Lomās balstīta privātuma apmācība ISO 27701 un GDPR vajadzībām

Sāra, strauji augoša FinTech uzņēmuma informācijas drošības vadītāja, sagaidīja, ka ISO/IEC 27701:2025 PIMS auditā tiks pārbaudītas politikas, ieraksti un risku izvērtējumi. Otrajā dienā auditors jau bija izgājis ārpus ierastās komforta zonas.

Viņš nejautāja, vai darbinieki ir pabeiguši ikgadējo “Privacy 101” moduli. Informācijas panelis rādīja 98 procentu pabeigšanas rādītāju, kas izskatījās iespaidīgi, līdz jautājumi kļuva ļoti konkrēti.

“Jūsu izstrādātāji apstrādā sensitīvus finanšu PII un ievieš biometrisko autentifikāciju. Kādu konkrētu apmācību viņi ir saņēmuši par datu aizsardzību pēc noklusējuma un projektēšanas, datu minimizēšanu API projektēšanā, drošu žurnalēšanu, testa datu ierobežojumiem un īpašu kategoriju personas datiem saskaņā ar GDPR?”

Tad sekoja klientu atbalsts.

“Viņi var skatīt darījumu vēsturi. Kā viņi ir apmācīti atpazīt datu subjekta piekļuves pieprasījumu, pārbaudīt identitāti, izvairīties no pārmērīgām piezīmēm atbalsta pieteikumos un eskalēt nejaušu izpaušanu?”

Tad HR.

“Viņi tikko ieviesa jaunu mākoņvidē izvietotu algu aprēķina sistēmu, kas mitināta ārpus ES. Kādu privātuma apmācību viņi saņēma par apstrādātāja pienācīgu pārbaudi, pārrobežu datu nosūtīšanu, darbinieku ierakstiem un glabāšanu?”

Sārai bija politikas, apstrādes darbību reģistrs (RoPA), piegādātāju klauzulas, pārkāpumu procedūras un definēta PIMS darbības joma. Viņai nebija auditā aizstāvamu pierādījumu, ka pareizie cilvēki ir apmācīti atbilstoši pareizajiem privātuma pienākumiem.

Tieši šī nepilnība sagrauj daudzas privātuma programmas. ISO/IEC 27701:2025 un GDPR neatalgo organizācijas par vispārīgu izpratni. Tie prasa pārskatatbildību, kompetenci un darbības pierādījumus. Ja cilvēki vāc, izmanto, skata, glabā, koplieto, dzēš, uzrauga vai atbalsta sistēmas, kurās ir PII, viņiem jāzina, kas attiecas uz viņu lomu, kad jāveic eskalācija un kur tiek reģistrēti pierādījumi.

Lomās balstīta privātuma izpratnes apmācība ir veids, kā PIMS kļūst reāla.

Kāpēc vienāda privātuma apmācība visiem nestrādā

Lielākā daļa organizāciju jau īsteno kādu drošības izpratnes apmācības formu. Problēma ir tā, ka privātuma pienākumi organizācijā ir sadalīti nevienmērīgi.

Izstrādātājam nepieciešama datu aizsardzība pēc noklusējuma un projektēšanas, maskēšana, pseidonimizācija, droša kodēšana, žurnalēšanas minimizēšana un izpratne par izmaiņu ietekmi. Atbalsta speciālistam nepieciešama identitātes pārbaude, atbalsta pieteikumu satura minimizēšana, DSAR atpazīšana un nejaušas izpaušanas eskalācija. HR nepieciešama darbinieku privātuma pārvaldība, īpašu kategoriju personas datu apstrāde, konfidencialitāte, glabāšana un piekļuves ierobežojumi. Iepirkumam jāzina, kad piegādātājs ir apstrādātājs vai apakšapstrādātājs. Incidentu reaģētājiem jāspēj atšķirt drošības incidentu no personas datu aizsardzības pārkāpuma.

Viens ikgadējs GDPR tests nevar izveidot darbības kompetenci visās šajās lomās.

GDPR to padara redzamu ar Article 5, kurā definēti tādi principi kā likumīgums, godprātība, pārredzamība, nolūka ierobežojums, datu minimizēšana, precizitāte, glabāšanas ierobežojums, integritāte un konfidencialitāte. Article 5(2) papildina pārskatatbildības princips, pieprasot pārziņiem spēt pierādīt atbilstību. Article 32 prasa piemērotus tehniskos un organizatoriskos pasākumus apstrādes drošībai. Articles 4, 6 un 9 lomu skaidrību padara vēl būtiskāku, definējot apstrādi, pārziņa un apstrādātāja attiecības, tiesisko pamatu un īpašu kategoriju personas datus.

Praktiskais audita jautājums ir vienkāršs: vai jūs varat pierādīt, ka personāls izprot PII pienākumus, kas piesaistīti viņu lomai?

Clarysec SME politikas nostāja ir tieša. Informācijas drošības izpratnes un apmācības politikā - SME 1.3. punkts nosaka:

“Šī politika atbalsta atbilstību ISO/IEC 27001, NIS2, GDPR un DORA, iekļaujot drošības izpratni ikdienas darba praksē un lomās balstītās gaidās.”

Frāze “ikdienas darba prakse” ir būtība. Privātuma izpratne nav plakāts. Tai jābūt redzamai datu vākšanā, piekļuvē, koplietošanā, glabāšanā, dzēšanā, piegādātāju iesaistē, incidentu ziņošanā un vadības pārskatīšanā.

No izpratnes līdz PIMS kompetencei

Clarysec privātuma apmācību traktē kā pārvaldības kontroles pasākumu, nevis kā mācību un attīstības blakusprojektu. Auditā aizstāvamai PIMS apmācību programmai ir četri slāņi:

1. Pamata privātuma izpratne visam personālam ar PII piekļuvi vai PIMS pienākumiem.
2. Lomās balstīta apmācība komandām, kuru lēmumi ietekmē privātuma rezultātus.
3. Notikumu ierosināta apmācība pēc lomu izmaiņām, jaunu sistēmu ieviešanas, incidentiem, audita konstatējumiem vai regulējuma izmaiņām.
4. Pierādījumu fiksēšana REG11, sasaistot tos ar mērķauditoriju, lomu, apmācības veidu, prasīto pabeigšanas datumu, apliecinājumiem, nokavējuma ierakstiem, atkārtotas apmācības pierādījumiem un pierādījumu īpašniekiem.

Tas atbilst Zenith Blueprint struktūrai — Clarysec 30 soļu ceļvedim auditam gatavas pārvaldības sistēmas ieviešanai. 4. solī “Lomas un pienākumi ISMS” Blueprint uzsver lomu komunikāciju, lai personāls zinātu, kas par ko atbild, ar ko sazināties un kā ziņot par incidentiem.

5. solis “Komunikācija, izpratne un kompetence” ir vēl tiešāks:

“Nosakiet nepieciešamās kompetences: nosakiet, kādas zināšanas un prasmes ir nepieciešamas dažādām lomām jūsu ISMS… jūsu izstrādātājiem jāzina drošas kodēšanas principi, jūsu HR komandai jāzina, kā droši apstrādāt personas datus utt.”

Tā pati loģika tieši attiecas uz ISO/IEC 27701:2025. Nevar piešķirt PII pienākumus un cerēt, ka tos nosegs vispārīga izpratne. Kompetence ir jānosaka, jāapmāca, jāizmēra un jāpierāda.

Privātuma apmācības, izpratnes un kompetences politika pārvērš to PIMS darbplūsmā. 4.1.6. punkts prasa:

“[Visiem] Privātuma vadītājam / PIMS vadītājam pirms katra ikgadējā apmācību cikla sākuma REG11 jāreģistrē piešķirtā apmācību mērķauditorija, apmācības veids, prasītais pabeigšanas datums un pierādījumu īpašnieks.”

Tas izveido tiltu starp privātuma lomām un audita pierādījumiem. Auditoram vairs nav jāsecina, kuriem cilvēkiem bija jābūt apmācītiem. REG11 parāda piešķīrumu, termiņu, pabeigšanu, nokavējuma statusu, apliecinājumu, atkārtotas apmācības ciklu un īpašnieku.

ISO/IEC 27002:2022 kontroles pasākumi privātuma apmācības pamatā

Privātuma apmācība kļūst auditējama tad, kad tā ir piesaistīta kontroles pasākumiem, nevis tikai kursu pabeigšanai. Zenith Controls Clarysec kartē lomās balstītu privātuma apmācību, izmantojot trīs centrālos ISO/IEC 27002:2022 kontroles pasākumus: 6.3, 5.2 un 5.34.

Zenith Controls klasificē 6.3. kontroles pasākumu kā preventīvu pasākumu, kas atbalsta konfidencialitāti, integritāti un pieejamību, ar kiberdrošības konceptu “Protect”, operacionālo spēju “Human Resource Security” un pārvaldības un ekosistēmas domēniem. Tā mērķis ir novērst privātuma un drošības kļūmes, ko izraisa cilvēkfaktora kļūdas, neskaidras gaidas un lomu sajukums.

6.3. kontroles pasākums ir atkarīgs arī no saistītajiem kontroles pasākumiem:

Privātumam 5.34. kontroles pasākums ir enkurs. Zenith Blueprint 23. solis izskaidro uzvedības prasību, kas ir privātuma un PII aizsardzības pamatā:

“Personālam jāizprot, kas ir PII, kā ziņot par nepareizu lietošanu un kādas prakses ir aizliegtas — nevis juridiskos terminos, bet ikdienas uzvedībā.”

Šis teikums precīzi raksturo to, ko daudzas PIMS ieviešanas palaiž garām. Privātuma politikas var būt juridiski artefakti, bet privātuma apmācībai jābūt darbības līmenī.

Izveidojiet lomās balstītu PIMS apmācības matricu

Noderīgākais privātuma apmācību pārvaldības artefakts ir lomās balstīta apmācību matrica. Tā sasaista lomu, PII ekspozīciju, galvenos riskus, prasīto apmācību, laiku un pierādījumus.

Privātuma apmācības, izpratnes un kompetences politika prasa to izdarīt pirms PIMS pienākumu piešķiršanas. 4.3.1. punkts nosaka:

“[Visiem] Privātuma vadītājam / PIMS vadītājam pirms PIMS pienākumu piešķiršanas lomai REG11 jādefinē lomās balstīti privātuma apmācības temati.”

Praktiskai matricai jāizskatās šādi:

Šī matrica atbalsta arī pārziņa un apstrādātāja lomu skaidrību. SaaS pakalpojumu sniedzējam, kas darbojas kā apstrādātājs, nepieciešama apmācība par dokumentētiem klienta norādījumiem, apakšapstrādātāju iesaisti, atbalstu pārkāpumu gadījumā, datu atgriešanu un dzēšanu, kā arī tālāk nododamiem līgumiskajiem pienākumiem. Tai pašai organizācijai, darbojoties kā pārzinim HR un mārketinga vajadzībām, nepieciešama apmācība par tiesisko pamatu, privātuma paziņojumiem, piekrišanu, ja tā piemērojama, datu subjektu tiesībām un glabāšanu.

Šī atšķirība ir būtiska, jo GDPR Article 4 nošķir pārziņus un apstrādātājus, un ISO/IEC 27701:2025 sagaida, ka šīs privātuma lomas ir saprotamas darbības līmenī.

Izmantojiet ievadapmācību, ikgadējo apmācību un notikumu ierosinātu apmācību

PIMS apmācību programmai jāatbild uz trim laika jautājumiem: kas notiek, kad persona pievienojas organizācijai, kas notiek katru gadu un kas notiek, kad risks mainās.

Privātuma apmācības, izpratnes un kompetences politika nosaka pamatlīmeni. 4.2.1. punkts prasa:

“[Visiem] Privātuma vadītājam / PIMS vadītājam REG11 jāpiešķir pamata privātuma izpratnes apmācība 10 darbdienu laikā pēc ievadīšanas personālam ar piekļuvi PII vai PIMS pienākumiem.”

4.2.3. punkts papildina:

“[Visiem] Privātuma vadītājam / PIMS vadītājam REG11 jāpiešķir ikgadējā privātuma atkārtotā apmācība vismaz reizi 12 mēnešos.”

SME Informācijas drošības izpratnes un apmācības politika pastiprina aktualitāti un praktiskumu. 6.1.1. punkts nosaka:

“Materiāliem jābūt praktiskiem, lomai atbilstošiem un katru gadu atjauninātiem.”

Nobriedis solis ir notikumu ierosināta apmācība. Tās pašas SME politikas 6.5.1. punkts nosaka:

“Ja darba lomas mainās vai tiek ieviestas sistēmas, var būt nepieciešama mērķtiecīga izpratnes apmācība (piemēram, droša failu koplietošana, jaunas datu aizsardzības un datu minimizēšanas prasības).”

Šeit privātuma apmācība kļūst riskos balstīta. Atbalsta speciālists, kas paaugstināts par komandas vadītāju, var iegūt piekļuves apstiprināšanas pienākumus. Jauns CRM var ieviest eksportus, integrācijas, glabāšanas laukus un ietekmi uz datu subjektu pieprasījumiem. Jauns analītikas rīks var ieviest izsekošanu, profilēšanu vai piekrišanas aspektus. Jauns algu aprēķina piegādātājs var radīt apstrādātāja pienācīgas pārbaudes un pārrobežu datu nosūtīšanas prasības.

Apmācībai jābūt ierosinātai ar šīm izmaiņām, nevis atliktai līdz ikgadējai atkārtotajai apmācībai.

Uzņēmuma Informācijas drošības izpratnes un apmācības politika pievieno skaidru pabeigšanas termiņu. 6.1.3. punkts nosaka:

“Lomās balstīta apmācība (piemēram, administratoriem, izstrādātājiem, vadītājiem) jāpiešķir un jāpabeidz 60 dienu laikā pēc lomas piešķiršanas vai sistēmas privilēģiju paaugstināšanas.”

Augsta riska PII lomām daudzas organizācijas izvēlas īsākus termiņus, bet princips paliek tas pats: lomās balstīta apmācība seko atbildībai.

Kā REG11 palīdz slēgt audita konstatējumu

Apsveriet reālistisku iekšējā audita konstatējumu:

“Klientu atbalsta personāls var piekļūt klientu PII un var saņemt datu subjektu piekļuves pieprasījumus, bet nav pierādījumu par lomās balstītu privātuma apmācību atbalsta speciālistiem vai komandu vadītājiem.”

Clarysec ieviešanas komanda šo konstatējumu slēgtu piecos soļos.

Pirmkārt, Privātuma vadītājs izveido REG11 apmācību mērķauditoriju ar nosaukumu “Klientu atbalsta PII apstrādātāji”. Pierādījumu īpašnieks ir Atbalsta operāciju vadītājs. Apmācības veids ir “Lomās balstīta privātuma apmācība”. Pabeigšanas termiņš ir 30 dienas. Saistītie pienākumi ietver identitātes pārbaudi, atbalsta pieteikumu satura minimizēšanu, drošus pielikumus, DSAR atpazīšanu un aizdomīga pārkāpuma eskalāciju.

Otrkārt, Privātuma vadītājs kartē saturu ar politikas prasībām, tostarp Privātuma apmācības, izpratnes un kompetences politikas 4.3.1. punktu un uzņēmuma Informācijas drošības izpratnes un apmācības politikas 6.1.3. punktu.

Treškārt, apmācībā izmanto scenārijos balstītu testēšanu:

Ceturtkārt, pabeigšana tiek reģistrēta REG11: apmācāmais, loma, modulis, pabeigšanas laikspiedols, testa vai scenārija rezultāts, apliecinājums, nokavējuma statuss, atkārtotas apmācības datums un pierādījumu īpašnieks.

Privātuma apmācības, izpratnes un kompetences politikas 4.4.1. punkts prasa:

“[Visiem] Privātuma vadītājam / PIMS vadītājam REG11 jāuztur apmācību piešķīruma, pabeigšanas, nokavējuma, apliecinājuma un atkārtotas apmācības pierādījumi par katru prasīto privātuma apmācības darbību.”

Piektkārt, audita konstatējums tiek slēgts ar pierādījumiem: REG11 eksports, apmācību materiāls, dalības ieraksti, testu rezultāti, atbalsta procedūras atjauninājums un iekšējais eskalācijas ceļš.

Galvenais nav tas, ka atbalsta komanda saņēma slaidu komplektu. Galvenais ir tas, ka lomai specifiska kompetence tika piešķirta, testēta, pierādīta un sasaistīta ar PIMS pienākumiem.

Savstarpējās atbilstības vērtība: GDPR, NIS2, DORA, NIST un COBIT

Lomās balstīta privātuma apmācība nav tikai ISO/IEC 27701:2025 jautājums. Tā ir savstarpējās atbilstības kontroles pasākums.

GDPR nodrošina privātuma saturu. Article 5(2) prasa pārskatatbildību. Article 32 prasa piemērotus tehniskos un organizatoriskos pasākumus apstrādes drošībai. Article 39(1)(b) arī padara izpratnes veicināšanu un personāla apmācību par daļu no DPO uzraudzības lomas, ja DPO ir iecelts.

Uzņēmuma Informācijas drošības izpratnes un apmācības politika to atzīst 11.4.1. punktā:

“Article 32 – Apstrādes drošība: nosaka, ka personālam, kas apstrādā personas datus, jābūt apmācītam atpazīt, novērst un ziņot par riskiem personas informācijai. Šī politika nodrošina, ka datu apstrādes darbinieki un visas attiecīgās lomas tiek attiecīgi apmācītas.”

NIS2 pievieno kiberdrošības noturību. Article 20 pieprasa būtisko un svarīgo subjektu vadības struktūras locekļiem apgūt kiberdrošības apmācību un mudina nodrošināt regulāru apmācību darbiniekiem. Article 21(2)(i) iekļauj pamata kiberdrošības higiēnu un kiberdrošības apmācību risku pārvaldības pasākumos.

DORA pievieno finanšu sektoram specifisku dimensiju. Article 13 pieprasa finanšu iestādēm uzturēt digitālās darbības noturības apmācību programmas kā daļu no personāla politikas. Article 5 arī uzliek IKT risku pārvaldības pienākumus vadības struktūrai. Finanšu iestādēm DORA ir tieši piemērojama no 2025. gada 17. janvāra un darbojas kā sektoram specifisks Savienības tiesību akts jomās, kur tas pārklājas ar NIS2 IKT riska un incidentu ziņošanas pienākumiem.

NIST CSF 2.0 nodrošina strukturējošu slāni. GOVERN funkcija sagaida, ka juridiskie, regulatīvie, līgumiskie, privātuma un pilsonisko brīvību pienākumi ir saprasti un pārvaldīti. PROTECT funkcija ietver izpratni un apmācību caur PR.AT-01 personāla izpratnei un PR.AT-02 specializētai lomu apmācībai.

COBIT 2019 koncentrējas uz pārvaldību un spēju. APO07 atbalsta cilvēkresursu pārvaldību, BAI05.07 atbalsta prasmju attīstību, APO13.01 atbalsta drošības pārvaldību, un DSS06.08 atbalsta datu privātuma pārvaldību. No COBIT skatpunkta privātuma apmācībai jābūt sasaistītai ar personāla spēju, pārvaldības mērķiem, vadības pārskatīšanu un korektīvajām darbībām.

Zenith Controls apvieno šos virzienus. Tas kartē 6.3. kontroles pasākumu ar GDPR apmācības un izpratnes gaidām, NIS2 Article 21(2)(i), DORA Article 13, NIST SP 800-53 izpratnes un apmācības kontroles pasākumiem un COBIT prasmju un darba politikas mērķiem. Tas kartē 5.2. kontroles pasākumu ar GDPR pārskatatbildību un DPO uzdevumiem, NIS2 organizatoriskajiem pasākumiem, DORA pārvaldības pienākumiem, NIST lomu piešķiršanu un COBIT pārvaldības struktūrām. Tas kartē 5.34. kontroles pasākumu ar GDPR drošību un datu aizsardzību pēc noklusējuma un projektēšanas, NIS2 drošības politikām, DORA datu konfidencialitāti, NIST privātuma kontroles pasākumiem un COBIT privātuma pārvaldību.

Biznesa ieguvums ir efektivitāte. Viena pārvaldīta apmācību sistēma var radīt pierādījumus vairākiem ietvariem, nevis piespiest komandas uzturēt savstarpēji nesaistītas atbilstības programmas.

Atbalstošās ISO vadlīnijas, kas stiprina programmu

Lomās balstīta PIMS apmācība kļūst spēcīgāka, ja tā ir sasaistīta ar saistītajām ISO vadlīnijām.

ISO/IEC 27005:2024 traktē cilvēkfaktora riskus, tostarp pikšķerēšanu, sociālo inženieriju un nolaidīgu rīcību, kā riska avotus, kuriem nepieciešama apstrāde. Tādēļ apmācība ir riska apstrāde, nevis administratīvs vingrinājums.

ISO/IEC 27035-1:2023 uzsver izpratni incidentu pārvaldībā. Personālam jāatpazīst incidenti un jāziņo par tiem, tostarp par aizdomām par PII nepareizu lietošanu vai nejaušu izpaušanu. Privātumam tas ir kritiski, jo pārkāpuma izvērtēšanas termiņi bieži sākas brīdī, kad organizācija uzzina par problēmu.

ISO/IEC 27017 atbalsta mākoņpakalpojumiem specifisku lomu skaidrību. Mākoņkomandām nepieciešama apmācība par kopīgās atbildības modeli, konfigurāciju, piekļuves pārvaldību, rezerves kopiju pienākumiem, žurnalēšanu, uzraudzību un eskalāciju.

ISO/IEC 27018 atbalsta PII aizsardzību publiskās mākoņvidēs. Mākoņpakalpojumu sniedzējiem un klientiem jāapmāca personāls par klienta norādījumiem, neatļautu izmantošanu, PII atgriešanu un dzēšanu, kā arī atbalstu pārkāpuma gadījumā.

ISO/IEC 29100 nodrošina privātuma principus, piemēram, piekrišanu, ierobežošanu, pārredzamību, minimizēšanu un pārskatatbildību. Šie principi palīdz juridisko valodu pārvērst praktiskā uzvedībā.

ISO/IEC 27014 atbalsta pārvaldības deleģēšanu un lēmumu pieņemšanu, kas ir svarīgi, ja vadītājiem, privātuma vadītājiem, risku īpašniekiem un sistēmu īpašniekiem nepieciešams atšķirīgs apmācības dziļums.

ISO/IEC 27036-2 atbalsta piegādātāju attiecību pienākumus. Iepirkuma un piegādātāju īpašniekiem nepieciešama privātuma apmācība, jo apstrādātāju līgumi, apakšapstrādātāju ķēdes, audita tiesības un incidentu klauzulas ietekmē faktisko risku.

Ko auditori faktiski testē

Privātuma apmācību programma ir aizstāvama tikai tad, ja tā iztur testēšanu.

Uz ISO orientēts auditors sāks ar darbības jomu, lomām, kompetenci, izpratni un ierakstiem. Viņš var atlasīt jaunos darbiniekus, izstrādātājus, priviliģētos lietotājus, HR personālu, atbalsta speciālistus, iepirkuma īpašniekus, līgumslēdzējus un incidentu reaģētājus.

PIMS auditors testēs privātuma saturu. Viņš var jautāt, vai personāls izprot PII, DSAR atpazīšanu, pārziņa un apstrādātāja pienākumus, apstrādes norādījumus, pārkāpuma eskalāciju un aizliegtās prakses.

Uz NIST orientēts izvērtētājs meklēs vispārīgu izpratni, specializētu lomu apmācību, apmācību ierakstus un izsekotas nepilnības. Viņš var salīdzināt pašreizējos un mērķa profilus un pārskatīt rīcības plānus.

COBIT auditors izvērtēs, vai apmācība atbalsta pārvaldības mērķus un personāla spēju. Viņš var jautāt, vai vadība pārskata pabeigšanas rādītājus, nokavētu apmācību, pikšķerēšanas simulāciju tendences, incidentu ziņošanas uzvedību un korektīvās darbības.

ISACA ITAF stila auditors var koncentrēties uz darbības pierādījumiem: pabeigšanas rādītājiem, testu rezultātiem, intervijām, simulāciju rezultātiem, incidentu tendencēm un vadības rīcību.

Zenith Controls aptver šo audita skatījumu 6.3. kontroles pasākumam. Auditori var pārskatīt mācību programmas, grafikus, materiālus, dalības ierakstus, pabeigšanas sertifikātus, darbinieku intervijas, pikšķerēšanas simulāciju rezultātus un metriku, piemēram, pabeigšanas rādītājus un testu rezultātus. Praktisks intervijas tests bieži ir izšķirošs: vai darbinieki var paskaidrot, ko viņi darītu, ja saņemtu aizdomīgu ziņojumu, turētu aizdomas par nesankcionētu PII piekļuvi vai saņemtu privātuma pieprasījumu?

Pierādījumi nav tikai izklājlapa. Tie ir arī tas, vai cilvēki zina, ko darīt.

Biežākās PIMS apmācību neatbilstības

Clarysec ieviešanas projekti atklāj atkārtotas privātuma apmācību nepilnības:

• Apmācība pastāv, bet tā ir vispārīga un nav balstīta uz lomām.
• PII apstrādes darbinieki nav skaidri identificēti.
• Līgumslēdzēji un trešās puses ar PII vai sistēmu piekļuvi ir izlaisti.
• Izstrādātāji saņem drošas kodēšanas apmācību, bet ne apmācību par datu aizsardzību pēc noklusējuma un projektēšanas vai testa datu ierobežojumiem.
• Atbalsta komandas tiek apmācītas par pakalpojuma kvalitāti, bet ne par DSAR atpazīšanu vai nejaušu izpaušanu.
• HR apstrādā sensitīvus darbinieku datus bez pierādījumiem par lomai specifisku privātuma apmācību.
• Iepirkums slēdz piegādātāju līgumus bez apmācības par apstrādātājiem vai apakšapstrādātājiem.
• Incidentu reaģētāji zina kibereskalāciju, bet ne personas datu aizsardzības pārkāpumu triāžu.
• Jaunie darbinieki pabeidz drošības apmācību, bet privātuma apmācība kavējas.
• Lomu izmaiņas un jaunas sistēmas neierosina mērķtiecīgu apmācību.
• Pabeigšana tiek izsekota, bet trūkst nokavējuma, apliecinājuma un atkārtotas apmācības pierādījumu.
• Vadība saņem informācijas paneļus, bet nerīkojas nepilnību novēršanai.

Datu aizsardzības un privātuma politika skaidri nosaka sagaidāmo vadības disciplīnu. 4.7.3. punkts prasa organizācijām:

“Uzturēt personāla konfidencialitātes vienošanās un privātuma izpratnes apmācību.”

SME organizācijām Datu aizsardzības un privātuma politika - SME ir vēl tiešāka. 4.5.2. punkts nosaka:

“Jāpabeidz privātuma apmācība”

7.2.2. punkts sasaista apmācību ar riska apstrādi:

“Apmācība un izpratne jāizmanto kā kontroles pasākumi, lai mazinātu cilvēkfaktora kļūdas datu apstrādē”

Tā ir jautājuma būtība. Privātuma apmācība ir kontroles pasākums, kas paredzēts riska mazināšanai.

Praktisks ieviešanas kontrolsaraksts

Auditā aizstāvamai privātuma apmācību programmai nav jākļūst birokrātiskai. Tai nepieciešams skaidrs darbības modelis, kvalitatīvi pierādījumi un regulāra vadības uzmanība.

Izmantojiet šo kontrolsarakstu, lai izveidotu vai uzlabotu programmu:

Zenith Blueprint atbalsta šo dzīves ciklu caur vadību, darbības jomu, lomu piešķiršanu, kompetenci, komunikāciju un kontroles pasākumu ieviešanu. Fāzē “Controls in Action”, 15. solī “People Controls I”, tas iesaka ikgadējo apmācību, lomai specifiskus moduļus, jauno darbinieku ievadīšanu, simulētu pikšķerēšanu, biļetenus, komandu instruktāžas, dalības pierādījumus un apmācības attiecināšanu uz līgumslēdzējiem vai trešajām pusēm ar sistēmu vai datu piekļuvi.

Politiku pakotne nodrošina pārvaldības pamatlīmeni. Privātumam specifiskā apmācību politika nodrošina REG11 pierādījumu darbplūsmu. Datu aizsardzības politikas definē pienākumus un izpratnes gaidas. Zenith Controls nodrošina audita un savstarpējās atbilstības kartēšanas slāni.

Kopā šie rīki palīdz informācijas drošības vadītājam, Privātuma vadītājam, DPO, atbilstības vadītājam vai HR īpašniekam paskaidrot, kāpēc viena apmācību programma atbalsta ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST un COBIT gaidas.

Pārvērtiet privātuma pārskatatbildību ikdienas uzvedībā

Ja jūsu ISO/IEC 27701:2025 vai GDPR programma balstās uz vispārīgu ikgadējo izpratnes apmācību, sāciet ar vienkāršu testu. Izvēlieties piecas lomas, kas saskaras ar PII: HR, klientu atbalsts, izstrādātāji, administratori un iepirkums.

Par katru lomu pajautājiet:

• Kādus PII viņi apstrādā?
• Kādus privātuma lēmumus viņi pieņem?
• Kādas kļūdas varētu radīt GDPR vai PIMS risku?
• Kādu apmācību viņi ir pabeiguši?
• Kur ir pierādījumi?
• Vai viņi šodien zinātu, kā eskalēt aizdomīgu PII incidentu?
• Vai apmācība ir atjaunināta pēc sistēmu izmaiņām, incidentiem vai audita konstatējumiem?

Ja uz šiem jautājumiem nevarat atbildēt, izmantojot dokumentētus pierādījumus, apmācību programma vēl nav aizstāvama auditā.

Clarysec palīdz organizācijām pāriet no pabeigšanas procentiem uz izmērāmu kompetenci. Izmantojiet Privātuma apmācības, izpratnes un kompetences politiku, Informācijas drošības izpratnes un apmācības politiku, Informācijas drošības izpratnes un apmācības politiku - SME, Datu aizsardzības un privātuma politiku, Datu aizsardzības un privātuma politiku - SME, Zenith Blueprint un Zenith Controls, lai izveidotu auditam gatavu PIMS apmācību programmu, kas privātuma pārskatatbildību pārvērš ikdienas uzvedībā.

Lejupielādējiet politiku pakotni, kartējiet savas lomas ar REG11 un ieplānojiet Clarysec izvērtēšanu, lai pierādītu, ka jūsu cilvēki ne tikai zina par privātumu. Viņi ir kompetenti, pārskatatbildīgi un gatavi auditam.