Контролен списък за преглед на DPA

Изяснете задачата и решението

Това ръководство превръща контролния списък за преглед на dpa в работен процес, който може да бъде прегледан. Той свързва решения за домейн, собственост, доказателства и приемане, така че резултатът да продължи да работи в производството.

Полезен преглед на DPA свързва правните клаузи с действителната система, подпроцесорите, процеса на изтриване и задълженията за помощ.

Практически процес

1
Начертайте потока от данни от събиране през обработка, регистрационни файлове, кеш, поддръжка, архивиране и изтриване.
2
Класифицирайте всяка категория данни и я свържете с цел, правна роля, местоположение, получател и задържане.
3
Изисквайте архитектурни, договорни, оперативни и тестови доказателства за всеки съществен иск.
4
Оценка на риска и записване на необходимите контроли, собственици, доказателства за приемане и остатъчен риск.
5
Одобрете само документираната конфигурация, след което наблюдавайте подпроцесори, инциденти, промени и доказателства за изтриване.

Пример или инструмент

Работен лист за клауза за контрол присвоява доказателства и собственици на всяка точка за преглед. В инструмента запишете също базовата линия, собственика, решението, доказателствата, отворения проблем и датата на одобрение. Използвайте реална страница или транзакция, така че екипът да види зависимости, изключения и работата по поддръжката, която следва освобождаването.

Точка на решение	Записвайте	Критерий за приемане
Базово ниво	Наблюдавано текущо състояние	Източник и дата на запис
Решение	Избран вариант и обосновка	Обмислени риск и аудитория
Доказателство	Тествайте, документирайте или измервайте	Възможност за преглед и специфична за версията
Одобрение	Име, роля и дата	Спазени всички задължителни критерии

Установете роли, инструкции и обхват

Започнете с описание на услугата в оперативни термини: кой изпраща съдържание, кои системи го изпращат, какво връща доставчикът и кои екипи имат достъп до резултата. След това класифицирайте страните за всяка дейност по обработка. Доставчикът може да бъде процесор за клиентски текст и независим контролер за фактуриране на акаунти, разузнаване за сигурност или законово изисквани записи.

Споразумението трябва да дефинира достатъчно широко документирани инструкции за обикновена работа, но достатъчно строго, за да предотврати вторична употреба. Конфигуриране на покритие, поддръжка, отстраняване на неизправности, наблюдение на услугата, изтриване, експортиране и изключителен достъп. Посочете изрично дали клиентското съдържание, подканите или резултатите могат да се използват за обучение на модели, човешки преглед, сравнителен анализ или подобряване на продукта.

Прикачете текущо описание на услугата и матрица за категория данни. Това избягва договор, който звучи завършен, но не съответства на закупената конфигурация. Матрицата трябва да идентифицира субектите на данни, специалните категории, обема, честотата, изходните системи, получателите и одобрените производствени цели.

Именувайте контролера, процесора и всички дейности на отделен контролер.
Избройте одобрените цели и забранете несъвместимата вторична употреба.
Опишете субектите на данни, категориите, системите и очаквания обем.
Направете конфигурацията на продукта и описанието на услугата част от споразумението.

Тествайте ангажиментите за сигурност и веригата на подпроцесора

Техническите и организационни мерки трябва да бъдат достатъчно специфични за одит. Потърсете контроли за самоличност, преглед на привилегии, криптиране, разделяне на наематели, сигурно развитие, отстраняване на уязвимости, защита на архивиране, тестове за възстановяване, регистриране, физическа сигурност, поверителност на персонала и упражнения при инциденти. Попитайте кои мерки са стандартни, незадължителни или зависят от избрания план.

Графикът на подпроцесора трябва да посочи юридическото лице, услугата, местоположението, целта на обработката и механизма за прехвърляне. Изисквайте предварително известие за промени и работещ процес на възражение. Общото право за прекратяване е слабо, ако организацията не може да експортира своите данни или да замени услугата в рамките на периода на уведомяване.

Проследете една заявка през цялата верига и съгласувайте всеки получател с графика. Включете облачен хостинг, извод за модел, модериране на съдържание, поддръжка, наблюдение, имейл и услуги за архивиране. Необяснените получатели или широки категории трябва да бъдат разрешени преди подписване.

1
Съпоставете договорните контроли с минималния стандарт за сигурност на организацията.
2
Поискайте датирани доказателства за високорискови мерки и тествайте обхвата на доказателствата.
3
Съгласувайте диаграмата на архитектурата с всеки изброен подпроцесор.
4
Задайте период за уведомяване за промяна, който позволява оценка и миграция.

Права за проектиране, изтриване и задължения за помощ

Клаузите за помощ изискват измерими оперативни подробности. Определете как доставчикът помага за намиране, експортиране, коригиране, ограничаване или изтриване на данни и колко бързо реагира. Изяснете дали търсенето обхваща подкани, изходи, регистрационни файлове, резервни копия, билети за поддръжка и извлечени идентификатори. За споделена услуга потвърдете, че помощта не може да разкрие данните на друг клиент.

Дефинирайте събития за изтриване за отделни записи, затваряне на работно пространство, прекратяване на договор, изтекли резервни копия и артефакти за поддръжка. Записвайте стандартни периоди на изпълнение, доказателства за проверка и законови изключения. Ако архивите не могат да бъдат редактирани избирателно, изисквайте изолиране от нормална употреба, фиксирано изтичане и разпространение на изтриване, когато архивът бъде възстановен.

Доставчикът трябва да поддържа оценки на въздействието, запитвания за сигурност, искания от надзорни органи и предварителни консултации със съответната информация. Съгласете се какво е включено в таксата за услугата, какво може да бъде таксувано отделно и кои контакти получават спешни заявки.

Задайте цели за отговор за заявки за права и запитвания за съответствие.
Покрийте живи системи, регистрационни файлове, системи за поддръжка, архиви и архивиране.
Дефинирайте доказателства за изтриване и лечение след възстановяване на резервно копие.
Посочете оперативни и ескалационни контакти за спешна помощ.

Отстранете пропуските преди подписване и управлявайте споразумението

Използвайте инструмент за проследяване на клаузи и доказателства с колони за изискване, препратка към договор, доказателства, собственик, пропуск, действие и решение. Това превръща дългия правен преглед в отговорен работен процес. Задължителните пропуски трябва да блокират производствената употреба или да доведат до изрично намаляване на обхвата на данните, а не да изчезнат в неподписана бележка за риска.

Например, ако доставчикът съхранява регистрационни файлове за сигурност в продължение на деветдесет дни, но организацията очаква тридесет, решете дали регистрираните полета съдържат потребителско съдържание, дали псевдонимизацията намалява излагането и дали е необходим по-дълъг период. Запишете заключението в инвентара за обработка и информацията за задържане, обърната към потребителя.

След подписване прегледайте споразумението, когато услугата добави модел, регион, подпроцесор, предназначение или характеристика на материала. Съгласувайте промените с техническата конфигурация и инвентара за обработка. Притежаването на договора трябва да има определена роля, която може да координира екипите по правни въпроси, сигурност, обществени поръчки и продукти.

1
Разрешете всяка задължителна празнина, преди да активирате производствените данни.
2
Запишете приетите остатъчни рискове с обхват, контроли, собственик и дата на преглед.
3
Съхранявайте заедно подписаното споразумение, графици, доказателства и конфигурация.
4
Задействайте преоценка за материални услуги и промени в доставчика.

Роли, доказателства и одобрение

Прегледите за сигурност и поверителност трябва да описват производствената конфигурация, а не общ доставчик. Запишете точната услуга, регион, флагове на функции, опционална телеметрия, достъп до поддръжка, подпроцесори, граници на криптиране, настройки за задържане и отговорности на клиента. Преоценете след промени в архитектурата на материала, договора, доставчика или целта и поддържайте решението свързано с прегледаните доказателства.

Експлоатация и поддръжка

Работата не приключва с публикуването. Свържете езиковата версия или конфигурация с нейния източник, наблюдавайте мерките за качество и обслужване и дефинирайте конкретни тригери за преглед. Задействанията включват промени в източника, правни промени, нови нужди на аудиторията, повтарящи се въпроси за поддръжка, технически промени и инциденти. Посочен собственик оценява тригера, отваря нова ревизия, когато е необходимо, и записва подновено одобрение.

Контролен списък за публикуване

Пълният път на обработка е документиран.
Ролите на администратор и процесор са договорени.
Доказани са местоположенията и подпроцесорите.
Обучението и вторичната употреба са изрично адресирани.
Контролите за достъп, криптиране, регистриране и инциденти се проверяват.
Запазването и изтриването се определят за категория данни.
Международните трансфери и предпазни мерки са документирани.
Присвояват се промени, одити, изход и собственост на доказателства.

Контролен списък за преглед на DPA.