią valdymo sistemos discipliną į privatumo informacijos valdymą. Į duomenų tvarkytojo vaidmenį orientuota PIMS turi parodyti, kad paskesnis klientų asmens duomenų tvarkymas yra suprastas, kontroliuojamas, sutartiškai valdomas, stebimas ir pagrįstas įrodymais.

Clarysec modelis: registruoti, vertinti, pranešti, valdyti prieštaravimus, sutarti, susieti perdavimus, saugoti įrodymus

Stipriausias subtvarkytojų valdysenos modelis yra pakankamai paprastas, kad jį galėtų taikyti operacinės komandos, ir pakankamai griežtas, kad auditoriai galėtų jį testuoti. Clarysec taiko septynis veiksmus:

1. Registruoti kiekvieną esamą ir siūlomą subtvarkytoją.
2. Prieš naudojimą įvertinti privatumo, saugumo, atsparumo ir priklausomybės riziką.
3. Informuoti klientus pagal taikomą susitarimą.
4. Valdyti prieštaravimus per sutartą laikotarpį.
5. Atnaujinti DPA, saugumo priedą ir perduodamąsias prievoles.
6. Susieti prieglobos, tvarkymo vietos ir tarptautinio perdavimo įrodymus.
7. Saugoti įrodymus privatumo ir tiekėjų registruose.

Pirmasis operacinis pagrindas yra Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politika. Joje nustatyta:

[Duomenų tvarkytojas] Tiekėjų / pirkimų proceso savininkas PRIVALO prieš naudojimą REG08 tvarkyti naudojamų subtvarkytojų ir subrangovų, kurie tvarko klientų asmens duomenis, sąrašą ir per 10 darbo dienų po patvirtinto pakeitimo atnaujinti REG08.

Ši nuostata subtvarkytojų sąrašą paverčia valdomu registru. Ji taip pat aiškiai nustato terminus: REG08 atnaujinamas prieš naudojimą, o po patvirtinto pakeitimo atnaujinamas per 10 darbo dienų.

Ta pati politika užtikrina, kad pranešimas klientui būtų audituojamas:

[Duomenų tvarkytojas] Tiekėjų / pirkimų proceso savininkas PRIVALO prieš naudojimą informuoti klientą apie numatomus naujus arba keičiamus subtvarkytojus pagal taikomą kliento susitarimą ir REG08 užregistruoti pranešimą, prieštaravimo laikotarpį ir rezultatą.

Tai yra detalė, kurios trūksta daugelyje programų. Klausimas nėra tik tai, ar buvo atnaujintas viešas puslapis. Klausimas yra tai, ar tinkami klientai buvo informuoti reikalaujamu būdu, prieš subtvarkytojui pradedant tvarkyti jų asmens duomenis, ir ar prieštaravimo laikotarpis bei rezultatas išsaugoti kaip įrodymai.

Politika taip pat susieja pokyčių valdyseną su deramu patikrinimu:

[Visi] Tiekėjų / pirkimų proceso savininkas PRIVALO REG08 užbaigti privatumo deramo patikrinimo įrodymus prieš pasirinkdamas, atnaujindamas arba iš esmės keisdamas bet kokius santykius su duomenų tvarkytoju, subtvarkytoju ar trečiąja šalimi, kuri tvarko arba pasiekia asmens duomenis.

Esminis pokytis gali apimti infrastruktūros pakeitimą, paskesnio analizės teikėjo pasitelkimą, prieglobos regionų perkėlimą, techninės pagalbos prieigos iš naujos šalies įgalinimą, duomenų kategorijų išplėtimą arba paslaugos duomenų saugojimo elgsenos pakeitimą.

Galiausiai politika uždaro sutartinių perduodamųjų prievolių spragą:

[Duomenų tvarkytojas] Tiekėjų / pirkimų proceso savininkas PRIVALO užtikrinti, kad kiekvienoje sutartyje su subtvarkytoju būtų nustatytos perduodamosios privatumo, saugumo, pagalbos, grąžinimo, ištrynimo, incidentų valdymo sąsajos ir perdavimo sąsajos prievolės prieš subtvarkytojui pradedant tvarkyti asmens duomenis.

Tai svarbu, nes bendras saugumo priedas ne visada yra pakankamas. Duomenų tvarkytojui taikomos konkrečios prievolės turi būti perduotos paskesniems subjektams prieš pradedant tvarkymą.

Kur Clarysec politikos sujungia privatumą, tiekėjus ir perdavimus

Subtvarkytojų valdysena veikia tik tada, kai privatumas, teisė, tiekėjų saugumas ir operacinių pokyčių valdymas naudoja tą pačią įrodymų grandinę.

Teisinės ir reguliacinės atitikties politika - SME nustato taisyklę prieš dalijimąsi duomenimis:

Duomenų tvarkymo sutarties sąlygos arba lygiavertės sutartinės sąlygos turi būti suderintos prieš dalijantis bet kokiais asmens arba jautriais duomenimis.

Įmonės aplinkoms Teisinės ir reguliacinės atitikties politika detalizuoja įrodymų lūkesčius, reikalaudama:

Subtvarkytojų atskleidimų ir geografinių duomenų perdavimo deklaracijų

Ji taip pat nustato valdysenos inicijavimo sąlygas, susijusias su:

Duomenų perdavimo priemonių, subtvarkytojų arba tarpvalstybinių duomenų srautų pakeitimais

Trečiųjų šalių ir tiekėjų saugumo politika nustato:

Subrangovai gali būti pasitelkiami tik gavus išankstinį rašytinį sutikimą

Mažesnėms organizacijoms Trečiųjų šalių ir tiekėjų saugumo politika - SME pateikia pritaikomą versiją:

Tolesnės subrangos apribojimai be patvirtinimo

Ji taip pat aiškiai nustato tiekėjo pokyčio pakartotinį vertinimą:

Visi tiekėjo pokyčiai, įskaitant nuosavybę, paslaugos tipą, prieglobos vietą arba subrangą, turi būti pakartotinai įvertinti dėl rizikos poveikio ir sutartinės reikšmės.

Duomenų apsaugos ir privatumo politika apima:

Subtvarkytojų patvirtinimo reikalavimus

Tiekėjų priklausomybės rizikos valdymo politika papildo atsparumo perspektyvą:

Subrangovų atskleidimas: tiekėjas privalo informuoti mus apie pagrindinius subrangovus ir bet kokius jų pokyčius, ypač kai jie sukuria papildomus priklausomybės sluoksnius.

Kartu šios politikos sukuria išsamią veiklos taisyklę: jokių asmens duomenų perdavimo be sutartinių sąlygų, jokių paslėptų subtvarkytojų, jokios nevaldomos subrangos, jokių neįvertintų prieglobos ar vietos pokyčių ir jokio patvirtinimo be perdavimo įrodymų, kai jie aktualūs.

Kaip Zenith Controls apibrėžia tiekėjų kontrolės priemonių rinkinį

Zenith Controls Clarysec subtvarkytojų pokyčių valdyseną pirmiausia susieja su ISO/IEC 27002:2022 tiekėjų ir teisinių kontrolės priemonių rinkiniu. Tai svarbu, nes parodo, kad subtvarkytojų valdysena nėra vien privatumo procesas. Tai taip pat yra informacijos saugumo, tiekėjų valdymo, teisės ir atsparumo kontrolės priemonė.

Zenith Controls 5.22 kontrolę „Tiekėjų paslaugų stebėsena, peržiūra ir pokyčių valdymas“ apibūdina kaip prevencinę kontrolės priemonę, palaikančią konfidencialumą, vientisumą ir prieinamumą, suderintą su kibernetinio saugumo identifikavimo koncepcija ir operacinėmis galimybėmis tiekėjų santykių saugumui bei informacijos saugumo patikinimui. Būtent to reikalauja subtvarkytojo pakeitimas: identifikuoti pokytį, iš naujo įvertinti riziką, patvirtinti sutartinę aprėptį ir išsaugoti patikinimo įrodymus.

5.20 kontrolės kontekste Zenith Controls tiekėjų susitarimus apibrėžia kaip prevencines kontrolės priemones, apimančias konfidencialumą, vientisumą ir prieinamumą. Čia priskiriamos DPA sąlygos, saugumo priedai, subrangos nuostatos, audito teisės, pagalba incidentų atveju, grąžinimas ir ištrynimas bei su perdavimais susijusios prievolės.

5.21 kontrolės kontekste tiekimo grandinės perspektyva svarbi, nes subtvarkytojas gali sukurti ketvirtųjų šalių riziką. SaaS tiekėjas gali remtis infrastruktūros teikėju, kuris remiasi duomenų analizės teikėju, kuris savo ruožtu remiasi kitu debesijos regionu arba pagalbos partneriu. Organizacija turi pakankamai gerai suprasti grandinę, kad galėtų valdyti riziką, klientų įsipareigojimus ir pasitraukimo galimybes.

30 žingsnių veiksmų planas: kaip politiką paversti operacine procedūra

Zenith Blueprint tiekėjų ir paskesnę riziką priskiria 23 žingsniui – organizacinėms kontrolės priemonėms. Jame paaiškinama, kad tiekėjų susitarimai paprastai apima konfidencialumą, prieigos kontrolę, technines ir organizacines priemones, pranešimo apie incidentus terminus, teisę atlikti auditą, subrangovų kontrolės priemones ir sutarties pabaigos nuostatas. Blueprint pateikia kritiškai svarbią mintį:

Susitarimo struktūra yra svarbi. Šios nuostatos gali būti pagrindinėje paslaugų sutartyje, atskiroje duomenų tvarkymo sutartyje (DPA) arba atskirame saugumo priede. Svarbiausia, kad jos egzistuotų ir kad abi šalys jas suprastų bei priimtų.

Blueprint taip pat nurodo komandoms, kaip elgtis su subrangovais:

Kiekvienam kritiniam tiekėjui nustatykite, ar jis naudoja subrangovus (subtvarkytojus), kurie gali pasiekti jūsų duomenis ar sistemas. Dokumentuokite, kaip jūsų informacijos saugumo reikalavimai perduodami šioms šalims – per jūsų tiekėjo sutartines sąlygas arba per jūsų tiesiogines nuostatas.

Tiekėjų pokyčių valdysenai tinkamas operacinis suderinimas yra ISO/IEC 27002:2022 kontrolė 5.22:

Nustatykite paprastą ir plečiamą procedūrą tiekėjų paslaugų pokyčiams (5.22) vertinti, pavyzdžiui, migracijai į debesiją, naujiems subtvarkytojams arba infrastruktūros pertvarkymui. Apibrėžkite inicijavimo sąlygas, kurioms esant būtinas pakartotinis saugumo vertinimas.

Tai suteikia CISO ir DAP praktinį kelią. 23 žingsnis apibrėžia kontrolės tikslą. REG08 fiksuoja duomenų tvarkytojo, subtvarkytojo ir trečiosios šalies privatumo įrodymus. REG09 fiksuoja perdavimo įrodymus. Tiekėjų sutartys, DPA ir pakeitimų užklausos susieja darbo eigą su operacine tikrove.

Praktinė darbo eiga pranešimui apie subtvarkytojo pakeitimą

Subtvarkytojo pakeitimo darbo eiga turi būti nuosekli ir nuspėjama. Kiekvienas etapas turi turėti savininką, įrodymus ir kontrolės tašką, kuris užkerta kelią per ankstyvam naudojimui gamybinėje aplinkoje.

Pagrindinis principas paprastas: kai to reikalauja susitarimas, klientas turi būti informuotas prieš naudojimą. Viešo tinklalapio atnaujinimas po įgyvendinimo gali palaikyti skaidrumą, tačiau jis neįrodo konkretaus kliento informavimo, sutartinio leidimo ar prieštaravimų tvarkymo.

Darbo eigos taikymas Sarah krizės atveju

Sarah gautas tiekėjo pranešimas apie DataCrunch Analytics inicijuoja visą procesą.

Pirma, tiekėjo savininkas atidaro REG08 pakeitimo įrašą. Įraše nurodomi CoreStack, DataCrunch Analytics, paslaugos tikslas, poveikis kliento nuomininkui, tvarkymo vaidmuo, duomenų kategorijos, tvarkymo vietos, techninės pagalbos prieigos modelis, saugojimo laikotarpis ir tai, ar gali būti specialių kategorijų arba reguliuojamų finansinių klientų duomenų.

Antra, privatumo ir saugumo komandos atlieka deramą patikrinimą. Jos peržiūri DataCrunch Analytics technines ir organizacines priemones, šifravimą, prieigos kontrolę, žurnalavimą, pranešimą apie incidentus, ištrynimo galimybes, audito patikinimą, subtvarkytojų sąrašą ir saugumo sertifikatus. Kadangi teikėjas yra už ES ribų, vietos ir perdavimo peržiūra yra privaloma.

Trečia, teisės komanda patikrina, ar klientų DPA taiko konkretų leidimą, ar bendrą leidimą su pranešimu. Klientai suskirstomi į pranešimo grupes: standartiniai klientai su 30 dienų pranešimu, įmonės klientai su 45 dienų prieštaravimo laikotarpiais, klientai, kuriems reikalingas konkretus patvirtinimas, ribojami klientai su vietos apribojimais ir nepaveikti klientai, kurių duomenys nepatenka į analizės darbo krūvį.

Ketvirta, susiejami perdavimo įrodymai. Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politika reikalauja:

[Abi šalys] Tiekėjų / pirkimų proceso savininkas PRIVALO REG08 užregistruoti tvarkymo vietas, prieglobos vietas ir tarptautinio perdavimo indikatorius bei susieti taikomus perdavimo įrodymus su REG09 prieš patvirtindamas duomenų tvarkytoją, subtvarkytoją, vietos pakeitimą arba su perdavimu susijusį paslaugos pakeitimą.

Penkta, klientų sėkmės komanda išsiunčia formalius pranešimus patvirtintais kanalais. Kiekviename pranešime nurodomas numatomas subtvarkytojas, tikslas, duomenų kategorijos, vietos santrauka, įsigaliojimo data, prieštaravimo terminas ir kontaktinis kanalas.

Šešta, prieštaravimai tvarkomi. Jei finansų įstaiga prieštarauja, nes pakeitimas daro poveikį svarbiai ar ypatingos svarbos funkcijai arba perdavimui į trečiąją šalį, Sarah komanda įvertina alternatyvas: neįtraukti nuomininko, išlaikyti seną tvarkymo kelią, reikalauti tik ES techninės pagalbos, pakeisti sutartines apsaugos priemones arba atidėti pakeitimą, kol prieštaravimas bus išspręstas.

Septinta, inžinerijos komanda gauna patvirtinimą tik tiems nuomininkams ir darbo krūviams, kurie praėjo kontrolės tašką. Gamybinės aplinkos pakeitimo užklausa susieja REG08, REG09, teisinį patvirtinimą, pranešimo įrodymus ir bet kokias konkrečiam klientui taikomas išimtis. Po paleidimo gamybinėje aplinkoje atnaujinamas vidinis registras, viešas subtvarkytojų puslapis ir sutarčių saugykla.

Tai yra skirtumas tarp reaktyvaus gaisrų gesinimo ir pagrindžiamos valdysenos.

Kelių atitikties režimų susiejimas vienai įrodymų grandinei

Clarysec pranašumas yra tas, kad viena darbo eiga gali tenkinti kelis standartus ir reguliacinius režimus, jei įrodymai nuo pradžių suprojektuoti tinkamai.

NIST CSF 2.0 naudingas kaip neutralus struktūravimo sluoksnis. Jo GOVERN funkcija apima teisinių, reguliacinių, sutartinių, privatumo ir pilietinių laisvių prievolių supratimą, vaidmenų priskyrimą, politikų nustatymą, veiklos rezultatų peržiūrą ir kibernetinio saugumo tiekimo grandinės rizikos valdymą. GV.SC kategorija tikisi tiekėjų rizikos procesų, tiekėjų kritiškumo, sutartinių kibernetinio saugumo reikalavimų, deramo patikrinimo, gyvavimo ciklo stebėsenos, incidentų planavimo ir veiklų pasibaigus santykiams.

DORA finansų sektoriaus subjektams yra labiau preskriptyvus. Articles 28 to 30 reikalauja sutartinių susitarimų su trečiųjų šalių IRT paslaugų teikėjais rizikos valdymo, sutartinių registrų, svarbių ar ypatingos svarbos funkcijų klasifikavimo, subtiekimo grandinės matomumo, vietos žinojimo, sutartinių apsaugos priemonių, audito teisių, bendradarbiavimo incidentų atveju ir pasitraukimo planavimo. Jei jūsų SaaS platforma palaiko finansų sektoriaus klientus, jūsų subtvarkytojų įrodymai tampa jų DORA įrodymų paketo dalimi.

NIS2 papildomai įtvirtina vadovybės atskaitomybę. Article 20 reikalauja, kad valdymo organai patvirtintų kibernetinio saugumo rizikos valdymo priemones ir prižiūrėtų jų įgyvendinimą. Article 21 reikalauja tiekimo grandinės saugumo ir tiekėjų kibernetinio saugumo praktikų vertinimo. Todėl reikšmingas subtvarkytojo pakeitimas turi būti matomas rizikos ataskaitose, o ne paslėptas pirkimų aplanke.

Ką testuos auditoriai

Brandus subtvarkytojų procesas sukuria tiesią liniją nuo politikos iki įrodymų.

ISO/IEC 27001:2022 auditorius pradės nuo ISVS taikymo srities, suinteresuotųjų šalių reikalavimų, rizikų, Taikytinumo pareiškimo ir operacinių kontrolės priemonių. Tikėtina, kad jis testuos santykius su tiekėjais, tiekėjų susitarimus, IRT tiekimo grandinę, tiekėjų stebėseną ir pokyčių valdymą, teisinius reikalavimus, debesijos paslaugas, privatumo apsaugą, žurnalavimą ir operacinių pakeitimų kontrolę.

ISO/IEC 27701:2025 PIMS auditorius daugiausia dėmesio skirs vaidmenų aiškumui. Ar esate duomenų tvarkytojas, duomenų valdytojas, bendras duomenų valdytojas, ar skirtingose paslaugose atliekate kelis vaidmenis? Dėl duomenų tvarkytojo veiklų jis prašys subtvarkytojų sąrašo, autorizavimo pagrindo, pranešimų įrodymų, prieštaravimų tvarkymo, paskesnių sutarčių, perdavimo įrodymų, pagalbos ištrinant duomenis, incidentų valdymo sąsajos ir stebėsenos įrašų.

GDPR privatumo peržiūrą atliekantis asmuo testuos atskaitomybę. Jis klaus, kas tvarko asmens duomenis, kokiu tikslu, pagal kurį susitarimą, kurioje vietoje, su kokiomis apsaugos priemonėmis ir kokiu skaidrumu klientui. Jei klientas pareiškė prieštaravimą, jis klaus, kas įvyko prieš pradedant tvarkymą.

DORA kliento auditorius klaus, ar subtvarkytojas palaiko svarbią ar ypatingos svarbos funkciją, ar matomos subtiekimo grandinės, ar dokumentuotos duomenų vietos, ar pagalba incidentų atveju sutartiškai garantuota, ar audito teisės perduodamos žemyn, ar buvo apsvarstyta koncentracijos rizika ir ar įmanomas pasitraukimas.

NIS2 vertintojas daugiausia dėmesio skirs tiekimo grandinės saugumui, vadovybės priežiūrai, pasirengimui incidentams ir proporcingoms kontrolės priemonėms. Jis gali klausti, kaip aptinkami tiekėjų pokyčiai, kaip vertinami tiesioginiai tiekėjai, kaip atsižvelgiama į tiekėjų pažeidžiamumus ir kaip eskaluojami incidentai, susiję su paslaugų gavėjais.

Įrodymų rinkinį turi būti lengva atkurti:

• Patvirtintas subtvarkytojo pakeitimo prašymas.
• REG08 deramo patikrinimo įrašas.
• Duomenų kategorijų ir tvarkymo tikslo vertinimas.
• Tvarkymo ir prieglobos vietos įrodymai.
• REG09 perdavimo įrodymai, kai aktualu.
• DPA ir sutartinių perduodamųjų prievolių peržiūra.
• Klientų pranešimų sąrašas, datos, formuluotės ir pristatymo įrodymas.
• Prieštaravimų žurnalas ir sprendimo įrodymai.
• Gamybinės aplinkos pakeitimo užklausa, susieta su patvirtinimu.
• Atnaujintas subtvarkytojų sąrašas ir stebėsenos grafikas.
• Rizikos priėmimas arba išimties patvirtinimas, kai reikia.

Dažniausi kontrolės neveiksmingumo scenarijai

Pirmasis neveiksmingumo scenarijus – subtvarkytojų puslapis laikomas visu procesu. Viešas puslapis palaiko skaidrumą, tačiau jis neįrodo konkretaus kliento informavimo, prieštaravimų tvarkymo ar autorizavimo.

Antrasis neveiksmingumo scenarijus – privatumo, saugumo ir pirkimų įrodymai atskiriami. Privatumo funkcija gali patvirtinti DPA, saugumo komanda gali peržiūrėti SOC 2 ataskaitą, o pirkimai gali įkelti sutartį į bylą, tačiau joks vienas įrašas nesusieja sprendimo.

Trečiasis neveiksmingumo scenarijus – nėra perdavimo sąsajos. Komandos užregistruoja tiekėjo pavadinimą, bet ne tvarkymo vietas, prieglobos vietas, techninės pagalbos vietas, tarptautinio perdavimo indikatorius ar REG09 įrodymus.

Ketvirtasis neveiksmingumo scenarijus – gamybinė aplinka įgalinama prieš pasibaigiant prieštaravimo laikotarpiams. Kai klientų asmens duomenis pradeda tvarkyti naujas subtvarkytojas, organizacija jau gali būti pažeidusi susitarimą.

Penktasis neveiksmingumo scenarijus – silpnos perduodamosios prievolės. Tiesioginis tiekėjas sutinka su griežtomis sąlygomis, tačiau jo paskesni teikėjai nėra įpareigoti lygiavertėmis privatumo, saugumo, pagalbos, grąžinimo, ištrynimo, incidentų, audito ir perdavimo prievolėmis.

Šeštasis neveiksmingumo scenarijus – prastas pokyčių aptikimas. Tiekėjas pakeičia nuosavybę, prieglobos vietą, paslaugos tipą, pagalbos modelį ar subrangovų grandinę, o rizikos niekas iš naujo neįvertina.

Septintasis neveiksmingumo scenarijus – nėra audito pėdsako. Komandos prisimena sprendimą, bet negali įrodyti, kada jis priimtas, kas jį patvirtino, kurie klientai buvo informuoti ir kaip išspręsti prieštaravimai.

Valdymo ataskaitos CISO ir DAP

Subtvarkytojų valdysena turi kurti valdymo informaciją, o ne vien atitikties artefaktus.

Šios ataskaitos atitinka valdymo sistemos modelį. ISO/IEC 27001:2022 tikisi lyderystės, operacinės kontrolės, veiklos rezultatų vertinimo ir nuolatinio tobulinimo. DORA ir NIS2 sustiprina vadovybės atskaitomybę. Subtvarkytojų valdysena turėtų būti matoma privatumo valdymo komiteto posėdžiuose, tiekėjų rizikos peržiūrose, ISVS vadovybės peržiūroje ir IRT rizikos ataskaitose, kai aktualu.

Sukurkite subtvarkytojų pokyčių įrodymų paketą

Pradėkite nuo vieno neseno tiekėjo pakeitimo ir patikrinkite, ar jūsų organizacija gali atsakyti į šiuos klausimus:

• Ar teikėjas buvo identifikuotas kaip duomenų tvarkytojas, subtvarkytojas, tiekėjas, IRT teikėjas arba keli iš jų?
• Ar REG08 arba lygiavertis registras buvo atnaujintas prieš naudojimą?
• Ar buvo užregistruotos tvarkymo vietos ir prieglobos vietos?
• Ar buvo įvertinti tarptautinio perdavimo indikatoriai?
• Ar perdavimo įrodymai buvo susieti su REG09 arba lygiaverte byla?
• Ar sutartyje buvo numatytos perduodamosios privatumo, saugumo, pagalbos, grąžinimo, ištrynimo, incidentų, audito ir perdavimo prievolės?
• Ar klientai buvo informuoti pagal jų susitarimus prieš pradedant tvarkymą?
• Ar prieštaravimo laikotarpiai buvo stebimi ir uždaryti?
• Ar gamybinės aplinkos įgalinimas buvo blokuojamas iki patvirtinimo?
• Ar auditorius galėtų atkurti sprendimų pėdsaką per mažiau nei 30 minučių?

Jei atsakymas yra ne, spraga nėra vien teisinė. Ji yra operacinė, sutartinė, susijusi su tiekėjų rizika, privatumu ir pasirengimu auditui.

Clarysec padeda komandoms greitai uždaryti šią spragą. Naudokite Zenith Blueprint, kad įtrauktumėte subtvarkytojų valdyseną į savo ISVS ir PIMS įgyvendinimo veiksmų planą. Naudokite Zenith Controls, kad susietumėte tiekėjų santykių, tiekėjų susitarimų, IRT tiekimo grandinės, tiekėjų pokyčių, debesijos paslaugų ir teisinių reikalavimų kontrolės priemones pagal ISO/IEC 27001:2022, ISO/IEC 27701:2025, GDPR, DORA, NIS2, NIST CSF 2.0 ir COBIT 2019. Naudokite Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politiką, Trečiųjų šalių ir tiekėjų saugumo politiką, Teisinės ir reguliacinės atitikties politiką, Duomenų apsaugos ir privatumo politiką ir Tiekėjų priklausomybės rizikos valdymo politiką, kad susiejimą paverstumėte kasdieniu vykdymu.

Nelaukite netikėtos pastabos tiekėjo el. laiške. Sukurkite darbo eigą, įrodymų paketą ir kontrolės priemonių žemėlapį dabar, kad kiekvienas subtvarkytojo pakeitimas taptų brandžios valdysenos įrodymu, o ne atitikties krize.