Algorytm analizy ryzyka ochrony danych osobowych
- Prawo
dane
- Kategoria
formularz
- Instrukcja
Należy rozpocząć od uzupełnienia nazwy dokumentu, np. "Algorytm analizy ryzyka dla procesu X". Następnie w treści wstępnej można dodać dodatkowe informacje lub usunąć istniejący tekst. W sekcji "Dane wejściowe" należy określić kryteria szacowania ryzyka, takie jak skala dla wagi, prawdopodobieństwa i postępowania z ryzykiem. Należy zdefiniować przedmiot analizy, czyli co dokładnie jest analizowane, np. konkretny proces biznesowy, system informatyczny lub usługa. Trzeba określić punkty odniesienia analizy, czyli charakter, zakres, kontekst i cele przetwarzania danych osobowych w analizowanym przedmiocie. Należy określić obszar wymogów objętych analizą ryzyka, uwzględniając ograniczenia i modyfikacje. Należy określić analizowane operacje na danych osobowych. Należy opisać wdrożone zabezpieczenia, zarówno techniczne, jak i organizacyjne, chroniące dane osobowe. Należy zweryfikować zgodność przetwarzania z odpowiednimi regulacjami i wytycznymi, np. RODO. W sekcji "Dane wyjściowe" należy zidentyfikować podatności, czyli luki w systemie ochrony danych osobowych. Należy zidentyfikować zagrożenia dla danych osobowych. Należy wskazać wymogi, których dotyczą zidentyfikowane podatności i zagrożenia. Należy określić ryzyka dla praw lub wolności osób, których dane dotyczą. Należy określić wagę zagrożenia, korzystając z wcześniej zdefiniowanej skali. Należy określić prawdopodobieństwo wystąpienia zagrożenia, również korzystając z ustalonej skali. Należy określić poziom ryzyka, zazwyczaj poprzez połączenie wagi i prawdopodobieństwa. Należy podjąć decyzję w odniesieniu do zidentyfikowanego ryzyka. W kolejnej sekcji "Dane wejściowe" należy uzupełnić przedmiot analizy, punkty odniesienia analizy oraz odpowiedzieć na pytania dotyczące rodzaju przetwarzania i wypełnić pola opisujące działania w przypadku odpowiedzi "tak" lub "nie". Należy określić oceniane operacje na danych oraz obszar wymogów. W sekcji "Dane wyjściowe" należy zidentyfikować podatności i wdrożone zabezpieczenia. Należy zidentyfikować zagrożenia i wskazać wymogi odnoszące się do podatności/zagrożeń. Należy opisać ryzyko naruszenia praw lub wolności. Należy określić wagę, prawdopodobieństwo i poziom ryzyka. Należy uwzględnić czynniki dodatkowe w decyzji i określić, czy zidentyfikowano wysokie ryzyko. W zależności od odpowiedzi na pytanie o wysokie ryzyko, należy podjąć decyzję i opisać ją, wybierając odpowiednie opcje lub działania. Na końcu należy określić kolejne kroki.
- Dane
analizowane operacje na danych, czynniki dodatkowe w decyzji, decyzja w odniesieniu do zidentyfikowanego ryzyka, działanie a, działanie b, działanie d, działanie w przypadku "nie", działanie w przypadku "tak", element systemu, kolejne kroki, kryteria szacowania ryzyka, mechanizm, nazwa dokumentu, obszar wymogów objętych analizą ryzyka, opcja 1, opcja 2, opcja 3, operacja 1, operacja 2, operacja 3, opis rodzaju przetwarzania a, opis rodzaju przetwarzania b, opis rodzaju przetwarzania c, opis ryzyka, opis zabezpieczeń, podatności, poziom ryzyka, prawdopodobieństwo zagrożenia, przedmiot analizy, punkty odniesienia analizy, regulacja/wytyczne, rodzaj aktywności, rodzaj zagrożenia, ryzyko dla praw lub wolności, treść wstępna, waga zagrożenia, wartość/poziom, wdrożone zabezpieczenia, wymogi odnoszące się do podatności/zagrożeń, wymóg 1, wymóg 2, zagrożenia
Algorytm analizy ryzyka ochrony danych osobowych to kompleksowe narzędzie służące identyfikacji zagrożeń i podatności w przetwarzaniu danych osobowych. Dokument zawiera opis kryteriów szacowania ryzyka, obszarów analizy, operacji na danych oraz wdrożonych zabezpieczeń. Weryfikuje także zgodność przetwarzania z obowiązującymi regulacjami. Zbudowany jest w oparciu o dane wejściowe i wyjściowe związane z identyfikacją ryzyka i podejmowaniem decyzji w jego kwestii.
[NAZWA DOKUMENTU]
[TREŚĆ WSTĘPNA, NP. "Przykładowy algorytm analizy ryzyka. Uwaga: poniższy algorytm jest wyłącznie przykładem."]
Dane wejściowe:
▪ Określenie kryteriów szacowania ryzyka (waga / prawdopodobieństwo / postępowanie z ryzykiem);
▪ Określenie przedmiotu analizy (proces biznesowy, system informatyczny, usługa, itp.);
▪ Określenie punktów odniesienia analizy (charakter, zakres, kontekst i cele przetwarzania);
▪ Określenie obszaru wymogów objętych analizą ryzyka (z uwzględnieniem ograniczeń i modyfikacji);
▪ Określenie analizowanych operacji na danych [DANE];
▪ Określenie wdrożonych zabezpieczeń (środki techniczne i organizacyjne);
▪ Weryfikacja zgodności przetwarzania z [REGULACJE/WYTYCZNE].
Dane wyjściowe:
▪ Identyfikacja podatności (luk w systemie ochrony danych [DANE]);
▪ Identyfikacja zagrożeń;
▪ Wskazanie wymogów, których dotyczą podatności/zagrożenia;
▪ Określenie ryzyk dla praw lub wolności;
▪ Określenie wagi zagrożenia;
▪ Określenie prawdopodobieństwa zagrożenia;
▪ Określenie poziomu ryzyka;
▪ Podjęcie decyzji w odniesieniu do zidentyfikowanego ryzyka.
[OPCJONALNY NAGŁÓWEK, NP. "Przykładowa analiza ryzyka"]
Dane wejściowe:
Przedmiot analizy: (np. [RODZAJ AKTYWNOŚCI], system informatyczny, proces biznesowy)
Punkty odniesienia analizy: (charakter, zakres, kontekst i cele przetwarzania)
Czy oceniany rodzaj przetwarzania polega na:
a) [OPIS RODZAJU PRZETWARZANIA A];
b) [OPIS RODZAJU PRZETWARZANIA B];
c) [OPIS RODZAJU PRZETWARZANIA C];
- Jeżeli tak => [DZIAŁANIE W PRZYPADKU "TAK"]
- Jeżeli nie => [DZIAŁANIE W PRZYPADKU "NIE"]
Oceniane operacje na danych [DANE]: (np. [OPERACJA 1], [OPERACJA 2], [OPERACJA 3])
Obszar wymogów: (np. bezpieczeństwo danych [DANE], minimalizacja danych, prawidłowość danych)
Dane wyjściowe:
Zidentyfikowane podatności: (np. brak [ELEMENT SYSTEMU], brak [MECHANIZM])
Wdrożone zabezpieczenia: [OPIS ZABEZPIECZEŃ]
Zidentyfikowane zagrożenia: (np. możliwość [RODZAJ ZAGROŻENIA])
Wymogi odnoszące się do podatności/zagrożeń: (np. [WYMÓG 1], [WYMÓG 2])
Ryzyko (naruszenia praw lub wolności): [OPIS RYZYKA]
Waga zagrożeń: [WARTOŚĆ/POZIOM]
Prawdopodobieństwo wystąpienia zagrożenia: [WARTOŚĆ/POZIOM]
Poziom ryzyka: [WARTOŚĆ/POZIOM]
Czynniki dodatkowe w decyzji: [NP. KOSZT WDRAŻANIA, STAN WIEDZY]
Czy zidentyfikowano wysokie ryzyko: [TAK/NIE]
Jeżeli nie => Decyzja:
=> [OPCJA 1, NP. Unikanie ryzyka];
=> [OPCJA 2, NP. Akceptacja ryzyka];
=> [OPCJA 3, NP. Redukcja ryzyka];
Jeżeli tak => Decyzja o unikaniu albo:
a) [DZIAŁANIE A];
b) [DZIAŁANIE B];
d) [DZIAŁANIE D];
Następnie: [KOLEJNE KROKI]
Dokument 'Algorytm analizy ryzyka ochrony danych osobowych' umożliwia kompleksową analizę zagrożeń i podatności w procesie przetwarzania danych osobowych. Poprzez identyfikację ryzyka, wskazanie wymogów oraz określenie poziomu ryzyka, wspiera podejmowanie decyzji dotyczących zapobiegania lub redukcji zagrożeń. Dzięki temu dokumentowi możliwe jest efektywne zarządzanie ryzykiem ochrony danych osobowych.