Taħriġ dwar il-privatezza bbażat fuq ir-rwoli għal ISO 27701 u GDPR

Sarah, il-CISO ta’ FinTech li kienet qed tikber malajr, kienet qed tistenna li l-awditu tal-PIMS taħt ISO/IEC 27701:2025 jittestja politiki, reġistri u valutazzjonijiet tar-riskju. Sat-tieni jum, l-awditur kien diġà ħareġha miż-żona ta’ kumdità.

Ma staqsiex jekk l-impjegati kinux temmew il-modulu annwali “Privacy 101”. Id-dashboard kien juri tlestija ta’ 98 fil-mija, numru li deher impressjonanti sakemm il-mistoqsijiet saru preċiżi ħafna.

“L-iżviluppaturi tagħkom jimmaniġġjaw PII finanzjarja sensittiva u qed jimplimentaw awtentikazzjoni bijometrika. X’taħriġ speċifiku rċevew dwar il-privatezza mid-disinn, il-minimizzazzjoni tad-data fid-disinn tal-API, logging sigur, restrizzjonijiet fuq id-data tat-test, u data ta’ kategorija speċjali taħt GDPR?”

Imbagħad kien imiss lill-appoġġ għall-klijenti.

“Jistgħu jaraw l-istorja tat-tranżazzjonijiet. Kif jiġu mħarrġa biex jagħrfu talba għal aċċess mis-suġġett tad-data, jivverifikaw l-identità, jevitaw noti eċċessivi fit-tickets, u jeskalaw żvelar aċċidentali?”

Imbagħad ir-Riżorsi Umani.

“Għadhom kemm għamlu onboarding ta’ sistema ġdida tal-pagi fil-cloud ospitata barra mill-UE. X’taħriġ dwar il-privatezza rċevew dwar id-diliġenza dovuta tal-proċessuri, trasferimenti transkonfinali, reġistri tal-impjegati u żamma?”

Sarah kellha politiki, Reġistru tal-attivitajiet ta’ pproċessar, klawżoli għall-fornituri, proċeduri dwar ksur ta’ data personali, u kamp ta’ applikazzjoni tal-PIMS definit. Dak li ma kellhiex kien evidenza difensibbli li n-nies it-tajbin kienu ġew imħarrġa għar-responsabbiltajiet it-tajbin dwar il-privatezza.

Din hija l-lakuna li tkisser ħafna programmi tal-privatezza. ISO/IEC 27701:2025 u GDPR ma jippremjawx lill-organizzazzjonijiet għal sensibilizzazzjoni ġenerika. Jeħtieġu responsabbiltà, kompetenza u evidenza operattiva. Jekk in-nies jiġbru, jużaw, jaraw, jaħżnu, jaqsmu, iħassru, jimmonitorjaw jew jappoġġaw sistemi li fihom PII, iridu jkunu jafu x’japplika għar-rwol tagħhom, meta għandhom jeskalaw, u fejn tiġi rreġistrata l-evidenza.

It-taħriġ ta’ sensibilizzazzjoni dwar il-privatezza bbażat fuq ir-rwoli huwa l-mod kif PIMS isir realtà operattiva.

Għaliex taħriġ wieħed dwar il-privatezza għal kulħadd ifalli

Ħafna organizzazzjonijiet diġà jmexxu xi forma ta’ taħriġ ta’ għarfien dwar is-sigurtà. Il-problema hija li l-obbligi tal-privatezza mhumiex imqassma b’mod uniformi fin-negozju.

Żviluppatur jeħtieġ privatezza mid-disinn, masking, psewdonimizzazzjoni, kodifikazzjoni sigura, minimizzazzjoni tal-logging, u għarfien dwar l-impatt tal-bidliet. Aġent tal-appoġġ jeħtieġ verifika tal-identità, minimizzazzjoni tan-noti fit-tickets, għarfien tad-DSAR, u eskalazzjoni ta’ żvelar aċċidentali. Ir-Riżorsi Umani jeħtieġu privatezza tal-impjegati, immaniġġjar ta’ kategoriji speċjali, kunfidenzjalità, żamma u restrizzjonijiet tal-aċċess. L-akkwist irid ikun jaf meta fornitur ikun proċessur jew subproċessur. It-timijiet tar-rispons għall-inċidenti jridu jiddistingwu inċident tas-sigurtà minn ksur ta’ data personali.

Kwiżż annwali wieħed dwar GDPR ma jistax joħloq kompetenza operattiva f’dawn ir-rwoli kollha.

GDPR jagħmel dan viżibbli permezz tal-Artikolu 5, li jiddefinixxi prinċipji bħall-legalità, il-ġustizzja, it-trasparenza, il-limitazzjoni tal-għan, il-minimizzazzjoni tad-data, il-preċiżjoni, il-limitazzjoni tal-ħażna, l-integrità u l-kunfidenzjalità. L-Artikolu 5(2) iżid il-prinċipju tar-responsabbiltà, li jeħtieġ li l-kontrolluri juru l-konformità. L-Artikolu 32 jeħtieġ miżuri tekniċi u organizzattivi xierqa għas-sigurtà tal-ipproċessar. L-Artikoli 4, 6 u 9 jagħmlu ċ-ċarezza tar-rwoli saħansitra aktar importanti billi jiddefinixxu l-ipproċessar, ir-relazzjonijiet bejn kontrollur u proċessur, il-bażi legali u d-data ta’ kategorija speċjali.

Il-mistoqsija prattika tal-awditu hija sempliċi: tista’ tipprova li l-persunal jifhem ir-responsabbiltajiet relatati mal-PII marbuta mar-rwol tiegħu?

Il-pożizzjoni ta’ politika ta’ Clarysec għall-SMEs hija diretta. Fil-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni - SME, il-klawżola 1.3 tgħid:

“Din il-politika tappoġġa l-konformità ma’ ISO/IEC 27001, NIS2, GDPR u DORA billi tintegra l-għarfien dwar is-sigurtà fil-prattiki tax-xogħol ta’ kuljum u fl-aspettattivi bbażati fuq ir-rwoli.”

Il-frażi “prattiki tax-xogħol ta’ kuljum” hija l-punt ewlieni. Is-sensibilizzazzjoni dwar il-privatezza mhijiex poster. Għandha tkun viżibbli fil-ġbir, l-aċċess, il-qsim, iż-żamma, it-tħassir, l-onboarding tal-fornituri, ir-rappurtar tal-inċidenti u r-rieżami mill-maniġment.

Minn sensibilizzazzjoni għal kompetenza tal-PIMS

Clarysec jittratta t-taħriġ dwar il-privatezza bħala kontroll ta’ governanza, mhux bħala proġett sekondarju ta’ tagħlim u żvilupp. Programm ta’ taħriġ tal-PIMS li jkun difensibbli għandu erba’ saffi:

1. Sensibilizzazzjoni bażika dwar il-privatezza għall-persunal kollu b’aċċess għall-PII jew b’responsabbiltajiet tal-PIMS.
2. Taħriġ ibbażat fuq ir-rwoli għat-timijiet li d-deċiżjonijiet tagħhom jaffettwaw l-eżiti tal-privatezza.
3. Taħriġ ibbażat fuq skattaturi wara bidliet fir-rwoli, sistemi ġodda, inċidenti, sejbiet tal-awditu jew bidliet regolatorji.
4. Qbid tal-evidenza f’REG11, marbut mal-udjenza, ir-rwol, it-tip ta’ taħriġ, id-data meħtieġa tat-tlestija, ir-rikonoxximenti, ir-reġistri ta’ dewmien, l-evidenza tat-taħriġ ta’ aġġornament u s-sidien tal-evidenza.

Dan isegwi l-istruttura ta’ Zenith Blueprint, il-pjan direzzjonali ta’ 30 pass ta’ Clarysec għall-implimentazzjoni ta’ sistema ta’ ġestjoni lesta għall-awditu. Fil-Pass 4, “Rwoli u responsabbiltajiet fl-ISMS,” il-Blueprint jenfasizza l-komunikazzjoni tar-rwoli sabiex il-persunal ikun jaf min għandu xiex, lil min għandu jikkuntattja, u kif għandu jirrapporta inċidenti.

Il-Pass 5, “Komunikazzjoni, sensibilizzazzjoni u kompetenza,” huwa saħansitra aktar espliċitu:

“Identifika l-kompetenzi meħtieġa: Iddetermina x’għarfien u x’ħiliet huma meħtieġa għal rwoli differenti fl-ISMS tiegħek… l-iżviluppaturi tiegħek iridu jkunu jafu l-prinċipji ta’ kodifikazzjoni sigura, it-tim tar-Riżorsi Umani tiegħek għandu jkun jaf kif jimmaniġġja d-data personali b’mod sigur, eċċ.”

L-istess loġika tapplika direttament għal ISO/IEC 27701:2025. Ma tistax tassenja responsabbiltajiet tal-PII u tittama li sensibilizzazzjoni ġenerika tkoprihom. Il-kompetenza trid tiġi identifikata, mgħallma, imkejla u sostnuta b’evidenza.

Il-Politika dwar it-Taħriġ, is-Sensibilizzazzjoni u l-Kompetenza fil-Privatezza tibdel dan fi fluss tax-xogħol tal-PIMS. Il-klawżola 4.1.6 teħtieġ:

“[All] Il-Privacy Lead / PIMS Manager GĦANDU jirreġistra l-udjenza assenjata għat-taħriġ, it-tip ta’ taħriġ, id-data meħtieġa tat-tlestija u s-sid tal-evidenza f’REG11 qabel jibda kull ċiklu annwali ta’ taħriġ.”

Dan joħloq rabta bejn ir-rwoli tal-privatezza u l-evidenza tal-awditu. L-awditur ma jkollux għalfejn jiddeduċi min kellu jiġi mħarreġ. REG11 juri l-assenjazzjoni, l-iskadenza, it-tlestija, l-istatus ta’ dewmien, ir-rikonoxximent, iċ-ċiklu ta’ taħriġ ta’ aġġornament u s-sid.

Il-kontrolli ISO/IEC 27002:2022 wara t-taħriġ dwar il-privatezza

It-taħriġ dwar il-privatezza jsir awditjabbli meta jintrabat ma’ kontrolli, mhux biss ma’ tlestija ta’ korsijiet. F’Zenith Controls, Clarysec jimmappja t-taħriġ dwar il-privatezza bbażat fuq ir-rwoli permezz ta’ tliet kontrolli ċentrali ta’ ISO/IEC 27002:2022: 6.3, 5.2 u 5.34.

Zenith Controls jikklassifika l-kontroll 6.3 bħala preventiv, li jappoġġa l-kunfidenzjalità, l-integrità u d-disponibbiltà, bil-kunċett taċ-ċibersigurtà “Protect,” il-kapaċità operattiva “Sigurtà tar-Riżorsi Umani,” u oqsma ta’ governanza u ekosistema. L-għan tiegħu huwa li jipprevjeni fallimenti fil-privatezza u fis-sigurtà kkawżati minn żball uman, aspettattivi mhux ċari u konfużjoni dwar ir-rwoli.

Il-kontroll 6.3 jiddependi wkoll fuq kontrolli relatati:

Għall-privatezza, il-kontroll 5.34 huwa l-ankra. Zenith Blueprint, il-Pass 23, jispjega r-rekwiżit ta’ mġiba wara l-privatezza u l-protezzjoni tal-PII:

“Il-persunal għandu jifhem x’inhi l-PII, kif jirrapporta użu ħażin, u liema prattiki huma pprojbiti, mhux f’termini legali, iżda bħala mġiba ta’ kuljum.”

Din is-sentenza taqbad dak li ħafna implimentazzjonijiet tal-PIMS jitilfu. Il-politiki tal-privatezza jistgħu jkunu artifacts legali, iżda t-taħriġ dwar il-privatezza għandu jkun operattiv.

Ibni l-matriċi tat-taħriġ tal-PIMS ibbażata fuq ir-rwoli

L-aktar artifact utli għall-governanza tat-taħriġ dwar il-privatezza huwa matriċi tat-taħriġ ibbażata fuq ir-rwoli. Din torbot ir-rwol, l-espożizzjoni għall-PII, ir-riskji ewlenin, it-taħriġ meħtieġ, iż-żmien u l-evidenza.

Il-Politika dwar it-Taħriġ, is-Sensibilizzazzjoni u l-Kompetenza fil-Privatezza teħtieġ dan qabel jiġu assenjati responsabbiltajiet tal-PIMS. Il-klawżola 4.3.1 tgħid:

“[All] Il-Privacy Lead / PIMS Manager GĦANDU jiddefinixxi suġġetti ta’ taħriġ dwar il-privatezza bbażati fuq ir-rwoli f’REG11 qabel jassenja responsabbiltajiet tal-PIMS lil rwol.”

Matriċi prattika għandha tidher hekk:

Din il-matriċi tappoġġa wkoll iċ-ċarezza tar-rwoli ta’ kontrollur u proċessur. Fornitur SaaS li jaġixxi bħala proċessur jeħtieġ taħriġ dwar istruzzjonijiet dokumentati tal-klijent, involviment ta’ subproċessuri, appoġġ waqt ksur tad-data personali, ritorn u tħassir, u obbligi kuntrattwali mgħoddija lill-partijiet sussegwenti. L-istess organizzazzjoni, meta taġixxi bħala kontrollur għar-Riżorsi Umani u l-marketing, teħtieġ taħriġ dwar bażi legali, avviżi ta’ privatezza, kunsens fejn japplika, drittijiet tas-suġġetti tad-data, u żamma.

Din id-distinzjoni hija importanti għax l-Artikolu 4 ta’ GDPR jiddistingwi bejn kontrolluri u proċessuri, u ISO/IEC 27701:2025 jistenna li dawn ir-rwoli tal-privatezza jinftiehmu b’mod operattiv.

Uża onboarding, taħriġ annwali u taħriġ ibbażat fuq skattaturi

Programm ta’ taħriġ tal-PIMS għandu jwieġeb tliet mistoqsijiet dwar iż-żmien: x’jiġri meta xi ħadd jidħol fl-organizzazzjoni, x’jiġri kull sena, u x’jiġri meta jinbidel ir-riskju.

Il-Politika dwar it-Taħriġ, is-Sensibilizzazzjoni u l-Kompetenza fil-Privatezza tistabbilixxi l-linja bażi. Il-klawżola 4.2.1 teħtieġ:

“[All] Il-Privacy Lead / PIMS Manager GĦANDU jassenja taħriġ bażiku ta’ sensibilizzazzjoni dwar il-privatezza f’REG11 fi żmien 10 ijiem ta’ xogħol mill-onboarding għal persunal b’aċċess għall-PII jew b’responsabbiltajiet tal-PIMS.”

Il-klawżola 4.2.3 iżżid:

“[All] Il-Privacy Lead / PIMS Manager GĦANDU jassenja taħriġ annwali ta’ aġġornament dwar il-privatezza f’REG11 mill-inqas darba kull 12-il xahar.”

Il-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni għall-SMEs issaħħaħ il-ħtieġa li l-materjal ikun aġġornat u prattiku. Il-klawżola 6.1.1 tgħid:

“Il-materjal għandu jkun prattiku, xieraq għar-rwol, u aġġornat kull sena.”

Il-pass matur huwa taħriġ ibbażat fuq skattaturi. Il-klawżola 6.5.1 tal-istess politika għall-SMEs tgħid:

“Meta jinbidlu r-rwoli tax-xogħol jew jiġu introdotti sistemi, jista’ jkun meħtieġ taħriġ immirat ta’ sensibilizzazzjoni (eż. qsim sigur tal-fajls, protezzjoni ġdida tad-data, u rekwiżiti ta’ minimizzazzjoni tad-data).”

Hawnhekk it-taħriġ dwar il-privatezza jsir ibbażat fuq ir-riskju. Aġent tal-appoġġ promoss għal kap ta’ tim jista’ jikseb dmirijiet ta’ approvazzjoni tal-aċċess. CRM ġdid jista’ jintroduċi esportazzjonijiet, integrazzjonijiet, oqsma ta’ żamma u impatti fuq talbiet tas-suġġetti tad-data. Għodda ġdida tal-analitika tista’ tintroduċi traċċar, tfassil ta’ profili jew implikazzjonijiet tal-kunsens. Fornitur ġdid tal-pagi jista’ jintroduċi rekwiżiti ta’ diliġenza dovuta tal-proċessuri u trasferimenti transkonfinali.

It-taħriġ għandu jiġi skattat minn dawn il-bidliet, mhux jitħalla għall-aġġornament annwali.

Il-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni għall-intrapriżi żżid tieqa ċara għat-tlestija. Il-klawżola 6.1.3 tgħid:

“Taħriġ ibbażat fuq ir-rwoli (eż. amministraturi, żviluppaturi, eżekuttivi) għandu jiġi assenjat u mitmum fi żmien 60 jum mill-assenjazzjoni tar-rwol jew mill-elevazzjoni tal-privileġġi tas-sistema.”

Għal rwoli tal-PII b’riskju għoli, ħafna organizzazzjonijiet jagħżlu skadenzi iqsar, iżda l-prinċipju jibqa’ l-istess: it-taħriġ ibbażat fuq ir-rwoli jsegwi r-responsabbiltà.

Kif REG11 jagħlaq sejba tal-awditu

Ikkunsidra sejba realistika ta’ awditu intern:

“Il-persunal tal-appoġġ għall-klijenti jista’ jaċċessa PII tal-klijenti u jista’ jirċievi talbiet għal aċċess mis-suġġetti tad-data, iżda m’hemm l-ebda evidenza ta’ taħriġ dwar il-privatezza bbażat fuq ir-rwoli għall-aġenti tal-appoġġ jew għall-kapijiet tat-timijiet.”

Tim ta’ implimentazzjoni ta’ Clarysec jagħlaq is-sejba f’ħames passi.

L-ewwel, il-Privacy Lead joħloq udjenza ta’ taħriġ f’REG11 bl-isem “Immaniġġjaturi tal-PII fl-appoġġ għall-klijenti.” Is-sid tal-evidenza huwa l-Maniġer tal-Operazzjonijiet tal-Appoġġ. It-tip ta’ taħriġ huwa “Taħriġ dwar il-privatezza bbażat fuq ir-rwoli.” L-iskadenza għat-tlestija hija 30 jum. Ir-responsabbiltajiet marbuta jinkludu verifika tal-identità, minimizzazzjoni fit-tickets, fajls mehmuża siguri, għarfien tad-DSAR, u eskalazzjoni ta’ ksur suspettat ta’ data personali.

It-tieni, il-Privacy Lead jimmappja l-kontenut mar-rekwiżiti tal-politika, inkluż il-klawżola 4.3.1 tal-Politika dwar it-Taħriġ, is-Sensibilizzazzjoni u l-Kompetenza fil-Privatezza u l-klawżola 6.1.3 tal-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni għall-intrapriżi.

It-tielet, it-taħriġ juża ttestjar ibbażat fuq xenarji:

Ir-raba’, it-tlestija tiġi rreġistrata f’REG11: parteċipant, rwol, modulu, timestamp tat-tlestija, punteġġ tal-kwiżż jew tax-xenarju, rikonoxximent, status ta’ dewmien, data tat-taħriġ ta’ aġġornament, u sid tal-evidenza.

Il-klawżola 4.4.1 tal-Politika dwar it-Taħriġ, is-Sensibilizzazzjoni u l-Kompetenza fil-Privatezza teħtieġ:

“[All] Il-Privacy Lead / PIMS Manager GĦANDU jżomm evidenza tal-assenjazzjoni, it-tlestija, id-dewmien, ir-rikonoxximent u t-taħriġ ta’ aġġornament f’REG11 għal kull attività meħtieġa ta’ taħriġ dwar il-privatezza.”

Il-ħames, is-sejba tal-awditu tingħalaq bl-evidenza: esportazzjoni minn REG11, materjal tat-taħriġ, reġistri tal-attendenza, riżultati tal-kwiżż, aġġornament tal-proċedura tal-appoġġ, u l-mogħdija interna ta’ eskalazzjoni.

Il-punt ewlieni mhuwiex li l-appoġġ irċieva slide deck. Il-punt ewlieni huwa li kompetenza speċifika għar-rwol ġiet assenjata, ittestjata, sostnuta b’evidenza, u marbuta mad-dmirijiet tal-PIMS.

Valur għall-konformità bejn oqfsa differenti: GDPR, NIS2, DORA, NIST u COBIT

It-taħriġ dwar il-privatezza bbażat fuq ir-rwoli mhuwiex biss kwistjoni ta’ ISO/IEC 27701:2025. Huwa kontroll ta’ konformità bejn oqfsa differenti.

GDPR jipprovdi s-sustanza tal-privatezza. L-Artikolu 5(2) jeħtieġ responsabbiltà. L-Artikolu 32 jeħtieġ miżuri tekniċi u organizzattivi xierqa għas-sigurtà tal-ipproċessar. L-Artikolu 39(1)(b) jagħmel ukoll is-sensibilizzazzjoni u t-taħriġ tal-persunal parti mir-rwol ta’ monitoraġġ tad-DPO fejn ikun inħatar DPO.

Il-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni għall-intrapriżi tirrikonoxxi dan fil-klawżola 11.4.1:

“Artikolu 32 – Sigurtà tal-Ipproċessar: Jeħtieġ li l-persunal li jimmaniġġja data personali jiġi mħarreġ biex jagħraf, jipprevjeni u jirrapporta riskji għall-informazzjoni personali. Din il-politika tiżgura li l-immaniġġjaturi tad-data u r-rwoli rilevanti kollha jiġu mħarrġa kif xieraq.”

NIS2 iżżid ir-reżiljenza ċibernetika. L-Artikolu 20 jeħtieġ li l-membri tal-korp maniġerjali ta’ entitajiet essenzjali u importanti jsegwu taħriġ fiċ-ċibersigurtà u jinkoraġġixxi taħriġ regolari għall-impjegati. L-Artikolu 21(2)(i) jinkludi prattiki bażiċi ta’ iġjene ċibernetika u taħriġ fiċ-ċibersigurtà fost il-miżuri tal-ġestjoni tar-riskju.

DORA iżżid speċifiċità għas-settur finanzjarju. L-Artikolu 13 jeħtieġ li l-entitajiet finanzjarji jżommu programmi ta’ taħriġ fir-reżiljenza operattiva diġitali bħala parti mill-politika tar-riżorsi umani. L-Artikolu 5 iqiegħed ukoll dmirijiet ta’ governanza tar-riskju tal-ICT fuq il-korp maniġerjali. Għall-entitajiet finanzjarji, DORA tapplika direttament mis-17 ta’ Jannar 2025 u taħdem bħala l-att legali tal-Unjoni speċifiku għas-settur fejn tikkoinċidi mal-obbligi ta’ NIS2 dwar ir-riskju tal-ICT u r-rappurtar tal-inċidenti.

NIST CSF 2.0 jipprovdi saff ta’ organizzazzjoni. Il-funzjoni GOVERN tistenna li obbligi legali, regolatorji, kuntrattwali, tal-privatezza u tal-libertajiet ċivili jinftiehmu u jiġu ġestiti. Il-funzjoni PROTECT tinkludi sensibilizzazzjoni u taħriġ permezz ta’ PR.AT-01 għas-sensibilizzazzjoni tal-persunal u PR.AT-02 għal taħriġ speċjalizzat skont ir-rwol.

COBIT 2019 jiffoka fuq il-governanza u l-kapaċità. APO07 jappoġġa l-ġestjoni tar-riżorsi umani, BAI05.07 jappoġġa l-iżvilupp tal-ħiliet, APO13.01 jappoġġa l-ġestjoni tas-sigurtà, u DSS06.08 jappoġġa l-ġestjoni tal-privatezza tad-data. Minn perspettiva ta’ COBIT, it-taħriġ dwar il-privatezza għandu jintrabat mal-kapaċità tal-forza tax-xogħol, l-objettivi tal-governanza, ir-rieżami mill-maniġment u azzjoni korrettiva.

Zenith Controls jgħaqqad dawn il-linji. Jimmappja l-kontroll 6.3 mal-aspettattivi ta’ GDPR dwar taħriġ u sensibilizzazzjoni, l-Artikolu 21(2)(i) ta’ NIS2, l-Artikolu 13 ta’ DORA, il-kontrolli ta’ sensibilizzazzjoni u taħriġ ta’ NIST SP 800-53, u l-objettivi ta’ COBIT dwar ħiliet u politika tax-xogħol. Jimmappja l-kontroll 5.2 mar-responsabbiltà taħt GDPR u l-kompiti tad-DPO, il-miżuri organizzattivi ta’ NIS2, ir-responsabbiltajiet ta’ governanza ta’ DORA, l-assenjazzjoni tar-rwoli ta’ NIST, u l-istrutturi ta’ governanza ta’ COBIT. Jimmappja l-kontroll 5.34 mas-sigurtà u l-privatezza mid-disinn taħt GDPR, il-politiki tas-sigurtà ta’ NIS2, il-kunfidenzjalità tad-data taħt DORA, il-kontrolli tal-privatezza ta’ NIST, u l-ġestjoni tal-privatezza ta’ COBIT.

Il-benefiċċju għan-negozju huwa l-effiċjenza. Sistema waħda ta’ taħriġ iggvernata tista’ tipproduċi evidenza għal diversi oqfsa, minflok iġġiegħel lit-timijiet iżommu programmi ta’ konformità skonnessi.

Gwida ISO ta’ appoġġ li ssaħħaħ il-programm

It-taħriġ tal-PIMS ibbażat fuq ir-rwoli jsir aktar b’saħħtu meta jintrabat ma’ gwida ISO relatata.

ISO/IEC 27005:2024 jittratta riskji tal-fattur uman, inkluż phishing, inġinerija soċjali u mġiba negliġenti, bħala sorsi ta’ riskju li jeħtieġu trattament. It-taħriġ għalhekk huwa trattament tar-riskju, mhux eżerċizzju amministrattiv.

ISO/IEC 27035-1:2023 jenfasizza s-sensibilizzazzjoni għall-ġestjoni tal-inċidenti. Il-persunal għandu jagħraf u jirrapporta inċidenti, inkluż użu ħażin suspettat tal-PII jew żvelar aċċidentali. Għall-privatezza, dan huwa kritiku għax il-linji taż-żmien tal-valutazzjoni tal-ksur ħafna drabi jibdew meta l-organizzazzjoni ssir konxja minn kwistjoni.

ISO/IEC 27017 jappoġġa ċ-ċarezza tar-rwoli speċifika għall-cloud. It-timijiet tal-cloud jeħtieġu taħriġ dwar responsabbiltà kondiviża, konfigurazzjoni, ġestjoni tal-aċċess, responsabbiltajiet tal-backup, logging, monitoraġġ u eskalazzjoni.

ISO/IEC 27018 jappoġġa l-protezzjoni tal-PII f’ambjenti ta’ cloud pubbliku. Il-fornituri tal-cloud u l-klijenti għandhom iħarrġu lill-persunal dwar istruzzjonijiet tal-klijent, użu mhux awtorizzat, ritorn u tħassir tal-PII, u appoġġ waqt ksur tad-data personali.

ISO/IEC 29100 jipprovdi prinċipji tal-privatezza bħal kunsens, limitazzjoni, trasparenza, minimizzazzjoni u responsabbiltà. Dawn il-prinċipji jgħinu jittrasformaw lingwaġġ legali f’imġiba prattika.

ISO/IEC 27014 jappoġġa d-delega tal-governanza u t-teħid tad-deċiżjonijiet, li huwa importanti meta eżekuttivi, responsabbli għall-privatezza, sidien tar-riskju u sidien tas-sistema jeħtieġu livelli differenti ta’ taħriġ.

ISO/IEC 27036-2 jappoġġa r-responsabbiltajiet fir-relazzjonijiet mal-fornituri. L-akkwist u s-sidien tal-fornituri jeħtieġu taħriġ dwar il-privatezza għax il-kuntratti tal-proċessuri, il-ktajjen tas-subproċessuri, id-drittijiet ta’ awditu u l-klawżoli dwar inċidenti jaffettwaw riskju reali.

X’jittestjaw fil-fatt l-awdituri

Programm ta’ taħriġ dwar il-privatezza huwa difensibbli biss jekk jgħaddi mill-ittestjar.

Awditur orjentat lejn ISO jibda bil-kamp ta’ applikazzjoni, ir-rwoli, il-kompetenza, is-sensibilizzazzjoni u r-reġistri. Jista’ jagħmel kampjun ta’ impjegati ġodda, żviluppaturi, utenti privileġġjati, persunal tar-Riżorsi Umani, aġenti tal-appoġġ, sidien tal-akkwist, kuntratturi u timijiet tar-rispons għall-inċidenti.

Awditur tal-PIMS jittestja s-sustanza tal-privatezza. Jista’ jistaqsi jekk il-persunal jifhimx il-PII, l-għarfien tad-DSAR, id-dmirijiet ta’ kontrollur u proċessur, istruzzjonijiet tal-ipproċessar, eskalazzjoni ta’ ksur tad-data personali u prattiki pprojbiti.

Valutatur orjentat lejn NIST ifittex sensibilizzazzjoni ġenerali, taħriġ speċjalizzat skont ir-rwol, reġistri tat-taħriġ u lakuni mmonitorjati. Jista’ jqabbel il-profili attwali u fil-mira u jirrieżamina pjanijiet ta’ azzjoni.

Awditur COBIT jevalwa jekk it-taħriġ jappoġġax l-objettivi tal-governanza u l-kapaċità tal-forza tax-xogħol. Jista’ jistaqsi jekk il-maniġment jirrieżaminax rati tat-tlestija, taħriġ li għadda l-iskadenza, xejriet fis-simulazzjonijiet ta’ phishing, imġiba fir-rappurtar tal-inċidenti u azzjonijiet korrettivi.

Awditur bi stil ISACA ITAF jista’ jiffoka fuq evidenza tal-prestazzjoni: rati tat-tlestija, punteġġi tal-kwiżż, intervisti, riżultati tas-simulazzjonijiet, xejriet tal-inċidenti u azzjoni tal-maniġment.

Zenith Controls jaqbad din il-perspettiva tal-awditu għall-kontroll 6.3. L-awdituri jistgħu jirrieżaminaw kurrikuli, skedi, materjal, reġistri tal-attendenza, ċertifikati tat-tlestija, intervisti mal-impjegati, riżultati ta’ simulazzjonijiet ta’ phishing, u metriċi bħar-rati tat-tlestija u l-punteġġi tal-kwiżż. Test prattiku fl-intervista ħafna drabi jkun deċiżiv: l-impjegati jistgħu jispjegaw x’jagħmlu jekk jirċievu messaġġ suspettuż, jissuspettaw aċċess mhux awtorizzat għall-PII, jew jirċievu talba dwar il-privatezza?

L-evidenza mhijiex biss spreadsheet. Hija jekk in-nies jafux x’għandhom jagħmlu.

Nuqqasijiet ta’ konformità komuni fit-taħriġ tal-PIMS

L-implimentazzjonijiet ta’ Clarysec juru lakuni rikorrenti fit-taħriġ dwar il-privatezza:

• It-taħriġ jeżisti, iżda huwa ġeneriku u mhux ibbażat fuq ir-rwoli.
• L-immaniġġjaturi tal-PII mhumiex identifikati b’mod ċar.
• Kuntratturi u partijiet terzi b’PII jew aċċess għas-sistemi jitħallew barra.
• L-iżviluppaturi jirċievu taħriġ dwar kodifikazzjoni sigura iżda mhux dwar privatezza mid-disinn jew restrizzjonijiet tad-data tat-test.
• It-timijiet tal-appoġġ jiġu mħarrġa fuq il-kwalità tas-servizz iżda mhux fuq l-għarfien tad-DSAR jew iż-żvelar aċċidentali.
• Ir-Riżorsi Umani jimmaniġġjaw data sensittiva tal-impjegati mingħajr evidenza ta’ taħriġ dwar il-privatezza speċifiku għar-rwol.
• L-akkwist jinnegozja kuntratti tal-fornituri mingħajr taħriġ dwar proċessuri jew subproċessuri.
• It-timijiet tar-rispons għall-inċidenti jafu l-eskalazzjoni ċibernetika iżda mhux it-trijaġġ ta’ ksur ta’ data personali.
• Impjegati ġodda jlestu taħriġ dwar is-sigurtà, iżda t-taħriġ dwar il-privatezza jittardja.
• Bidliet fir-rwoli u sistemi ġodda ma jiskattawx taħriġ immirat.
• It-tlestija tiġi ttraċċata, iżda l-evidenza dwar dewmien, rikonoxximent u taħriġ ta’ aġġornament tkun nieqsa.
• Il-maniġment jirċievi dashboards iżda ma jaġixxix fuq il-lakuni.

Il-Politika dwar il-Protezzjoni tad-Data u l-Privatezza tagħmel ċara d-dixxiplina tal-maniġment mistennija. Il-klawżola 4.7.3 teħtieġ li l-organizzazzjonijiet:

“Iżommu ftehimiet ta’ kunfidenzjalità tal-persunal u taħriġ ta’ sensibilizzazzjoni dwar il-privatezza.”

Għall-SMEs, il-Politika dwar il-Protezzjoni tad-Data u l-Privatezza - SME hija aktar diretta. Il-klawżola 4.5.2 tgħid:

“Għandu jitlesta taħriġ dwar il-privatezza”

Il-klawżola 7.2.2 torbot it-taħriġ mat-trattament tar-riskju:

“It-taħriġ u s-sensibilizzazzjoni għandhom jintużaw bħala kontrolli biex inaqqsu l-iżball uman fl-immaniġġjar tad-data”

Dan huwa l-qalba tal-kwistjoni. It-taħriġ dwar il-privatezza huwa kontroll imfassal biex inaqqas ir-riskju.

Lista ta’ kontroll prattika għall-implimentazzjoni

Programm ta’ taħriġ dwar il-privatezza li jkun difensibbli m’għandux għalfejn isir burokratiku. Jeħtieġ mudell operattiv ċar, evidenza tajba u attenzjoni regolari mill-maniġment.

Uża din il-lista ta’ kontroll biex tibni jew ittejjeb il-programm tiegħek:

Zenith Blueprint jappoġġa dan iċ-ċiklu tal-ħajja permezz tat-tmexxija, il-kamp ta’ applikazzjoni, l-assenjazzjoni tar-rwoli, il-kompetenza, il-komunikazzjoni u l-implimentazzjoni tal-kontrolli. Fil-fażi Controls in Action, il-Pass 15, “Kontrolli tar-riżorsi umani I,” jirrakkomanda taħriġ annwali, moduli speċifiċi għar-rwol, onboarding ta’ impjegati ġodda, phishing simulat, bullettini, briefings tat-timijiet, evidenza tal-parteċipazzjoni, u l-estensjoni tat-taħriġ għal kuntratturi jew partijiet terzi b’aċċess għas-sistemi jew għad-data.

Il-pakkett tal-politiki jagħtik il-linja bażi tal-governanza. Il-politika tat-taħriġ speċifika għall-privatezza tagħtik il-fluss tax-xogħol tal-evidenza REG11. Il-politiki dwar il-protezzjoni tad-data jiddefinixxu r-responsabbiltajiet u l-aspettattivi tas-sensibilizzazzjoni. Zenith Controls jipprovdi s-saff tal-immappjar għall-awditu u għall-konformità bejn oqfsa differenti.

Flimkien, dawn l-għodod jgħinu lil CISO, Privacy Lead, DPO, maniġer tal-konformità jew sid tar-Riżorsi Umani jispjega għaliex programm wieħed ta’ taħriġ jappoġġa l-aspettattivi ta’ ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST u COBIT.

Ittrasforma r-responsabbiltà tal-privatezza f’imġiba ta’ kuljum

Jekk il-programm tiegħek ta’ ISO/IEC 27701:2025 jew GDPR jiddependi fuq sensibilizzazzjoni annwali ġenerika, ibda b’test sempliċi. Agħżel ħames rwoli li jmissu mal-PII: Riżorsi Umani, appoġġ għall-klijenti, żviluppaturi, amministraturi u akkwist.

Għal kull rwol, staqsi:

• X’PII jimmaniġġjaw?
• X’deċiżjonijiet dwar il-privatezza jieħdu?
• Liema żbalji jistgħu joħolqu riskju ta’ GDPR jew PIMS?
• X’taħriġ lestew?
• Fejn tinsab l-evidenza?
• Jafu kif jeskalaw inċident tal-PII suspettat illum?
• It-taħriġ ġie aġġornat wara bidliet fis-sistemi, inċidenti jew sejbiet tal-awditu?

Jekk ma tistax twieġeb dawn il-mistoqsijiet minn evidenza dokumentata, il-programm ta’ taħriġ għadu mhux difensibbli.

Clarysec jgħin lill-organizzazzjonijiet jimxu minn perċentwali ta’ tlestija għal kompetenza li tista’ titkejjel. Uża l-Politika dwar it-Taħriġ, is-Sensibilizzazzjoni u l-Kompetenza fil-Privatezza, il-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni, il-Politika dwar l-Għarfien u t-Taħriġ fis-Sigurtà tal-Informazzjoni - SME, il-Politika dwar il-Protezzjoni tad-Data u l-Privatezza, il-Politika dwar il-Protezzjoni tad-Data u l-Privatezza - SME, Zenith Blueprint, u Zenith Controls biex tibni programm ta’ taħriġ tal-PIMS lest għall-awditu li jittrasforma r-responsabbiltà tal-privatezza f’imġiba ta’ kuljum.

Niżżel il-pakkett tal-politiki, immappja r-rwoli tiegħek ma’ REG11, u skeda valutazzjoni ta’ Clarysec biex tipprova li n-nies tiegħek mhumiex biss konxji mill-privatezza. Huma kompetenti, responsabbli u lesti għall-awditu.