Školenie v oblasti ochrany súkromia podľa rolí pre ISO 27701 a GDPR

Sarah, CISO rýchlo rastúcej fintechovej spoločnosti, očakávala, že audit PIMS podľa ISO/IEC 27701:2025 preverí politiky, záznamy a posúdenia rizík. Na druhý deň sa audítor dostal mimo komfortnej zóny.

Nepýtal sa, či zamestnanci absolvovali ročný modul „Privacy 101“. Prehľadový panel ukazoval 98-percentnú mieru absolvovania, čo vyzeralo pôsobivo, kým sa otázky nezačali zameriavať na podstatu.

„Vaši vývojári pracujú s citlivými finančnými PII a implementujú biometrickú autentifikáciu. Aké konkrétne školenie absolvovali k ochrane súkromia už od návrhu, minimalizácii údajov pri návrhu API, bezpečnému logovaniu, obmedzeniam testovacích údajov a osobitným kategóriám údajov podľa GDPR?“

Potom prišla zákaznícka podpora.

„Môžu zobrazovať históriu transakcií. Ako sú školení, aby rozpoznali žiadosť dotknutej osoby o prístup k osobným údajom, overili identitu, vyhli sa nadmerným poznámkam v tiketoch a eskalovali náhodné sprístupnenie údajov?“

Potom HR.

„Práve zaviedli nový cloudový mzdový systém hostovaný mimo EÚ. Aké školenie v oblasti ochrany súkromia absolvovali k due diligence sprostredkovateľa, cezhraničným prenosom, záznamom zamestnancov a uchovávaniu?“

Sarah mala politiky, záznamy o spracovateľských činnostiach (RoPA), dodávateľské doložky, postupy pri porušení ochrany osobných údajov a definovaný rozsah PIMS. Nemala však obhájiteľné dôkazy, že správni ľudia boli vyškolení na správne zodpovednosti v oblasti ochrany súkromia.

Práve táto medzera narúša mnohé programy ochrany súkromia. ISO/IEC 27701:2025 a GDPR neodmeňujú organizácie za všeobecné povedomie. Vyžadujú preukázateľnú zodpovednosť, kompetenciu a prevádzkové dôkazy. Ak ľudia zbierajú, používajú, zobrazujú, uchovávajú, zdieľajú, vymazávajú, monitorujú alebo podporujú systémy obsahujúce PII, musia vedieť, čo sa vzťahuje na ich rolu, kedy eskalovať a kde sa evidujú dôkazy.

Školenie na zvýšenie povedomia o ochrane súkromia podľa rolí je spôsob, ako sa PIMS stáva skutočne funkčným.

Prečo univerzálne školenie v oblasti ochrany súkromia zlyháva

Väčšina organizácií už realizuje nejakú formu školenia bezpečnostného povedomia. Problém je v tom, že povinnosti v oblasti ochrany súkromia sú v organizácii rozdelené nerovnomerne.

Vývojár potrebuje poznať ochranu súkromia už od návrhu, maskovanie, pseudonymizáciu, bezpečný vývoj, minimalizáciu logovania a dopady zmien. Pracovník podpory potrebuje overovanie identity, minimalizáciu údajov v tiketoch, rozpoznanie DSAR a eskaláciu náhodného sprístupnenia údajov. HR potrebuje ochranu súkromia zamestnancov, zaobchádzanie s osobitnými kategóriami údajov, dôvernosť, uchovávanie a obmedzenia prístupu. Obstarávanie potrebuje vedieť, kedy je dodávateľ sprostredkovateľom alebo ďalším sprostredkovateľom. Pracovníci riešenia incidentov musia rozlišovať medzi bezpečnostným incidentom a porušením ochrany osobných údajov.

Jeden ročný kvíz GDPR nedokáže vytvoriť prevádzkovú kompetenciu naprieč všetkými týmito rolami.

GDPR to zviditeľňuje v Article 5, ktorý definuje zásady, ako sú zákonnosť, férovosť, transparentnosť, obmedzenie účelu, minimalizácia údajov, presnosť, obmedzenie uchovávania, integrita a dôvernosť. Article 5(2) dopĺňa zásadu preukázateľnej zodpovednosti a vyžaduje, aby prevádzkovatelia preukázali súlad. Article 32 vyžaduje primerané technické a organizačné opatrenia na zaistenie bezpečnosti spracúvania. Articles 4, 6 a 9 robia jasnosť rolí ešte dôležitejšou tým, že definujú spracúvanie, vzťahy prevádzkovateľa a sprostredkovateľa, právny základ a osobitné kategórie údajov.

Praktická auditná otázka je jednoduchá: viete preukázať, že personál rozumie zodpovednostiam týkajúcim sa PII priradeným k jeho role?

Pozícia Clarysec k politike pre MSP je priama. V Politike povedomia a školenia o informačnej bezpečnosti - MSP sa v bode 1.3 uvádza:

„Táto politika podporuje súlad s ISO/IEC 27001, NIS2, GDPR a DORA začlenením bezpečnostného povedomia do každodenných pracovných postupov a očakávaní podľa rolí.“

Podstatná je formulácia „každodenné pracovné postupy“. Povedomie o ochrane súkromia nie je plagát. Musí byť viditeľné pri zbere, prístupe, zdieľaní, uchovávaní, výmaze, zapájaní dodávateľov, nahlasovaní incidentov a preskúmaní manažmentom.

Od povedomia ku kompetencii PIMS

Clarysec vníma školenie v oblasti ochrany súkromia ako opatrenie správy a riadenia, nie ako vedľajší projekt vzdelávania a rozvoja. Obhájiteľný školiaci program PIMS má štyri vrstvy:

1. Základné povedomie o ochrane súkromia pre všetok personál s prístupom k PII alebo so zodpovednosťami PIMS.
2. Školenie podľa rolí pre tímy, ktorých rozhodnutia ovplyvňujú výsledky ochrany súkromia.
3. Školenie spúšťané udalosťami po zmenách rolí, nových systémoch, incidentoch, auditných zisteniach alebo regulačných zmenách.
4. Zachytenie dôkazov v REG11 s väzbou na cieľovú skupinu, rolu, typ školenia, požadovaný dátum absolvovania, potvrdenia, záznamy o omeškaní, dôkazy o opakovacom školení a vlastníkov dôkazov.

Toto nadväzuje na štruktúru Zenith Blueprint, 30-krokovej cestovnej mapy Clarysec na implementáciu systému manažérstva pripraveného na audit. V kroku 4, „Roly a zodpovednosti v ISMS“, Blueprint zdôrazňuje komunikáciu rolí, aby personál vedel, kto čo vlastní, koho kontaktovať a ako hlásiť incidenty.

Krok 5, „Komunikácia, povedomie a kompetencia“, je ešte explicitnejší:

„Identifikujte požadované kompetencie: určte, aké znalosti a zručnosti sú potrebné pre jednotlivé roly vo vašom ISMS… vaši vývojári musia poznať zásady bezpečného programovania, váš HR tím musí vedieť, ako bezpečne zaobchádzať s osobnými údajmi, atď.“

Rovnaká logika sa priamo uplatňuje na ISO/IEC 27701:2025. Nemožno prideliť zodpovednosti za PII a dúfať, že ich pokryje všeobecné povedomie. Kompetencia musí byť identifikovaná, vyškolená, meraná a podložená dôkazmi.

Politika školenia, povedomia a kompetencií v oblasti ochrany súkromia z toho vytvára pracovný tok PIMS. Bod 4.1.6 vyžaduje:

„[All] Vedúci ochrany súkromia / manažér PIMS MUSÍ pred začiatkom každého ročného školiaceho cyklu zaznamenať v REG11 priradenú cieľovú skupinu školenia, typ školenia, požadovaný dátum absolvovania a vlastníka dôkazov.“

Tým vzniká prepojenie medzi rolami v oblasti ochrany súkromia a auditnými dôkazmi. Audítor už nemusí odvodzovať, kto mal byť vyškolený. REG11 ukazuje priradenie, termín, absolvovanie, stav omeškania, potvrdenie, cyklus opakovacieho školenia a vlastníka.

Opatrenia ISO/IEC 27002:2022 za školením v oblasti ochrany súkromia

Školenie v oblasti ochrany súkromia je auditovateľné vtedy, keď je naviazané na opatrenia, nielen na absolvovanie kurzov. V Zenith Controls Clarysec mapuje školenie v oblasti ochrany súkromia podľa rolí cez tri kľúčové opatrenia ISO/IEC 27002:2022: 6.3, 5.2 a 5.34.

Zenith Controls klasifikuje opatrenie 6.3 ako preventívne; podporuje dôvernosť, integritu a dostupnosť, s konceptom kybernetickej bezpečnosti „Protect“, prevádzkovou spôsobilosťou „Human Resource Security“ a doménami správy a riadenia a ekosystému. Jeho účelom je predchádzať zlyhaniam ochrany súkromia a bezpečnosti spôsobeným ľudskou chybou, nejasnými očakávaniami a nejasnosťou rolí.

Opatrenie 6.3 závisí aj od súvisiacich opatrení:

Pre ochranu súkromia je kotvou opatrenie 5.34. Zenith Blueprint, krok 23, vysvetľuje behaviorálnu požiadavku za ochranou súkromia a PII:

„Personál musí rozumieť, čo je PII, ako nahlásiť zneužitie a aké postupy sú zakázané, nie v právnych pojmoch, ale v každodennom správaní.“

Táto veta vystihuje, čo mnohým implementáciám PIMS chýba. Politiky ochrany súkromia môžu byť právnymi artefaktmi, ale školenie v oblasti ochrany súkromia musí byť prevádzkové.

Vytvorte maticu školenia PIMS podľa rolí

Najužitočnejším artefaktom pre riadenie školenia v oblasti ochrany súkromia je matica školenia podľa rolí. Prepája rolu, vystavenie PII, kľúčové riziká, požadované školenie, načasovanie a dôkazy.

Politika školenia, povedomia a kompetencií v oblasti ochrany súkromia to vyžaduje pred pridelením zodpovedností PIMS. Bod 4.3.1 uvádza:

„[All] Vedúci ochrany súkromia / manažér PIMS MUSÍ v REG11 definovať témy školenia ochrany súkromia podľa rolí pred pridelením zodpovedností PIMS danej role.“

Praktická matica má vyzerať takto:

Táto matica podporuje aj jasnosť rolí prevádzkovateľa a sprostredkovateľa. Poskytovateľ SaaS, ktorý vystupuje ako sprostredkovateľ, potrebuje školenie o zdokumentovaných pokynoch zákazníka, zapájaní ďalších sprostredkovateľov, podpore pri porušení ochrany údajov, vrátení a výmaze a prenesených zmluvných povinnostiach. Tá istá organizácia, ktorá vystupuje ako prevádzkovateľ pre HR a marketing, potrebuje školenie o právnom základe, oznámeniach o ochrane údajov, súhlase tam, kde je uplatniteľný, právach dotknutých osôb a uchovávaní.

Toto rozlíšenie je dôležité, pretože GDPR Article 4 rozlišuje prevádzkovateľov a sprostredkovateľov a ISO/IEC 27701:2025 očakáva, že tieto roly ochrany súkromia budú prevádzkovo pochopené.

Používajte školenie pri nástupe, ročné a spúšťané školenia

Školiaci program PIMS musí odpovedať na tri otázky načasovania: čo sa stane, keď niekto nastúpi, čo sa deje každý rok a čo sa stane, keď sa zmení riziko.

Politika školenia, povedomia a kompetencií v oblasti ochrany súkromia stanovuje základ. Bod 4.2.1 vyžaduje:

„[All] Vedúci ochrany súkromia / manažér PIMS MUSÍ prideliť základné školenie povedomia o ochrane súkromia v REG11 do 10 pracovných dní od onboardingu personálu s prístupom k PII alebo so zodpovednosťami PIMS.“

Bod 4.2.3 dopĺňa:

„[All] Vedúci ochrany súkromia / manažér PIMS MUSÍ prideliť ročné opakovacie školenie ochrany súkromia v REG11 aspoň raz za 12 mesiacov.“

Politika povedomia a školenia o informačnej bezpečnosti pre MSP posilňuje aktuálnosť a praktickosť. Bod 6.1.1 uvádza:

„Materiály musia byť praktické, primerané role a každoročne aktualizované.“

Zrelým krokom je školenie spúšťané udalosťami. Bod 6.5.1 tej istej politiky pre MSP uvádza:

„Pri zmene pracovných rolí alebo zavedení systémov môže byť potrebné cielené školenie povedomia (napr. bezpečné zdieľanie súborov, nové požiadavky na ochranu údajov a minimalizáciu údajov).“

Tu sa školenie v oblasti ochrany súkromia stáva riadeným podľa rizika. Pracovník podpory povýšený na vedúceho tímu môže získať povinnosti schvaľovania prístupov. Nové CRM môže zaviesť exporty, integrácie, polia uchovávania a dopady na žiadosti dotknutých osôb. Nový analytický nástroj môže priniesť sledovanie, profilovanie alebo dopady na súhlas. Nový mzdový dodávateľ môže zaviesť požiadavky na due diligence sprostredkovateľa a cezhraničné prenosy.

Školenie má byť spustené týmito zmenami, nie odložené až na ročné opakovacie školenie.

Podniková Politika povedomia a školenia o informačnej bezpečnosti dopĺňa jasnú lehotu na absolvovanie. Bod 6.1.3 uvádza:

„Školenie podľa rolí (napr. administrátori, vývojári, vrcholový manažment) musí byť pridelené a absolvované do 60 dní od priradenia role alebo zvýšenia systémových oprávnení.“

Pri vysoko rizikových rolách pracujúcich s PII si mnohé organizácie volia kratšie lehoty, ale princíp je rovnaký: školenie podľa rolí nasleduje zodpovednosť.

Ako REG11 uzatvára auditné zistenie

Zoberme si realistické zistenie vnútorného auditu:

„Personál zákazníckej podpory má prístup k PII zákazníkov a môže prijímať žiadosti dotknutých osôb o prístup k osobným údajom, ale neexistujú dôkazy o školení v oblasti ochrany súkromia podľa rolí pre pracovníkov podpory alebo vedúcich tímov.“

Implementačný tím Clarysec by zistenie uzavrel v piatich krokoch.

Po prvé, vedúci ochrany súkromia vytvorí v REG11 cieľovú skupinu školenia s názvom „Spracúvatelia PII v zákazníckej podpore“. Vlastníkom dôkazov je manažér prevádzky podpory. Typ školenia je „školenie v oblasti ochrany súkromia podľa rolí“. Termín absolvovania je 30 dní. Prepojené zodpovednosti zahŕňajú overovanie identity, minimalizáciu údajov v tiketoch, bezpečné prílohy, rozpoznanie DSAR a eskaláciu podozrenia na porušenie ochrany údajov.

Po druhé, vedúci ochrany súkromia namapuje obsah na požiadavky politík vrátane bodu 4.3.1 Politiky školenia, povedomia a kompetencií v oblasti ochrany súkromia a bodu 6.1.3 podnikovej Politiky povedomia a školenia o informačnej bezpečnosti.

Po tretie, školenie používa testovanie na základe scenárov:

Po štvrté, absolvovanie sa zaznamená v REG11: účastník, rola, modul, časová pečiatka absolvovania, skóre kvízu alebo scenára, potvrdenie, stav omeškania, dátum opakovacieho školenia a vlastník dôkazov.

Bod 4.4.1 Politiky školenia, povedomia a kompetencií v oblasti ochrany súkromia vyžaduje:

„[All] Vedúci ochrany súkromia / manažér PIMS MUSÍ uchovávať dôkazy o priradení školenia, absolvovaní, stave po termíne, potvrdení a opakovacom školení v REG11 pre každú požadovanú školiacu aktivitu v oblasti ochrany súkromia.“

Po piate, auditné zistenie sa uzavrie dôkazmi: exportom z REG11, školiacim materiálom, záznamami o účasti, výsledkami kvízu, aktualizáciou postupu podpory a interným eskalačným postupom.

Podstatné nie je to, že podpora dostala prezentáciu. Podstatné je, že kompetencia špecifická pre rolu bola pridelená, otestovaná, podložená dôkazmi a prepojená s povinnosťami PIMS.

Hodnota naprieč rámcami: GDPR, NIS2, DORA, NIST a COBIT

Školenie v oblasti ochrany súkromia podľa rolí nie je iba otázkou ISO/IEC 27701:2025. Je to opatrenie súladu naprieč rámcami.

GDPR poskytuje vecný obsah ochrany súkromia. Article 5(2) vyžaduje preukázateľnú zodpovednosť. Article 32 vyžaduje primerané technické a organizačné opatrenia na zaistenie bezpečnosti spracúvania. Article 39(1)(b) tiež zahŕňa zvyšovanie povedomia a školenie personálu do monitorovacej úlohy zodpovednej osoby, ak je zodpovedná osoba vymenovaná.

Podniková Politika povedomia a školenia o informačnej bezpečnosti to uznáva v bode 11.4.1:

„Article 32 – Bezpečnosť spracúvania: vyžaduje, aby bol personál zaobchádzajúci s osobnými údajmi vyškolený na rozpoznávanie, prevenciu a hlásenie rizík pre osobné údaje. Táto politika zabezpečuje, že osoby zaobchádzajúce s údajmi a všetky relevantné roly sú primerane vyškolené.“

NIS2 dopĺňa kybernetickú odolnosť. Article 20 vyžaduje, aby členovia riadiaceho orgánu základných a dôležitých subjektov absolvovali školenie kybernetickej bezpečnosti, a podporuje pravidelné školenie zamestnancov. Article 21(2)(i) zahŕňa základné postupy kybernetickej hygieny a školenie kybernetickej bezpečnosti medzi opatrenia riadenia rizík.

DORA dopĺňa špecifickosť pre finančný sektor. Article 13 vyžaduje, aby finančné subjekty udržiavali programy školenia digitálnej prevádzkovej odolnosti ako súčasť politiky ľudských zdrojov. Article 5 zároveň ukladá riadiacemu orgánu povinnosti správy a riadenia IKT rizík. Pre finančné subjekty sa DORA uplatňuje priamo od 17. januára 2025 a funguje ako odvetvovo špecifický právny akt Únie tam, kde sa prekrýva s povinnosťami NIS2 v oblasti IKT rizík a hlásenia incidentov.

NIST CSF 2.0 poskytuje organizačnú vrstvu. Funkcia GOVERN očakáva, že právne, regulačné, zmluvné povinnosti, povinnosti ochrany súkromia a občianskych slobôd budú pochopené a riadené. Funkcia PROTECT zahŕňa povedomie a školenie prostredníctvom PR.AT-01 pre povedomie personálu a PR.AT-02 pre špecializované školenie podľa rolí.

COBIT 2019 sa zameriava na správu a riadenie a spôsobilosť. APO07 podporuje riadenie ľudských zdrojov, BAI05.07 podporuje rozvoj zručností, APO13.01 podporuje riadenie bezpečnosti a DSS06.08 podporuje riadenie ochrany súkromia údajov. Z pohľadu COBIT musí byť školenie v oblasti ochrany súkromia prepojené so spôsobilosťami pracovnej sily, cieľmi správy a riadenia, preskúmaním manažmentom a nápravnými opatreniami.

Zenith Controls tieto línie prepája. Mapuje opatrenie 6.3 na očakávania GDPR v oblasti školenia a povedomia, NIS2 Article 21(2)(i), DORA Article 13, opatrenia povedomia a školenia podľa NIST SP 800-53 a ciele COBIT pre zručnosti a pracovné politiky. Mapuje opatrenie 5.2 na preukázateľnú zodpovednosť podľa GDPR a úlohy DPO, organizačné opatrenia NIS2, zodpovednosti správy a riadenia podľa DORA, priradenie rolí podľa NIST a štruktúry správy a riadenia podľa COBIT. Mapuje opatrenie 5.34 na bezpečnosť a ochranu súkromia už od návrhu podľa GDPR, bezpečnostné politiky NIS2, dôvernosť údajov podľa DORA, opatrenia ochrany súkromia NIST a riadenie ochrany súkromia podľa COBIT.

Prínos pre organizáciu je efektívnosť. Jeden riadený školiaci systém môže vytvárať dôkazy pre viacero rámcov namiesto toho, aby tímy udržiavali oddelené programy súladu.

Podporné usmernenia ISO, ktoré posilňujú program

Školenie PIMS podľa rolí je silnejšie, keď je prepojené so súvisiacimi usmerneniami ISO.

ISO/IEC 27005:2024 považuje riziká ľudského faktora vrátane phishingu, sociálneho inžinierstva a nedbanlivého správania za zdroje rizík vyžadujúce ošetrenie. Školenie je preto ošetrením rizík, nie administratívnym cvičením.

ISO/IEC 27035-1:2023 zdôrazňuje povedomie pre riadenie incidentov. Personál musí rozpoznávať a hlásiť incidenty vrátane podozrenia na zneužitie PII alebo náhodné sprístupnenie údajov. Pre ochranu súkromia je to kritické, pretože lehoty posúdenia porušenia ochrany údajov často začínajú plynúť v čase, keď sa organizácia o probléme dozvie.

ISO/IEC 27017 podporuje jasnosť rolí špecifickú pre cloud. Cloudové tímy potrebujú školenie o zdieľanej zodpovednosti, konfigurácii, riadení prístupu, zodpovednostiach pri zálohovaní, logovaní, monitorovaní a eskalácii.

ISO/IEC 27018 podporuje ochranu PII vo verejných cloudových prostrediach. Poskytovatelia cloudu a zákazníci majú školiť personál o pokynoch zákazníka, neoprávnenom použití, vrátení a výmaze PII a podpore pri porušení ochrany údajov.

ISO/IEC 29100 poskytuje zásady ochrany súkromia, ako sú súhlas, obmedzenie, transparentnosť, minimalizácia a preukázateľná zodpovednosť. Tieto zásady pomáhajú previesť právny jazyk do praktického správania.

ISO/IEC 27014 podporuje delegovanie správy a riadenia a rozhodovanie, čo je dôležité, keď vrcholový manažment, vedúci ochrany súkromia, vlastníci rizík a vlastníci systémov potrebujú odlišnú hĺbku školenia.

ISO/IEC 27036-2 podporuje zodpovednosti vo vzťahoch s dodávateľmi. Obstarávanie a vlastníci dodávateľov potrebujú školenie v oblasti ochrany súkromia, pretože zmluvy so sprostredkovateľmi, reťazce ďalších sprostredkovateľov, práva na audit a incidentné doložky ovplyvňujú aktuálne riziko.

Čo audítori skutočne testujú

Program školenia v oblasti ochrany súkromia je obhájiteľný iba vtedy, ak obstojí pri testovaní.

Audítor orientovaný na ISO začne rozsahom, rolami, kompetenciou, povedomím a záznamami. Môže vzorkovať nových zamestnancov, vývojárov, privilegovaných používateľov, HR personál, pracovníkov podpory, vlastníkov obstarávania, dodávateľov a pracovníkov riešenia incidentov.

Audítor PIMS bude testovať vecný obsah ochrany súkromia. Môže sa pýtať, či personál rozumie PII, rozpoznaniu DSAR, povinnostiam prevádzkovateľa a sprostredkovateľa, pokynom na spracúvanie, eskalácii porušenia ochrany údajov a zakázaným postupom.

Posudzovateľ orientovaný na NIST bude hľadať všeobecné povedomie, špecializované školenie podľa rolí, záznamy o školeniach a sledované medzery. Môže porovnávať aktuálny profil a cieľový profil a preskúmať plány opatrení.

Audítor COBIT vyhodnotí, či školenie podporuje ciele správy a riadenia a spôsobilosť pracovnej sily. Môže sa pýtať, či manažment preskúmava miery absolvovania, omeškané školenia, trendy phishingových simulácií, správanie pri nahlasovaní incidentov a nápravné opatrenia.

Audítor postupujúci podľa ISACA ITAF sa môže zamerať na dôkazy výkonnosti: miery absolvovania, skóre kvízov, rozhovory, výsledky simulácií, trendy incidentov a opatrenia manažmentu.

Zenith Controls zachytáva túto auditnú optiku pre opatrenie 6.3. Audítori môžu preskúmať osnovy, harmonogramy, materiály, záznamy o účasti, certifikáty o absolvovaní, rozhovory so zamestnancami, výsledky phishingových simulácií a metriky, ako sú miery absolvovania a skóre kvízov. Praktický test rozhovorom je často rozhodujúci: vedia zamestnanci vysvetliť, čo by urobili, keby dostali podozrivú správu, mali podozrenie na neoprávnený prístup k PII alebo prijali žiadosť týkajúcu sa ochrany súkromia?

Dôkazom nie je iba tabuľkový prehľad. Dôkazom je aj to, či ľudia vedia, čo majú robiť.

Bežné nesúlady pri školení PIMS

Implementácie Clarysec odhaľujú opakujúce sa medzery v školení v oblasti ochrany súkromia:

• Školenie existuje, ale je všeobecné a nie je prispôsobené rolám.
• Osoby zaobchádzajúce s PII nie sú jasne identifikované.
• Dodávatelia a tretie strany s prístupom k PII alebo systémom sú vynechaní.
• Vývojári absolvujú školenie bezpečného programovania, ale nie ochranu súkromia už od návrhu alebo obmedzenia testovacích údajov.
• Tímy podpory sú školené na kvalitu služby, ale nie na rozpoznanie DSAR alebo náhodné sprístupnenie údajov.
• HR zaobchádza s citlivými údajmi zamestnancov bez dôkazov o školení v oblasti ochrany súkromia podľa rolí.
• Obstarávanie vyjednáva dodávateľské zmluvy bez školenia o sprostredkovateľoch alebo ďalších sprostredkovateľoch.
• Pracovníci riešenia incidentov poznajú kybernetickú eskaláciu, ale nie triáž porušenia ochrany osobných údajov.
• Noví zamestnanci absolvujú bezpečnostné školenie, ale školenie v oblasti ochrany súkromia mešká.
• Zmeny rolí a nové systémy nespúšťajú cielené školenie.
• Absolvovanie sa sleduje, ale chýbajú dôkazy o stave omeškania, potvrdení a opakovacom školení.
• Manažment dostáva prehľadové panely, ale nekoná pri zistených medzerách.

Politika ochrany údajov a súkromia jasne stanovuje očakávanú manažérsku disciplínu. Bod 4.7.3 vyžaduje, aby organizácie:

„Udržiavali dohody personálu o dôvernosti a školenie povedomia o ochrane súkromia.“

Pre MSP je Politika ochrany údajov a súkromia - MSP priamočiarejšia. Bod 4.5.2 uvádza:

„Musí absolvovať školenie ochrany súkromia“

Bod 7.2.2 prepája školenie s ošetrením rizík:

„Školenie a povedomie sa musia používať ako kontroly na zníženie ľudskej chyby pri nakladaní s údajmi“

To je jadro problému. Školenie v oblasti ochrany súkromia je opatrenie navrhnuté na zníženie rizika.

Praktický implementačný kontrolný zoznam

Obhájiteľný program školenia v oblasti ochrany súkromia nemusí byť byrokratický. Potrebuje jasný prevádzkový model, kvalitné dôkazy a pravidelnú pozornosť manažmentu.

Použite tento kontrolný zoznam na vybudovanie alebo zlepšenie programu:

Zenith Blueprint podporuje tento životný cyklus prostredníctvom vedenia, rozsahu, priradenia rolí, kompetencie, komunikácie a implementácie opatrení. Vo fáze Controls in Action, krok 15, „Personálne opatrenia I“, odporúča ročné školenie, moduly špecifické pre roly, školenie nových zamestnancov pri nástupe, simulovaný phishing, bulletiny, tímové brífingy, dôkazy o účasti a rozšírenie školenia na dodávateľov alebo tretie strany s prístupom k systémom alebo údajom.

Balík politík poskytuje základ správy a riadenia. Politika špecifická pre školenie v oblasti ochrany súkromia poskytuje pracovný tok dôkazov REG11. Politiky ochrany údajov definujú zodpovednosti a očakávania povedomia. Zenith Controls poskytuje vrstvu mapovania na audit a súlad naprieč rámcami.

Spoločne tieto nástroje pomáhajú CISO, vedúcemu ochrany súkromia, DPO, manažérovi súladu alebo vlastníkovi HR vysvetliť, prečo jeden školiaci program podporuje očakávania ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST a COBIT.

Premeňte preukázateľnú zodpovednosť v oblasti ochrany súkromia na každodenné správanie

Ak sa váš program ISO/IEC 27701:2025 alebo GDPR spolieha na všeobecné ročné povedomie, začnite jednoduchým testom. Vyberte päť rolí, ktoré pracujú s PII: HR, zákaznícka podpora, vývojári, administrátori a obstarávanie.

Pri každej role sa opýtajte:

• S akými PII zaobchádzajú?
• Aké rozhodnutia v oblasti ochrany súkromia prijímajú?
• Aké chyby by mohli vytvoriť riziko GDPR alebo PIMS?
• Aké školenie absolvovali?
• Kde sú dôkazy?
• Vedeli by dnes eskalovať podozrenie na incident týkajúci sa PII?
• Bolo školenie aktualizované po zmenách systémov, incidentoch alebo auditných zisteniach?

Ak na tieto otázky neviete odpovedať zo zdokumentovaných dôkazov, školiaci program ešte nie je obhájiteľný.

Clarysec pomáha organizáciám prejsť od percent absolvovania k merateľnej kompetencii. Použite Politiku školenia, povedomia a kompetencií v oblasti ochrany súkromia, Politiku povedomia a školenia o informačnej bezpečnosti, Politiku povedomia a školenia o informačnej bezpečnosti - MSP, Politiku ochrany údajov a súkromia, Politiku ochrany údajov a súkromia - MSP, Zenith Blueprint a Zenith Controls na vybudovanie školiaceho programu PIMS pripraveného na audit, ktorý premieňa preukázateľnú zodpovednosť v oblasti ochrany súkromia na každodenné správanie.

Stiahnite si balík politík, namapujte svoje roly do REG11 a naplánujte si posúdenie Clarysec, aby ste preukázali, že vaši ľudia o ochrane súkromia nielen vedia. Sú kompetentní, zodpovední a pripravení na audit.