GDPR INCIDENT RESPONSE PACK – „AUDIT-PROOF“ ВЕРСИЯ
(за представяне пред КЗЛД и защита при проверка)
На сайта: https://obyavi.marinovnews.com/
I. ДЕКЛАРАЦИЯ ЗА НЕЗАБАВНО РЕАГИРАНЕ
Чл.1. (1) Настоящото уведомление се подава в изпълнение на задължението по чл. 33 GDPR, в рамките на 72 часа от установяване на нарушението.
(2) Администраторът декларира, че:
- е предприел незабавни технически и организационни мерки;
- е ограничил обхвата на нарушението;
- е извършил първоначална оценка на риска;
- поддържа пълна документация за инцидента.
II. ПЪЛНО ОПИСАНИЕ НА НАРУШЕНИЕТО
Чл.2. (1) Нарушението представлява:
☐ неразрешен достъп
☐ изтичане на данни
☐ загуба на данни
☐ неправомерно разкриване
☐ друго: __________________
(2) Фактическа обстановка:
На дата __________ е установено, че:
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
(3) Технически механизъм на нарушението:
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
(4) Засегнати системи:
- база данни
- уеб сървър
- потребителски профили
- други: __________________
III. ДОКАЗАТЕЛСТВА
Чл.3. (1) Нарушението се установява чрез:
- системни логове
- записи от мониторинг
- сигнали от потребители
- вътрешен одит
(2) Налични доказателства:
☐ логове
☐ скрийншоти
☐ архиви
☐ доклад от IT
(3) Доказателствата се съхраняват и могат да бъдат предоставени при поискване.
IV. ОЦЕНКА НА РИСКА
Чл.4. (1) Извършена е оценка по следните критерии:
1. Характер на данните
- обикновени
- не включват чувствителни категории
2. Обхват
приблизително __________ лица
3. Вероятност за злоупотреба
☐ ниска
☐ средна
☐ висока
(2) Заключение:
рискът е:
☐ нисък
☐ среден
☐ висок
V. ПРИЧИННО-СЛЕДСТВЕН АНАЛИЗ
Чл.5. (1) Причина за инцидента:
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
(2) Администраторът установява, че:
☐ няма умишлено нарушение
☐ няма системен пропуск
☐ инцидентът е изолиран
(3) При наличие на пропуск:
VI. ПРЕДПРИЕТИ МЕРКИ
Чл.6. (1) Незабавни мерки:
- ограничен достъп
- блокирани акаунти
- смяна на пароли
- изолиране на системи
(2) Последващи мерки:
подобрена сигурност
допълнителен контрол
актуализация на политики
(3) Дългосрочни мерки:
внедряване на нови технологии
обучение на персонала
регулярни одити
VII. УВЕДОМЯВАНЕ НА СУБЕКТИТЕ
Чл.7. (1) Извършена е оценка по чл. 34 GDPR:
☐ уведомени са
☐ не е необходимо уведомяване
(2) Мотиви:
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
……………………………………………………………………………………………………………………………………
VIII. СЪОТВЕТСТВИЕ
Чл.8. (1) Администраторът поддържа:
- ROPA
- DPIA
- политики за сигурност
- процедури за инциденти
(2) Инцидентът не се дължи на:
системно неизпълнение
липса на мерки
груба небрежност
IX. ДОБРОСЪВЕСТНОСТ И СЪДЕЙСТВИЕ
Чл.9. (1) Администраторът:
- съдейства на КЗЛД
- предоставя информация
- предприема всички разумни действия
X. ИСКАНЕ
Чл.10. (1) С оглед:
- предприетите мерки
- липсата на системен риск
- добросъвестното поведение
МОЛЯ,
да не се налага АДМИНИСТРАТИВНА САНКЦИЯ!
XI. ПРИЛОЖЕНИЯ
- логове
- вътрешен доклад
- политики
- доказателства
Дата: __________ Подпис: __________