Bảo vệ dữ liệu không thể được xem là phần việc riêng của IT khi quyết định về mục đích xử lý, nguồn lực, phân công và phản ứng sự cố đều cần sự tham gia của quản lý. Nguồn bài viết phân biệt trách nhiệm hành chính của tổ chức, bồi thường dân sự và khả năng trách nhiệm hình sự. Ở cấp cá nhân, bài viết gắn việc đánh giá với yếu tố lỗi: có chỉ đạo, biết nhưng không ngăn chặn hoặc quản lý thiếu trách nhiệm. Bằng chứng thẩm tra hợp lý vì thế rất quan trọng. Bổ nhiệm DPO, lập DPIA, đào tạo, duy trì nhật ký và báo cáo sự cố cho thấy lãnh đạo đã tổ chức hoạt động quản trị thay vì chỉ phản ứng sau khi dữ liệu bị lộ.
Trách nhiệm không chỉ xuất hiện sau sự cố
Một sự cố làm lộ dữ liệu là thời điểm các quyết định trước đó được xem lại. Ai đã được giao phụ trách, rủi ro có được đánh giá, nhân sự có được đào tạo và hệ thống có lưu dấu vết hay không đều phản ánh cách tổ chức quản lý. Nếu không có bằng chứng, doanh nghiệp khó chứng minh những biện pháp đã thực sự được triển khai.
Nguồn nêu ba tình huống liên quan trách nhiệm cá nhân: có chỉ đạo, biết nhưng không ngăn chặn hoặc quản lý thiếu trách nhiệm. Bản tóm tắt không cung cấp tiêu chí pháp lý chi tiết để kết luận từng trường hợp. Vì vậy, lãnh đạo nên tập trung vào những việc có thể kiểm soát: ra quyết định rõ, giao trách nhiệm và theo dõi việc thực hiện.
Năm nhóm bằng chứng của thẩm tra hợp lý
DPO, DPIA, đào tạo, nhật ký hệ thống và báo cáo sự cố được nguồn đề xuất như các bằng chứng quản trị. Chúng bao phủ cả tổ chức, đánh giá, con người, kỹ thuật và phản ứng. Không nhóm nào có thể thay thế hoàn toàn nhóm khác. Bổ nhiệm một đầu mối mà không có đánh giá hoặc nhật ký vẫn để lại khoảng trống.
Bộ bằng chứng cần phản ánh tình trạng thật. Quyết định bổ nhiệm phải đi cùng phạm vi trách nhiệm; DPIA phải gắn với hoạt động xử lý; đào tạo cần hướng tới người thực sự dùng dữ liệu; nhật ký phải hỗ trợ truy vết; báo cáo sự cố phải cho thấy tổ chức đã tổng hợp và hành động theo đầu mối.
- Bổ nhiệm DPO hoặc đầu mối bảo vệ dữ liệu với trách nhiệm rõ ràng.
- DPIA mô tả hoạt động xử lý, rủi ro và biện pháp giảm thiểu.
- Bằng chứng đào tạo cho các nhóm có truy cập hoặc quyết định về dữ liệu.
- Nhật ký hệ thống đủ để hỗ trợ điều tra và truy vết.
- Báo cáo sự cố thể hiện thời điểm phát hiện, quyết định và hành động.
Ma trận quyết định cho ban điều hành
Ban điều hành có thể quản lý chủ đề này bằng ma trận gồm quyết định, người chịu trách nhiệm, bằng chứng và tần suất rà soát. Quyết định về một hoạt động xử lý mới cần gắn với DPIA; quyết định cấp nguồn lực cần gắn với kiểm soát; quyết định sau cảnh báo cần được ghi nhận trong hồ sơ sự cố. Ma trận giúp tránh tình trạng mọi trách nhiệm đều được quy về IT.
Vai trò của CEO hoặc lãnh đạo không phải tự thực hiện mọi thao tác kỹ thuật. Trọng tâm là bảo đảm tổ chức có người phụ trách, có cơ chế báo cáo và có khả năng xử lý khi phát hiện vấn đề. Khi một rủi ro được nêu nhưng không có quyết định hoặc theo dõi, khoảng trống quản trị trở nên rõ ràng.
Phản ứng sau sự cố phải để lại dấu vết
Nguồn nêu báo cáo trong 72 giờ như một bằng chứng phản ứng sau sự cố và nhắc tới A05 trong bối cảnh liên quan. Mốc này cần được đối chiếu với quy định và vai trò cụ thể trước khi áp dụng. Tuy nhiên, nguyên tắc vận hành rõ ràng là tổ chức phải biết thời điểm phát hiện, đầu mối quyết định và thông tin đã được báo cáo.
ICS khuyến nghị lãnh đạo rà bộ bằng chứng trước khi có sự cố. Mục tiêu không phải tạo một thư mục tài liệu để phòng thủ, mà là bảo đảm các kiểm soát thực sự hoạt động. Khi DPO, DPIA, đào tạo, nhật ký và báo cáo được kết nối, ban điều hành có thể chứng minh quá trình quản trị liên tục và nhận ra sớm nơi trách nhiệm chưa được thực hiện.
- Xác định trước người nhận thông tin và người ra quyết định khi có sự cố.
- Ghi thời điểm phát hiện, dữ liệu liên quan và hành động đã thực hiện.
- Đối chiếu mốc 72 giờ với vai trò và quy định áp dụng.
- Lưu quyết định của lãnh đạo cùng bằng chứng kỹ thuật và vận hành.
- Rà lại phân công sau mỗi thay đổi lớn trong hoạt động xử lý dữ liệu.