Evidenza tal-PIMS ISO 27701:2025 għall-awditi tal-GDPR

Huma t-08:40 ta’ nhar ta’ Ħamis, u Ava, il-Maniġer tal-Konformità ta’ FinScale, għadha kemm fetħet l-email li eventwalment tirċievi kull kumpanija B2B SaaS li qed tikber malajr.

Klijent Ġermaniż kbir fil-livell ta’ intrapriża bagħat kwestjonarju ta’ diliġenza dovuta tal-GDPR bi skadenza ta’ 48 siegħa. Mhuwiex qed jitlob politika tal-privatezza. Mhuwiex sodisfatt b’ċertifikat. Qed jitlob evidenza.

Ipprovdu r-Reġistru tal-Attivitajiet ta’ Pproċessar għad-data tagħna. Uri evidenza tad-diliġenza dovuta fl-onboarding tas-subproċessuri. Spjega kif turi b’evidenza l-obbligi tiegħek taħt GDPR Article 28. Identifika jekk il-pjattaforma tiegħek taġixxix bħala kontrollur tal-PII, proċessur, kontrollur konġunt, jew subproċessur għal kull fluss tax-xogħol. Ipprova li l-bażi legali ġiet ivverifikata għall-karatteristika ta’ appoġġ megħjuna mill-AI. Uri obbligi ta’ tħassir, drittijiet ta’ awditjar, appoġġ għall-inċidenti, u kontrolli kuntrattwali.

Ava taf li FinScale għandu l-komponenti meħtieġa. It-tim Legali għandu l-Ftehim dwar l-Ipproċessar tad-Data. It-tim tas-Sigurtà għandu d-Dikjarazzjoni ta’ Applikabbiltà ISO/IEC 27001:2022. It-tim tal-Prodott għandu listi ta’ kontroll għat-tnedija. L-Akkwist għandu l-kuntratti tal-fornituri. Il-Konformità għandha reġistru tal-ipproċessar, għalkemm xi entrati mhumiex aġġornati. Il-problema mhijiex li l-evidenza ma teżistix. Il-problema hija li l-evidenza hija mxerrda, l-ambigwità tar-rwoli għadha mhux solvuta, u ħadd ma jista’ jsegwi malajr attività ta’ pproċessar mill-għan sal-bażi legali, id-deċiżjoni dwar ir-riskju, il-kontroll tal-fornitur, il-kontroll tas-sigurtà, ir-rekord tal-awditjar, u r-rieżami mill-ġestjoni.

Din hija l-lakuna reali fir-responsabbiltà.

ISO 27701:2025 isir b’saħħtu meta jagħlaq dik il-lakuna. Sistema ta’ Ġestjoni tal-Informazzjoni dwar il-Privatezza, jew PIMS, mhijiex sempliċiment binder ta’ politiki għaċ-ċertifikazzjoni tal-privatezza. Hija mudell operattiv għall-produzzjoni ta’ evidenza affidabbli. Għal CISOs, maniġers tal-konformità, responsabbli għall-privatezza, awdituri, u sidien tan-negozju, l-għan huwa sempliċi: jinbena PIMS li juri r-responsabbiltà skont il-GDPR għall-kontrolluri u l-proċessuri tal-PII, filwaqt li jappoġġja wkoll l-aspettattivi ta’ ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, u COBIT 2019.

Ir-responsabbiltà skont il-GDPR hija problema ta’ evidenza

Ir-responsabbiltà skont il-GDPR spiss tinftiehem ħażin bħala rekwiżit ta’ dokumentazzjoni. Hija aktar esiġenti minn hekk.

GDPR Article 5 jiddefinixxi l-prinċipji ewlenin tal-ipproċessar tad-data personali, inklużi l-legalità, il-ġustizzja, it-trasparenza, il-limitazzjoni tal-għan, il-minimizzazzjoni tad-data, il-preċiżjoni, il-limitazzjoni tal-ħżin, l-integrità, u l-kunfidenzjalità. Article 5(2) jagħmel lill-kontrollur responsabbli li jkun kapaċi juri l-konformità. Article 4 jiddefinixxi l-vokabularju tad-data personali, l-ipproċessar, il-kontrollur, il-proċessur, il-psewdonimizzazzjoni, u l-ksur tad-data personali. Article 6 jeħtieġ bażi legali għal kull attività ta’ pproċessar tal-kontrollur. Article 9 iżid kundizzjonijiet aktar stretti għal kategoriji speċjali ta’ data personali. Article 28 jirregola l-obbligi tal-proċessuri u t-termini kuntrattwali.

Dawk l-obbligi ma jiġux sodisfatti b’avviż pubbliku dwar il-privatezza biss. Jeħtieġu evidenza fil-livell tal-attività ta’ pproċessar.

Mudell prattiku ta’ evidenza tal-PIMS ISO 27701:2025 għandu jwieġeb:

• X’PII tiġi pproċessata?
• Għaliex tiġi pproċessata?
• L-organizzazzjoni qed taġixxi bħala kontrollur, proċessur, kontrollur konġunt, jew subproċessur?
• Liema bażi legali tapplika meta l-organizzazzjoni tkun il-kontrollur?
• Liema istruzzjoni dokumentata tapplika meta l-organizzazzjoni tkun il-proċessur?
• Liema sistemi, fornituri, subproċessuri, u postijiet huma involuti?
• Liema skrinjar tar-riskju tal-privatezza jew deċiżjoni tad-DPIA sar?
• Liema kontrolli tas-sigurtà jipproteġu l-PII?
• Liema evidenza turi li l-kontroll opera?
• Min approva r-riskju residwu, l-eċċezzjonijiet, u l-azzjonijiet korrettivi?

L-approċċ ta’ Clarysec jittrasforma dawn il-mistoqsijiet f’obbligi ta’ politika, reġistri, u oġġetti ta’ evidenza traċċabbli. Ir-riżultat huwa PIMS li jiflaħ għal diliġenza dovuta tal-klijenti, rieżami minn awtorità superviżorja, Awditu Intern, awditu ISO, valutazzjoni DORA, u skrutinju tal-bord.

Ibda miċ-ċarezza tar-rwoli: kontrollur, proċessur, jew it-tnejn

L-aktar mod mgħaġġel biex tfalli awditu tal-PIMS huwa li tittratta kull attività ta’ pproċessar bl-istess mod.

Taħt il-GDPR, kontrollur jiddetermina l-għanijiet u l-mezzi tal-ipproċessar. Proċessur jipproċessa data personali f’isem kontrollur. Ħafna kumpaniji SaaS u tat-teknoloġija jagħmlu t-tnejn. FinScale huwa proċessur meta jospita data tal-utenti finali tal-klijenti taħt l-istruzzjonijiet tal-klijent. Huwa kontrollur għar-reġistri tal-impjegati, prospetti kummerċjali tal-marketing, kuntatti tal-kontijiet, data tar-reklutaġġ, u xi analitika tal-prodott.

Din id-distinzjoni tmexxi r-rekwiżiti tal-evidenza.

Il-Politika tas-Sistema ta’ Ġestjoni tal-Informazzjoni dwar il-Privatezza ta’ Clarysec tagħmel il-klassifikazzjoni tar-rwoli rekwiżit operattiv:

[It-tnejn] Is-Sid tal-Proċess / Sid tan-Negozju GĦANDU jikklassifika r-rwol tal-PIMS tal-organizzazzjoni għal kull attività ta’ pproċessar tal-PII f’REG02 qabel tibda l-attività ta’ pproċessar.

Dan l-obbligu wieħed ibiddel il-mudell operattiv tal-privatezza. Ir-rieżami legali ma jibqax xi ħaġa li ssir wara t-tnedija. Kull sid tal-proċess għandu jikklassifika r-rwol tal-PIMS qabel jibda l-ipproċessar. Dik il-klassifikazzjoni tiddetermina l-katina ta’ evidenza sussegwenti.

Għal attivitajiet tal-kontrollur, il-Politika dwar l-Inventarju tal-Ipproċessar tal-PII u l-Bażi Legali ta’ Clarysec teħtieġ verifika tal-bażi legali:

[Kontrollur] Ir-Responsabbli għall-Privatezza / Maniġer tal-PIMS GĦANDU jivverifika l-bażi legali rreġistrata f’REG02 qabel jibda l-ipproċessar bħala kontrollur u qabel tidħol fis-seħħ kwalunkwe bidla fl-għan.

Mit-taqsima “Reġistri tal-għan tal-kontrollur u tal-bażi legali”, klawżola tal-politika 4.2.2.

Għal attivitajiet tal-proċessur, il-fokus tal-evidenza jinbidel lejn istruzzjonijiet dokumentati, kontrolli kuntrattwali, governanza tas-subproċessuri, miżuri tas-sigurtà, obbligi ta’ assistenza, appoġġ għall-inċidenti, u ritorn jew tħassir mat-terminazzjoni. Hemmhekk REG08 isir kritiku.

Il-Politika dwar il-Ġestjoni tal-Privatezza tal-Proċessuri, tas-Subproċessuri u ta’ Partijiet Terzi ta’ Clarysec teħtieġ:

[Kontrollur] Ir-Responsabbli għall-Privatezza / Maniġer tal-PIMS GĦANDU jivverifika li l-oqsma tal-kontrolli kuntrattwali tal-proċessur f’REG08 jindirizzaw il-kamp ta’ applikazzjoni tal-ipproċessar, it-tul, l-għan, il-kategoriji tal-PII, il-kategoriji tas-suġġetti tal-PII, il-kunfidenzjalità, is-sigurtà, l-awtorizzazzjoni tas-subproċessuri, l-assistenza, l-awditu jew l-assigurazzjoni, ir-ritorn, it-tħassir, u t-terminazzjoni qabel l-approvazzjoni.

Mit-taqsima “Kontrolli kuntrattwali u istruzzjonijiet dokumentati”, klawżola tal-politika 4.3.2.

REG02 jistabbilixxi l-attività ta’ pproċessar u r-rwol. REG04 iwettaq skrinjar tar-riskju tal-privatezza. REG08 jivverifika l-kontrolli tal-proċessuri, tas-subproċessuri, u tal-fornituri. REG12 jindiċizza l-evidenza. Flimkien, joħolqu l-katina ta’ evidenza tal-PIMS.

Il-katina ta’ evidenza tal-PIMS li jistennew l-awdituri

PIMS b’saħħtu ma jitlobx lit-timijiet iżommu spreadsheets skonnessi. Jiddefinixxi oġġetti ta’ evidenza, sidien, skadenzi, ċikli ta’ rieżami, u traċċi tal-awditjar.

Il-Politika tal-Ġestjoni tal-Informazzjoni Dokumentata u tal-Evidenza tal-PIMS ta’ Clarysec tiddikjara:

[Kollha] Ir-Responsabbli għall-Privatezza / Maniġer tal-PIMS GĦANDU jżomm indiċi tal-informazzjoni dokumentata tal-PIMS f’REG12 qabel il-pubblikazzjoni inizjali tal-PIMS u kull tliet xhur wara dan.

REG12 jipprevjeni li l-programm tal-privatezza jsir folder ta’ PDFs skaduti. Jgħid lill-awditur x’evidenza teżisti, fejn tinħażen, min hu s-sid tagħha, meta ġiet rieżaminata l-aħħar, u liema attivitajiet ta’ pproċessar, riskji, obbligi, jew kontrolli tappoġġja.

Din il-katina ta’ evidenza tallinja b’mod naturali mar-rekwiżiti ta’ ISO/IEC 27001:2022 għall-kuntest, il-partijiet interessati, l-ippjanar tar-riskju, il-kontroll operattiv, l-informazzjoni dokumentata, l-evalwazzjoni tal-prestazzjoni, l-Awditu Intern, ir-rieżami mill-ġestjoni, u t-titjib kontinwu. Tikkonnettja wkoll ma’ kontrolli ISO/IEC 27002:2022 bħal 5.2 Rwoli u responsabbiltajiet tas-sigurtà tal-informazzjoni, 5.20 Indirizzar tas-sigurtà tal-informazzjoni fi ftehimiet mal-fornituri, 5.21 Ġestjoni tas-sigurtà tal-informazzjoni fil-katina tal-provvista tal-ICT, 5.34 Privatezza u protezzjoni tal-PII, u 8.10 Tħassir tal-informazzjoni.

L-evidenza tal-kontrollur u tal-proċessur mhijiex l-istess

Il-klijent Ġermaniż ta’ Ava mhuwiex qed jistaqsi biss jekk FinScale għandux politiki tal-privatezza. Il-klijent irid prova li FinScale jifhem liema rwol għandu għal kull fluss tad-data.

Meta jaġixxi bħala kontrollur, FinScale għandu jiġġustifika għaliex jipproċessa d-data. Pereżempju, l-ipproċessar tal-pagi tal-impjegati jista’ jiddependi fuq in-neċessità kuntrattwali u fuq obbligu legali. Il-marketing jista’ jiddependi fuq kunsens jew interessi leġittimi skont il-kuntest u l-ġurisdizzjoni. Ir-reklutaġġ jista’ jeħtieġ limiti ta’ żamma, trasparenza, u kontroll tal-aċċess. L-evidenza mhijiex biss il-bażi legali magħżula. Hija r-reġistru vverifikat, l-avviż, ir-regola taż-żamma, il-proċedura tad-drittijiet, u d-deċiżjoni dwar ir-riskju.

Meta jaġixxi bħala proċessur, FinScale għandu jipprova li jaġixxi taħt istruzzjonijiet dokumentati tal-klijent. L-evidenza tinkludi d-DPA, il-konfigurazzjoni tal-prodott, ir-reġistri tas-sistema, il-kontrolli tas-sigurtà, l-awtorizzazzjonijiet tas-subproċessuri, il-proċeduri ta’ assistenza, il-proċess ta’ appoġġ għal ksur, id-drittijiet ta’ awditjar, u evidenza ta’ tħassir jew ritorn.

Il-P17 Politika dwar il-Protezzjoni tad-Data u l-Privatezza ta’ Clarysec issaħħaħ li l-privatezza għandha tiġi integrata fl-ISMS:

L-organizzazzjoni għandha żżomm Qafas formali ta’ Governanza tal-Privatezza integrat fis-Sistema ta’ Ġestjoni tas-Sigurtà tal-Informazzjoni (ISMS) biex tapplika din il-politika.

Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.1.

Il-verżjoni SME, Politika dwar il-Protezzjoni tad-Data u l-Privatezza għall-SMEs, iżżomm l-istess dixxiplina tal-evidenza:

Il-Koordinatur tal-Privatezza għandu jżomm reġistru tal-attivitajiet kollha ta’ pproċessar tad-data personali, inklużi l-kategoriji ta’ data, l-għan, il-bażi legali, u l-perjodi ta’ żamma.

Teħtieġ ukoll:

Il-bażi legali (eż., kunsens, kuntratt, obbligu legali) għandha tiġi dokumentata fir-reġistru tal-ipproċessar.

Għal programmi ta’ intrapriża, il-P17 Politika dwar il-Protezzjoni tad-Data u l-Privatezza iżżid is-sjieda:

Id-Dipartiment Legali għandu jżomm u jaġġorna r-Reġistru tal-Bażi Legali.

Walkthrough prattiku: it-tnedija ta’ analitika tal-prodott

Ikkunsidra karatteristika ta’ analitika tal-prodott li ssegwi n-navigazzjoni tal-utent, l-adozzjoni tal-karatteristiċi, metadata tas-sessjoni, ID tal-organizzazzjoni, rwol tal-utent, u informazzjoni dwar l-apparat. It-tim tal-Prodott irid għarfien dwar l-użu. It-tim tal-Bejgħ irid metriċi tal-adozzjoni. It-tim tas-suċċess tal-klijenti irid sinjali ta’ churn. It-tim Legali jistaqsi jekk FinScale huwiex kontrollur jew proċessur. It-tim tas-Sigurtà jistaqsi jekk ir-reġistri fihomx data personali. L-Akkwist jinnota li l-fornitur tal-analitika juża subproċessuri.

PIMS b’saħħtu jittrasforma dan fi fluss tax-xogħol ripetibbli.

1. Oħloq jew aġġorna REG02 qabel jibda l-ipproċessar

Is-sid tan-negozju jirreġistra l-attività f’REG02. Ir-reġistru għandu jinkludi l-għan, il-kategoriji tal-PII, il-kategoriji tas-suġġetti tal-PII, is-sistemi, il-perjodu ta’ żamma, it-trasferimenti, il-miżuri tas-sigurtà, il-klassifikazzjoni tar-rwol, u l-bażi legali jew l-istruzzjoni dokumentata.

Jekk l-analitika tintuża għall-għanijiet ta’ titjib tal-prodott ta’ FinScale stess, FinScale jista’ jkun kontrollur għal dik l-attività. Jekk l-analitika ssir biss taħt settings ikkonfigurati mill-klijent f’isem il-klijent, FinScale jista’ jkun proċessur. F’ħafna ambjenti SaaS, iż-żewġ rwoli jistgħu jeżistu f’karatteristika waħda, skont il-fluss tad-data u l-għan.

2. Ivverifika l-bażi legali jew l-istruzzjoni dokumentata

Jekk FinScale huwa l-kontrollur, ir-Responsabbli għall-Privatezza jew it-tim Legali jivverifika l-bażi legali f’REG02 qabel jibda l-ipproċessar. Jekk tkun involuta data ta’ kategorija speċjali, it-tim għandu jidentifika wkoll il-kundizzjoni rilevanti tal-GDPR Article 9 u salvagwardji addizzjonali.

Jekk FinScale huwa l-proċessur, l-evidenza għandha tindika l-istruzzjoni dokumentata tal-klijent. Il-mistoqsija ssir: fejn tinsab l-istruzzjoni, liema pproċessar huwa permess, u FinScale kif jipprova li segwa l-istruzzjoni?

3. Attiva l-iskrinjar tar-riskju tal-privatezza REG04

Il-Politika dwar il-Valutazzjoni tar-Riskju tal-Privatezza u d-DPIA ta’ Clarysec teħtieġ:

[It-tnejn] Is-Sid tal-Proċess / Sid tan-Negozju GĦANDU jibda l-iskrinjar tar-riskju tal-privatezza f’REG04 qabel jibda pproċessar ġdid jew mibdul b’mod materjali tal-PII rreġistrat f’REG02.

Mit-taqsima “Skrinjar tar-riskju tal-privatezza”, klawżola tal-politika 4.1.1.

L-iskrinjar għandu jevalwa s-sensittività, l-iskala, l-implikazzjonijiet tal-monitoraġġ, l-aspettattivi tas-suġġetti tad-data, it-tfassil ta’ profili, deċiżjonijiet awtomatizzati, trasferimenti transkonfinali tad-data, aċċess tal-fornituri, żamma, u effettività tal-kontrolli. Jekk ir-riskju jkun elevat, il-PIMS għandu jattiva DPIA u jirreġistra d-deċiżjoni.

4. Aġġorna REG08 għall-fornituri u s-subproċessuri

Jekk fornitur terz tal-analitika jirċievi PII, l-Akkwist, it-tim Legali, u l-Privatezza jaġġornaw REG08. L-oqsma kuntrattwali għandhom jindirizzaw il-kamp ta’ applikazzjoni, it-tul, l-għan, il-kategoriji tal-PII, il-kunfidenzjalità, is-sigurtà, l-awtorizzazzjoni tas-subproċessuri, l-assistenza, l-awditu jew l-assigurazzjoni, ir-ritorn, it-tħassir, u t-terminazzjoni.

Il-Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs tappoġġja din id-dixxiplina operattiva billi teħtieġ:

Verifika tal-prattiki għall-immaniġġjar tad-data jew tal-konformità tal-privatezza tad-data fejn tkun involuta informazzjoni li tidentifika persuna (PII)

Il-P17 Politika dwar il-Protezzjoni tad-Data u l-Privatezza teħtieġ ukoll:

It-timijiet tal-Akkwist, Legali u Konformità għandhom jivverifikaw il-konformità ma’ GDPR Article 28 u jeħtieġu rivalutazzjoni annwali tal-fornituri kollha ta’ riskju għoli.

5. Indiċizza l-evidenza f’REG12

Fl-aħħar, il-Maniġer tal-PIMS jaġġorna REG12 b’rabtiet għal REG02, verifika tal-bażi legali, istruzzjoni dokumentata, skrinjar REG04, DPIA jekk meħtieġ, rekord tal-fornitur REG08, DPA, rieżami tas-sigurtà, deċiżjoni dwar iż-żamma, approvazzjoni tal-prodott, u evidenza tal-monitoraġġ.

Dan huwa dak li jibdel il-privatezza mid-disinn fi prova lesta għall-awditu.

L-użu ta’ Zenith Blueprint biex tinbena t-traċċabbiltà

Li tkun taf x’evidenza għandek tiġbor huwa biss nofs l-isfida. Il-parti aktar diffiċli hija li tibni sistema li tipproduċiha b’mod affidabbli.

Il-Zenith Blueprint: pjan direzzjonali ta’ 30 pass għall-awdituri iqiegħed dan fil-fażi tal-Fondazzjoni u t-Tmexxija tal-ISMS, Pass 2: Bżonnijiet tal-partijiet interessati u kamp ta’ applikazzjoni tal-ISMS. Il-gwida turi kif l-aspettattivi tal-partijiet interessati jsiru kontrolli ppjanati:

Klijenti
(B2B SaaS)
Kunfidenzjalità tad-data, disponibbiltà skont
SLA, notifika ta’ ksur fi żmien
24 siegħa
Implimenta kontrolli tal-aċċess, iċċifrar;
il-Pjan ta’ Rispons għall-Inċidenti jinkludi
proċeduri ta’ notifika.

Jinkludi wkoll:

Punt ta’ azzjoni 4.2: Ikkompila lista tal-partijiet interessati sinifikanti kollha u nnota r-rekwiżiti tagħhom relatati mas-sigurtà tal-informazzjoni.

Għal ISO 27701:2025, estendi dak il-punt ta’ azzjoni għall-privatezza. Il-partijiet interessati jinkludu klijenti, suġġetti tad-data, regolaturi, proċessuri, subproċessuri, impjegati, timijiet tal-prodott, Awditu Intern, ġestjoni, klijenti fis-settur finanzjarju, u regolaturi settorjali fejn japplikaw NIS2 jew DORA.

Fil-fażi tal-Ġestjoni tar-Riskju, Pass 13: Ippjanar tat-Trattament tar-Riskju u Dikjarazzjoni ta’ Applikabbiltà, il-Zenith Blueprint jirrakkomanda t-traċċabbiltà:

Agħmel referenzi inkroċjati mar-regolamenti: jekk ċerti kontrolli jiġu implimentati speċifikament biex jintlaħqu r-rekwiżiti ta’ GDPR, NIS2, jew DORA, tista’ tinnota dan jew fir-Reġistru tar-Riskji (bħala parti mill-ġustifikazzjoni tal-impatt tar-riskju) jew fin-noti tas-SoA.

Dan joħloq il-ħajta tad-deheb li jridu l-awdituri: rekwiżit, riskju, kontroll, sid, evidenza, riżultat tat-test, u azzjoni ta’ titjib.

Fejn jidħol Zenith Controls fil-mudell tal-PIMS

Zenith Controls: il-gwida ta’ konformità bejn oqfsa differenti ta’ Clarysec jgħin lit-timijiet jevitaw programmi ta’ konformità duplikati billi jimmappja t-temi tal-kontrolli ISO/IEC 27001:2022 u ISO/IEC 27002:2022 għal standards oħra, aspettattivi ta’ awditjar, u mudelli ta’ evidenza.

Għall-evidenza tal-PIMS ISO 27701:2025, erba’ kontrolli ISO/IEC 27002:2022 huma partikolarment importanti:

• 5.2 Rwoli u responsabbiltajiet tas-sigurtà tal-informazzjoni
• 5.20 Indirizzar tas-sigurtà tal-informazzjoni fi ftehimiet mal-fornituri
• 5.21 Ġestjoni tas-sigurtà tal-informazzjoni fil-katina tal-provvista tal-ICT
• 5.34 Privatezza u protezzjoni tal-PII

Il-Kontroll 5.2 jappoġġja ċ-ċarezza tar-rwoli. PIMS jeħtieġ responsabbiltà definita għall-Maniġer tal-PIMS, ir-Responsabbli għall-Privatezza, is-Sid tal-Proċess, is-Sid tan-Negozju, Legali, Akkwist, Sigurtà, Awditu Intern, u Maniġment Għoli.

Il-Kontroll 5.34 jappoġġja l-obbligu ewlieni tal-privatezza. Il-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 23, jispjega l-aspettattiva tal-awditu:

Minn perspettiva ta’ awditjar, dan il-kontroll qed ikun dejjem aktar taħt fokus. L-awdituri, ir-regolaturi, u l-klijenti jridu jaraw:

✓ Fejn tirrisjedi l-PII,
✓ Liema bażi legali tirregola l-ipproċessar tagħha,
✓ Kif l-aċċess huwa ristrett,
✓ Kif jiġu rrappurtati l-inċidenti,
✓ U kif l-organizzazzjoni tonora d-drittijiet u żżomm it-trasparenza.

Il-Zenith Blueprint ikompli:

Il-Kontroll 5.34 mhuwiex sempliċi checkbox. Huwa dikjarazzjoni ta’ kustodja etika.

Il-Kontrolli 5.20 u 5.21 jgħaqqdu l-evidenza tal-PIMS mal-governanza tal-fornituri u tal-katina tal-provvista tal-ICT. Il-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 23, jelenka suġġetti għal ftehimiet mal-fornituri:

Oqsma ewlenin li tipikament jiġu indirizzati fi ftehimiet mal-fornituri jinkludu:

✓ Obbligi ta’ kunfidenzjalità, inklużi l-kamp ta’ applikazzjoni, it-tul, u restrizzjonijiet fuq l-iżvelar lil partijiet terzi;
✓ Responsabbiltajiet tal-kontroll tal-aċċess, bħal min jista’ jaċċessa d-data tiegħek, kif jiġu ġestiti l-kredenzjali, u liema monitoraġġ ikun fis-seħħ;
✓ Miżuri tekniċi u organizzattivi għall-protezzjoni tad-data, l-iċċifrar, it-trażmissjoni sigura, il-backup, u impenji ta’ disponibbiltà;
✓ Skadenzi u protokolli għar-rappurtar tal-inċidenti, ħafna drabi b’perjodi definiti (eż., “avża fi żmien 24 siegħa”);
✓ Dritt ta’ awditjar, inklużi l-frekwenza, il-kamp ta’ applikazzjoni, u l-aċċess għal evidenza rilevanti (eż., rapporti ta’ testijiet ta’ penetrazzjoni, SoA, ċertifikazzjonijiet);
✓ Kontrolli tas-sottokuntratturi, li jeħtieġu lill-fornitur tiegħek jgħaddi obbligi ta’ sigurtà ekwivalenti lis-sħab sussegwenti tiegħu fil-katina;
✓ Dispożizzjonijiet ta’ tmiem il-kuntratt, bħar-ritorn jew il-qerda tad-data, l-irkupru tal-assi, u d-diżattivazzjoni tal-kontijiet.

Dan huwa l-pont bejn ir-responsabbiltà skont il-GDPR u l-evidenza tal-ISMS.

Immappjar tal-evidenza tal-PIMS bejn GDPR, NIS2, DORA, NIST, u COBIT 2019

L-evidenza tal-privatezza rarament isservi qafas wieħed biss. Oġġett ta’ evidenza tal-PIMS iddisinjat tajjeb jista’ jissodisfa diversi mistoqsijiet ta’ awditjar.

Il-GDPR jankra r-responsabbiltà tal-privatezza permezz tal-bażi legali, iċ-ċarezza tar-rwoli, il-kuntratti tal-proċessuri, id-drittijiet, l-immaniġġjar tal-ksur, u konformità li tista’ tintwera.

NIS2 huwa rilevanti għal entitajiet essenzjali u importanti, inklużi ċerti fornituri cloud, fornituri ta’ servizzi ġestiti, fornituri ta’ servizzi tas-sigurtà ġestiti, fornituri ta’ ċentri tad-data, u organizzazzjonijiet tal-infrastruttura diġitali. NIS2 Article 20 ipoġġi r-responsabbiltà tal-governanza taċ-ċibersigurtà fuq korpi maniġerjali. Article 21 jeħtieġ miżuri tekniċi, operattivi, u organizzattivi xierqa, inklużi analiżi tar-riskju, immaniġġjar tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, żvilupp sigur, evalwazzjoni tal-effettività, taħriġ, kontrolli kriptografiċi, sigurtà tar-riżorsi umani, kontroll tal-aċċess, ġestjoni tal-assi, u MFA jew awtentikazzjoni kontinwa fejn xieraq. Article 23 jintroduċi aspettattivi ta’ rappurtar ta’ inċidenti sinifikanti, inkluża twissija bikrija fi żmien 24 siegħa u notifika tal-inċident fi żmien 72 siegħa.

DORA huwa rilevanti għal entitajiet finanzjarji u fornituri terzi ta’ servizzi tal-ICT f’ekosistemi finanzjarji. DORA Articles 5 u 6 jeħtieġu governanza tar-riskju tal-ICT, politiki, strateġija, ittestjar, u titjib kontinwu. Articles 17 sa 19 ikopru s-sejbien, il-klassifikazzjoni, l-eskalazzjoni, ir-rappurtar, l-analiżi tal-kawża ewlenija, u t-tagħlimiet miksuba mill-inċidenti tal-ICT. Articles 28 sa 30 jeħtieġu strateġija tar-riskju ta’ partijiet terzi tal-ICT, reġistri, diliġenza dovuta, dispożizzjonijiet kuntrattwali, drittijiet ta’ awditjar, assistenza għall-inċidenti, protezzjoni tad-data, ippjanar tal-ħruġ, u rieżami tar-riskju ta’ konċentrazzjoni.

NIST CSF 2.0 jipprovdi lingwaġġ ta’ governanza u riskju permezz ta’ GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, u RECOVER. COBIT 2019 iżid objettivi ta’ governanza, prattiki ta’ ġestjoni, sjieda, metriċi, assigurazzjoni, u kapaċità tal-proċess.

Il-vantaġġ tal-konformità huwa ċar. Katina waħda kkontrollata ta’ evidenza tal-PIMS tista’ tappoġġja GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019, u d-diliġenza dovuta tal-klijenti.

Kif l-awdituri se jittestjaw il-PIMS tiegħek

Awditu tal-PIMS mhuwiex rieżami ta’ dokumenti. Huwa eżerċizzju ta’ traċċabbiltà tal-evidenza.

Il-P33 Politika tal-Monitoraġġ tal-Awditjar u l-Konformità ta’ Clarysec tappoġġja l-mudell tal-awditu:

L-organizzazzjoni għandha żżomm Reġistru tal-Awditjar li jkun fih:

L-ekwivalenti SME, Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs, iżid rekwiżit importanti dwar il-kwalità tal-evidenza:

Il-metadata (eż., min ġabarha, meta, u minn liema sistema) għandha tiġi dokumentata.

Dak ir-rekwiżit dwar il-metadata huwa żgħir iżda b’saħħtu. Screenshots mingħajr sors, data, persuna li ġabret l-evidenza, u kuntest tas-sistema huma evidenza dgħajfa. Evidenza kkontrollata tal-awditjar turi awtentiċità, aġġornament, u traċċabbiltà.

Kif tidher evidenza tajba tal-PIMS

Assumi li awditur jagħżel attività waħda: analiżi tat-tickets tal-appoġġ tal-klijenti.

Tweġiba dgħajfa hija: “Għandna politika tal-privatezza u d-DPA tagħna jkopriha.”

Tweġiba b’saħħitha tal-PIMS hija:

1. REG02 jidentifika l-attività, is-sistemi, il-kategoriji tal-PII, is-suġġetti tal-PII, l-għan, il-klassifikazzjoni tar-rwol, iż-żamma, it-trasferimenti, il-kontrolli tas-sigurtà, u s-sid.
2. Il-klassifikazzjoni tar-rwol turi jekk l-organizzazzjoni hijiex kontrollur, proċessur, jew it-tnejn għal partijiet speċifiċi tal-fluss tax-xogħol.
3. Jekk hija kontrollur, il-bażi legali tiġi vverifikata u rreġistrata fir-Reġistru tal-Bażi Legali.
4. Jekk hija proċessur, l-istruzzjoni tal-klijent u l-klawżola tad-DPA huma marbuta.
5. REG04 juri skrinjar tar-riskju tal-privatezza qabel it-tnedija jew bidla materjali.
6. REG08 jidentifika l-pjattaforma tat-ticketing, il-fornitur tas-sommarizzazzjoni bl-AI, is-subproċessuri, il-kontrolli kuntrattwali, id-drittijiet ta’ awditjar, l-assigurazzjonijiet tas-sigurtà, it-termini tat-tħassir, u l-assistenza għall-inċidenti.
7. Evidenza tal-kontroll tal-aċċess turi li l-aċċess tal-persunal tal-appoġġ huwa bbażat fuq rwoli u rieżaminat.
8. Evidenza tal-illoggjar u l-monitoraġġ turi li l-aċċess għat-tickets tal-appoġġ jiġi mmonitorjat.
9. Evidenza taż-żamma u tat-tħassir turi li t-tickets jitħassru jew jiġu anonimizzati skont il-perjodu ta’ żamma approvat.
10. REG12 jindiċizza l-evidenza kollha ta’ appoġġ bis-sid u d-data tar-rieżami.
11. Ir-Reġistru tal-Awditjar juri jekk l-attività ġietx ittestjata, liema sejbiet tqajmu, u jekk l-azzjonijiet korrettivi ngħalqux.

Hekk ISO 27701:2025 isir operattiv. Joħloq katina ripetibbli ta’ responsabbiltà.

Fallimenti komuni fl-evidenza tal-PIMS

F’ambjenti SaaS, fintech, servizzi ġestiti, u teknoloġija B2B, l-istess lakuni jidhru ripetutament.

L-ewwel, l-organizzazzjonijiet iżommu RoPA jew reġistru tal-ipproċessar, iżda ma jikklassifikawx ir-rwoli ta’ kontrollur u proċessur għal kull attività. Dan joħloq konfużjoni dwar il-bażi legali, l-istruzzjonijiet dokumentati, u l-obbligi tas-subproċessuri.

It-tieni, il-bażi legali tiġi rreġistrata darba u ma tiġix ivverifikata mill-ġdid meta jinbidel l-għan. GDPR Article 6 jeħtieġ dixxiplina tal-għan u tal-bażi legali. Ipproċessar ulterjuri jista’ jeħtieġ valutazzjoni tal-kompatibbiltà u salvagwardji.

It-tielet, l-inventarji tal-fornituri jelenkaw il-fornituri iżda ma jurux l-oqsma tal-kontrolli kuntrattwali. Lista ta’ fornituri mhijiex l-istess bħall-governanza tal-proċessuri.

Ir-raba’, id-deċiżjonijiet tad-DPIA huma informali. It-timijiet jgħidu “mhux riskju għoli” iżda ma jistgħux juru kriterji tal-iskrinjar, approvatur, data, jew evidenza.

Il-ħames, l-evidenza tal-awditjar teżisti iżda mhijiex ikkontrollata. Screenshots jonqoshom metadata. Il-politiki huma attwali, iżda r-reġistri huma skaduti. Il-kuntratti jeżistu, iżda r-rivalutazzjonijiet tat-tiġdid jintilfu.

Is-sitt, il-proċessi tal-inċidenti jiffukaw fuq avvenimenti taċ-ċibersigurtà iżda ma jikklassifikawx b’mod ċar il-ksur tad-data personali. L-analiżi ta’ ksur tad-data personali taħt il-GDPR, ir-rappurtar ta’ inċidenti sinifikanti taħt NIS2, u r-rappurtar tal-inċidenti tal-ICT taħt DORA għandhom jiġu kkoordinati, mhux idduplikati.

Clarysec jindirizza dawn il-fallimenti billi jittratta l-evidenza tal-PIMS bħala sistema ta’ ġestjoni kkontrollata, mhux bħala ġirja tal-aħħar minuta qabel awditu.

Lista ta’ kontroll tal-kapaċità tal-evidenza tal-PIMS ISO 27701:2025

Uża din il-lista ta’ kontroll għar-rieżami intern li jmiss tal-kapaċità li tintwera l-konformità.

• Iddefinixxi l-kamp ta’ applikazzjoni tal-PIMS u l-partijiet interessati, inklużi klijenti, regolaturi, suġġetti tad-data, fornituri, Awditu Intern, u ġestjoni.
• Assenja rwoli u responsabbiltajiet tal-PIMS, inklużi Maniġer tal-PIMS, Responsabbli għall-Privatezza, Sid tal-Proċess, Legali, Akkwist, Sigurtà, u Awditu Intern.
• Oħloq entrati REG02 għal kull attività ta’ pproċessar tal-PII.
• Ikklassifika r-rwol ta’ kontrollur, proċessur, kontrollur konġunt, jew subproċessur għal kull attività.
• Ivverifika l-bażi legali għall-ipproċessar bħala kontrollur qabel jibda l-ipproċessar u qabel bidla fl-għan.
• Irreġistra istruzzjonijiet dokumentati għall-attivitajiet tal-proċessur.
• Attiva l-iskrinjar tar-riskju tal-privatezza REG04 qabel ipproċessar ġdid jew mibdul b’mod materjali.
• Imla DPIA fejn l-iskrinjar tar-riskju jindika riskju elevat għall-privatezza.
• Żomm REG08 għall-proċessuri, is-subproċessuri, il-fornituri tal-ICT, u l-fornituri rilevanti għall-privatezza.
• Ivverifika l-oqsma kuntrattwali għall-kamp ta’ applikazzjoni, it-tul, l-għan, il-kategoriji tal-PII, il-kunfidenzjalità, is-sigurtà, l-assistenza, id-drittijiet ta’ awditjar, ir-ritorn, it-tħassir, u t-terminazzjoni.
• Żomm REG12 bħala l-indiċi tal-informazzjoni dokumentata tal-PIMS.
• Immappja l-evidenza tal-PIMS mat-trattament tar-riskju ISO/IEC 27001:2022 u n-noti tas-SoA.
• Agħmel referenzi inkroċjati għall-obbligi ta’ GDPR, NIS2, DORA, NIST CSF 2.0, u COBIT 2019 fejn rilevanti.
• Wettaq awditi interni annwali tal-konformità tal-privatezza u aġġorna r-Reġistru tal-Awditjar.
• Irrevedi s-sejbiet miftuħa, l-azzjonijiet korrettivi, id-deċiżjonijiet dwar ir-riskju, u r-rappurtar lill-ġestjoni kull tliet xhur.

Il-P17 Politika dwar il-Protezzjoni tad-Data u l-Privatezza issaħħaħ iċ-ċiklu tal-awditu:

Awditu intern tal-konformità tal-privatezza għandu jitwettaq kull sena jew meta jkun hemm bidliet organizzattivi jew regolatorji maġġuri. Il-kamp ta’ applikazzjoni tal-awditu għandu jinkludi:

Il-messaġġ huwa sempliċi. Il-konformità tal-privatezza tiġi mmonitorjata, mhux preżunta.

Ibni l-mudell ta’ evidenza tal-PIMS tiegħek ma’ Clarysec

ISO 27701:2025 għandu l-akbar valur meta jkun integrat ma’ ISO/IEC 27001:2022 u ddisinjat biex jipproduċi evidenza b’mod awtomatiku. Hekk il-privatezza ssir mudell operattiv difensibbli, mhux proġett ta’ ċertifikazzjoni.

Meta klijent jitlob assigurazzjoni dwar il-privatezza, tista’ turi evidenza. Meta regolatur jistaqsi għaliex ipproċessajt id-data, tista’ turi rwol, għan, bażi legali, salvagwardji, u approvazzjonijiet. Meta awditur jistaqsi kif tmexxi l-governanza tas-subproċessuri, tista’ turi REG08, kontrolli kuntrattwali, rivalutazzjonijiet, u drittijiet ta’ awditjar. Meta l-bord jistaqsi jekk ir-riskju tal-privatezza huwiex taħt kontroll, tista’ turi metriċi, azzjonijiet miftuħa, riżultati tal-awditjar, u rieżami mill-ġestjoni.

Jekk il-PIMS tiegħek għadu tqil fil-politiki u ħafif fl-evidenza, ibda bil-katina li se jsegwu l-awdituri:

inventarju tal-ipproċessar REG02, skrinjar tar-riskju tal-privatezza REG04, governanza tal-proċessuri u tas-subproċessuri REG08, indiċi tal-evidenza REG12, Reġistru tal-Bażi Legali, Reġistru tal-Awditjar, u immappjar tas-SoA.

Clarysec jista’ jgħinek toperazzjonalizza dik il-katina permezz ta’:

• Zenith Blueprint: pjan direzzjonali ta’ 30 pass għall-awdituri, speċjalment il-Pass 2 għar-rekwiżiti tal-partijiet interessati, il-Pass 13 għat-trattament tar-riskju u t-traċċabbiltà tas-SoA, u l-Pass 23 għall-privatezza, il-fornituri, u l-kontrolli organizzattivi.
• Zenith Controls: il-gwida ta’ konformità bejn oqfsa differenti, bl-użu tal-kontrolli ISO/IEC 27002:2022 5.2, 5.20, 5.21, u 5.34 bħala punti ta’ ankraġġ prattiċi għar-responsabbiltà tal-privatezza.
• Is-sett ta’ politiki tal-PIMS ISO 27701 ta’ Clarysec, inklużi Politika tas-Sistema ta’ Ġestjoni tal-Informazzjoni dwar il-Privatezza, Politika dwar l-Inventarju tal-Ipproċessar tal-PII u l-Bażi Legali, Politika dwar il-Valutazzjoni tar-Riskju tal-Privatezza u d-DPIA, Politika dwar il-Ġestjoni tal-Privatezza tal-Proċessuri, tas-Subproċessuri u ta’ Partijiet Terzi, u Politika tal-Ġestjoni tal-Informazzjoni Dokumentata u tal-Evidenza tal-PIMS.
• Appoġġ għal intrapriżi u SMEs permezz ta’ P17 Politika dwar il-Protezzjoni tad-Data u l-Privatezza, Politika dwar il-Protezzjoni tad-Data u l-Privatezza għall-SMEs, Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs, P33 Politika tal-Monitoraġġ tal-Awditjar u l-Konformità, u Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs.

L-azzjoni li jmiss tiegħek hija sempliċi: agħżel attività waħda ta’ pproċessar tal-PII b’riskju għoli u segwi l-katina tal-evidenza minn REG02 sa REG12. Jekk il-katina tinkiser, dak huwa l-ewwel proġett ta’ titjib tiegħek. Jekk iżżomm, estendi l-mudell għall-inventarju kollu tal-ipproċessar tiegħek.

Hekk ISO 27701:2025 isir aktar minn ċertifikat. Isir prova tar-responsabbiltà skont il-GDPR.