语言 Chinese, Simplified

SEO Title

【enterprise security architecture】8 Steps Enterprise Architects Can Take to Deal with GDPR

在我之前的博客文章中，我描述了将于2018年5月生效的新的欧盟通用数据保护法规（GDPR），并概述了其对组织的深远影响，不仅在欧洲，而且在全球范围内。该法规以及相关的欧盟指令（如ePrivacy Directive和网络与信息系统安全（NIS）指令）迫使组织重新考虑如何处理个人隐私敏感数据。在本博客中，我想解决您作为架构师可以采取的步骤，以帮助您的组织遵守这些法规。

为什么架构是关键

为了确保您的组织符合要求，您需要广泛了解个人数据的使用方式，收集方式，处理方式，访问权限，存储位置，涉及的第三方，内部和外部威胁等等。企业架构师对其组织具有独特的广泛和集成的视图，并拥有可用于评估，改进和确保数据保护的模型和工具。

此外，GDPR不仅要求合规性，还要求您证明合规性。架构和架构模型是此信息的主要来源，特别是当您需要与个人数据相关的所有内容的连贯和连接视图时。

查看我们录制的网络研讨会“不要让GDPR成为一个松散的大炮”，并了解企业架构师如何在风险和安全分析中利用架构模型以及Enterprise Studio如何为您提供帮助。

采取的步骤

1.在大多数组织中，企业架构师对确保合规性没有最终责任。

您的责任可能在于您的法律部门，首席风险官，首席合规官，首席信息安全官或GDPR新要求的数据保护官。与这些官员合作并让他们意识到建筑的潜在贡献是第一步。

2.确保合规性的任何工作都依赖于对所涉及的个人数据的良好概述。

创建“隐私库存”至关重要：

。根据GDPR确定所有被视为“个人”的数据。
根据其隐私敏感度对此数据进行分类。将此作为常规安全流程的一部分，您可以在其中为数据分配其他信息安全属性，例如熟悉的“CIA”（机密性，完整性，可用性）。
描述收集这些数据的目的，并确保您拥有（或获得）数据主体的同意以这种方式使用它。
特别注意特殊类别的个人数据，例如与健康，生物识别，政治，宗教，种族或工会会员有关的数据。除非有特殊情况，否则GDPR明确禁止使用该数据。

Figure 1.Â Data classification example, colors based on privacy-sensitivity

3.分析个人数据的使用，如果可能，利用您现有的架构模型为您的分析提供支柱：

从高风险区域和最敏感的数据类型开始。它在哪里存储和使用？
模型数据流：哪些应用程序，进程，人员和各方在哪些位置使用此数据？

Figure 2. Application landscape with colors based on privacy classification of data used

4.评估敏感数据的风险，特别是有关数据主体的权利和自由的风险：

在您的业务和IT环境中，您是否看到了漏洞？
可以利用这些漏洞的常见威胁是什么？
有什么潜在的后果？

您可以使用BiZZdesign Enterprise Studio的企业风险和安全管理功能进行风险的高级分析，该分析基于The Open Group的ArchiMate和Open FAIR标准。下面的热图是这个可以创建的输出类型的一个例子。 BiZZdesign为客户提供包含常见信息安全和业务连续性威胁的预先填充内容，以及ISO / IEC 27001标准规定的控制。这为您提供了一个有用的起点，因此您无需重新发明轮子。

Figure 3. Risk assessment heatmaps