Главная мысль
Определите, какие данные и устройства подпадают под требования, назначьте ответственных за защитные меры, документируйте исключения и подтверждайте работу мер выборочными проверками.
Переведите требования в меры для устройств
Чтобы подтвердить выполнение требований к защите данных, нужно проверить настройки устройств, правила их использования и фактическую работу защитных мер. Определите устройства с доступом к персональным и финансовым данным. Уточните применимость требований с учётом отрасли, договоров, обработки данных и роли организации; назначьте ответственных за меры защиты и определите, какими результатами проверок подтверждать их работу.
PCI DSS: среда карточных данных
Определите область применения PCI DSS с учётом хранения, обработки и передачи карточных данных, а также систем, влияющих на безопасность этой среды. Обеспечивайте безопасные настройки и защиту сети и данных, управление уязвимостями, ограничение доступа, мониторинг и тестирование; оформите письменную политику безопасности. Отдельно отмечайте платёжные устройства в реестре.
HIPAA: электронные медицинские данные
HIPAA — законодательство США; его Правило безопасности относится к электронной защищённой медицинской информации (ePHI), которую обрабатывают организации, подпадающие под HIPAA, и их деловые партнёры (business associates). На основе оценки риска определите правила использования рабочих станций, меры защиты устройств и носителей, механизмы аудита, обеспечения целостности, аутентификации и защиты передачи данных. Определите устройства и пользователей с доступом к медицинским записям; технические меры дополняют административные и физические.
GDPR: безопасность обработки
GDPR охватывает деятельность учреждения в ЕС и определённые случаи предложения услуг или товаров людям в ЕС либо наблюдения за ними. Выбирайте технические и организационные меры с учётом риска: ограничение доступа, шифрование, восстановление и проверку эффективности. Определите, кто оценивает связанное с устройством нарушение безопасности персональных данных и передаёт сведения о нём ответственным за реагирование по применимой процедуре.
Базовые требования к устройствам
Учитывайте ОС и приложения, статус поддержки, обновления, межсетевой экран, защитный агент, шифрование и привилегии. Предоставляйте доступ удалённым и личным устройствам с учётом выполнения базовых требований. Сопоставляйте защитные меры с требованиями и проверяйте их работу, в том числе на устройствах, которые не охватывает агент.
Результаты проверок, исключения и пересмотр
Отчёт должен показывать, какие устройства и требования проверены, какие недостатки выявлены и какие задачи ещё не выполнены. Для каждой проблемы укажите подтверждающие материалы и ответственного, чтобы руководство могло принять решение.
Подтвердите выполнение требования
Для требования, защитной меры и актива укажите подтверждающий материал с датой: результат сканирования, запись о доступе или изменении либо задачу по расследованию.
Оформите исключение
Зафиксируйте причину исключения, оставшийся риск, компенсирующую меру, лицо с полномочиями согласовать исключение и дату пересмотра.
Пересмотрите результат
После изменения данных, договоров или рабочих практик повторно определите, какие устройства и требования нужно проверять, и подтвердите устранение выявленных недостатков.
Практические последствия несоответствия
Невыполненное требование может затронуть платёжный договор, непрерывность сервиса, субъектов данных и клиентов. Последствия зависят от применимых требований и обстоятельств события. Сообщайте руководству о невыполненных защитных мерах, возможных последствиях и решении об исправлении; при необходимости подключайте профильного специалиста.