Personu identificējošas informācijas (PII) pārvaldība ISO 27701:2025 un GDPR atbilstībai

Pieprasījums nonāca CISO iesūtnē ar maldinošu vienkāršību: “Project Wellness”. Strauji augošs FinTech uzņēmums vēlējās analizēt esošos klientu darījumu datus, lai sniegtu personalizētus uzkrājumu padomus, produktu ieteikumus un klientu aiziešanas riska ieskatus. Mārketings tajā saskatīja klientu iesaisti. Produkta komanda — inovāciju. Vadība — konkurences priekšrocību.

CISO saskatīja pārvaldības mīnu lauku.

Darījumu dati bija vākti maksājumu apstrādei, pamatojoties uz konkrētu nolūku un tiesisko pamatu. Tagad uzņēmums vēlējās tos atkārtoti izmantot finanšu labklājības analītikai, kampaņu personalizācijai un prognozējošai vērtēšanai. Lai paātrinātu piegādi, komanda vēlējās arī nosūtīt pseidonimizētu datu kopu trešās puses mākslīgā intelekta analītikas piegādātājam.

Tīklā nebija uzbrucēja. Neviena datubāze nebija nopludināta. Neviens incidenta pieteikums nemirgoja sarkanā krāsā.

Tomēr tieši šeit sākas daudzas GDPR pārskatatbildības nepilnības.

Jautājums nav tikai par to, vai organizācijai ir privātuma paziņojums, datu aizsardzības speciālists, tiesiskā pamata reģistrs vai glabāšanas grafiks. Dziļākais jautājums ir operatīvs: kurš apstiprina jaunu PII vākšanu, kurš apstiprina nepieciešamību, kurš definē atļautu iekšējo izmantošanu, kurš lemj, vai sekundārā izmantošana ir saderīga, kurš autorizē izpaušanu piegādātājam un kurš vēlāk var pierādīt šo lēmumu?

Tieši šī ir kontroles pasākumu nepilnība, kas jānovērš, ieviešot ISO/IEC 27701:2025 privātuma informācijas pārvaldības sistēmu jeb PIMS. GDPR Article 5 prasa personas datus apstrādāt likumīgi, godprātīgi un pārredzami, vākt konkrētiem, skaidriem un leģitīmiem nolūkiem, ierobežot līdz nepieciešamajam, uzturēt precīzus, glabāt tikai tik ilgi, cik nepieciešams, pienācīgi aizsargāt un apstrādāt pārziņa pārskatatbildības ietvaros. GDPR Article 6 papildina šo regulējumu ar tiesiskā pamata un saderības loģiku turpmākai apstrādei. Taču šie principi kļūst aizstāvami tikai tad, kad tie ir pārvērsti darbplūsmās, reģistros, apstiprinājumos, piekļuves noteikumos, piegādātāju kontroles pasākumos, uzraudzībā un pierādījumos.

Clarysec pieeja ir vienkārša: PII vākšanas, izmantošanas un izpaušanas pārvaldība jāvada kā kontrolēts darbības modelis, nevis kā juridisks memorands. Modelis balstās uz ISO/IEC 27001:2022 ISMS pamatstruktūru, tiek paplašināts ar ISO/IEC 27701:2025 PIMS lomām un tiek pierādīts ar Clarysec politikām, reģistriem, Zenith Blueprint: auditora 30 soļu ceļvedi un Zenith Controls: savstarpējās atbilstības ceļvedi.

Kāpēc PII pārvaldība neizdodas pat tad, ja privātuma dokumenti pastāv

Lielākā daļa privātuma programmu neizgāžas tāpēc, ka neviens nezina par GDPR. Tās izgāžas tāpēc, ka privātuma lēmumi tiek pieņemti produktu pieteikumos, piegādātāju piesaistes e-pastos, izklājlapu eksportos, informācijas paneļu eksperimentos un mākslīgā intelekta pilotprojektos bez atkārtojama pārvaldības kontrolpunkta.

Tipisks modelis ir labi pazīstams:

1. Komanda pievieno jaunu lauku reģistrācijas veidlapai, jo tas uzlabo segmentēšanu.
2. Neviens nereģistrē, kāpēc tieši šis lauks ir nepieciešams.
3. Cita komanda vēlāk atkārtoti izmanto datus citam nolūkam.
4. Piegādātājs saņem eksportu saskaņā ar plašu pakalpojumu līgumu.
5. Apstrādes reģistrs tiek atjaunināts pēc nodošanas produkcijas vidē, ja vispār tiek atjaunināts.
6. Audita laikā organizācija var uzrādīt privātuma paziņojumu, bet nevar uzrādīt lēmuma pierādījumus.

GDPR Article 4 un Article 5 apstrādi definē plaši. Tajā ietilpst vākšana, reģistrēšana, glabāšana, izmantošana, izpaušana, dzēšana un iznīcināšana. Article 5 arī skaidri nostiprina pārskatatbildību. Pārziņiem jāspēj pierādīt atbilstību principiem.

Tas nozīmē, ka audita jautājums nav tikai: “Vai jums ir politika?” Jautājums ir: “Parādiet, kā tika apstiprināts šis konkrētais datu elements, kāpēc tas bija nepieciešams, kā tas tika izmantots, kurš to saņēma un kādi kontroles pasākumi novērsa neatbilstošu izmantošanu.”

Clarysec P17 Datu aizsardzības un privātuma politika skaidri nosaka dzīves cikla prasību:

Tā formalizē uzņēmuma pienākumus saskaņā ar starptautiskajiem standartiem un regulatīvajiem ietvariem, nodrošinot, ka personas informācija (PII) tiek vākta, apstrādāta, glabāta, koplietota un likvidēta likumīgi, droši un pārredzami.

SME vajadzībām Clarysec Datu aizsardzības un privātuma politika - SME pārvērš to pašu principu praktiskā darbības noteikumā:

Personas datus drīkst vākt tikai tad, ja tas ir nepieciešams leģitīmam, likumīgam vai līgumiskam nolūkam

Un attiecībā uz minimizēšanu:

Jāvāc un jāglabā tikai minimāli nepieciešamie personas dati

Šie apgalvojumi ir spēcīgi tikai tad, ja tie tiek piemēroti pirms apstrādes sākuma. Pretējā gadījumā tie paliek privātuma formulējumi bez operatīviem pierādījumiem.

Kontroles mērķis: apturēt nekontrolētu apstrādi trīs kontrolpunktos

Stiprai PIMS jākontrolē PII lēmumi trīs punktos: pirms vākšanas, pirms izmantošanas un pirms izpaušanas.

Pirms vākšanas organizācijai jāzina, ko tā vēlas vākt, no kā, kādā kanālā, kādam nolūkam, uz kāda tiesiskā pamata un kāpēc katrs lauks ir nepieciešams.

Pirms izmantošanas organizācijai jādefinē atļautās iekšējās izmantošanas noteikumi. Atbalsta funkcijai, klientu attiecību komandai, mārketingam, krāpšanas novēršanai, finansēm un inženierijai reti nepieciešama viena un tā pati redzamība vai vienādas tiesības rīkoties ar PII.

Pirms izpaušanas organizācijai jāzina, kas ir saņēmējs, kāda ir tā loma, kāpēc izpaušana ir nepieciešama, kur notiek apstrāde, kādas PII kategorijas tiek koplietotas, cik bieži koplietošana notiek un kāds pilnvarojuma avots to atļauj.

Clarysec PII09 PII vākšanas, izmantošanas, izpaušanas un koplietošanas politika ir paredzēta šim pārvaldības slānim. Tā izmanto PIMS lomu marķēšanu, īpaši pārziņa lomu, jo lēmumi par vākšanu, izmantošanu un izpaušanu parasti ir tās organizācijas atbildībā, kura nosaka nolūkus un līdzekļus.

Attiecībā uz vākšanas ierobežošanu PII09 PII vākšanas, izmantošanas, izpaušanas un koplietošanas politika pieprasa:

[Pārzinis] Procesa īpašniekam / uzņēmuma īpašniekam REG02 jāreģistrē vākšanas nolūks, avots vai kanāls, PII kategorijas, datu subjektu kategorijas un minimālie datu elementi, pirms sākas jebkura jauna vākšanas darbība vai būtiska izmaiņa vākšanā.

Pēc tam tā padara minimizēšanu pārbaudāmu:

[Pārzinis] Procesa īpašniekam / uzņēmuma īpašniekam REG02 jāreģistrē nepieciešamības pamatojums katram PII datu elementam, pirms attiecīgais elements tiek vākts.

Prasība “katram PII datu elementam” ir atšķirība starp vispārīgu apstrādes uzskaiti un lauka līmeņa pārskatatbildības pierādījumiem.

Attiecībā uz iekšējo izmantošanu tā pati politika pieprasa:

[Pārzinis] Procesa īpašniekam / uzņēmuma īpašniekam REG02 jāreģistrē apstiprinātie iekšējās izmantošanas noteikumi katrai apstrādes darbībai, pirms izmantošana sākas.

Attiecībā uz sekundāro izmantošanu:

[Pārzinis] Procesa īpašniekam / uzņēmuma īpašniekam REG02 jāreģistrē sekundārās izmantošanas saderības pārbaude, pirms PII tiek izmantota nolūkam, kas attiecīgajai apstrādes darbībai iepriekš nav apstiprināts.

Un attiecībā uz ārēju izpaušanu:

[Pārzinis] Piegādātāja / iepirkuma īpašniekam REG08 jāreģistrē saņēmēja identitāte, saņēmēja loma, izpaušanas nolūks, PII kategorijas, koplietošanas biežums, apstrādes vieta un pilnvarojuma avots, pirms sākas atkārtota ārēja koplietošana.

Šie punkti sniedz skaidru atbildi, kad vadība jautā, vai bizness var ātri ieviest inovācijas: jā, ja lēmums iziet dokumentētu pārvaldības darbplūsmu un kontroles pasākumi atbilst apstiprinājumam.

REG02 un REG08: Clarysec politikas un kontroles ķēde

Clarysec ieviešanā REG02 nav pasīva apstrādes uzskaite. Tas ir lēmumu ieraksts par vākšanas nolūku, tiesisko pamatu, PII kategorijām, nepieciešamību, iekšējās izmantošanas noteikumiem, sasaisti ar glabāšanu un sekundārās izmantošanas saderību.

REG08 ir izpaušanas un koplietošanas kontroles reģistrs. Tas ir īpaši svarīgs piegādātājiem, partneriem, grupas uzņēmumiem, iestādēm, apakšapstrādātājiem, integrācijām un atkārtotiem eksportiem.

Kopā tie veido politikas un kontroles ķēdi, ko var testēt privātuma, drošības, iepirkumu un audita komandas.

Šis modelis dabiski saskan ar ISO/IEC 27001:2022. 4. līdz 10. punkts prasa organizācijai izprast kontekstu, ieinteresēto pušu prasības, piemērošanas jomu, vadības atbildību, risku izvērtēšanu, riska apstrādi, darbības kontroles pasākumus, snieguma novērtēšanu un uzlabošanu. Privātuma pienākumi saskaņā ar GDPR un ISO/IEC 27701:2025 kļūst par vadības sistēmas daļu, nevis atsevišķu privātuma salu.

ISO/IEC 27002:2022 arī atbalsta darbības modeli. Kontroles pasākums 5.31 — juridiskās, normatīvās, regulatīvās un līgumiskās prasības — nostiprina GDPR un nozares pienākumus. Kontroles pasākums 5.34 — privātums un PII aizsardzība — aptver privātumam specifisku aizsardzību. Kontroles pasākums 5.9 — informācijas un citu saistīto aktīvu uzskaite — atbalsta datu apzināšanos. Kontroles pasākumi 5.12 un 5.13 atbalsta klasifikāciju un marķēšanu. Kontroles pasākums 5.14 regulē informācijas pārsūtīšanu. Kontroles pasākumi 5.19 līdz 5.23 aptver piegādātāju attiecības, piegādātāju līgumus, IKT piegādes ķēdi, piegādātāju pakalpojumu uzraudzību un mākoņpakalpojumus. Kontroles pasākums 8.11 atbalsta datu maskēšanu, 8.12 — datu noplūdes novēršanu, 8.15 — žurnālfiksēšanu, 8.16 — uzraudzības darbības un 8.24 — kriptogrāfijas izmantošanu.

Zenith Blueprint ievieto šos kontroles pasākumus ieviešanas ceļā. Posmā “Kontroles pasākumi darbībā” 23. solis aptver organizatoriskos kontroles pasākumus 5.19 līdz 5.37, tostarp kontroles pasākumu 5.34 privātumam un PII aizsardzībai. Blueprint skaidro:

Mūsdienu datos balstītajā pasaulē personu identificējoša informācija nav tikai vēl viens datu tips — tā ir dziļi sensitīva uzticēšanās izpausme. Vārdi, adreses, identifikatori, veselības ieraksti, finanšu informācija — šie dati stāsta par reāliem cilvēkiem.

Pēc tam tas nosaka operatīvo pamatlīmeni:

Šī kontroles pasākuma pamats ir datu apzināšanās. Organizācijai jāzina, kādu PII tā vāc, kur tā atrodas, kāpēc tā tiek apstrādāta un kas tai var piekļūt.

Tieši to nodrošina REG02 un REG08, ja tos uztver kā dzīvus pārvaldības ierakstus.

Praktisks piemērs: Project Wellness apstiprināšana, nezaudējot kontroli

Atgriezīsimies pie FinTech scenārija. Uzņēmums vēlas analizēt klientu darījumu datus personalizētiem finanšu labklājības ieteikumiem. Mārketings vēlas izmantot rezultātus kampaņām. Produkta komanda vēlas veidot klientu aiziešanas un iesaistes vērtējumus. Trešās puses mākslīgā intelekta analītikas platforma apstrādās daļu datu kopas.

Šādi Clarysec pārvaldītu pieprasījumu.

1. solis: izveidot vai atjaunināt REG02 apstrādes darbību

Procesa īpašnieks atver REG02 un reģistrē apstrādes darbību pirms darba sākuma.

Svarīgākais ir laiks. REG02 tiek atjaunināts pirms jaunas apstrādes sākuma, nevis pēc tam, kad funkcija jau ir aktīva produkcijas vidē.

2. solis: reģistrēt lauka līmeņa nepieciešamības pamatojumus

Mārketings sākotnēji pieprasa piecu gadu pilnu darījumu vēsturi, tostarp tirgotāju nosaukumus, precīzus laikspiedolus, karšu metadatus un klientu profila atribūtus. Pārvaldības komanda apstrīd katru lauku.

Tā ir datu minimizēšana kā pierādījums, nevis iecere. Uzņēmums joprojām saņem noderīgu analītiku, bet datu kopa tiek sašaurināta līdz tam, kas nepieciešams apstiprinātajam nolūkam.

3. solis: klasificēt un marķēt datu kopu

Datu kopa tiek klasificēta saskaņā ar Clarysec Datu klasifikācijas un marķēšanas politiku. SME versija pieprasa:

Ārējai koplietošanai jābūt skaidri autorizētai un reģistrētai žurnālos.

Uzņēmuma Datu klasifikācijas un marķēšanas politika pievieno aizsardzības pasākumu sensitīvai informācijai:

Drīkst ārēji koplietot tikai saskaņā ar NDA vai līdzvērtīgiem līgumiskiem aizsardzības pasākumiem

Praksē Project Wellness datu kopu nedrīkst vienkārši eksportēt uz mākslīgā intelekta platformu. Tai nepieciešams apstiprināts izpaušanas ieraksts, līgumiski aizsardzības pasākumi, tehniskie pārsūtīšanas kontroles pasākumi un žurnāli.

Zenith Blueprint 22. solī par kontroles pasākumu 5.12 Informācijas klasifikācija skaidro, kāpēc tas ir svarīgi:

Ikviens jebkad uzrakstīts informācijas drošības kontroles pasākums — piekļuves ierobežošana, šifrēšana, rezerves kopiju veidošana, uzraudzība vai likvidēšana — balstās vienā pieņēmumā: organizācija zina, ko tā aizsargā.

Bez klasifikācijas piekļuves ierobežojumi, šifrēšana, DLP un glabāšanas noteikumi kļūst par minējumiem.

4. solis: definēt iekšējās izmantošanas noteikumus pirms nodošanas produkcijas vidē

Procesa īpašnieks REG02 reģistrē apstiprinātos iekšējās izmantošanas noteikumus. Tieši šeit bieži tiek apturēta nolūka izplešanās.

Aizstāvams noteikumu kopums varētu noteikt:

• Produkta komanda drīkst izmantot agregētus ieteikumu veiktspējas rādītājus.
• Klientu atbalsts, apstrādājot atbalsta pieprasījumu, drīkst redzēt, vai klientam tika parādīts ieteikums.
• Mārketings nedrīkst izmantot individuāla līmeņa labklājības vērtējumus kampaņu segmentēšanai, ja nav pabeigta sekundārās izmantošanas saderības pārbaude.
• Finanses nedrīkst piekļūt detalizētai labklājības analītikai, ja nepastāv atsevišķs apstiprināts nolūks.
• Izstrādātāji nedrīkst izmantot produkcijas PII testa vidēs.
• Mākslīgā intelekta modeļa izvērtēšanā, kur iespējams, jāizmanto maskētas, pseidonimizētas vai agregētas datu kopas.

Pēdējie divi noteikumi ir saistīti ar ISO/IEC 27002:2022 kontroles pasākumu 8.11 Datu maskēšana. Zenith Blueprint 19. solī datu maskēšanu apraksta kā praktisku metodi nevajadzīgas ekspozīcijas novēršanai testa vidēs, apmācību datu kopās, analītikas platformās, trešo pušu integrācijās un CI/CD testēšanas cauruļvados.

5. solis: veikt sekundārās izmantošanas saderības pārbaudi

Vēlāk mārketings lūdz izmantot labklājības vērtējumus mērķētām kampaņām. Tas ir jauns nolūks. Saskaņā ar PII09 PII vākšanas, izmantošanas, izpaušanas un koplietošanas politikas punktu 4.3.1 uzņēmuma īpašniekam REG02 jāreģistrē saderības pārbaude, pirms sākas jaunā izmantošana.

Pārbaudē jāizvērtē:

• Vai finanšu labklājības mārketings ir saderīgs ar sākotnējo apstrādes nolūku.
• Kas klientiem tika paziņots datu vākšanas laikā un privātuma paziņojumā.
• Vai no darījumiem iegūtie secinājumi varētu būt sensitīvi vai negaidīti.
• Vai jaunā izmantošana varētu radīt spiedienu, izslēgšanu vai negodīgu profilēšanu.
• Vai tādi aizsardzības pasākumi kā agregēšana, atteikšanās iespēja, pseidonimizācija vai konta līmeņa segmentēšana samazina risku.
• Vai tiesiskais pamats joprojām ir spēkā.
• Vai ir nepieciešami pārredzamības atjauninājumi vai piekrišanas mehānismi.

Rezultāts var būt apstiprinājums, apstiprinājums ar aizsardzības pasākumiem vai noraidījums. Vērtība ir tajā, ka lēmums tiek dokumentēts pirms izmantošanas sākuma.

6. solis: apstiprināt ārēju izpaušanu ar REG08

Ja mākslīgā intelekta analītikas piegādātājs saņems datus, piegādātāja vai iepirkuma īpašnieks REG08 reģistrē:

Clarysec Trešo pušu un piegādātāju drošības politika - SME pastiprina minimizētu piegādātāju piekļuvi:

Piegādātājiem piekļuve jāpiešķir tikai minimālajām sistēmām un datiem, kas nepieciešami to funkcijas izpildei.

Tā ir privātuma minimizēšana, kas piemērota piegādātāju piekļuvei un izpaušanai.

7. solis: pievienot tehnisko piemērošanu

Pārvaldības ieraksti jāatbalsta ar tehniskajiem kontroles pasākumiem. Project Wellness gadījumā Clarysec parasti ieteiktu DLP noteikumus eksportiem, lomās balstītus piekļuves ierobežojumus, žurnālfiksēšanu piekļuves un pārsūtīšanas notikumiem, maskētas datu kopas izstrādei, šifrēšanu pārsūtē un glabāšanā, piegādātāju piekļuves tiesību pārskatīšanu, mākoņdrošības sākotnējo izvērtēšanu un periodisku REG02 un REG08 izlases pārbaudi pret faktisko sistēmu darbību.

Tā ISO/IEC 27701:2025 un GDPR pārskatatbildība kļūst par operatīviem pierādījumiem.

Kontroles kartēšana: no privātuma lēmuma līdz drošības piemērošanai

PII pārvaldība nav viens izolēts kontroles pasākums. Tā ir saikne starp privātuma prasībām, drošības kontroles pasākumiem, piegādātāju pārvaldību un audita pierādījumiem.

Zenith Controls ISO/IEC 27002:2022 kontroles pasākumu 5.34 Privātums un PII aizsardzība traktē kā preventīvu kontroles pasākumu, kas atbalsta konfidencialitāti, integritāti un pieejamību, ar Identify un Protect kiberdrošības konceptiem un operatīvajām spējām informācijas aizsardzībā, kā arī juridiskajās lietās un atbilstībā.

Attiecībā uz 5.34 Zenith Controls kartē apkārtējo kontroles ekosistēmu, tostarp uzskaiti, klasifikāciju, pārsūtīšanu, piekļuvi, identitāti, mākoni, piegādātāju drošību, maskēšanu, noplūdes novēršanu, žurnālfiksēšanu, uzraudzību un kriptogrāfiju.

Attiecībā uz maskēšanu Zenith Controls norāda:

Datu maskēšana (8.11) ir paņēmiens, ko bieži izmanto PII aizsardzībai neprodukcijas vidēs vai datu koplietošanas laikā. Tā tieši atbalsta 5.34, samazinot reālu personas datu ekspozīciju un līdz ar to mazinot privātuma risku.

Attiecībā uz datu noplūdes novēršanu ceļvedis skaidro praktisko robežu:

DLP ir tieša loma personas datu aizsardzībā. Kontroles pasākums 8.12 piemēro robežas tam, kā PII var piekļūt, koplietot vai pārvietot, nodrošinot, ka personas dati nevar noplūst pa neautorizētiem kanāliem.

Tādēļ auditors, kas testē izpaušanas pārvaldību, var pieprasīt ne tikai REG08, bet arī DLP politikas, bloķētu pārsūtīšanu žurnālus, izejošā e-pasta kontroles pasākumus, mākoņkoplietošanas ierobežojumus, šifrēšanas prasības, piegādātāju piekļuves ierakstus un apstiprināto izņēmumu pierādījumus.

Savstarpējās atbilstības vērtība: GDPR, ISO 27701, NIS2, DORA, NIST un COBIT

PII vākšanas, izmantošanas un izpaušanas pārvaldību virza privātuma prasības, taču tās pierādījumi atbalsta plašākus kiberdrošības, noturības un pārvaldības pienākumus.

GDPR Article 2 un Article 3 nosaka plašu materiālo un teritoriālo piemērošanas jomu, kas var ietvert SaaS, FinTech un digitālo pakalpojumu sniedzējus ārpus ES, ja tie apkalpo vai uzrauga ES personas. Article 5 pieprasa nolūka ierobežojumu, datu minimizēšanu, precizitāti, glabāšanas ierobežojumu, integritāti, konfidencialitāti un pārskatatbildību. Article 6 pieprasa tiesisko pamatu un saderības izvērtēšanu turpmākai apstrādei. Article 9 pievieno stingrākus nosacījumus īpašu kategoriju datiem, kas ir būtiski, ja ir iesaistīta profilēšana, veselībai pietuvināti dati, biometriska ievadīšana vai sensitīvi atribūti.

NIS2 Article 21 prasa būtiskām un svarīgām vienībām ieviest samērīgus tehniskus, operatīvus un organizatoriskus risku pārvaldības pasākumus. Minimālās jomas ietver riska analīzi, informācijas sistēmu drošības politikas, incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, drošu izstrādi, kontroles efektivitāti, apmācību, kriptogrāfiju, cilvēkresursu drošību, piekļuves kontroli, aktīvu pārvaldību un autentifikāciju.

DORA prasa finanšu vienībām uzturēt IKT risku pārvaldības ietvaru, vadības struktūras pārskatatbildību, IKT aktīvu un atkarību identificēšanu, aizsardzības un preventīvos kontroles pasākumus, atklāšanu, reaģēšanu, atjaunošanu, rezerves kopiju veidošanu, mācīšanos, incidentu pārvaldību, testēšanu un IKT trešo pušu risku pārvaldību. Tā prasa arī informācijas reģistrus IKT pakalpojumu līgumiem, sākotnējo izvērtēšanu, audita tiesības, drošības prasības un izstāšanās stratēģijas.

NIST Cybersecurity Framework 2.0 nodrošina integrējošu pārvaldības valodu. Tā GOVERN funkcija sagaida, ka juridiskās, regulatīvās un līgumiskās prasības, tostarp privātuma pienākumi, ir izprastas un pārvaldītas. Tā aptver arī riska stratēģiju, lomas, politikas, pārraudzību un piegādātāju risku pārvaldību.

COBIT 2019 auditori meklē pārvaldības mērķus, lēmumu tiesības, pārskatatbildību, procesu īpašumtiesības, veiktspējas rādītājus un apliecinājuma pierādījumus. PII pārvaldībai tas nozīmē, ka privātuma prasības jāiestrādā uzņēmuma pārvaldībā, nevis jāvada kā blakusprocess.

Kā auditori testē to pašu pārvaldības slāni

Stiprai PIMS ieviešanai jāiztur dažādi audita stili.

ISO/IEC 27001:2022 un ISO/IEC 27701:2025 auditors sāks ar piemērošanas jomu, ieinteresētajām pusēm, juridiskajām un līgumiskajām prasībām, risku izvērtēšanu, Piemērojamības paziņojumu, darbības plānošanu un dokumentētiem pierādījumiem. Viņš var ņemt apstrādes darbību izlasi no REG02 un testēt, vai tādi kontroles pasākumi kā 5.34, 5.12, 5.14, 5.19 līdz 5.23, 8.11, 8.12, 8.15, 8.16 un 8.24 ir ieviesti un uzraudzīti.

Uz GDPR orientēts auditors vai regulators testēs pārskatatbildību. Viņš var sākt ar privātuma paziņojumu, sūdzību, datu subjekta pieprasījumu vai piegādātāja izpaušanu un tad izsekot atpakaļ. Kāpēc šie dati tika vākti? Kāds tiesiskais pamats tika piemērots? Vai nolūks bija norādīts? Vai vēlākā izmantošana bija saderīga? Vai saņēmējs bija autorizēts? Vai personas tika informētas? Vai ieraksti tika atjaunināti pirms apstrādes sākuma?

DORA uzraugs, ja piemērojams, koncentrēsies uz IKT atbalstītām biznesa funkcijām, trešo pušu IKT pakalpojumu sniedzējiem, līguma klauzulām, audita tiesībām, datu aizsardzību, incidentu komunikāciju, noturības testēšanu un izstāšanās plānošanu. Ja klientu PII tiek koplietota ar kritisku analītikas vai mākoņpakalpojumu sniedzēju, REG08, piegādātāju pienācīga pārbaude un līgumu kontroles pasākumi kļūst par centrāliem pierādījumiem.

NIST CSF izvērtētājs jautājumu skatīs caur pārvaldības rezultātiem. Vai juridiskās un regulatīvās prasības tiek pārvaldītas? Vai lomas un pienākumi ir skaidri? Vai politikas tiek uzturētas un piemērotas? Vai piegādātāju riski tiek pārvaldīti? Vai datu aizsardzības, uzraudzības un reaģēšanas rezultāti darbojas?

COBIT vai ISACA stila auditors jautās, vai lēmumu tiesības ir definētas, vai biznesa īpašnieki pieņem privātuma risku, vai kontroles veiktspēja tiek mērīta, vai izņēmumi tiek izsekoti un vai vadība saņem jēgpilnu ziņošanu.

Biežākās nepilnības, ko Clarysec konstatē ieviešanās

Pirmā nepilnība ir apstrādes uzskaites uztveršana kā dokumentēšanas uzdevums, nevis apstiprināšanas kontrolpunkts. Ja REG02 tiek atjaunināts pēc nodošanas produkcijas vidē, tas nevar pierādīt iepriekšēju pārvaldību.

Otrā ir neskaidra nolūka valoda. “Analītika”, “pakalpojuma uzlabošana” vai “klientu ieskati” reti ir pietiekami konkrēti, lai kontrolētu iekšējo izmantošanu vai sekundāro izmantošanu.

Trešā ir lauka līmeņa nepieciešamības trūkums. Datu minimizēšanu nevar pierādīt, apgalvojot, ka katrs lauks ir noderīgs. Uzņēmumam jāpaskaidro, kāpēc katrs lauks ir nepieciešams apstiprinātajam nolūkam.

Ceturtā ir nekontrolēta sekundārā izmantošana. Dati, kas vākti konta administrēšanai, nemanāmi kļūst par pārdošanas izlūkošanu, pēc tam par mārketinga segmentēšanu un pēc tam par mākslīgā intelekta apmācību. Katrai nolūka maiņai ir nepieciešama saderības analīze un dažos gadījumos jauns tiesiskais pamats vai pārredzamības atjauninājums.

Piektā ir vāja izpaušanas pārvaldība. Piegādātāju saraksti nav tas pats, kas izpaušanas ieraksti. REG08 sasaista saņēmēju, lomu, nolūku, PII kategorijas, atrašanās vietu, biežumu un pilnvarojuma avotu vienā apstiprinājuma pēdā.

Sestā ir tehniskās piemērošanas trūkums. Politikas var noteikt, ka PII nedrīkst atstāt apstiprinātos kanālus, bet e-pasts, eksporti, koplietojamie diski un analītikas rīki to bieži pieļauj. Šeit būtiski kļūst ISO/IEC 27002:2022 kontroles pasākumi 5.14, 8.12, 8.15, 8.16 un 8.24.

Praktisks 30 dienu sākuma plāns

Organizācijām nav jāmēģina atrisināt visu uzreiz. Sāciet ar vienu augsta riska apstrādes darbību, vēlams tādu, kas ietver klientu profilēšanu, mākslīgā intelekta analītiku, sensitīvus atribūtus, pārrobežu nosūtīšanu vai trešās puses platformu.

Pirmajā nedēļā identificējiet apstrādes darbību, īpašnieku, PII kategorijas, sistēmas, piegādātājus un pašreizējo nolūku. Apstipriniet, vai darbība jau ir iekļauta REG02 un vai izpaušana ir iekļauta REG08.

Otrajā nedēļā pabeidziet lauka līmeņa nepieciešamības pamatojumus. Apstrīdiet pārmērīgus datu elementus. Apstipriniet klasifikāciju un marķēšanu. Nosakiet, vai maskēšana, agregēšana vai pseidonimizācija var samazināt risku.

Trešajā nedēļā definējiet iekšējās izmantošanas noteikumus un veiciet nepieciešamās sekundārās izmantošanas saderības pārbaudes. Izlemiet, vai jāatjaunina privātuma paziņojumi, tiesiskā pamata izvērtējumi vai datu subjektu kontroles pasākumi.

Ceturtajā nedēļā validējiet ārējas izpaušanas ierakstus, piegādātāju piekļuvi, līgumiskos aizsardzības pasākumus, DPA nosacījumus, nosūtīšanas kontroles pasākumus, žurnālfiksēšanu, DLP un dzēšanas pienākumus. Pēc tam izlases veidā pārbaudiet faktisko sistēmu darbību pret apstiprinājumiem.

Pēc 30 dienām vadībai jābūt konkrētai pierādījumu paketei: REG02, REG08, klasifikācijas ieraksti, piekļuves matricas, DLP un žurnālfiksēšanas pierādījumi, piegādātāju pienācīga pārbaude, līgumiskie aizsardzības pasākumi, saderības pārbaudes un atvērtie trūkumu novēršanas pasākumi.

No politikas līdz pierādījumiem

PII vākšanas, izmantošanas un izpaušanas pārvaldība ir vieta, kur privātums kļūst reāls. Tā ir atšķirība starp apgalvojumu “mēs ievērojam GDPR” un pierādīšanu, ka katrs vākšanas, izmantošanas, atkārtotas izmantošanas un izpaušanas lēmums tika kontrolēts pirms apstrādes sākuma.

Clarysec rīkkopa sniedz privātuma, drošības un atbilstības komandām praktisku ceļu:

• Izmantojiet PII09 PII vākšanas, izmantošanas, izpaušanas un koplietošanas politiku, lai definētu obligātos apstiprināšanas kontrolpunktus.
• Izmantojiet P17 Datu aizsardzības un privātuma politiku vai Datu aizsardzības un privātuma politiku - SME, lai nostiprinātu likumīgu, godprātīgu, pārredzamu un minimizētu apstrādi.
• Izmantojiet Datu klasifikācijas un marķēšanas politiku un Trešo pušu un piegādātāju drošības politiku - SME, lai pārvaldītu klasifikāciju, koplietošanu un piegādātāju piekļuvi.
• Sekojiet Zenith Blueprint: auditora 30 soļu ceļvedim, lai ieviestu kontroles vidi pareizā secībā.
• Izmantojiet Zenith Controls: savstarpējās atbilstības ceļvedi, lai saprastu, kā ISO/IEC 27002:2022 kontroles pasākumi, piemēram, 5.34, 5.12, 5.14, 8.11 un 8.12, atbalsta GDPR, NIS2, DORA, NIST un audita gaidas.

Ja nākamais audits, klienta pienācīgas pārbaudes pieprasījums vai valdes pārskatīšana jautā, kā jūs kontrolējat, kāda PII tiek vākta, kā tā tiek izmantota un kad tā tiek izpausta, nepaļaujieties tikai uz politikas apgalvojumiem.

Sāciet ar vienu augsta riska darbību. Izveidojiet REG02 ierakstu. Pamatojiet katru datu elementu. Definējiet iekšējās izmantošanas noteikumus. Veiciet sekundārās izmantošanas saderības pārbaudi. Izveidojiet REG08 izpaušanas ierakstu. Pēc tam pārbaudiet, vai piekļuve, DLP, maskēšana, žurnālfiksēšana, šifrēšana un piegādātāju kontroles pasākumi atbilst lēmumam.

Tā ISO/IEC 27701:2025 un GDPR pārskatatbildība kļūst par pierādījumiem.

Izpētiet Clarysec PIMS rīkkopu, sāciet ar PII09 PII vākšanas, izmantošanas, izpaušanas un koplietošanas politiku un izmantojiet Zenith Blueprint, lai pārvērstu privātuma pārvaldību no politikas nodoma par auditam gataviem pierādījumiem.