Einhaltung des Singapore Personal Data Protection Act (PDPA)

Schutz personenbezogener Daten, Abschnitt 24:

„Eine Organisation muss personenbezogene Daten, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden, durch angemessene Sicherheitsvorkehrungen schützen, um Folgendes zu verhindern: —
(a) unbefugten Zugriff, unbefugte Erhebung, Verwendung, Offenlegung, Vervielfältigung, Änderung oder Entsorgung oder ähnliche Risiken; und
(b) den Verlust von Speichermedien oder -geräten, auf denen personenbezogene Daten gespeichert sind.“

Beratungsrichtlinien zu Schlüsselkonzepten im PDPA

Die Datenschutzverpflichtung, 17.3 c)

„Implementieren Sie robuste Richtlinien und Verfahren, um ein angemessenes Sicherheitsniveau für personenbezogene Daten unterschiedlicher Sensibilität zu gewährleisten.“

Prevalent arbeitet mit Ihnen zusammen, um ein umfassendes Programm zum Management von Risiken durch Dritte (Third Party Risk Management, TPRM) zu entwickeln, das mit Ihren allgemeinen Programmen für Informationssicherheit und Governance, Datenschutz, Risiko und Compliance im Einklang steht und auf bewährten Best Practices und umfangreichen praktischen Erfahrungen basiert.

Unsere Experten arbeiten mit Ihrem Team zusammen, um TPRM-Prozesse und -Lösungen zu definieren und zu implementieren, Fragebögen und Rahmenwerke zur Risikobewertung auszuwählen und Ihr Programm zu optimieren, um den gesamten Lebenszyklus des Risikos von Drittanbietern - von der Beschaffung und Due-Diligence-Prüfung bis hin zur Beendigung und Ausgliederung - entsprechend der Risikobereitschaft Ihres Unternehmens abzudecken.

Prevalent ermöglicht es Unternehmen, ihre Drittanbieter anhand des Ausmaßes der Bedrohungen für ihre Informationsressourcen zu bewerten und zu überwachen, indem esdie inhärenten Risikenfür alle Drittanbieter erfasst, verfolgt und quantifiziert. Das Ergebnis ist eine nach Stufen und Kategorien geordnete Liste von Anbietern mit einer Bewertung des inhärenten Risikos, die als Grundlage für weitere Due-Diligence-Prüfungen dient.

Prevalent ermöglicht es Ihrem Team, Vorfälle bei Drittanbietern schnell zu erkennen, darauf zu reagieren, darüber Bericht zu erstatten und die Auswirkungen zu mindern, indem es Anbieter zentral verwaltet, Ereignisbewertungen durchführt, identifizierte Risiken bewertet, mit der kontinuierlichen Cyber-Überwachung abgleicht und auf Anleitungen zur Abhilfe zugreift. Zu den wichtigsten Funktionen gehören:

• Ständig aktualisierte und anpassbare Fragebögen zum Ereignis- und Störungsmanagement
• Verfolgung des Fortschritts beim Ausfüllen des Fragebogens in Echtzeit
• Festgelegte Risikoverantwortliche mit automatischer Erinnerungsfunktion, um die Erhebungen im Zeitplan zu halten
• Proaktive Lieferantenberichterstattung
• Konsolidierte Ansichten von Risikobewertungen, Anzahl, Punktzahl und markierten Antworten für jeden Anbieter
• Workflow-Regeln zur Auslösung automatisierter Playbooks, um auf Risiken entsprechend ihrer potenziellen Auswirkungen auf das Unternehmen zu reagieren
• Anleitung von eingebauten Sanierungsempfehlungen zur Risikominderung
• Integrierte Berichtsvorlagen
• Daten- und Beziehungskartierung zur Identifizierung von Beziehungen zwischen Ihrem Unternehmen und Dritten, Vierten oder N-ten Parteien, um Informationspfade zu visualisieren und gefährdete Daten zu ermitteln

Beratungsrichtlinien zu Schlüsselkonzepten im PDPA

Die Datenschutzverpflichtung, 17.4

Darüber hinaus könnte es für Organisationen sinnvoll sein, eine Risikobewertung durchzuführen, um festzustellen, ob ihre Vorkehrungen zur Informationssicherheit angemessen sind.

Dabei können folgende Faktoren berücksichtigt werden:

a) die Größe der Organisation und die Menge und Art der von ihr gespeicherten personenbezogenen Daten;
b) wer innerhalb der Organisation Zugang zu den personenbezogenen Daten hat; und
c) ob die personenbezogenen Daten von einem Dritten im Auftrag der Organisation gespeichert oder verwendet werden oder werden sollen.

Prevalent bietet ein umfassendes Programm zur Bewertung von Datenschutzrisiken durch Dritte, das folgende Funktionen umfasst:

Erkennung und Zuordnung von Daten von Dritten, Vierten und N-ten Parteien
Prevalent bietet regelmäßige Bewertungen und eine einzigartige Funktion zur Zuordnung von Beziehungen, um Datenübertragungen zwischen Geschäftsbeziehungen nachzuverfolgen und zu ermitteln, wo Daten vorhanden sind, wohin sie fließen und an wen außerhalb des Unternehmens sie weitergegeben werden. Aus den Ergebnissen wird automatisch ein Risikoregister erstellt, in dem die wichtigsten Risikobereiche hervorgehoben werden.

Selbstbewertungen
Mit Prevalent können Unternehmen eine interne Datenschutz-Folgenabschätzung (Privacy Impact Assessment, PIA) durchführen, die sich auf die sensibelsten datenschutzrelevanten Daten und Geschäftsprozesse mit dem höchsten Risiko konzentriert. Die PIA bewertet die Herkunft, Art und Schwere des potenziellen Risikos. Außerdem enthält sie Empfehlungen zur Minderung der identifizierten Risiken, um die künftige Einhaltung der Datenschutzbestimmungen sicherzustellen.

Risikobewertung von Lieferanten
Prevalent bewertet die Datenschutzkontrollen von Lieferanten anhand des Prevalent Compliance Framework (PCF) und einer speziellen PDPA-Umfrage. Spezifische Fragen helfen dabei, Risiken zu identifizieren und sie Kontrollmaßnahmen zuzuordnen, um einen klaren Überblick über potenzielle Problembereiche zu erhalten.

Risikoreaktions-
Prevalent automatisiert die Risikoidentifizierung auf der Grundlage von in der Plattform festgelegten Schwellenwerten. Diese Funktion beschleunigt die Reaktion durch vordefinierte Workflow-Regeln, die identifizierte Risiken an die zuständigen Stakeholder eskalieren, damit diese sie umgehend prüfen und Maßnahmen ergreifen können.

Compliance-Verfolgung und Berichterstattung
Prevalent erstellt Berichte gemäß PDPA unter Verwendung des Prevalent Compliance Framework (PCF). Das PCF ordnet Risiken und Reaktionen automatisch den Kontrollen zu, liefert eine prozentuale Konformitätsbewertung und erstellt stakeholder-spezifische Berichte, um Transparenz hinsichtlich der Datensicherheit zu gewährleisten.

Kontinuierliche Überwachung von Benachrichtigungen zu Sicherheitsverletzungen
Prevalent bietet Zugriff auf eine Datenbank mit mehr als 10 Jahren Daten zu Sicherheitsverletzungen bei Tausenden von Unternehmen weltweit. Diese umfasst die Art und Menge der gestohlenen Daten, Compliance- und Regulierungsfragen sowie Echtzeit-Benachrichtigungen zu Datenverletzungen bei Anbietern.