ممیزی چیست؟
ممیزی حفاظت داده یعنی ارزیابی انطباق فعالیت‌های پردازش داده شخصی سازمان با مقررات جاری حفاظت داده (GDPR، قوانین ملی و مانند آن). تفاوت آن با ممیزی امنیت سایبری این است که تمرکز بیشتر بر «پردازش قانونی» است تا حفاظت خود داده.
چرا انجام می‌شود؟
هدف، شناسایی عدم انطباق‌هایی است که جریمه اداری و ریسک اعتباری پدید می‌آورند و نیز تأیید حفاظت از حقوق صاحبان داده.
چه کسی درخواست می‌کند؟
- سازمان‌هایی با پردازش گسترده داده‌های شخصی
- شرکت‌های فعال در اتحادیه اروپا یا ارائه‌دهنده خدمات به آن تحت GDPR
- شرکت‌های فناوری که به‌عنوان پردازشگر داده خدمات ارائه می‌دهند
- تأمین‌کنندگانی که مشتریانشان تضمین حفاظت از داده می‌خواهند
- سازمان‌هایی که ISO/IEC 27701 را استقرار می‌دهند
معیارهای ممیزی
معیار، قانون حفاظت از داده قابل‌اجرا (KVKK، GDPR) به‌همراه استاندارد سیستم مدیریت حریم خصوصی مانند ISO/IEC 27701 (در صورت وجود) است. مقررات بخشی و شرایط پردازش داده در قراردادهای مشتری نیز به آن افزوده می‌شود.
دامنه ممیزی
- موجودی داده های شخصی و سابقه فعالیت های پردازشی
- مبنای قانونی فعالیت‌های پردازش
- متن‌های اطلاع‌رسانی و مدیریت رضایت آگاهانه
- فرآیندهای اعمال حقوق صاحب داده و زمان‌های پاسخ‌گویی
- کمینه‌سازی داده و مدت نگهداری
- خط‌مشی امحا و سوابق واقعی امحا
- قراردادهای پردازش داده و مدیریت پردازشگر فرعی
- انتقال برون‌مرزی داده و مبانی قانونی آن
- پردازش‌هایی که نیازمند ارزیابی اثر حفاظت از داده (DPIA) هستند
- کفایت تدابیر فنی و اداری
- فرآیندهای تشخیص، اطلاع‌رسانی و ثبت نقض داده
- آگاهی کارکنان و تعهدات محرمانگی
- انتصاب فرد رابط یا مسئول حفاظت از داده
استانداردهای مرتبط
- ISO/IEC 27701
- ISO/IEC 27001
- ISO/IEC 29134
- ISO 19011
فرآیند ممیزی
- 1انتخاب معیار قابل اعمالاستاندارد، طرح یا مقرراتی که ممیزی بر پایه آن انجام می‌شود تعیین می‌گردد؛ در ممیزی‌های موضوعی، انتخاب معیار مستقیماً معنای نتیجه را تعیین می‌کند.
- 2ارزیابی ریسک و دامنهحوزه‌های ریسک بر پایه فعالیت و موقعیت جغرافیایی سازمان تعیین و تعداد روزهای ممیزی متناسب با آن برنامه‌ریزی می‌شود.
- 3بررسی مدارک و سوابقخط‌مشی‌ها، روش‌های اجرایی، مجوزها، سوابق اندازه‌گیری و نتایج ممیزی‌های پیشین بررسی می‌شود.
- 4ممیزی در محلحوزه‌های مرتبط بازدید و اندازه‌گیری، مشاهده و کنترل سوابق ویژه موضوع انجام می‌شود.
- 5مصاحبه با کارکناناگر موضوع اقتضا کند، مصاحبه‌های محرمانه و مستقل از مدیریت با کارکنان انجام و اظهارات با سوابق مقایسه می‌شود.
- 6ارزیابی انطباق قانونیانطباق با مقررات جاری جداگانه کنترل می‌شود؛ عدم انطباق قانونی در هر طرحی شدیدترین رده یافته است.
- 7گزارش یافته‌هایافته‌ها بر پایه درجه اهمیت طبقه‌بندی و در قالب گزارش تنظیم می‌شود.
- 8اقدام اصلاحی و پیگیریبرنامه اقدام اصلاحی دریافت و رفع آن در مهلت مقرر طرح پیگیری می‌شود.
یافته‌ها
شدیدترین یافته‌ها عبارت‌اند از پردازش بدون مبنای قانونی، عدم امحای داده منقضی و نبود فرآیند اطلاع‌رسانی نقض. این موارد ریسک مستقیم تحریم اداری دارند.
گزارش ممیزی
- اطلاعات نهاد ممیزی، ممیز و طرف ممیزی‌شونده
- استاندارد، طرح یا مقررات اعمال‌شده
- تاریخ، مدت و دامنه ممیزی
- یافته‌های بررسی مدارک و سوابق
- مشاهدات میدانی و نتایج اندازه‌گیری
- یافته‌های مصاحبه با کارکنان (در صورت انجام)
- ارزیابی انطباق قانونی
- یافته‌ها، درجه اهمیت و شواهد
- برنامه اقدام اصلاحی و مهلت‌ها
محدودیت خروجی
ممیزی حفاظت از داده یک ارزیابی فنی و رویه‌ای است؛ نه یک نظر حقوقی. تفسیر قانون و ارزیابی الزام‌آور درباره قانونی بودن یک پردازش بر عهده مرجع نظارتی ذی‌صلاح است. گزارش ممیزی نه گواهی انطباق است و نه سندی که در برابر مرجع، حفاظت ایجاد کند.
تأیید صلاحیت
تأیید صلاحیت بسته به نوع ممیزی متفاوت است. ممیزی‌های طرف سوم که مبنای صدور گواهی سیستم مدیریت‌اند بر پایه ISO/IEC 17021-1 و آن‌ها که مبنای گواهی محصول‌اند بر پایه ISO/IEC 17065 انجام می‌شوند و این دامنه‌ها مشمول تأیید صلاحیت‌اند. ممیزی‌های طرف اول و دوم و ممیزی‌های تابع قواعد صاحب طرح (مانند SMETA و amfori BSCI) در دامنه گواهی تأییدصلاحیت‌شده نیستند؛ این‌ها بر پایه راهنمای ISO 19011 اجرا و گزارش تولید می‌کنند. EUROLAB دارای تأیید صلاحیت بین‌المللی در دامنه ISO/IEC 17021-1 و ISO/IEC 17065 از نهادهای عضو توافق‌نامه IAF است؛ اینکه کدام ممیزی در دامنه تأییدصلاحیت‌شده ارائه می‌شود در مرحله پیشنهاد قیمت کتباً تأیید می‌گردد.
دامنه و اختیاراتممیزیهای مرتبط
پرسش‌های متداول
آیا موفقیت در ممیزی، انطباق من با KVKK را ثابت می‌کند؟
خیر. انطباق تابع ارزیابی مرجع ذی‌صلاح است. ممیزی، اطمینان درونی می‌دهد که فرآیندهای لازم برای انطباق برقرار و عملیاتی هستند؛ و می‌تواند در یک بازرسی احتمالی نشانه‌ای از حسن نیت و مراقبت تلقی شود.
اگر گواهی ISO/IEC 27001 دارم، آیا به ممیزی حفاظت از داده نیاز دارم؟
شاید نیاز باشد. استاندارد ISO/IEC 27001 بر امنیت اطلاعات تمرکز دارد و بررسی نمی‌کند که آیا داده به‌صورت قانونی پردازش می‌شود یا خیر. اطلاع‌رسانی، رضایت آگاهانه، مدت نگهداری و حقوق صاحب داده در محدوده 27001 نیستند. برای جنبه حریم خصوصی، ISO/IEC 27701 چارچوبی مستقیم‌تر است.
آیا در نتیجه این ممیزی گواهی دریافت می‌کنم؟
به چارچوبی که ممیزی در آن انجام می‌شود بستگی دارد. اگر تحت یک طرح صدور گواهی معتمد انجام شود، می‌تواند به گواهی منجر شود؛ خروجی ممیزی انجام‌شده به درخواست مشتری یا برای ارزیابی داخلی، گزارش است.
آیا انطباق قانونی نیز بررسی می‌شود؟
بله، و در هر ممیزی موضوعی، عدم انطباق قانونی شدیدترین رده یافته است. مهم نیست سیستم مدیریت چقدر خوب استقرار یافته باشد؛ در صورت شناسایی نقض مقررات جاری، این موضوع با بالاترین اولویت گزارش می‌شود.