ערוץ חושף והגנה על נתונים

1) מטרה ואזור

לספק דרך בטוחה, נגישה ואמינה לעובדים, קבלנים, משתייכים ובעלי עניין אחרים לדווח על הפרות (שחיתות, הונאה, AML/סנקציות, RG, GDPR/PII, PCI/אבטחת מידע, פרסום/השתייכות, ניגוד אינטרסים, אפליה והטרדה, הפרת רישיון/חוק). המסמך מסדיר ערוצים, אנונימיות, עיבוד נתונים, הליכי חקירה והגנה מפני דיכוי.

2) עקרונות

אפס סובלנות לדיכוי. כל נקמה אסורה.
פרטיות נתונים ומזעור. הגבייה נחוצה רק לפי עקרון הצורך לדעת.
אנונימיות מבחירת מודיע. היכולת לתקשר בלי לחשוף זהות.
זמן והוגנות. SLA קבלה/סקירה; מתודולוגיה מתועדת ולא משוחדת.
עצמאות. הפרדת תפקידים: קבלת הודעות, חקירה, סנקציות.
שקיפות התהליך. מעקב מצב, משוב, סטטיסטיקות ציבוריות ללא אישיות.

3) תפקידים ו ־ RACI

קצין חושף (WBO) - בעל תהליך, מיון, תיאום חקירה, דיווח. (A/R)

ציות/משפטי/DPO - הערכה משפטית, הגנה על נתונים, מדיניות פרטיות. (R/C)

InfoSec/CISO - אבטחה בערוץ, הצפנה, בקרת גישה, רישום. (R)

מקרי אתיקה/התנהגות, אמצעי תמיכה. (R)

ביקורת פנימית (IA) - בקרת איכות עצמאית של חקירות וצה "ל. (C)

ביטחון/נאמנות ובטיחות - מקרים טכניים/הונאה, אוסף של חפצים דיגיטליים. (R)

Exec Sponsor (מנכ "ל/COO) -" טון מלמעלה ", משאבים, הסלמה S1. (א/א)

4) ערוצים לקבלת הודעות

1. טופס אינטרנט (מומלץ ראשי): תמיכה באנונימיות; התכתבות אסימון/סיכה מאובטחת.
2. דואר אלקטרוני: תיבה ייעודית עם הצפנה אוטומטית, אוורור אוטומטי ללא גילוי תוכן.
3. קו חם/טלפון: כתוב למערכת עם מיסוך נתונים.
4. צ 'טבוט בשליח תאגיד: לא בעילום שם (או במנגנון פרוקסי).
5. שולח כתובת/תיבת דואר פיזית: עבור הודעות לא מקוונות (סריקה וטעינה לתוך המערכת).
6. קשר ישיר עם WBO/IA: פגישה אישית לבקשת המודיע.

דרישות ערוץ: TLS מקצה לקצה, אחסון באחסון מוצפן, RBAC, יומני גישה הם בלתי ניתנים לשינוי, אין מעקב אחר IP/התקנים בצורה אנונימית, מדיניות עוגיות/רישום שקופה.

5) הגנה על נתונים ועילות משפטיות

בסיס משפטי: ביצוע חובות משפטיות, אינטרסים חוקיים של החברה, אינטרס ציבורי (תלוי בתחום השיפוט).
DPIA: לפני השיגור - הערכת פגיעה בפרטיות; תיקון סיכונים ואמצעי הפחתה.
סיווג נתונים: אישי, רגיש (בריאות, מוצא אתני וכו '), סודות מסחריים, חפצי חקירה.
מזעור: אל תאסוף מיותר; מחק מסמכים שאינם תואמים.
העברות מעבר לגבול, רק אם יש עילה חוקית וערבויות חוזיות.
זכויות נושאי נתונים: DSARs מעובדים על ידי DPOS; יוצא מן הכלל: לא לחשוף את זהותו של המתלונן ואת הנתונים המסכנים את החקירה/צד שלישי.
שימור: הודעות וחפצים - בדרך כלל 5 שנים או על ידי מדיניות/חוק/רישיון; ואז מחיקה מאובטחת (מחיקה מוצפנת/לוגית עם בול עץ).

6) בטיחות ואמצעים טכניים

הצפנה: at-rest (KMS/HSM), in-transit (TLS), מפתחות - עם סיבוב וירידה.
גישה: RBAC/ABAC, עיקרון הרשאות מינימום, תחומים נפרדים עבור מקרים אנונימיים.
יומנים: ללא שינוי (תולעת), ניטור גישה יוצאת דופן, התראות.
סגמנטציה: מערכת המסרים מבודדת ממערכות הייצור; גיבויים בודדים עם בדיקת התאוששות.
Metadata: מיסוך, הסרת EXIF מקבצים מצורפים, אזהרת המודיע על דה-זיהוי אוטומטי.
ערוצי תקשורת סודיים: תיבת דואר מאובטחת/דואר אינטרנט עבור התכתבות אנונימית דו כיוונית.

7) סיווג מקרים וסדרי עדיפויות

S1 (קריטי): שחיתות/שוחד, הונאה גדולה, דליפת PII/PCI, איומים על החיים/ביטחון, עבירות רישיון/חוק חמורות.
הפרות מדיניות מערכתיות (AML/RG/GDPR/IS), ניגוד אינטרסים חמור, אפליה/הטרדה.
הפרות מקומיות של נהלים, טעויות בפרסום/השתייכות, הפרות חד פעמיות של התנהגות.
הצעות לשיפורים, תקריות בסיכון נמוך.

• קבלה: S1/S2 שעות בירור 24; S3/S4 - 3 ימים עסקיים
• הערכה ראשונית (triage): S1 - whald 48 h; S2 - 5 ימי עסקים; S3/S4 - 10 ימי עסקים סגורים
• תוכנית חקירה: ס. 1 - 3 ימי עסקים; S2 - 10 ימי עסקים

8) תהליך ממסר לסגירה

שלב 1 - קבלה וקבלה. הקצאת תעודת זהות, תיקון הערוץ, שמירת ראיות ”כפי שהוא”.
שלב 2, מיון ועצמאות. בדוק ניגוד אינטרסים של הממונים; במקרה של סכסוך - חלוקה מחדש.
שלב 3 - הערכת סיכונים ותכנית. היקף, השערות, חוקיות של שיטות, רשימת חפצים, מפת דרכים.
שלב 4 - איסוף ראיות. מסמכים, יומנים, ראיונות, מבחר עסקאות; ציות עם שרשרת של משמורת.
שלב 5 - ניתוח ומסקנות. Perfect Ac.b קריטריון (פוליסה/חוק/רישיון) * פגיעה בסיכון.
שלב 6 - המלצות וצ "פים. פעולות מתקנות/מונעות, בעלים, תזמון, מטריות הצלחה.
שלב 7 - תקשורת ומשוב. מבלי לחשוף את זהותו של המודיע; שפה מסודרת (בלי האשמות עד הגמר).
שלב 8, סגירת מעגל ושמירה. דו "ח סופי, מצב, אחסון חפצים, שחרור סטטיסטיקות לא אישיות.

9) תקשורת והגנה על חושפים

בלי טיפ-אוף. אל תגלה את העובדה של דיווח/חקירה למפרים לכאורה.
הגנה מפני דיכוי. הורדה, פיטורים, שלילת בונוסים, בריונות וכו 'אסורים. אמצעי נקמה נחשבים להפרת S1/S2 נפרדת.
תמיכה: אם יש צורך - העברה לצוות אחר, חופשה, ייעוץ משפטי/תמיכה פסיכולוגית.
תקשורת אנונימית דו כיוונית: המודיע יכול לשאול שאלות ולקבל סטטוס דרך תיבת דוא "ל/אסימון אינטרנט.

10) יחסים עם מדיניות אחרת

קוד אתיקה והתנהגות - סטנדרטים וערוצים.
מדיניות נגד שחיתות, בדיקת נאותות, מתנות, מתווכים.
GDPR/PII - חוקיות העיבוד, DSAR, שימור.
AML/RG/PCI/IS - הליכים מיוחדים ומיון.
ביקורת פנימית - בקרת איכות עצמאית של חקירות.

11) רשימות בדיקה

11. 1 לפני תחילת הערוץ

[ ] DPIA ומדיניות פרטיות שאושרה על ידי DPO/Legal.

ארכיטקטורה טכנית [ ]: הצפנה, RBAC, יומני תולעת.

[ ] טופס אינטרנט אנונימי ותקשורת סמלית דו כיוונית מוגדרים.

[ ] אימוני צוות WBO/Triage בשיטות חקירה.

[ ] הטמפלטות הוכנו (קבלה, תכנית חקירה, דו "ח, מכתב סגירה).

קמפיין תקשורת : ”טון מלמעלה”, כרזות, intranet, FAQ.

11. 2 קבלת הודעות

[ ] תעודת זהות, תאריך/ערוץ/S ברמה מוקלטת.

[ ] אישור שנשלח למודיע מבלי לחשוף פרטים.

[ ] מבחן ניגוד אינטרסים נערך עבור המבצעים.

[ ] כל המצורפים/metadata מחויבים, ללא אימות.

11. 3 חקירות

[ תוכנית ] והיפותזות מאושרות (Legal/DPO/InfoSec - כנדרש).

[ ] שרשרת המשמורת נשמרת עבור כל חפץ.

[ ] ראיונות מחוברים; אזהרת פרטיות.

[ ] מסקנות המבוססות על עובדות ניתנות לאימות, סקירת עמיתים.

11. סגירה של 4

[ ] "פים מוקצים, תאריכים ומדדים מוגדרים.

[ ] המלשין (ההזדמנות) קיבל משוב לא אישי.

[ שימור/סיווג ] נוסד; חפצים מצויים בארכיון.

[ סטטיסטיקות ] עודכנו על לוח המחוונים.

12) תבניות מסמך (הזנות מהירות)

א ': קבלה למודיע

מפתח> תודה על ההודעה שלך. תעודת הזהות שלך היא WB-XXX. אנחנו נעבור על המידע וניצור איתך קשר במידת הצורך דרך הערוץ המאובטח הזה. אתה יכול להישאר אנונימי. נא לא לחשוף בפומבי עד אימות הושלם.

B) תכנית חקירה (איתורית אחת)

מקרה: WB-XXXX עדיפות: S1/S2/S3/S4 בעלים:... ציר זמן:...

• נתונים/חפצים:...
• ראיון: רשימה/לוח זמנים

C) דיווח סופי (מבנה)

Summary Facts Criteria (מדיניות/חוק) ניתוח מסקנות CAPA Expendices Appendices (חפצים).

D) אות הסגירה

13) מדדים ולוח מחוונים

צריכת כרך - מספר ההודעות בקטגוריה ובערוץ.
זמן להכיר/זמן למיון/זמן להחלטה.
ציות SLA על ידי רמות S.
CAPA Progress הושלם/בהתקדמות/פג תוקף, קרוב מדיאן.
מדד נקמה: דיווח על תלונות תגובה (מטרה 0).
שיעור האנונימיות: הפרופורציה של הודעות אנונימיות וההמרה שלהם למקרים מאומתים.
ממצאים חוזרים: חזרה על נושאים בעוד 12 חודשים.
Advention Impact: Post-Campinists Application G ערוץ נאמנות NPS.

14) סיכונים ושליטה

Deanonimization באמצעות metadata. = דה-זיהוי, מחיקת EXIF, אזהרות מפורשות.
דליפות גישה לתיק - RBAC #, קטעים, יומני תולעת, ביקורת גישה רגילה.
הודעות בדיוניות/התעללות. מסנן מנומס ובדיקת עובדות; סנקציות על הצהרות כוזבות ביודעין (ללא השפעה של הפחדה).
ניגוד עניינים בחקירה. סיבוב של מבצעים, השתתפות של חקירות פנים/משפטיות.
דיכוי. = זרם נפרד של תלונות; תגובת HR/ציות מהירה.

15) הכשרה ומודעות

על הסיפון: מודול בערוץ, אנונימיות והגנת מידע (מבחן 85%).
אישור שנתי לכל; הכשרה נוספת עבור WBO/חוקרים.
קמפיינים רבעוניים (פוסטרים/בוחנים/סרטונים): כיצד להגיש את הצפוי, דוגמאות.

16) תוכנית יישום של 30 יום

שבוע 1

1. הקצאת WBO וקבוצת עבודה (Complication/Legal/DPO/InfoSec/HR/IA).
2. ערוך בדיקת DPIA, לאשר מדיניות פרטיות ושמירה.
3. ציין ערוצים (web form/mail/line), דרישות לאנונימיות וליומנים.

שבוע 2

4. יישום פלטפורמה טכנית: הצפנה, RBAC, יומני תולעת, תיבת אינטרנט אנונימית.
5. הכן תבניות ותוכניות: קבלה, תוכנית, דיווח, מכתב סגירה, CAPA.
6. Train WBO/Triage team; Register RACI ו SLA.

שבוע 3

7. פיילוט: 1-2 מקרי ניסוי (שולחן-עליון), אימות של שרשרת הראיות והחזרות.
8. הגדרת מדדי לוח מחוונים ודיווח לניהול/ועדה.
9. מכתב מנכ "ל, עמוד intranet, FAQ, כרזות.

שבוע 4

10. סטארט-אפ של ערוץ; ניטור SLA/טעינה; תמיכה חמה.
11. ביקורות שבועיות של מקרים S1/S2 ומדינות CAPA.
12. רטרו והתאמות V1. 1 (מדיניות, טפסים, אימונים).

17) חלקים קשורים

קוד אתיקה והתנהגות

מדיניות נגד שחיתות

AML והכשרת עובדים/מודעות ציות

ספרי משחקים ותסריטים

לוח מחוונים ציות וניטור

ביקורת פנימית וביקורת חיצונית

הודעות על הפרות ומועד דיווח

דוחות רגולטוריים ופורמטי נתונים