【企业安全架构】企业架构师可以采取的8个步骤来处理GDPR

Chinese, Simplified

在我之前的博客文章中，我描述了将于2018年5月生效的新的欧盟通用数据保护法规（GDPR），并概述了其对组织的深远影响，不仅在欧洲，而且在全球范围内。该法规以及相关的欧盟指令（如ePrivacy Directive和网络与信息系统安全（NIS）指令）迫使组织重新考虑如何处理个人隐私敏感数据。在本博客中，我想解决您作为架构师可以采取的步骤，以帮助您的组织遵守这些法规。



为什么架构是关键



为了确保您的组织符合要求，您需要广泛了解个人数据的使用方式，收集方式，处理方式，访问权限，存储位置，涉及的第三方，内部和外部威胁等等。企业架构师对其组织具有独特的广泛和集成的视图，并拥有可用于评估，改进和确保数据保护的模型和工具。

此外，GDPR不仅要求合规性，还要求您证明合规性。架构和架构模型是此信息的主要来源，特别是当您需要与个人数据相关的所有内容的连贯和连接视图时。

查看我们录制的网络研讨会“不要让GDPR成为一个松散的大炮”，并了解企业架构师如何在风险和安全分析中利用架构模型以及Enterprise Studio如何为您提供帮助。

采取的步骤

 

1.在大多数组织中，企业架构师对确保合规性没有最终责任。

 

您的责任可能在于您的法律部门，首席风险官，首席合规官，首席信息安全官或GDPR新要求的数据保护官。与这些官员合作并让他们意识到建筑的潜在贡献是第一步。

2.确保合规性的任何工作都依赖于对所涉及的个人数据的良好概述。

 

创建“隐私库存”至关重要：

  1. 。根据GDPR确定所有被视为“个人”的数据。
  2. 根据其隐私敏感度对此数据进行分类。将此作为常规安全流程的一部分，您可以在其中为数据分配其他信息安全属性，例如熟悉的“CIA”（机密性，完整性，可用性）。
  3. 描述收集这些数据的目的，并确保您拥有（或获得）数据主体的同意以这种方式使用它。
  4. 特别注意特殊类别的个人数据，例如与健康，生物识别，政治，宗教，种族或工会会员有关的数据。除非有特殊情况，否则GDPR明确禁止使用该数据。

Figure 1. Data classification example, colors based on privacy-sensitivity

  • 3.分析个人数据的使用，如果可能，利用您现有的架构模型为您的分析提供支柱：

  1.  从高风险区域和最敏感的数据类型开始。 它在哪里存储和使用？
  2. 模型数据流：哪些应用程序，进程，人员和各方在哪些位置使用此数据？

Figure 2. Application landscape with colors based on privacy classification of data used

  • 4.评估敏感数据的风险，特别是有关数据主体的权利和自由的风险：

  1.  在您的业务和IT环境中，您是否看到了漏洞？
  2. 可以利用这些漏洞的常见威胁是什么？
  3. 有什么潜在的后果？

您可以使用BiZZdesign Enterprise Studio的企业风险和安全管理功能进行风险的高级分析，该分析基于The Open Group的ArchiMate和Open FAIR标准。 下面的热图是这个可以创建的输出类型的一个例子。 BiZZdesign为客户提供包含常见信息安全和业务连续性威胁的预先填充内容，以及ISO / IEC 27001标准规定的控制。 这为您提供了一个有用的起点，因此您无需重新发明轮子。

Figure 3. Risk assessment heatmaps

5.定义控制措施和缓解措施。

 

使用ISO / IEC 27001等通用标准作为识别有用控制的基础。重要的是，您希望尽早在设计或更改轨迹中执行此操作，以促进数据保护设计方法（GDPR明确提及！）并避免在后期采取措施，所有相关的返工，成本和风险。

 

6.确定风险优先级，分配预算并规划必要的变更和改进：

  • 评估针对风险的措施成本（预期损失），以将预算集中在真正重要的位置。
  • 将此决策与您的整体投资组合管理和路线图集成在一起。例如，您可以避免在修复即将淘汰的应用程序上花费太多，并且可以将与安全相关的改进与其他更改相结合。

Enterprise Studio的项目组合管理功能在此阶段非常有用。清晰的仪表板有助于管理层决定优先级和投资，考虑所有角度，并允许您过滤并专注于基本要素（见下文）。

Figure 4. Application portfolio lifecycle chart, filtered for high-risk, high-cost applications

7.实施

 

实施您在组织，流程和系统中定义的控制和措施，并测试其安全性。这当然是最重要的！

 

8.证明

证明符合监管机构的要求，说明您如何处理个人数据，如何处理风险以及您实施的缓解措施。

 

当然，这不是一次性的方法;您应该定期重新审视上述步骤，以确保您保持合规并将其嵌入您的治理框架中。当您执行数据保护影响评估（DPIA）时，这些步骤也特别相关，这是GDPR对任何使用个人数据的新系统的实施所要求的。

BiZZdesign解决方案可帮助您利用现有架构和产品组合模型和数据，为您提供快速启动，以提高数据安全性并确保合规性。我们的集成方法可帮助您在重要的环境中投资安全性，并避免违规或更严重的数据泄露的处罚和声誉风险。 2018年5月比您想象的更近，可能需要做很多工作，所以不要犹豫，立即开始吧！

 

原文： https://bizzdesign.com/blog/8-steps-enterprise-architects-can-take-to-deal-with-gdpr/

本文:http://pub.intelligentx.net/enterprise-security-architecture-8-steps-enterprise-architects-can-take-deal-gdpr

讨论:加入知识星球【首席架构师圈】

  • 49 次浏览
SEO Title
【enterprise security architecture】8 Steps Enterprise Architects Can Take to Deal with GDPR