Selgitage ülesanne ja otsus
See juhend muudab dpa ülevaatuse kontroll-loendi ülevaatavaks töövooks. See ühendab domeeniotsused, omandiõiguse, tõendid ja aktsepteerimise, nii et tulemus töötab tootmises edasi.
Kasulik DPA ülevaade ühendab juriidilised klauslid tegeliku süsteemi, alamprotsessorite, kustutamisprotsessi ja abikohustustega.
Praktiline töövoog
- 1
Joonistage andmevoog kogumisest kuni töötlemise, logide, vahemälu, toe, varundamise ja kustutamiseni.
- 2
Klassifitseerige iga andmekategooria ja ühendage see eesmärgi, juriidilise rolli, asukoha, saaja ja säilitamisega.
- 3
Taotlege iga olulise nõude jaoks arhitektuuri-, lepingulisi, toimimis- ja testimistõendeid.
- 4
Hinnake riske ja registreerige vajalikud kontrollid, omanikud, aktsepteerimise tõendid ja jääkrisk.
- 5
Kinnitage ainult dokumenteeritud konfiguratsioon, seejärel jälgige alamprotsessoreid, intsidente, muudatusi ja kustutamise tõendeid.
Näide või tööriist
Kontrolliklausli tööleht määrab igale ülevaatuspunktile tõendid ja omanikud. Tööriistas registreerige ka lähteseisund, omanik, otsus, tõendid, avatud probleem ja kinnitamise kuupäev. Kasutage päris lehte või tehingut, et meeskond näeks sõltuvusi, erandeid ja väljalaskmisele järgnevat hooldustööd.
| Otsustuspunkt | Salvestus | Vastuvõtmise kriteerium |
|---|---|---|
| Lähtejoon | Täheldatud hetkeseisu | Allikas ja salvestamise kuupäev |
| Otsus | Valitud variant ja põhjendus | Arvestatud on riski ja publikuga |
| Tõendid | Testige, dokumenteerige või mõõtke | Ülevaatav ja versioonipõhine |
| Heakskiit | Nimi, roll ja kuupäev | Kõik kohustuslikud kriteeriumid on täidetud |
Määrake rollid, juhised ja ulatus
Alustuseks kirjeldage teenust operatiivselt: kes saadab sisu, millised süsteemid seda saadavad, mida teenusepakkuja tagastab ja millised meeskonnad saavad tulemusele juurde pääseda. Seejärel liigitage osapooled iga töötlemistegevuse jaoks. Tarnija võib olla kliendi teksti töötleja ja sõltumatu vastutav töötleja konto arveldamiseks, turbeteabe või seadusega nõutud dokumentide jaoks.
Lepingus tuleks dokumenteeritud juhised määratleda piisavalt laialt, et seda saaks tavapärast kasutada, kuid piisavalt täpselt, et vältida teisest kasutamist. Kate konfiguratsioon, tugi, tõrkeotsing, teenuse jälgimine, kustutamine, eksportimine ja erakordne juurdepääs. Märkige selgelt, kas kliendi sisu, viipasid või väljundeid võib kasutada mudelikoolituse, inimeste ülevaatuse, võrdlusuuringu või toote täiustamise jaoks.
Lisage praegune teenuse kirjeldus ja andmekategooria maatriks. See väldib lepingut, mis kõlab täielikuna, kuid ei vasta ostetud konfiguratsioonile. Maatriks peaks tuvastama andmesubjektid, erikategooriad, mahu, sageduse, allikasüsteemid, vastuvõtjad ja heakskiidetud tootmise eesmärgid.
Nimetage vastutav töötleja, töötleja ja kõik eraldi vastutava töötleja tegevused.
Loetlege heakskiidetud eesmärgid ja keelake ühildumatu teisene kasutamine.
Kirjeldage andmesubjekte, kategooriaid, süsteeme ja eeldatavat mahtu.
Muutke toote konfiguratsioon ja teenuse kirjeldus lepingu osaks.
Testige turvakohustusi ja alamprotsessori ahelat
Tehnilised ja organisatsioonilised meetmed peaksid olema auditeerimiseks piisavalt spetsiifilised. Otsige identiteedikontrolli, privileegide ülevaatamist, krüptimist, üürnike eraldamist, turvalist arendust, haavatavuse parandamist, varunduskaitset, taastamistesti, logimist, füüsilist turvalisust, töötajate konfidentsiaalsust ja intsidentide harjutusi. Küsige, millised meetmed on standardsed, valikulised või sõltuvad valitud plaanist.
Alamtöötleja ajakava peaks nimetama juriidilise isiku, teenuse, asukoha, töötlemise eesmärgi ja edastusmehhanismi. Nõua muudatustest etteteatamist ja toimivat vastuväidete esitamise protsessi. Üldine lõpetamisõigus on nõrk, kui organisatsioon ei saa teatamisperioodi jooksul oma andmeid eksportida või teenust asendada.
Jälgige ühte päringut kogu ahelas ja ühildage iga adressaat ajakavaga. Kaasake pilvemajutus, mudeli järeldused, sisu modereerimine, tugi, jälgitavus, meili- ja varundusteenused. Enne allkirjastamist tuleks lahendada seletamatud saajad või laiad kategooriad.
- 1
Kaardistada lepingute juhtelemendid organisatsiooni minimaalse turvastandardiga.
- 2
Taotlege dateeritud tõendeid kõrge riskiga meetmete kohta ja kontrollige tõendite ulatust.
- 3
Ühildage arhitektuuriskeem iga loetletud alamprotsessoriga.
- 4
Määrake muudatustest teatamise periood, mis võimaldab hindamist ja migreerimist.
Kujundusõigused, kustutamine ja abistamise kohustused
Abiklauslid vajavad mõõdetavat toimimistäpsust. Määrake, kuidas pakkuja aitab andmeid leida, eksportida, parandada, piirata või kustutada ja kui kiiresti see reageerib. Täpsustage, kas otsing hõlmab viipasid, väljundeid, logisid, varukoopiaid, tugipileteid ja tuletatud identifikaatoreid. Jagatud teenuse puhul veenduge, et abi ei saa paljastada teise kliendi andmeid.
Määratlege üksikute kirjete kustutamissündmused, tööruumi sulgemine, lepingu lõpetamine, aegunud varukoopiad ja tugiartefaktid. Salvestage standardsed valmimisperioodid, kontrollitõendid ja seaduslikud erandid. Kui varukoopiaid ei saa valikuliselt redigeerida, nõudke varukoopia taastamisel isoleerimist tavakasutusest, fikseeritud aegumist ja kustutamise levikut.
Teenuseosutaja peaks toetama mõjuhinnanguid, turvapäringuid, järelevalveasutuste taotlusi ja eelnevaid konsultatsioone asjakohase teabega. Leppige kokku, mis sisaldub teenustasus, mida võib eraldi küsida ja millistele kontaktidele tuleb kiireloomulisi taotlusi.
Määrake õiguste taotlustele ja vastavuspäringutele vastuse eesmärgid.
Hõlmab reaalajas süsteeme, logisid, tugisüsteeme, arhiive ja varukoopiaid.
Määratlege kustutamise tõendid ja ravi pärast varukoopia taastamist.
Kiireloomulise abi saamiseks nimetage operatiiv- ja eskalatsioonikontaktid.
Sulgege lüngad enne allkirjastamist ja reguleerige lepingut
Kasutage klausli ja tõendite jälgijat veergudega nõuete, lepingu viidete, tõendite, omaniku, lünkade, toimingu ja otsuse jaoks. See muudab pika juriidilise läbivaatamise vastutustundlikuks töövoogu. Kohustuslikud lüngad peaksid takistama tootmise kasutamist või viima andmete ulatuse selge vähenemiseni, mitte kaduma allkirjastamata riskimärkusesse.
Näiteks kui teenusepakkuja säilitab turvaloge üheksakümmend päeva, kuid organisatsioon eeldas kolmkümmend päeva, otsustage, kas logitud väljad sisaldavad kliendi sisu, kas pseudonüümiseerimine vähendab kokkupuudet ja kas pikem periood on vajalik. Salvestage järeldus töötlemisloendisse ja kasutajale suunatud säilitamisteabe.
Pärast allkirjastamist vaadake leping üle, kui teenus lisab mudeli, piirkonna, alamprotsessori, eesmärgi või olulise funktsiooni. Kooskõlastage muudatused tehnilise konfiguratsiooni ja laoseisu töötlemisega. Lepingule kuuluv omandiõigus peaks kandma nimelist rolli, mis suudab koordineerida õigus-, turva-, hanke- ja tootemeeskondi.
- 1
Enne tootmisandmete lubamist lahendage kõik kohustuslikud lüngad.
- 2
Registreerige aktsepteeritud jääkriskid koos ulatuse, juhtelementide, omaniku ja ülevaatuse kuupäevaga.
- 3
Salvestage allkirjastatud leping, ajakavad, tõendid ja konfiguratsioon koos.
- 4
Käivitage materjaliteenuste ja tarnija muudatuste ümberhindamine.
Rollid, tõendid ja heakskiit
Turvalisuse ja privaatsuse ülevaated peavad kirjeldama pigem tootmiskonfiguratsiooni kui üldist pakkujat. Salvestage täpne teenus, piirkond, funktsioonide lipud, valikuline telemeetria, tugijuurdepääs, alamprotsessorid, krüpteerimispiirid, säilitusseaded ja kliendi kohustused. Pärast materiaalse arhitektuuri, lepingu, pakkuja või eesmärgi muutumist hinnake uuesti ja hoidke otsus seotuna läbivaadatud tõenditega.
Toimingud ja hooldus
Töö avaldamisega ei lõpe. Linkige keeleversioon või konfiguratsioon selle allikaga, jälgige kvaliteedi- ja teenindusmeetmeid ning määrake konkreetsed ülevaatuse käivitajad. Käivitajad hõlmavad allikamuudatusi, juriidilisi muudatusi, uusi vaatajaskonna vajadusi, korduvaid tugiküsimusi, tehnilisi muudatusi ja vahejuhtumeid. Nimega omanik hindab päästikut, avab vajaduse korral uue versiooni ja registreerib uuendatud kinnituse.
Avaldamise kontrollnimekiri
Täielik töötlemistee on dokumenteeritud.
Vastutava töötleja ja töötleja rollid on kokku lepitud.
Asukohad ja alamprotsessorid on tõendatud.
Selgelt käsitletakse koolitust ja teisest kasutamist.
Juurdepääsu, krüptimise, logimise ja juhtumite juhtelemendid on kinnitatud.
Säilitamine ja kustutamine on määratletud andmekategooriate kaupa.
Rahvusvahelised ülekanded ja kaitsemeetmed on dokumenteeritud.
Määratakse muudatused, auditid, väljumine ja tõendite omandiõigus.