GDPR 遵循檢查清單 – 審核要求解釋。一般資料保護規範（GDPR）旨在保障歐盟公民的隱私。因此，任何服務於歐盟市場的公司必須遵守 GDPR 的要求。主要是一個法律框架，旨在保護歐盟公民，讓他們對自己的在線數據擁有控制權。
因此，GDPR 規則禁止組織未經同意獲取用戶信息。您必須獲得用戶的許可才能收集和使用他們的數據。最重要的是，GDPR 旨在提供完整的隱私保護，並允許公民選擇誰可以收集、分析和使用他們的數據。
本文討論了組織必須滿足的 GDPR 遵循 要求，以獲得認證。
我們可以從 GDPR 遵循檢查清單 – 審核要求解釋開始嗎？
另請參閱SOX 遵循檢查清單 – 審核要求解釋（最佳實踐）
GDPR適用於誰？
首先，GDPR旨在保護歐洲聯盟（EU）和英國的公民。因此，在這些地區運營的任何組織都必須遵守要求。此外，歐盟和英國以外的公司也必須遵守GDPR合規性，如果他們處理來自這些地區的數據。例如，一家美國公司如果處理來自歐盟和英國的數據，就應該遵守GDPR。
值得注意的是，如果數據處理不是您業務的核心部分，那麼某些GDPR要求可能不適用。基本上，如果您不進行任何數據處理，則不必任命數據保護官（DPO）。
10個GDPR合規要求
那麼，在GDPR合規檢查清單-審計要求中，您應該知道，GDPR有十個要求，組織必須滿足這些要求才能成為合規。這些是：
1. 公平、透明和合法的數據處理
首先，GDPR要求組織在處理用戶數據時記錄合法的理由。您應該先告知個人收集個人數據的事宜，然後提供您的組織收集和處理個人數據的有效理由。最後，所有數據處理必須基於合法目的。
綜上所述，您的組織應詳細說明數據存儲的具體期限。此外，每當數據收集或處理流程發生變化時，您都應通知他們。
2. 審查數據保護政策
為了符合GDPR的要求，您必須實施數據保護政策。如果您已經有數據保護政策，您應該定期審查並及時更新。因此，您的數據保護政策應該提供信息隱私設計。所有實施的技術和組織措施必須整合數據合規措施。
3. 進行數據保護影響評估（DPIA）
GDPR 合規檢查表的下一項要求是，處理極度敏感數據的組織必須進行一項數據保護影響評估（DPIA）。 DPIA 檢查您組織的數據處理活動可能對用戶產生的可能影響。
A DPIA is a cybersecurity risk assessment process, that helps your organization identify and minimize data protection risks. It is mandatory when you introduce changes in the data processing process. The DPIA also ensures you do not violate the users’ data protection rights.
4. 實施適當的數據安全措施
同時，GDPR 要求組織實施適當的數據安全措施。您必須實施適當的網絡安全工具和措施，以防止未經授權的用戶訪問數據。理想情況下，您應該實施網絡和數據安全工具、訪問控制和內部風險管理工具。
數據安全工具包括數據備份、防病毒軟件、數據丟失防護 (DLP) 系統，以及數據加密和令牌化。此外，您可以使用 VPN、防火牆和分層的網絡安全來保護公司網絡。重要的一步是實施實時網絡監控，以幫助檢測您網絡內的任何異常活動。
訪問控制確保只有授權使用者能夠訪問資料。根據您組織的性質，您可以實施最低特權訪問、多因素認證和身分識別和訪問管理。為了減少內部威脅，您可以實施員工監控和使用者行為分析。
5. 實施使用者隱私權
同樣地，GDPR為使用者提供各種 隱私權利 以確保他們對自己的資料有控制權。基本上，您的組織應該授予數據使用者八項權利。這些包括：
資訊權
通知個人您收集的資料類型及其使用方式。此外，您應該告知他們您需要資料的方式以及是否與第三方分享。
存取權
顯然，GDPR要求組織授予用戶訪問數據的權利。無論如何，任何個人都可以提交一個數據主題訪問請求（DSAR），要求組織向相關個人提供數據副本。您應該在請求後的一個月內提供這些數據，除非有例外情況。
更正權
如果用戶數據不準確或不完整，組織應該更正。用戶可以要求組織進行修正。
刪除權
A data subject can request the organization to erase data, if it’s no longer necessary or unlawfully processed. Being that, the organization grants this right, provided it’s based on factual grounds.
反對權
用戶有權反對數據收集和處理，無論其是否出於合法目的。除非組織提供一個有效的理由，該理由優先於用戶的權利和自由。
可攜性權
如果個人通過同意向數據控制者提供個人數據，他們有權獲取並重複使用他們的數據。
限制處理權
一般來說，當個人不再使用該項目時，他有權限制處理。當組織需要使用數據進行法律索賠時，這是適用的。
決策權
在GDPR中，對於在沒有人為介入的情況下自動進行決策的數據處理，提供了嚴格的規定。個人有權挑戰此類處理並要求對處理進行審查，如果他們認為該組織沒有遵守規則。
6. 記錄您的GDPR合規性
7. 任命一名數據保護官
A data protection officer (DPO) is a person or entity contracted to oversee compliance and stay in touch with any data breach risks. The DPO can be an in house employee or an outsourced third party who understands GDPR data protection requirements.
A data protection officer is mandatory if the organization is a public body or an authority. Also, organizations that perform large scale data processing or that handle special data should have a data protection officer.
DPO的角色包括：
- 監控數據處理程序。
- 作為組織和GDPR監管機構之間的中介。
- 就最佳的GDPR合規實踐向組織提供建議。
- 提供準確的數據保護影響評估。
由於任務的性質，數據保護官（DPO）應該正確理解GDPR法律和最佳實踐。
8. 報告數據洩露
此外，GDPR要求用戶立即報告數據洩露。處理者和控制者都必須在檢測到後的72小時內報告數據洩露。然而，如果事件不會損害用戶的權利和自由，這不是強制性的。數據處理者應通知數據控制者，後者應告知數據保護機構（DPA）。
因此，您應該向DPA提供有關數據洩露性質的描述。此外，您應該提供有關數據主體數量和任何可能後果的信息。在文件中，說明所有用於遏制數據洩露影響的措施。
9. 員工培訓
GDPR要求組織對員工進行培訓，使其了解要求和數據保護程序，以減少數據泄露的風險。教育所有員工關於個人數據隱私，潛在的網絡安全威脅以及不合規的後果。在培訓計劃中，著重於數據處理意識。此外，培訓材料應該定期更新，包括相關的網絡安全事件的例子。
10. 定期評估第三方風險
同樣重要的是，GDPR期望組織評估第三方可能帶來的安全風險。組織應實施補救機制，防止與第三方合作導致的數據泄露。
接下來將解釋GDPR合規檢查表 – 审计要求的原则，我们将解释GDPR的原则。
改善您的Active Directory合规性和安全性& Azure AD
免费试用我们，所有功能可用。– 提供200+ AD报告模板。轻松定制您自己的AD报告。
GDPR原則
GDPR包含多種原則，概括了其眾多要求。例如，它為個人信息的處理、存儲和處理定義了原則。GDPR有七個主要原則：
合法性、公平性和透明度
所有個人數據的處理都應在公平和合法的基礎上進行。此外，應向所有者透明地展示他們的個人數據是如何被收集、使用和處理的。這一原則還要求有關個人數據的信息應該是可訪問的，並以清晰、簡單的語言顯示。此外，在用戶給予同意的情況下，組織還應履行法律義務。您不應該隱瞞有關您正在收集的數據的信息。
目的限制
第二個GDPR原則對數據使用活動設定了限制。這意味著，您只應為已確定的目的處理數據，這些目的通過隱私通知進行溝通。不要將數據用於其他目的，而不是所述目的，並且必須與數據主體溝通以獲得同意。
數據最小化
僅收集達成您目的所需的最少量資料。例如，如果您需要用戶的聯絡資訊，如電子郵件，則不應該要求不必要的資訊，如實際位置、電話號碼等，因為這些資訊與特定目的無關。
準確性
始終檢查您收集和存儲的資料的準確性。理想情況下，您應該有一個審計過程來檢查資料是否正確和完整。
儲存限制
說明並證明您打算持有用戶資料的數量。這確保您不會將其保留超過必要時間。在組織完成其需求後，應立即刪除資料。如果組織需要比必要時間更長地持有資料，則必須建立保留期限並證明其合理性。
完整性和機密性（安全性）
責任歸屬
這一原則關聯到組織在處理用戶數據時應承擔的責任。作為數據處理者，您在遵守GDPR的情況下處理個人數據時應該表現出負責任的態度。基本上，您應該致力於履行各種要求並適當地記錄它們。
也請閱讀試用Office 365管理工具
如何進行GDPR審計
同樣地，根據個人資料審計的性質，GDPR合規審計在不同組織之間有所不同。在獲得認證之前，組織必須進行審計以評估其合規水平。GDPR審計主要關注網絡安全和數據治理。在這裡，使用GDPR合規檢查清單 – 審計要求，GDPR審計涉及以下步驟：
1. 制定GDPR審計計劃
進行GDPR審計的第一步是制定審計計劃。基本上，這是一套書面和可操作的逐步流程，涵蓋了審計期間需要覆蓋的內容。組織需要了解其在其生命周期中持有的數據。此外，確保根據您收集數據的方式和來源對個人數據進行分類。
2. 檢查GDPR合規差距
經過合規性檢查後，審計師應該撰寫一份報告，概述當前流程以及與GDPR規則不一致的領域。
3. 修復合規性差距
一旦審計師確定了合規性差距，組織應該採取基於風險的修復方法。將報告與GDPR要求和原則進行對照，並修復任何不合規的區域。理想情況下，您應該從可能對組織產生不利影響的高風險區域開始。
4. 測試修復努力
最後一個過程涉及檢查修復過程是否消除了合規性差距。您必須測試組織的系統和流程是否符合GDPR要求。測試已實施的流程和控制，以確保沒有差距。完成此過程後，進行審計以確保您的組織滿足所有要求。
重要的是要注意，GDPR合規性審計是一個持續的過程。您應該定期進行這些審計，尤其是在您改變核心組織流程和系統時。
感謝您閱讀GDPR合規性檢查清單 – 審計要求解釋。我們將結束本文。
也閱讀 最佳15款網絡安全漏洞掃描工具
GDPR合規檢查清單-審計要求解釋結論
遵守GDPR的要求是一個具有挑戰性的過程，需要一支高度技術的團隊、一位合格的DPO以及經過充分了解的員工。您的組織應該實施所有必要的數據保護系統，並確保其安全合法地收集、存儲和處理用戶數據。
欲了解更多類似的網絡安全提示，請閱讀我們的博客！
Source:
https://infrasos.com/gdpr-compliance-checklist-audit-requirements-explained/