SZENARIO
Bitte verwenden Sie Folgendes, um die nächste Frage zu beantworten:
Der Risikoausschuss Ihrer Organisation ist besonders besorgt über die Anzahl und Häufigkeit der ihm in den letzten 12 Monaten gemeldeten Datenschutzverletzungen, aber auch über die Uneinheitlichkeit der Reaktionen und die schlechten Bearbeitungszeiten bei Vorfällen.
Bei der Überprüfung des aktuellen Notfallplans (Incident Response Plan, IRP) wurde festgestellt, dass der Geschäftskontinuitätsplan (Business Continuity Plan, BCP) zwar rechtzeitig aktualisiert worden war, der mit dem BCP verknüpfte IRP jedoch zuletzt vor über drei Jahren aktualisiert worden war.
Welche zusätzlichen Verfahren bzw. Prozesse eignen sich am besten zur Reduzierung zukünftiger Vorfälle?

• A. Benachrichtige die Beteiligten über Änderungen.
• B. Kontaktieren Sie die internen Teams, die von den Vorfällen betroffen sind.
• C. Füge Kommentare hinzu, um vergangene Aktionen zu protokollieren.
• D. Stellen Sie sicher, dass der IRP im gleichen geplanten Überprüfungszyklus wie der BCP liegt.

Wenn Ihre Organisation ein wiederkehrendes Problem mit Kollegen hat, die Verletzungen des Schutzes personenbezogener Daten nicht melden, sind alle der folgenden Schritte ratsam, AUSSER?

• A. Verteilen Sie eine Phishing-Übung an alle Mitarbeiter, um ihre Fähigkeit zu testen, einen Bedrohungsversuch zu erkennen.
• B. Teilen Sie allen mit, dass Verstöße gemeldet werden müssen und wie sie gemeldet werden sollten.
• C. Führen Sie bei jedem Verstoß eine Ursachenanalyse durch, um zu verstehen, warum der Vorfall passiert ist.
• D. Bieten Sie rollenspezifische Schulungen für Bereiche an, in denen Sicherheitsverletzungen auftreten, damit sie sich dessen bewusst sind.

Der Zweck einer Datenflusskarte besteht darin, einer Organisation dabei zu helfen, alle der folgenden Punkte zu tun, AUSSER?

• A. Unterstützen Sie die Einhaltung datenschutzbezogener Gesetze und Vorschriften.
• B. Identifizieren Sie alle.
• C. Erkennen Sie, wer in der Organisation Zugriff auf welche Informationen hat.
• D. Ermitteln Sie nicht identifizierte Möglichkeiten zur Informationssammlung.

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste FRAGE zu beantworten:
Als Datenschutzdirektor der Consolidated Records Corporation sind Sie zu Recht mit Ihren bisherigen Leistungen zufrieden. Ihre Einstellung wurde durch Warnungen von Aufsichtsbehörden nach einer Reihe relativ geringfügiger Datenschutzverletzungen beschleunigt, die leicht schlimmer hätten sein können. Sie hatten jedoch in den drei Jahren, in denen Sie für das Unternehmen tätig sind, keinen meldepflichtigen Vorfall. Tatsächlich betrachten Sie Ihr Programm als ein Modell, das andere in der Datenspeicherbranche bei ihrer eigenen Programmentwicklung beachten könnten.
Sie haben das Programm bei Consolidated mit einem Durcheinander von Richtlinien und Verfahren begonnen und auf Kohärenz zwischen den Abteilungen und im gesamten Betrieb hingearbeitet. Sie wurden dabei vom Sponsor des Programms, dem Vice President of Operations, sowie von einem Datenschutzteam unterstützt, das von einem klaren Verständnis der Notwendigkeit von Änderungen ausging.
Anfangs wurde Ihre Arbeit von der „alten Garde“ des Unternehmens sowohl im Führungsteam als auch im Frontline-Personal, das mit Daten und Schnittstellen zu Kunden arbeitet, mit wenig Vertrauen oder Enthusiasmus begrüßt. Durch die Verwendung von Metriken, die nicht nur die Kosten der aufgetretenen Verstöße aufzeigten, sondern auch Hochrechnungen der Kosten, die angesichts des aktuellen Betriebszustands leicht auftreten könnten, hatten Sie die Führungskräfte und wichtigen Entscheidungsträger bald weitgehend auf Ihrer Seite. Viele der anderen Mitarbeiter waren widerstandsfähiger, aber persönliche Treffen mit jeder Abteilung und die Entwicklung eines grundlegenden Datenschutzschulungsprogramms erzielten eine ausreichende Zustimmung, um mit der Einführung der richtigen Verfahren zu beginnen.
Der Schutz der Privatsphäre ist heute ein akzeptierter Bestandteil aller aktuellen Vorgänge im Zusammenhang mit personenbezogenen oder geschützten Daten und muss Teil des Endprodukts jedes technologischen Entwicklungsprozesses sein. Obwohl Ihr Ansatz nicht systematisch ist, ist er ziemlich effektiv.
Sie überlegen:
Was muss getan werden, um das Programm zu pflegen und über ein bloßes Programm zur Verhinderung von Datenschutzverletzungen hinaus zu entwickeln? Wie können Sie an Ihren Erfolg anknüpfen?
Was sind die nächsten Handlungsschritte?
Welche Analyse kann verwendet werden, um die finanzielle Realisierbarkeit des Programms während seiner Entwicklung zu verfolgen?

• A. Lückenanalyse.
• B. Kostenbasis.
• C. Rückkehr zur Investition.
• D. Modellierung der Auswirkungen von Sicherheitsverletzungen.