GDPR 72 stundu personas datu aizsardzības pārkāpuma rīcības rokasgrāmata informācijas drošības vadītājiem

Ir otrdiena, pulksten 2:13 naktī, kad nostrādā brīdinājums.

Maria, strauji augošas FinTech SaaS platformas informācijas drošības vadītāja (CISO), pamostas pēc SOC eskalācijas: no izstrādātāja konta tiek veikti anomāli datubāzes vaicājumi. Konts ir piekļuvis tabulām, kurās ir klientu vārdi, e-pasta adreses, darījumu vēsture un valsts identifikācijas numuri. Dažu minūšu laikā komanda apstiprina, ka izstrādātāja piekļuves dati ir nozagti pikšķerēšanas uzbrukumā. Eksponēšanas periods nav skaidrs. Uzbrucēja nolūks nav zināms. Ietekmes apmērs vēl tiek aprēķināts.

Termiņš sākas tagad.

Saskaņā ar GDPR Mariai var būt 72 stundas, lai informētu uzraudzības iestādi, ja incidents var radīt risku fiziskām personām. Saskaņā ar NIS2, ja uzņēmums ir būtiska vai svarīga vienība un incidents ir nozīmīgs, agrīnais brīdinājums var būt jāsniedz 24 stundu laikā, bet formāls paziņojums — 72 stundu laikā. Saskaņā ar DORA var būt piemērojama arī finanšu sektora ziņošana par ar IKT saistītiem incidentiem un digitālās darbības noturības pienākumi. Klienti, apdrošinātāji, juridiskais dienests, vadība un auditori prasīs atbildes.

Šis ir brīdis, kad vispārīgs incidentu reaģēšanas plāns bieži neiztur slodzi. Ļaunatūras rīcības instrukcija var izskaidrot resursdatora izolēšanu. SOC procedūra var izskaidrot žurnālu saglabāšanu. Taču ISO/IEC 27701:2025 personas datu aizsardzības pārkāpumu pārvaldības procesam spiediena apstākļos jāatbild uz sarežģītākiem jautājumiem:

• Vai personas dati tika eksponēti, mainīti, zaudēti, iznīcināti vai tiem tika piekļūts bez autorizācijas?
• Vai organizācija darbojas kā pārzinis, apstrādātājs, kopīgs pārzinis vai apakšapstrādātājs?
• Kad organizācija uzzināja par incidentu, un kādi pierādījumi to apliecina?
• Vai saskaņā ar GDPR Article 33 ir nepieciešama regulatīvā paziņošana?
• Vai ietekmētās fiziskās personas ir pakļautas augstam riskam saskaņā ar GDPR Article 34?
• Ja organizācija darbojas kā apstrādātājs, cik ātri jāinformē pārzinis?
• Kādi pierādījumi pēc sešiem mēnešiem auditā apliecinās pieņemto lēmumu?

Atšķirība starp haosu un kontroli nav drošības rīku skaits tehnoloģiju stekā. Tā ir atkarīga no tā, vai organizācija ir izveidojusi disciplinētu privātuma informācijas pārvaldības sistēmu jeb PIMS, kas incidentu reaģēšanu, privātuma pārvaldību, pierādījumu apstrādi, piegādātāju eskalāciju un regulatīvo ziņošanu sasaista vienā aizstāvamā dzīves ciklā.

Pārkāpumu pārvaldība sākas pirms kāds pasaka “pārkāpums”

Pirmā operacionālā kļūda ir pieņēmums, ka personas datu aizsardzības pārkāpumu pārvaldība sākas tikai pēc tam, kad juridiskā funkcija apstiprina personas datu aizsardzības pārkāpumu. Patiesībā process sākas brīdī, kad persona, sistēma, piegādātājs vai klients pamana kaut ko tādu, kas varētu ietvert personas datus.

Clarysec Zenith Blueprint: auditora 30 soļu ceļvedis Zenith Blueprint šo cilvēka ierosināto trigeri izvieto posmā “Kontroles darbībā”, 16. solī: personāla kontroles II. Ceļvedī norādīts:

“Efektīva incidentu reaģēšanas sistēma sākas nevis ar rīkiem, bet ar cilvēkiem. Kontrole 6.8 uzsver, cik svarīgi ir nodrošināt, lai katrs darbinieks, līgumslēdzējs vai iesaistītā puse zinātu, kā atpazīt potenciālu drošības incidentu un ziņot par to, kā arī justos droši un pilnvaroti to darīt.”

Tas ir būtiski, jo daudzus privātuma incidentus SIEM neatklāj pirmais. Tie sākas ar atbalsta speciālistu, kurš redz cita klienta pielikumu, algu aprēķina darbinieku, kurš pamana nepareizi nosūtītu izklājlapu, klientu, kurš ziņo par cita lietotāja rēķinu, vai piegādātāju, kurš ziņo par nozaudētu klēpjdatoru.

Datu aizsardzības un privātuma politika-sme Datu aizsardzības un privātuma politika-sme, sadaļas “Ievērošana un atbilstība” punkts 8.3.1, to pārvērš tūlītējā pienākumā:

“Par visiem personas datu aizsardzības pārkāpumiem vai aizdomīgiem incidentiem nekavējoties jāziņo privātuma koordinatoram.”

Uzņēmuma līmeņa programmām Datu aizsardzības un privātuma politika Datu aizsardzības un privātuma politika, sadaļas “Ievērošana un atbilstība” punkts 8.3.2, nosaka vadību:

“Datu aizsardzības speciālistam (DPO) jāvada pārkāpuma ierobežošana, analīze un eskalācija saskaņā ar ISO/IEC 27035 un GDPR Article 33 un Article 34.”

Tā ir pāreja no “IT to izskata” uz “ir aktivizēts PIMS pārkāpuma dzīves cikls”.

Pirmais spiediena punkts: notikums, drošības incidents, privātuma incidents vai personas datu aizsardzības pārkāpums

Pulksten 2:13 Mariai un viņas komandai ir brīdinājums. Viņiem vēl nav apstiprināta paziņojama pārkāpuma. Pirmais kritiskais lēmums ir klasifikācija.

Zenith Blueprint, posms “Kontroles darbībā”, 23. solis: organizatoriskās kontroles, skaidro ISO/IEC 27002:2022 kontroli 5.25 “Informācijas drošības notikumu izvērtēšana un lēmumu pieņemšana”:

“Ne katra anomālija ir katastrofa. Ne katrs brīdinājums norāda uz kompromitēšanu. Reālā vidē drošības komandas un biznesa struktūrvienības pārpludina troksnis — pieteikšanās mēģinājumi, žurnālu anomālijas, nelieli politikas pārkāpumi, ēnu IT aktivitātes. Patiesais izaicinājums nav tikai atklāšana, bet spēja nošķirt nekaitīgo no kaitīgā un zināt, kam nepieciešama eskalācija.”

Privātuma pārkāpuma dzīves ciklam šis nošķīrums jāpadara atkārtojams. Tas nedrīkst būt atkarīgs no tā, kurš tajā brīdī ir dežūrā, kurš jurists pieslēdzas pirmais vai cik komfortabli CISO jūtas nenoteiktībā.

Praktisks Clarysec klasifikācijas modelis nodala četrus posmus:

Vārds “iespējams” ir būtisks. Clarysec neiesaka gaidīt pilnīgu pārliecību pirms privātuma pārkāpuma darbplūsmas atvēršanas. Pārkāpumu reģistrs jāatver, kad personas datu aizsardzības pārkāpums ir pamatoti iespējams, un pēc tam tas jāatjaunina, faktiem kļūstot precīzākiem.

Personas datu incidentu un pārkāpumu pārvaldības politika Personas datu incidentu un pārkāpumu pārvaldības politika, sadaļas “Klasifikācija un pārkāpuma izvērtēšana” punkts 4.2.3, nosaka pārziņiem pienākumu dokumentēt lēmumu pirms ārējas rīcības:

“[Pārzinis] Datu aizsardzības speciālistam / privātuma konsultantam OBLIGĀTI jāizvērtē risks ietekmētajiem datu subjektiem katram apstiprinātam vai pamatoti iespējamam personas datu aizsardzības pārkāpumam un pirms ārējās paziņošanas lēmuma pieņemšanas REG10 jāreģistrē paziņošanas ieteikums, riska pamatojums un konsultācija.”

Šis punkts ir auditam gatavas GDPR pārkāpumu reaģēšanas darbības kodols: izvērtēt risku, reģistrēt pamatojumu, fiksēt konsultāciju, pieņemt lēmumu un saglabāt pierādījumus REG10.

72 stundu termiņš ir pierādījumu jautājums, nevis kalendāra atgādinājums

Daudzas komandas GDPR 72 stundu paziņošanas prasību uztver kā projekta plāna termiņu. Reālā incidentā sarežģītākais ir pierādīt, kad organizācija uzzināja par pārkāpumu, kas tajā brīdī bija zināms, cik ātri tā rīkojās un kāpēc paziņošanas lēmums bija pamatots.

Incidentu reaģēšanas politika-sme Incidentu reaģēšanas politika-sme, sadaļas “Mērķis” punkts 1.2, definē mērķi:

“Šī politika ļauj organizācijai mazināt kaitējumu, aizsargāt klientu datus un izpildīt regulatīvos pienākumus, piemēram, GDPR prasību paziņot par personas datu aizsardzības pārkāpumu 72 stundu laikā.”

Datu aizsardzības un privātuma politika-sme, sadaļas “Ievērošana un atbilstība” punkts 8.3.3, nosaka:

“Ja nepieciešams, paziņošana iestādēm un ietekmētajām fiziskajām personām jāveic 72 stundu laikā.”

Uzņēmuma līmeņa programmām Datu aizsardzības un privātuma politika, sadaļas “Ievērošana un atbilstība” punkts 8.3.3, nosaka:

“Par pārkāpumiem, kas sasniedz tiesisko paziņošanas slieksni, jāziņo uzraudzības iestādēm 72 stundu laikā.”

Mērķis nav ziņot par katru anomāliju. Mērķis ir pietiekami ātri pieņemt aizstāvamu lēmumu, lai nepieciešamā paziņošana notiktu laikus. Tāpēc nobriedusi PIMS izmanto iekšējos termiņus, kas ir īsāki par ārējiem tiesiskajiem termiņiem.

Personas datu incidentu un pārkāpumu pārvaldības politika, sadaļas “Paziņošana un komunikācija” punkts 4.4.1, dokumentēšanas prasību formulē skaidri:

“[Pārzinis] Privātuma vadītājam / PIMS vadītājam OBLIGĀTI bez nepamatotas kavēšanās un iekšējā termiņā, kas atbalsta piemērojamos ārējos paziņošanas termiņus, jāsagatavo dokumentēts regulatīvās paziņošanas lēmums par katru apstiprinātu personas datu aizsardzības pārkāpumu un REG10 OBLIGĀTI jāsaglabā paziņojums, nepaziņošanas pamatojums vai kavējuma pamatojums.”

Regulators var apstrīdēt lēmumu. Auditors var pārbaudīt, vai process tika ievērots. Taču, ja organizācija var uzrādīt savlaicīgus pierādījumus, strukturētus kritērijus, DPO konsultāciju un dokumentētu pamatojumu, tās pozīcija ir daudz stiprāka nekā komandai, kas saka: “Mēs to pārrunājām zvanā.”

Pārziņiem un apstrādātājiem nepieciešami atšķirīgi pārkāpumu ceļi

Mūsdienu SaaS uzņēmumi bieži darbojas vairāk nekā vienā privātuma lomā. Marias FinTech platforma var būt pārzinis saviem tiešajiem abonentiem un apstrādātājs uzņēmuma klientiem. Citā scenārijā B2B atbalsta portāls var būt apstrādātājs klientu pieteikumu pielikumiem, bet pārzinis saviem iekšējiem atbalsta metadatiem.

Šī atšķirība maina paziņošanas ceļu.

Apstrādātājiem Personas datu incidentu un pārkāpumu pārvaldības politika, sadaļas “Paziņošana un komunikācija” punkts 4.4.4, nosaka:

“[Apstrādātājs] Privātuma vadītājam / PIMS vadītājam OBLIGĀTI bez nepamatotas kavēšanās un jebkurā piemērojamā līgumā noteiktajā termiņā pēc uzzināšanas par personas datu aizsardzības pārkāpumu, kas ietekmē klienta personas datus, jāinformē ietekmētais pārzinis vai klients, un REG08 un REG10 OBLIGĀTI jāreģistrē sākotnējie un turpmākie paziņojumi.”

Apstrādātājam nav jāgaida, kamēr tiks pabeigta pārziņa GDPR riska analīze. Tam jāpaziņo pārzinim pieejamie fakti un jāsniedz atjauninājumi, izmeklēšanai turpinoties. Pēc tam pārzinis lemj par paziņošanu uzraudzības iestādei un ietekmēto fizisko personu informēšanu attiecībā uz savu apstrādi.

Ja fiziskām personām ir augsta riska ietekme, pārzinim jāizvērtē arī tieša komunikācija. Personas datu incidentu un pārkāpumu pārvaldības politika, punkts 4.4.3, nosaka:

“[Pārzinis] Privātuma vadītājam / PIMS vadītājam OBLIGĀTI jākoordinē komunikācija ar ietekmētajiem datu subjektiem, ja pārkāpuma izvērtēšanā identificēts augsta riska vai līdzvērtīgs komunikācijas trigeris, un REG10 OBLIGĀTI jāreģistrē komunikācijas saturs, mērķauditorija, laiks, piegādes metode un apstiprinājuma pierādījumi.”

Uzņēmuma līmeņa Datu aizsardzības un privātuma politika, sadaļas “Ievērošana un atbilstība” punkts 8.3.4, to pastiprina:

“Ja identificēts augsts risks fiziskām personām, ietekmētie datu subjekti jāinformē bez nepamatotas kavēšanās, ja vien nav piemērojams izņēmums (piemēram, ir ieviesta spēcīga šifrēšana).”

Šim izņēmumam jābūt balstītam pierādījumos. Nepietiek pateikt “dati bija šifrēti”. Organizācijai jāpierāda, ka eksponētie dati neautorizētām personām bija nelasāmi un ka attiecīgās atslēgas netika kompromitētas.

Piegādātāji var noteikt pirmo 24 stundu iznākumu

Trešajām pusēm bieži ir fakti, kas nepieciešami klasifikācijai un paziņošanai. Mākoņpakalpojumu sniedzēja rīcībā var būt piekļuves žurnāli. Algu apstrādātājs var zināt, kuri darbinieki tika ietekmēti. Pārvaldīto pakalpojumu sniedzējs var būt veicis konfigurācijas izmaiņu. Apakšapstrādātāja rīcībā var būt digitālās kriminālistikas telemetrija.

Tāpēc piegādātāju pārkāpumu noteikumi jāizstrādā pirms incidenta.

Trešo pušu un piegādātāju drošības politika Trešo pušu un piegādātāju drošības politika, sadaļas “Pārvaldības prasības” punkts 5.3.3, ietver līgumisku pārvaldību attiecībā uz:

“Pārkāpumu paziņošanas termiņiem (piemēram, 24 vai 72 stundu laikā atkarībā no kritiskuma un regulatīvajām prasībām).”

Mazākām organizācijām Trešo pušu un piegādātāju drošības politika-sme Trešo pušu un piegādātāju drošības politika-sme līdzīgi atbalsta pārkāpumu paziņošanas termiņus piegādātāju pārvaldībā.

Clarysec iesaka piegādātāju līgumos un datu apstrādes līgumos definēt:

• Kas ir uzskatāms par iespējamu personas datu aizsardzības pārkāpumu
• Kam un pa kuru kanālu jāpaziņo
• Sākotnējās paziņošanas termiņu, kas bieži ir īsāks par pārziņa regulatīvo termiņu
• Minimālos faktus, kas jāiekļauj pirmajā paziņojumā
• Atjauninājumu biežumu izmeklēšanas laikā
• Pierādījumu saglabāšanas pienākumus
• Apakšapstrādātājiem tālāk nododamos paziņošanas pienākumus
• Atbalstu komunikācijai ar regulatoru un datu subjektiem
• Pēcincidenta korektīvo darbību pienākumus

Ja piegādātāju vienošanās izmanto neskaidras frāzes, piemēram, “tik drīz, cik praktiski iespējams”, pārziņa GDPR termiņš var kļūt atkarīgs no citas organizācijas iekšējām diskusijām. Tas nav aizstāvams darbības modelis.

Pierādījumi pārvērš reaģēšanu aizstāvamā atbilstībā

Marias incidenta laikā komandai nepieciešami autentifikācijas žurnāli, datubāzes vaicājumu ieraksti, pikšķerēšanas pierādījumi, piekļuves kontroles izmaiņas, ietekmēto klientu saraksti, ierobežošanas darbības, DPO konsultācija un komunikācijas projekti. B2B SaaS portāla scenārijā komandai var būt nepieciešami ekrānuzņēmumi, objektu glabātuves piekļuves tiesības, atbalsta pieteikumu ID, IAM izmaiņas un starpnomnieku piekļuves žurnāli.

Pierādījumi jāsaglabā pienācīgi. Nepietiek ar brīvi glabātiem ekrānuzņēmumiem, tērzēšanas eksportiem un personiskām mapēm.

Zenith Blueprint, posms “Kontroles darbībā”, 23. solis, aplūko ISO/IEC 27002:2022 kontroli 5.28 “Pierādījumu vākšana”:

“Kad notiek informācijas drošības incidents, viens no kritiskākajiem, bet bieži nepietiekami novērtētajiem reaģēšanas elementiem ir pierādījumi. Nevis žurnāli, nevis ekrānuzņēmumi, nevis brīvi naratīvi, bet pienācīgi saglabāti pierādījumi, kas respektē pierādījumu glabāšanas ķēdi un ir aizsargāti pret manipulācijām.”

Digitālo pierādījumu iegūšanas un kriminālistikas politika Digitālo pierādījumu iegūšanas un kriminālistikas politika, sadaļas “Pārvaldības prasības” punkts 5.5, nosaka:

“Visiem savāktajiem pierādījumiem jābūt unikāli identificētiem, marķētiem un glabātiem drošā repozitorijā ar:”

Personas datu incidentu un pārkāpumu pārvaldības politika, sadaļas “Pierādījumi, ierakstu uzturēšana un konfidencialitāte” punkts 4.5.1, sasaista šos pierādījumus ar PIMS ierakstu:

“[Abi] Incidentu reaģēšanas koordinatoram OBLIGĀTI jāuztur pilnīgs REG10 ieraksts par katru iespējamu vai apstiprinātu personas datu incidentu no saņemšanas līdz slēgšanai, tostarp fakti, laiks, klasifikācija, izvērtēšana, darbības, lēmumi, paziņojumi, pierādījumu atsauces un slēgšanas statuss.”

REG10 kļūst par incidenta vienoto patiesības avotu. REG08 fiksē klientu vai pārziņu paziņojumus, ja tie ir piemērojami. Kopā tie ļauj drošības, privātuma, juridiskajām un audita komandām strādāt no vienotas pierādījumu bāzes.

Mērķis nav birokrātija. Mērķis ir novērst situāciju, kurā organizācijai pēc regulatora zvana jārekonstruē atmiņa no izkaisītiem Slack ziņojumiem.

ISO 27701 PIMS reakcijas kartēšana uz ISO 27001 un ISO 27002

Nobriedis personas datu aizsardzības pārkāpumu process atrodas privātuma pārvaldības un informācijas drošības pārvaldības krustpunktā.

ISO/IEC 27001:2022 punkti 4.1 līdz 4.4 prasa organizācijām izprast kontekstu, ieinteresētās puses, ISMS darbības jomu un pārvaldības sistēmas procesus. Personas datu aizsardzības pārkāpumu pārvaldībai tas nozīmē, ka procesam jau pirms incidenta jāatspoguļo regulatīvie pienākumi, klientu līgumi, apstrādes lomas, piegādātāju atkarības un nozares pienākumi.

Zenith Controls: savstarpējās atbilstības ceļvedis Zenith Controls palīdz kartēt incidentu kontroles pasākumus plašākā apliecinājuma modelī. Visatbilstošākās ISO/IEC 27002:2022 kontroles ir:

ISO/IEC 27035 atbalsta strukturētu incidentu pārvaldību. ISO/IEC 27037 atbalsta digitālo pierādījumu apstrādi. ISO/IEC 29134 var atbalstīt privātuma ietekmes izvērtējuma loģiku, ja pārkāpuma novēršana atklāj nepieciešamību pēc padziļinātas DPIA pārskatīšanas. Pēc tam ISO/IEC 27701:2025 pārvaldības sistēmā ievieš privātuma lomu kontekstu, ietekmi uz datu subjektiem, pārziņa un apstrādātāja pienākumus un PIMS pierādījumu prasības.

Viens incidents, daudzi regulatīvie skatpunkti

Marias incidents nav tikai GDPR jautājums. Tā kā uzņēmums sniedz mākoņpakalpojumus finanšu sektora klientiem, var būt piemērojami arī NIS2 un DORA. Klientu līgumi var noteikt paziņošanu 24 stundu laikā. Kiberapdrošināšana var prasīt ātru paziņojumu. Iekšējā pārvaldība var prasīt ziņošanu valdei.

Atsevišķu naratīvu veidošana katram ietvaram rada pretrunu risku. Clarysec metode ir uzturēt vienotu pierādījumu bāzi un no tās veidot katram ietvaram specifiskus rezultātus.

NIS2 Article 21 nosaka kiberdrošības risku pārvaldības pasākumus, tostarp incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, efektivitātes izvērtēšanu, kiberdrošības higiēnu, kriptogrāfiju, piekļuves kontroli, aktīvu pārvaldību, MFA un drošu saziņu. NIS2 Article 23 izveido posmveida ziņošanu nozīmīgiem incidentiem, tostarp agrīno brīdinājumu 24 stundu laikā, incidenta paziņošanu 72 stundu laikā, atjauninājumus pēc pieprasījuma un galīgo ziņojumu ne vēlāk kā vienu mēnesi pēc incidenta paziņošanas.

DORA piemēro no 2025. gada 17. janvāra, un tā nosaka vienotas prasības IKT risku pārvaldībai, ar IKT saistītu incidentu ziņošanai, digitālās darbības noturības testēšanai, informācijas apmaiņai un IKT trešo pušu risku pārvaldībai finanšu vienībām. FinTech piegādātājam viens incidents tādējādi var būt GDPR pārkāpums, NIS2 nozīmīgs incidents, DORA nozīmīgs IKT notikums klientiem un līgumisks paziņošanas notikums.

Kā auditori pārbaudīs dzīves ciklu

Auditori reti apstājas pie jautājuma “parādiet incidentu reaģēšanas politiku”. Viņi pārbauda, vai dzīves cikls darbojas pierādījumu spiediena apstākļos.

ISO/IEC 27701:2025 vai ISO/IEC 27001:2022 auditors jautās, kā privātuma incidenti nonāk ISMS un PIMS, kurš klasificē notikumus, kā atšķiras pārziņa un apstrādātāja pienākumi un kā incidenti virza korektīvās darbības.

GDPR auditors vai uzraudzības iestāde koncentrēsies uz uzzināšanas laiku, risku fiziskām personām, DPO iesaisti, paziņošanas pamatojumu, ietekmēto fizisko personu informēšanu un pārskatatbildību. Tā var atlasīt incidentus, par kuriem netika ziņots, lai pārbaudītu, vai nepaziņošanas pamatojums ir dokumentēts.

NIS2 vai DORA pārskatīšana izvērtēs nozīmīga incidenta sliekšņus, posmveida ziņošanu, IKT ietekmi, trešo pušu atkarības, noturības sekas un to, vai ziņošana atbilda attiecīgās kompetentās iestādes vai klienta prasībām.

NIST CSF 2.0 izvērtētājs jautās, vai incidents mainīja organizācijas pašreizējo profilu un mērķa profilu. COBIT 2019 pārskatītājs koncentrēsies uz pārvaldību, pārskatatbildību, procesu īpašumtiesībām, metrikām un korektīvo darbību izsekošanu.

Spēcīgā audita pierādījumu paketē jāiekļauj:

Tieši šeit Zenith Controls ir komerciāli un operacionāli vērtīgs. Tas palīdz tos pašus pierādījumus kartēt uz ISO/IEC 27002:2022 incidentu kontrolēm, GDPR pārskatatbildību, NIS2 incidentu apstrādi, DORA noturības gaidām, NIST CSF komunikāciju un COBIT pārvaldību, katru reizi neveidojot audita stāstu no jauna.

Pirmo 24 stundu darbības ritms

Reālistiskai personas datu aizsardzības pārkāpumu rokasgrāmatai jābūt praktiskai, nevis teorētiskai. Apsveriet starpnomnieku SaaS eksponēšanu, par kuru klients ziņo pulksten 08:12.

Pulksten 08:12 klientu panākumu komanda saņem ziņojumu un ievēro ziņošanas uzvedību no Zenith Blueprint 16. soļa. Pieteikums tiek marķēts kā iespējams personas datu incidents.

Pulksten 08:25 incidentu reaģēšanas koordinators atver REG10. Ierakstā iekļauts uzzināšanas laikspiedols, ziņotājs, sistēma, iespējamie datu veidi un īpašnieks.

Pulksten 09:02 inženierija atceļ piekļuves tiesību izmaiņu. Žurnāli tiek eksportēti pirms rotācijas. Pierādījumu glabātājs drošajā repozitorijā marķē klienta ziņojumu, IAM izmaiņu, piekļuves žurnāla eksportu un ierobežošanas apstiprinājumu.

Pulksten 10:30 privātuma vadītājs nosaka, ka organizācija darbojas kā apstrādātājs klientu atbalsta pielikumiem. Saskaņā ar Personas datu incidentu un pārkāpumu pārvaldības politika punktu 4.4.4 ietekmētie pārziņa klienti jāinformē bez nepamatotas kavēšanās un līgumā noteiktajos termiņos. Tiek atvērts REG08.

Pulksten 12:00 DPO izvērtē risku datu subjektiem. Dati šķiet ierobežoti, taču daži pielikumi var ietvert darbinieku vārdus un iekšējos ID. DPO REG10 reģistrē riska pamatojumu un ieteikumu.

Pulksten 15:00 ietekmētie pārziņa klienti saņem sākotnējo paziņojumu: kas notika, kad tas tika atklāts, kas tika ierobežots, kādi personas dati var būt iesaistīti, kas vēl tiek analizēts un kad tiks sniegts nākamais atjauninājums.

Pulksten 18:00 vadība saņem īsu instruktāžu: klientu paziņojumi ir nosūtīti, regulatora paziņošanas lēmumi par klientu personas datiem pieder pārziņiem, iekšējā pārziņa apstrāde vēl tiek izvērtēta, pierādījumi ir saglabāti un pamatcēloņa analīze turpinās.

Šāds ritms novērš biežākās pārkāpumu kļūmes: nokavētus termiņus, sajauktas lomas, nedokumentētas konsultācijas un nekontrolētu komunikāciju.

Biežākie kļūmju modeļi, kas jānovērš pirms nākamā brīdinājuma

Kaitīgākās privātuma pārkāpumu kļūmes reti izraisa viens trūkstošs dokuments. Tās rada pārrāvumi starp drošību, privātumu, juridisko funkciju, piegādātājiem un biznesa īpašniekiem.

Clarysec bieži redz šādus modeļus:

• Incidentu reaģēšanas plāni pastāv, bet personas datu aizsardzības pārkāpumu klasifikācija nav iekļauta.
• GDPR 72 stundu paziņošana ir pieminēta, bet iekšējie termiņi nav īsāki par tiesisko termiņu.
• Apstrādātāja eskalācija kavējas, jo komandas gaida pilnīgu pamatcēloņa analīzi.
• Piegādātāju līgumi neprasa ātru paziņošanu par pārkāpumu vai pierādījumu atbalstu.
• DPO konsultācija ir mutiska un nekad netiek ievadīta pārkāpumu reģistrā.
• Augsta riska komunikācija ar fiziskām personām tiek apsvērta pārāk vēlu.
• Pierādījumi tiek glabāti personiskās mapēs, tērzēšanas pavedienos vai pieteikumu komentāros.
• Nepaziņošanas lēmumi nav dokumentēti.
• Gūtās mācības neatjaunina kontroles, apmācību, piegādātāju klauzulas vai riska apstrādes plānus.

Zenith Blueprint, 23. solis, precīzi formulē, kāpēc struktūra ir svarīga:

“Incidentu reaģēšana bez struktūras kļūst par haotisku rosību. Lido e-pasti, tiek sasauktas sanāksmes, un lēmumi tiek pieņemti emocionāli vai nekonsekventi. Taču nobriedusi ISMS pārvērš reaģēšanu disciplīnā.”

Šī disciplīna ir ISO/IEC 27701:2025 personas datu aizsardzības pārkāpumu pārvaldības mērķis.

Izveidojiet Clarysec personas datu aizsardzības pārkāpumu dzīves ciklu

Clarysec pieeja apvieno trīs slāņus.

Pirmkārt, Zenith Blueprint nodrošina ieviešanas ceļvedi. 16. solis nodrošina, ka cilvēki atpazīst iespējamos incidentus un ziņo par tiem. 23. solis operacionalizē izvērtēšanu, lēmumu pieņemšanu, reaģēšanu un pierādījumu vākšanu, izmantojot ISO/IEC 27002:2022 kontroles 5.25, 5.26 un 5.28.

Otrkārt, politiku kopums definē pilnvaras un pienākumus. SME politikas padara ziņošanu, 72 stundu uzzināšanu un incidentu reģistrus praktiski izmantojamus mazākām organizācijām. Uzņēmuma līmeņa politikas piešķir DPO vadību, pārkāpumu sliekšņus, ietekmēto fizisko personu informēšanu, piegādātāju paziņošanas noteikumus, pierādījumu apstrādi un kriminālistikas pārvaldību. PIMS specifiskā Personas datu incidentu un pārkāpumu pārvaldības politika papildina to ar uz lomām balstītiem pārziņa un apstrādātāja pienākumiem, REG08, REG10, paziņošanas pamatojumu un slēgšanas pierādījumiem.

Treškārt, Zenith Controls darbojas kā savstarpējās atbilstības kompass. Tas kartē incidentu plānošanu, izvērtēšanu, reaģēšanu un pierādījumus integrētā skatījumā starp ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST CSF 2.0 un COBIT stila apliecinājuma gaidām.

CISO tas mazina operacionālo neskaidrību. DPO tas izveido aizstāvamu privātuma lēmumu pēdu. Atbilstības vadītājiem tas sasaista vienu incidenta ierakstu ar vairākiem regulatīvajiem rezultātiem. Auditoriem tas rada izsekojamus pierādījumus. Vadībai tas samazina iespēju, ka pārvaldāms privātuma incidents pārtop regulatīvā un reputācijas krīzē.

Jūsu nākamais solis

Negaidiet 2:00 naktī notiekošu brīdinājumu, lai noskaidrotu, vai jūsu personas datu aizsardzības pārkāpumu process darbojas.

Sāciet šonedēļ ar trim darbībām:

1. Pārskatiet, vai jūsu incidentu saņemšanas process skaidri fiksē iespējamos personas datu incidentus.
2. Apstipriniet, ka pārziņa un apstrādātāja pienākumi pārkāpumu gadījumā ir nošķirti politikās, līgumos un pierādījumu reģistros.
3. Veiciet galda mācības, izmantojot reālistisku scenāriju, piemēram, kompromitētus piekļuves datus, starpnomnieku eksponēšanu, nepareizi nosūtītu algu datni, nozaudētu šifrētu klēpjdatoru vai piegādātāja kompromitēšanu.

Clarysec var palīdzēt jums to operacionalizēt, izmantojot Zenith Blueprint: auditora 30 soļu ceļvedis Zenith Blueprint, Zenith Controls: savstarpējās atbilstības ceļvedis Zenith Controls un ISO/IEC 27701:2025 PIMS politiku kopumu, tostarp Personas datu incidentu un pārkāpumu pārvaldības politika Personas datu incidentu un pārkāpumu pārvaldības politika, Datu aizsardzības un privātuma politika Datu aizsardzības un privātuma politika, Incidentu reaģēšanas politika-sme Incidentu reaģēšanas politika-sme, Trešo pušu un piegādātāju drošības politika Trešo pušu un piegādātāju drošības politika un Digitālo pierādījumu iegūšanas un kriminālistikas politika Digitālo pierādījumu iegūšanas un kriminālistikas politika.

Lejupielādējiet Clarysec PIMS rīkkopu, piesakiet pārkāpumu gatavības izvērtēšanu vai ieplānojiet demonstrāciju, lai pārvērstu savu GDPR 72 stundu reaģēšanu no haotiskas rosības disciplinētā, auditam gatavā procesā.