Направете риска конкретен
Общата забрана за „чувствителни данни“ не казва на служителите как да работят. Нужни са класификация на информацията, роли, разрешени задачи и ясно разпределение на отговорността при грешен отговор или инцидент.
Защита на всяка граница
Прегледът обхваща идентичността, документите, заявките към модела, интеграциите и административния достъп. Особено внимание изискват инструкции, скрити в документи, и опити за извличане на информация извън правата на потребителя.
- Минимални права и проверка преди извличане.
- Многофакторна автентикация за привилегирован достъп.
- Журнал на важните събития без ненужно копиране на чувствително съдържание.
Резултатът е работещ набор от контроли
Оценката завършва с карта на потоците от данни, сценарии за злоупотреба, приоритизиран план и критерии за приемане. Примерен тест: служител от един отдел не трябва да получава откъси от ограничен архив на друг отдел. Това е тестов сценарий, а не гаранция за липса на уязвимости.
Проверка при всяка съществена промяна
Нов модел, нов източник или нова интеграция променя риска. Поддържаме регресионни проверки и процедура за одобрение на промените. Техническите мерки могат да подпомогнат съответствието, но не представляват сертификация или правна оценка.
Пътят на информацията
- Идентичност
- Политики
- Разрешен контекст
- Одит
Моделът и документите работят във вашата инфраструктура. Мрежовите правила определят разрешените връзки.
Практически въпроси
Това гарантира ли съответствие с GDPR?
Не. Съответствието зависи и от целите, правното основание, договорите и организационните процеси. Те изискват отделен квалифициран преглед.
Достатъчно ли е моделът да е локален?
Не. Локалната система също може да има неправилни права, уязвимости, опасни интеграции и пропуски в наблюдението.