ISO 27701:2025 PIMS pierādījumi GDPR auditiem

Ir ceturtdienas 08:40, un Ava, FinScale atbilstības vadītāja, tikko ir atvērusi e-pastu, kuru agrāk vai vēlāk saņem katrs strauji augošs B2B SaaS uzņēmums.

Liels Vācijas korporatīvais klients ir atsūtījis GDPR sākotnējās izpētes anketu ar 48 stundu termiņu. Tajā netiek prasīta privātuma politika. Ar sertifikātu nepietiek. Tiek prasīti pierādījumi.

Iesniedziet mūsu datiem piemērojamo apstrādes darbību reģistru. Parādiet apakšapstrādātāju piesaistes sākotnējās izpētes pierādījumus. Paskaidrojiet, kā jūs pierādāt savu GDPR Article 28 pienākumu izpildi. Norādiet, vai jūsu platforma katrā darbplūsmā darbojas kā PII pārzinis, apstrādātājs, kopīgs pārzinis vai apakšapstrādātājs. Pierādiet, ka jūsu ar AI atbalstītajai atbalsta funkcijai ir validēts tiesiskais pamats. Parādiet dzēšanas pienākumus, audita tiesības, incidentu atbalstu un līgumiskās kontroles.

Ava zina, ka FinScale ir vajadzīgie elementi. Juridiskajai funkcijai ir datu apstrādes līgums. Drošības komandai ir ISO/IEC 27001:2022 piemērojamības deklarācija (SoA). Produkta komandai ir palaišanas kontrolsaraksti. Iepirkumam ir piegādātāju līgumi. Atbilstības funkcijai ir apstrādes reģistrs, lai gan daži ieraksti ir novecojuši. Problēma nav tā, ka pierādījumu nav. Problēma ir tā, ka pierādījumi ir izkaisīti, lomu neskaidrība nav atrisināta, un neviens nevar ātri izsekot apstrādes darbību no nolūka līdz tiesiskajam pamatam, riska lēmumam, piegādātāja kontrolei, drošības kontroles pasākumam, audita ierakstam un vadības pārskatīšanai.

Tā ir patiesā pārskatatbildības plaisa.

ISO 27701:2025 kļūst vērtīgs brīdī, kad tas šo plaisu aizver. Privātuma informācijas pārvaldības sistēma jeb PIMS nav tikai politiku mape privātuma sertifikācijai. Tas ir darbības modelis uzticamu pierādījumu radīšanai. CISO, atbilstības vadītājiem, privātuma vadītājiem, auditoriem un biznesa īpašniekiem mērķis ir vienkāršs: izveidot PIMS, kas pierāda GDPR pārskatatbildību PII pārziņiem un apstrādātājiem, vienlaikus atbalstot ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 un COBIT 2019 gaidas.

GDPR pārskatatbildība ir pierādījumu jautājums

GDPR pārskatatbildība bieži tiek pārprasta kā dokumentācijas prasība. Tā prasa vairāk.

GDPR Article 5 nosaka personas datu apstrādes pamatprincipus, tostarp likumību, godprātību, pārredzamību, nolūka ierobežojumu, datu minimizēšanu, precizitāti, glabāšanas ierobežojumu, integritāti un konfidencialitāti. Article 5(2) nosaka pārziņa pienākumu spēt pierādīt atbilstību. Article 4 definē personas datu, apstrādes, pārziņa, apstrādātāja, pseidonimizācijas un personas datu aizsardzības pārkāpuma terminoloģiju. Article 6 prasa tiesisko pamatu katrai pārziņa apstrādes darbībai. Article 9 paredz stingrākus nosacījumus īpašu kategoriju personas datiem. Article 28 regulē apstrādātāja pienākumus un līguma noteikumus.

Šos pienākumus nevar izpildīt tikai ar publisku privātuma paziņojumu. Tiem nepieciešami pierādījumi apstrādes darbības līmenī.

Praktiskam ISO 27701:2025 PIMS pierādījumu modelim jāspēj atbildēt:

• Kādi PII tiek apstrādāti?
• Kāpēc tie tiek apstrādāti?
• Vai organizācija darbojas kā pārzinis, apstrādātājs, kopīgs pārzinis vai apakšapstrādātājs?
• Kāds tiesiskais pamats ir piemērojams, ja organizācija ir pārzinis?
• Kāds dokumentētais norādījums ir piemērojams, ja organizācija ir apstrādātājs?
• Kuras sistēmas, piegādātāji, apakšapstrādātāji un atrašanās vietas ir iesaistītas?
• Kāds privātuma riska sākotnējās izvērtēšanas vai DPIA lēmums tika pieņemts?
• Kuri drošības kontroles pasākumi aizsargā PII?
• Kādi pierādījumi apliecina, ka kontroles pasākums darbojās?
• Kas apstiprināja atlikušo risku, izņēmumus un korektīvās darbības?

Clarysec pieeja pārvērš šos jautājumus politikas pienākumos, reģistros un izsekojamos pierādījumu objektos. Rezultāts ir PIMS, kas spēj izturēt klientu sākotnējo izpēti, uzraudzības iestādes pārskatīšanu, iekšējo auditu, ISO auditu, DORA izvērtēšanu un valdes pārbaudi.

Sāciet ar lomu skaidrību: pārzinis, apstrādātājs vai abi

Ātrākais veids, kā izgāzt PIMS auditu, ir attiekties pret visām apstrādes darbībām vienādi.

Saskaņā ar GDPR pārzinis nosaka apstrādes nolūkus un līdzekļus. Apstrādātājs apstrādā personas datus pārziņa vārdā. Daudzi SaaS un tehnoloģiju uzņēmumi dara abus. FinScale ir apstrādātājs, kad tas mitina klientu galalietotāju datus saskaņā ar klienta norādījumiem. Tas ir pārzinis darbinieku ierakstiem, mārketinga potenciālajiem klientiem, norēķinu kontaktpersonām, personāla atlases datiem un daļai produkta analītikas.

Šī atšķirība nosaka pierādījumu prasības.

Clarysec Privātuma informācijas pārvaldības sistēmas politika lomu klasifikāciju padara par operatīvu prasību:

[Abi] Procesa īpašniekam / biznesa īpašniekam REG02 ir jāklasificē organizācijas PIMS loma katrai PII apstrādes darbībai pirms apstrādes darbības sākšanas.

Šis viens pienākums maina privātuma darbības modeli. Juridiskā pārskatīšana vairs nav novēlota doma pirms palaišanas. Katram procesa īpašniekam PIMS loma jāklasificē pirms apstrādes sākuma. Šī klasifikācija nosaka turpmāko pierādījumu ķēdi.

Pārziņa darbībām Clarysec PII apstrādes uzskaites un tiesiskā pamata politika prasa tiesiskā pamata validāciju:

[Pārzinis] Privātuma vadītājam / PIMS vadītājam jāvalidē REG02 reģistrētais tiesiskais pamats pirms pārziņa apstrādes sākuma un pirms stājas spēkā jebkādas nolūka izmaiņas.

No sadaļas “Pārziņa nolūka un tiesiskā pamata ieraksti”, politikas punkts 4.2.2.

Apstrādātāja darbībām pierādījumu fokuss pāriet uz dokumentētiem norādījumiem, līgumiskajām kontrolēm, apakšapstrādātāju pārvaldību, drošības pasākumiem, palīdzības pienākumiem, incidentu atbalstu un atdošanu vai dzēšanu izbeigšanas brīdī. Tieši šeit REG08 kļūst kritiski svarīgs.

Clarysec Apstrādātāju, apakšapstrādātāju un trešo pušu privātuma pārvaldības politika prasa:

[Pārzinis] Privātuma vadītājam / PIMS vadītājam pirms apstiprināšanas jāpārbauda, ka apstrādātāja līgumisko kontroļu lauki REG08 aptver apstrādes tvērumu, ilgumu, nolūku, PII kategorijas, datu subjektu kategorijas, konfidencialitāti, drošību, apakšapstrādātāju autorizāciju, palīdzību, auditu vai apliecinājumu, atdošanu, dzēšanu un izbeigšanu.

No sadaļas “Līguma un dokumentēto norādījumu kontroles pasākumi”, politikas punkts 4.3.2.

REG02 nosaka apstrādes darbību un lomu. REG04 veic privātuma riska sākotnējo izvērtēšanu. REG08 validē apstrādātāju, apakšapstrādātāju un piegādātāju kontroles pasākumus. REG12 indeksē pierādījumus. Kopā tie veido PIMS pierādījumu ķēdi.

PIMS pierādījumu ķēde, ko sagaida auditori

Stipra PIMS neliek komandām uzturēt savstarpēji nesaistītas izklājlapas. Tā definē pierādījumu objektus, īpašniekus, termiņus, pārskatīšanas ciklus un audita pēdas.

Clarysec PIMS dokumentētās informācijas un pierādījumu pārvaldības politika nosaka:

[Visi] Privātuma vadītājam / PIMS vadītājam jāuztur PIMS dokumentētās informācijas indekss REG12 pirms sākotnējās PIMS publicēšanas un pēc tam reizi ceturksnī.

REG12 neļauj privātuma programmai pārvērsties par novecojušu PDF datņu mapi. Tas auditoram parāda, kādi pierādījumi pastāv, kur tie tiek glabāti, kam tie pieder, kad tie pēdējo reizi pārskatīti un kuras apstrādes darbības, riskus, pienākumus vai kontroles pasākumus tie atbalsta.

Šī pierādījumu ķēde dabiski atbilst ISO/IEC 27001:2022 prasībām par kontekstu, ieinteresētajām pusēm, risku plānošanu, darbības kontroli, dokumentētu informāciju, veiktspējas novērtēšanu, iekšējo auditu, vadības pārskatīšanu un nepārtrauktu pilnveidi. Tā ir sasaistīta arī ar ISO/IEC 27002:2022 kontroles pasākumiem, piemēram, 5.2 Informācijas drošības lomas un pienākumi, 5.20 Informācijas drošības iekļaušana piegādātāju līgumos, 5.21 Informācijas drošības pārvaldība IKT piegādes ķēdē, 5.34 PII privātums un aizsardzība un 8.10 Informācijas dzēšana.

Pārziņa un apstrādātāja pierādījumi nav vienādi

Avas Vācijas klients nejautā tikai to, vai FinScale ir privātuma politikas. Klients vēlas pierādījumu, ka FinScale saprot, kādā lomā tas darbojas katrai datu plūsmai.

Darbojoties kā pārzinim, FinScale ir jāpamato, kāpēc tas apstrādā datus. Piemēram, darbinieku algu apstrāde var balstīties uz līguma nepieciešamību un juridisku pienākumu. Mārketings var balstīties uz piekrišanu vai leģitīmām interesēm atkarībā no konteksta un jurisdikcijas. Personāla atlasei var būt nepieciešami glabāšanas ierobežojumi, pārredzamība un piekļuves kontroles pasākumi. Pierādījums nav tikai izvēlētais tiesiskais pamats. Tas ir validēts ieraksts, paziņojums, glabāšanas noteikums, tiesību īstenošanas procedūra un riska lēmums.

Darbojoties kā apstrādātājam, FinScale ir jāpierāda, ka tas rīkojas saskaņā ar dokumentētiem klienta norādījumiem. Pierādījumi ietver DPA, produkta konfigurāciju, sistēmas žurnālus, drošības kontroles pasākumus, apakšapstrādātāju autorizācijas, palīdzības procedūras, pārkāpuma atbalsta procesu, audita tiesības un dzēšanas vai atdošanas pierādījumus.

Clarysec P17 Datu aizsardzības un privātuma politika nostiprina prasību, ka privātums jāintegrē IDPS:

Organizācijai jāuztur formāls privātuma pārvaldības ietvars, kas integrēts informācijas drošības pārvaldības sistēmā, lai nodrošinātu šīs politikas piemērošanu.

No sadaļas “Pārvaldības prasības”, politikas punkts 5.1.

SME versija Datu aizsardzības un privātuma politika-sme saglabā to pašu pierādījumu disciplīnu:

Privātuma koordinatoram jāuztur visu personas datu apstrādes darbību reģistrs, iekļaujot datu kategorijas, nolūku, tiesisko pamatu un glabāšanas termiņus

Tā prasa arī:

Tiesiskais pamats (piemēram, piekrišana, līgums, juridisks pienākums) ir jādokumentē apstrādes reģistrā

Uzņēmuma līmeņa programmām P17 Datu aizsardzības un privātuma politika pievieno atbildību:

Juridiskajai nodaļai jāuztur un jāatjaunina Tiesiskā pamata reģistrs.

Praktisks piemērs: produkta analītikas ieviešana

Aplūkosim produkta analītikas funkciju, kas izseko lietotāju navigāciju, funkciju izmantošanu, sesijas metadatus, organizācijas ID, lietotāja lomu un ierīces informāciju. Produkta komanda vēlas lietošanas ieskatus. Pārdošana vēlas ieviešanas rādītājus. Klientu panākumu komanda vēlas atteikšanās signālus. Juridiskā funkcija jautā, vai FinScale ir pārzinis vai apstrādātājs. Drošības komanda jautā, vai žurnāli satur personas datus. Iepirkums norāda, ka analītikas piegādātājs izmanto apakšapstrādātājus.

Stipra PIMS to pārvērš atkārtojamā darbplūsmā.

1. Izveidojiet vai atjauniniet REG02 pirms apstrādes sākuma

Biznesa īpašnieks reģistrē darbību REG02. Ierakstam jāietver nolūks, PII kategorijas, datu subjektu kategorijas, sistēmas, glabāšanas termiņš, nosūtīšanas, drošības pasākumi, lomas klasifikācija un tiesiskais pamats vai dokumentēts norādījums.

Ja analītika tiek izmantota FinScale paša produkta uzlabošanas nolūkiem, FinScale šai darbībai var būt pārzinis. Ja analītika tiek veikta tikai saskaņā ar klienta konfigurētiem iestatījumiem klienta vārdā, FinScale var būt apstrādātājs. Daudzās SaaS vidēs abas lomas var pastāvēt vienā funkcijā atkarībā no datu plūsmas un nolūka.

2. Validējiet tiesisko pamatu vai dokumentēto norādījumu

Ja FinScale ir pārzinis, privātuma vadītājs vai juridiskā funkcija validē tiesisko pamatu REG02 pirms apstrādes sākuma. Ja ir iesaistīti īpašu kategoriju dati, komandai jāidentificē arī attiecīgais GDPR Article 9 nosacījums un papildu aizsardzības pasākumi.

Ja FinScale ir apstrādātājs, pierādījumiem jānorāda uz klienta dokumentēto norādījumu. Jautājums kļūst šāds: kur ir norādījums, kāda apstrāde ir atļauta un kā FinScale pierāda, ka tas norādījumu ievēroja?

3. Ierosiniet REG04 privātuma riska sākotnējo izvērtēšanu

Clarysec Privātuma risku izvērtēšanas un DPIA politika prasa:

[Abi] Procesa īpašniekam / biznesa īpašniekam jāuzsāk privātuma riska sākotnējā izvērtēšana REG04 pirms sākas jauna vai būtiski mainīta REG02 reģistrēta PII apstrāde.

No sadaļas “Privātuma riska sākotnējā izvērtēšana”, politikas punkts 4.1.1.

Sākotnējai izvērtēšanai jānovērtē sensitivitāte, mērogs, uzraudzības ietekme, datu subjektu gaidas, profilēšana, automatizēti lēmumi, pārrobežu nosūtīšanas, piegādātāju piekļuve, glabāšana un kontroles pasākumu efektivitāte. Ja risks ir paaugstināts, PIMS jāierosina DPIA un jāreģistrē lēmums.

4. Atjauniniet REG08 piegādātājiem un apakšapstrādātājiem

Ja trešās puses analītikas pakalpojumu sniedzējs saņem PII, iepirkums, juridiskā funkcija un privātuma funkcija atjaunina REG08. Līguma laukiem jāaptver tvērums, ilgums, nolūks, PII kategorijas, konfidencialitāte, drošība, apakšapstrādātāju autorizācija, palīdzība, audits vai apliecinājums, atdošana, dzēšana un izbeigšana.

Trešo pušu un piegādātāju drošības politika-sme atbalsta šo darbības disciplīnu, pieprasot:

Datu apstrādes prakses vai datu privātuma atbilstības pārbaudi gadījumos, kad ir iesaistīta personu identificējoša informācija (PII)

P17 Datu aizsardzības un privātuma politika arī prasa:

Iepirkuma, juridiskajām un atbilstības komandām jāpārbauda atbilstība GDPR Article 28 un jāpieprasa visu augsta riska piegādātāju ikgadēja atkārtota izvērtēšana.

5. Indeksējiet pierādījumus REG12

Visbeidzot PIMS vadītājs atjaunina REG12 ar saitēm uz REG02, tiesiskā pamata validāciju, dokumentēto norādījumu, REG04 sākotnējo izvērtēšanu, DPIA, ja tā nepieciešama, REG08 piegādātāja ierakstu, DPA, drošības pārskatīšanu, glabāšanas lēmumu, produkta apstiprinājumu un uzraudzības pierādījumiem.

Tieši tas pārvērš integrēto datu aizsardzību auditam gatavos pierādījumos.

Zenith Blueprint izmantošana izsekojamības izveidei

Zināt, kādus pierādījumus vākt, ir tikai puse no uzdevuma. Sarežģītāk ir izveidot sistēmu, kas tos uzticami rada.

Zenith Blueprint: auditora 30 soļu ceļkarte to ietver IDPS pamatu un vadības posmā, 2. solī: ieinteresēto pušu vajadzības un IDPS darbības joma. Ceļvedis parāda, kā ieinteresēto pušu gaidas kļūst par plānotiem kontroles pasākumiem:

Klienti
(B2B SaaS)
Datu konfidencialitāte, darbspējas laiks saskaņā ar
SLA, paziņošana par pārkāpumu
24 stundu laikā
Ieviest piekļuves kontroles pasākumus, šifrēšanu;
incidentu reaģēšanas plānā ir iekļautas
paziņošanas procedūras.

Tas ietver arī:

Darbība 4.2: Apkopojiet visu būtisko ieinteresēto pušu sarakstu un norādiet to prasības, kas saistītas ar informācijas drošību.

ISO 27701:2025 vajadzībām paplašiniet šo darbību uz privātumu. Ieinteresētās puses ietver klientus, datu subjektus, regulatorus, apstrādātājus, apakšapstrādātājus, darbiniekus, produktu komandas, iekšējo auditu, vadību, finanšu sektora klientus un nozares regulatorus, ja piemērojams NIS2 vai DORA.

Risku pārvaldības posmā, 13. solī: riska apstrādes plānošana un piemērojamības deklarācija, Zenith Blueprint iesaka izsekojamību:

Veiciet krustenisku atsauci uz regulējumu: ja konkrēti kontroles pasākumi ir ieviesti tieši, lai izpildītu GDPR, NIS2 vai DORA prasības, to var norādīt vai nu Riska reģistrā (kā daļu no riska ietekmes pamatojuma), vai SoA piezīmēs.

Tas izveido auditoriem nepieciešamo zelta pavedienu: prasība, risks, kontroles pasākums, īpašnieks, pierādījumi, testa rezultāts un pilnveides darbība.

Kur Zenith Controls iederas PIMS modelī

Clarysec Zenith Controls: savstarpējās atbilstības ceļvedis palīdz komandām izvairīties no dublētām atbilstības programmām, kartējot ISO/IEC 27001:2022 un ISO/IEC 27002:2022 kontroles tēmas uz citiem standartiem, audita gaidām un pierādījumu modeļiem.

ISO 27701:2025 PIMS pierādījumiem īpaši svarīgi ir četri ISO/IEC 27002:2022 kontroles pasākumi:

• 5.2 Informācijas drošības lomas un pienākumi
• 5.20 Informācijas drošības iekļaušana piegādātāju līgumos
• 5.21 Informācijas drošības pārvaldība IKT piegādes ķēdē
• 5.34 PII privātums un aizsardzība

Kontroles pasākums 5.2 atbalsta lomu skaidrību. PIMS nepieciešama definēta pārskatatbildība PIMS vadītājam, privātuma vadītājam, procesa īpašniekam, biznesa īpašniekam, juridiskajai funkcijai, iepirkumam, drošības funkcijai, iekšējam auditam un augstākajai vadībai.

Kontroles pasākums 5.34 atbalsta pamata privātuma pienākumu. Zenith Blueprint, posmā “Kontroles pasākumi darbībā”, 23. solī, izskaidro audita gaidas:

No audita skatpunkta šis kontroles pasākums arvien biežāk nonāk uzmanības centrā. Auditori, regulatori un klienti vēlas redzēt:

✓ kur atrodas PII,
✓ kāds tiesiskais pamats regulē to apstrādi,
✓ kā piekļuve tiek ierobežota,
✓ kā tiek ziņots par incidentiem,
✓ un kā organizācija ievēro tiesības un uztur pārredzamību.

Zenith Blueprint turpina:

Kontrole 5.34 nav tikai ķeksītis. Tā ir ētiskas pārvaldības apliecinājums.

Kontroles pasākumi 5.20 un 5.21 sasaista PIMS pierādījumus ar piegādātāju un IKT piegādes ķēdes pārvaldību. Zenith Blueprint, posmā “Kontroles pasākumi darbībā”, 23. solī, uzskaita piegādātāju līgumu tēmas:

Galvenās jomas, kas parasti tiek iekļautas piegādātāju līgumos, ir:

✓ konfidencialitātes pienākumi, tostarp tvērums, ilgums un trešo pušu izpaušanas ierobežojumi;
✓ piekļuves kontroles pienākumi, piemēram, kas var piekļūt jūsu datiem, kā tiek pārvaldīti autentifikācijas dati un kāda uzraudzība ir ieviesta;
✓ tehniskie un organizatoriskie pasākumi datu aizsardzībai, šifrēšanai, drošai pārsūtīšanai, rezerves kopiju veidošanai un pieejamības saistībām;
✓ incidentu ziņošanas termiņi un protokoli, bieži ar noteiktiem termiņiem (piemēram, “paziņot 24 stundu laikā”);
✓ audita tiesības, tostarp biežums, tvērums un piekļuve attiecīgajiem pierādījumiem (piemēram, ielaušanās testu pārskatiem, SoA, sertifikācijām);
✓ apakšuzņēmēju kontroles pasākumi, kas prasa piegādātājam tālāk nodot līdzvērtīgus drošības pienākumus saviem lejupējiem partneriem;
✓ līguma beigu noteikumi, piemēram, datu atdošana vai iznīcināšana, aktīvu atgūšana un kontu deaktivizēšana.

Tas ir tilts starp GDPR pārskatatbildību un IDPS pierādījumiem.

PIMS pierādījumu kartēšana GDPR, NIS2, DORA, NIST un COBIT 2019 ietvaros

Privātuma pierādījumi reti kalpo tikai vienam ietvaram. Labi izstrādāts PIMS pierādījumu objekts var atbildēt uz vairākiem audita jautājumiem.

GDPR nostiprina privātuma pārskatatbildību ar tiesisko pamatu, lomu skaidrību, apstrādātāju līgumiem, tiesībām, pārkāpumu apstrādi un pierādāmu atbilstību.

NIS2 ir būtisks pamatpakalpojumu un svarīgām vienībām, tostarp noteiktiem mākoņpakalpojumu sniedzējiem, pārvaldīto pakalpojumu sniedzējiem (MSP), pārvaldīto drošības pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem un digitālās infrastruktūras organizācijām. NIS2 Article 20 nosaka kiberdrošības pārvaldības atbildību vadības struktūrām. Article 21 prasa atbilstošus tehniskos, operacionālos un organizatoriskos pasākumus, tostarp riska analīzi, incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, drošu izstrādi, efektivitātes izvērtēšanu, apmācību, kriptogrāfiju, HR drošību, piekļuves kontroli, aktīvu pārvaldību un MFA vai nepārtrauktu autentifikāciju, kur tas ir atbilstoši. Article 23 ievieš nozīmīgas incidentu ziņošanas gaidas, tostarp agrīnu brīdinājumu 24 stundu laikā un incidenta paziņošanu 72 stundu laikā.

DORA ir būtiska finanšu vienībām un IKT trešo pušu pakalpojumu sniedzējiem finanšu ekosistēmās. DORA Articles 5 un 6 prasa IKT risku pārvaldību, politikas, stratēģiju, testēšanu un nepārtrauktu pilnveidi. Articles 17 līdz 19 aptver IKT incidentu atklāšanu, klasifikāciju, eskalāciju, ziņošanu, pamatcēloņa analīzi un gūtās mācības. Articles 28 līdz 30 prasa IKT trešo pušu riska stratēģiju, reģistrus, sākotnējo izpēti, līguma noteikumus, audita tiesības, incidentu palīdzību, datu aizsardzību, izstāšanās plānošanu un koncentrācijas riska pārskatīšanu.

NIST CSF 2.0 nodrošina pārvaldības un risku valodu, izmantojot GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND un RECOVER. COBIT 2019 pievieno pārvaldības mērķus, pārvaldības prakses, atbildību, metriku, apliecinājumu un procesu spēju.

Atbilstības priekšrocība ir skaidra. Viena kontrolēta PIMS pierādījumu ķēde var atbalstīt GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 un klientu sākotnējo izpēti.

Kā auditori testēs jūsu PIMS

PIMS audits nav dokumentu pārskatīšana. Tas ir pierādījumu izsekojamības uzdevums.

Clarysec P33 Audita un atbilstības uzraudzības politika atbalsta audita modeli:

Organizācijai jāuztur Audita reģistrs, kurā ietver:

SME ekvivalents Audita un atbilstības uzraudzības politika-sme pievieno svarīgu pierādījumu kvalitātes prasību:

Metadati (piemēram, kas tos savāca, kad un no kuras sistēmas) ir jādokumentē.

Šī metadatu prasība ir neliela, bet spēcīga. Ekrānuzņēmumi bez avota, datuma, vācēja un sistēmas konteksta ir vāji pierādījumi. Kontrolēti audita pierādījumi apliecina autentiskumu, aktualitāti un izsekojamību.

Kā izskatās labi PIMS pierādījumi

Pieņemsim, ka auditors izvēlas vienu darbību: klientu atbalsta pieteikumu analīzi.

Vāja atbilde ir: “Mums ir privātuma politika, un mūsu DPA to aptver.”

Stipra PIMS atbilde ir:

1. REG02 identificē darbību, sistēmas, PII kategorijas, datu subjektus, nolūku, lomas klasifikāciju, glabāšanu, nosūtīšanas, drošības kontroles pasākumus un īpašnieku.
2. Lomas klasifikācija parāda, vai organizācija konkrētām darbplūsmas daļām ir pārzinis, apstrādātājs vai abi.
3. Ja tā ir pārzinis, tiesiskais pamats ir validēts un reģistrēts Tiesiskā pamata reģistrā.
4. Ja tā ir apstrādātājs, klienta norādījums un DPA punkts ir sasaistīti.
5. REG04 parāda privātuma riska sākotnējo izvērtēšanu pirms palaišanas vai būtiskām izmaiņām.
6. REG08 identificē pieteikumu platformu, AI kopsavilkumu veidošanas piegādātāju, apakšapstrādātājus, līgumiskās kontroles, audita tiesības, drošības apliecinājumus, dzēšanas noteikumus un incidentu palīdzību.
7. Piekļuves kontroles pierādījumi parāda, ka atbalsta personāla piekļuve ir lomu balstīta un tiek pārskatīta.
8. Žurnālfiksēšanas un uzraudzības pierādījumi parāda, ka piekļuve atbalsta pieteikumiem tiek uzraudzīta.
9. Glabāšanas un dzēšanas pierādījumi parāda, ka pieteikumi tiek dzēsti vai anonimizēti saskaņā ar apstiprināto glabāšanas termiņu.
10. REG12 indeksē visus atbalsta pierādījumus ar īpašnieku un pārskatīšanas datumu.
11. Audita reģistrs parāda, vai darbība tika testēta, kādi konstatējumi tika izvirzīti un vai korektīvās darbības tika slēgtas.

Tā ISO 27701:2025 kļūst operacionāls. Tas izveido atkārtojamu pārskatatbildības ķēdi.

Biežākās PIMS pierādījumu nepilnības

SaaS, FinTech, pārvaldīto pakalpojumu un B2B tehnoloģiju vidēs atkārtoti parādās vienas un tās pašas nepilnības.

Pirmkārt, organizācijas uztur RoPA vai apstrādes reģistru, bet neklasificē pārziņa un apstrādātāja lomas katrai darbībai. Tas rada neskaidrību par tiesisko pamatu, dokumentētajiem norādījumiem un apakšapstrādātāju pienākumiem.

Otrkārt, tiesiskais pamats tiek reģistrēts vienreiz un netiek atkārtoti validēts, kad mainās nolūks. GDPR Article 6 prasa disciplīnu attiecībā uz nolūku un tiesisko pamatu. Turpmākai apstrādei var būt nepieciešama saderības izvērtēšana un aizsardzības pasākumi.

Treškārt, piegādātāju uzskaites sarakstos ir piegādātāji, bet nav redzami līgumisko kontroļu lauki. Piegādātāju saraksts nav tas pats, kas apstrādātāju pārvaldība.

Ceturtkārt, DPIA lēmumi ir neformāli. Komandas saka “nav augsts risks”, bet nevar parādīt sākotnējās izvērtēšanas kritērijus, apstiprinātāju, datumu vai pierādījumus.

Piektkārt, audita pierādījumi pastāv, bet netiek kontrolēti. Ekrānuzņēmumiem trūkst metadatu. Politikas ir aktuālas, bet reģistri ir novecojuši. Līgumi pastāv, bet atjaunošanas atkārtotās izvērtēšanas tiek nokavētas.

Sestkārt, incidentu procesi koncentrējas uz kiberdrošības notikumiem, bet skaidri neklasificē personas datu aizsardzības pārkāpumus. GDPR personas datu aizsardzības pārkāpumu analīze, NIS2 nozīmīgu incidentu ziņošana un DORA IKT incidentu ziņošana ir jākoordinē, nevis jādublē.

Clarysec novērš šīs nepilnības, attiecoties pret PIMS pierādījumiem kā pret kontrolētu pārvaldības sistēmu, nevis pēdējā brīža audita haosu.

ISO 27701:2025 PIMS pierādījumu gatavības kontrolsaraksts

Izmantojiet šo kontrolsarakstu nākamajai iekšējai gatavības pārskatīšanai.

• Definējiet PIMS darbības jomu un ieinteresētās puses, tostarp klientus, regulatorus, datu subjektus, piegādātājus, iekšējo auditu un vadību.
• Piešķiriet PIMS lomas un pienākumus, tostarp PIMS vadītājam, privātuma vadītājam, procesa īpašniekam, juridiskajai funkcijai, iepirkumam, drošības funkcijai un iekšējam auditam.
• Izveidojiet REG02 ierakstus katrai PII apstrādes darbībai.
• Klasificējiet pārziņa, apstrādātāja, kopīga pārziņa vai apakšapstrādātāja lomu katrai darbībai.
• Validējiet tiesisko pamatu pārziņa apstrādei pirms apstrādes sākuma un pirms nolūka maiņas.
• Reģistrējiet dokumentētos norādījumus apstrādātāja darbībām.
• Ierosiniet REG04 privātuma riska sākotnējo izvērtēšanu pirms jaunas vai būtiski mainītas apstrādes.
• Pabeidziet DPIA, ja sākotnējā riska izvērtēšana norāda uz paaugstinātu privātuma risku.
• Uzturiet REG08 apstrādātājiem, apakšapstrādātājiem, IKT piegādātājiem un ar privātumu saistītiem piegādātājiem.
• Pārbaudiet līguma laukus par tvērumu, ilgumu, nolūku, PII kategorijām, konfidencialitāti, drošību, palīdzību, audita tiesībām, atdošanu, dzēšanu un izbeigšanu.
• Uzturiet REG12 kā PIMS dokumentētās informācijas indeksu.
• Kartējiet PIMS pierādījumus uz ISO/IEC 27001:2022 riska apstrādi un SoA piezīmēm.
• Veiciet krusteniskas atsauces uz GDPR, NIS2, DORA, NIST CSF 2.0 un COBIT 2019 pienākumiem, kur tas ir atbilstoši.
• Veiciet ikgadējus iekšējos privātuma atbilstības auditus un atjauniniet Audita reģistru.
• Reizi ceturksnī pārskatiet atvērtos konstatējumus, korektīvās darbības, riska lēmumus un vadības ziņošanu.

P17 Datu aizsardzības un privātuma politika nostiprina audita ciklu:

Iekšējais privātuma atbilstības audits jāveic reizi gadā vai būtisku organizatorisku vai regulatīvu izmaiņu gadījumā. Audita tvērumā jāiekļauj:

Vēstījums ir vienkāršs. Privātuma atbilstība tiek uzraudzīta, nevis pieņemta par pašsaprotamu.

Izveidojiet savu PIMS pierādījumu modeli ar Clarysec

ISO 27701:2025 ir visvērtīgākais, ja tas ir integrēts ar ISO/IEC 27001:2022 un izstrādāts tā, lai pierādījumi tiktu radīti pēc noklusējuma. Tieši tā privātums kļūst par aizstāvamu darbības modeli, nevis sertifikācijas projektu.

Kad klients prasa privātuma apliecinājumu, jūs varat parādīt pierādījumus. Kad regulators jautā, kāpēc apstrādājāt datus, jūs varat parādīt lomu, nolūku, tiesisko pamatu, aizsardzības pasākumus un apstiprinājumus. Kad auditors jautā, kā pārvaldāt apakšapstrādātājus, jūs varat parādīt REG08, līgumiskās kontroles, atkārtotās izvērtēšanas un audita tiesības. Kad valde jautā, vai privātuma risks tiek kontrolēts, jūs varat parādīt metriku, atvērtās darbības, audita rezultātus un vadības pārskatīšanu.

Ja jūsu PIMS joprojām ir politiku ziņā smaga, bet pierādījumu ziņā vāja, sāciet ar ķēdi, kurai sekos auditori:

REG02 apstrādes uzskaite, REG04 privātuma riska sākotnējā izvērtēšana, REG08 apstrādātāju un apakšapstrādātāju pārvaldība, REG12 pierādījumu indekss, Tiesiskā pamata reģistrs, Audita reģistrs un SoA kartējums.

Clarysec var palīdzēt jums operacionalizēt šo ķēdi, izmantojot:

• Zenith Blueprint: auditora 30 soļu ceļkarte, īpaši 2. soli ieinteresēto pušu prasībām, 13. soli riska apstrādei un SoA izsekojamībai un 23. soli privātuma, piegādātāju un organizatoriskajiem kontroles pasākumiem.
• Zenith Controls: savstarpējās atbilstības ceļvedis, izmantojot ISO/IEC 27002:2022 kontroles pasākumus 5.2, 5.20, 5.21 un 5.34 kā praktiskus privātuma pārskatatbildības balstus.
• Clarysec ISO 27701 PIMS politiku kopu, tostarp Privātuma informācijas pārvaldības sistēmas politika, PII apstrādes uzskaites un tiesiskā pamata politika, Privātuma risku izvērtēšanas un DPIA politika, Apstrādātāju, apakšapstrādātāju un trešo pušu privātuma pārvaldības politika un PIMS dokumentētās informācijas un pierādījumu pārvaldības politika.
• Uzņēmuma līmeņa un SME atbalstu, izmantojot P17 Datu aizsardzības un privātuma politika, Datu aizsardzības un privātuma politika-sme, Trešo pušu un piegādātāju drošības politika-sme, P33 Audita un atbilstības uzraudzības politika un Audita un atbilstības uzraudzības politika-sme.

Jūsu nākamā darbība ir vienkārša: izvēlieties vienu augsta riska PII apstrādes darbību un izsekojiet pierādījumu ķēdi no REG02 līdz REG12. Ja ķēde pārtrūkst, tas ir jūsu pirmais pilnveides projekts. Ja tā darbojas, paplašiniet modeli visā apstrādes uzskaitē.

Tā ISO 27701:2025 kļūst par vairāk nekā sertifikātu. Tas kļūst par GDPR pārskatatbildības pierādījumu.