Scorul indică direcția, nu înlocuiește analiza.
Un răspuns „Nu” sau „Nu știu” nu înseamnă automat neconformitate. Înseamnă că organizația trebuie să clarifice responsabilitatea, riscul, controlul existent și dovada că acel control funcționează.
Remediază fundația tehnică și guvernanța.
Guvernanță și risc
Stabilește aprobarea managementului, rolurile, registrul riscurilor, criteriile de acceptare și revizuirea periodică.
Identitate și acces
Activează MFA pentru conturile critice, elimină conturile inactive, aplică least privilege și revizuiește accesul furnizorilor.
Detectare și incidente
Centralizează logurile relevante, definește severități, contacte, playbook-uri și procesul de escaladare și notificare.
Continuitate și backup
Definește RPO/RTO, păstrează backup-uri imutabile sau offline și testează restaurarea pentru serviciile prioritare.
Furnizori și Supply Chain
Documentează dependențele, accesul, cerințele contractuale, notificarea incidentelor și planul de înlocuire sau continuitate.
Testare și îmbunătățire
Planifică scanări, exerciții, audituri tehnice și urmărirea acțiunilor până la închiderea lor.
Leagă protecția datelor de operațiunile reale.
- Clarifică obligația de desemnare DPO și publică datele de contact relevante.
- Menține registrul activităților de prelucrare și proprietarii proceselor.
- Documentează temeiul legal, scopul, retenția și destinatarii datelor.
- Evaluează riscurile și realizează DPIA pentru prelucrările cu risc ridicat.
- Definește procesul pentru drepturile persoanelor vizate și măsoară termenele.
- Leagă incidentele de date personale de procesul general de răspuns la incidente.
- Revizuiește contractele cu împuterniciții și transferurile către furnizori.
- Instruiește personalul și păstrează dovezi ale instruirilor.
Ordinea recomandată a măsurilor.
| Prioritate | Când | Exemple de măsuri |
|---|---|---|
| P0 · Expunere imediată | Acum | Conturi compromise, acces remote necontrolat, backup inutilizabil, sisteme expuse sau incidente active. |
| P1 · Continuitate | 0–30 zile | MFA, inventar, segmentare inițială, backup imutabil, contacte și plan de răspuns. |
| P2 · Control documentat | 31–60 zile | Politici, RPO/RTO, evaluări de furnizori, registru GDPR și instruiri. |
| P3 · Maturizare | 61–90 zile | Exerciții, audit, monitorizare, revizuire KPI și îmbunătățire continuă. |
Plan practic pentru primele 90 de zile.
Ce trebuie să poți demonstra.
- Politici aprobate și versiuni cu istoric de revizuire.
- Inventare, registre, diagrame și proprietari desemnați.
- Rapoarte de backup și rezultate ale restaurărilor testate.
- Liste de acces, revizuiri MFA și evidențe ale accesului furnizorilor.
- Rapoarte de scanare, audit, exerciții și acțiuni corective.
- Instruiri, comunicări, incidente și decizii documentate.
Dovezile trebuie să fie actuale, ușor de găsit și legate de riscul pe care controlul îl reduce. Un document generic, neaprobat sau neaplicat nu demonstrează singur eficiența măsurii.
Vrei un plan adaptat organizației tale?
Trimite raportul și discută cu DATADEV despre priorități, dovezi și implementarea măsurilor tehnice.
Solicită o discuție tehnică