P.I.A. 'գաղտնիության վրա ազդեցության գնահատում
1) Նշանակումը և օգտագործման տարածքը
Նպատակը 'համակարգային հայտնաբերել և նվազեցնել ռիսկերը տվյալների սուբյեկտների իրավունքների և ազատությունների համար iGaming/ենթակառուցվածքի փոփոխության ժամանակ։
Գրանցում ՝ նոր/շատ փոփոխված ֆիչներ, հակաֆրոդի և RG մոդելներ, MSK/PSA/KYC պրովայդերների ներդրումը, տվյալների ցանկը, A/B թեստերը կերպարներով, հիբրիդային փոխանցումները, ավելացումը։
2) Երբ անհրաժեշտ է P.I.A./DPIA/
DPIA-ն կատարվում է, եթե կատարվում է մեկ կամ մի քանի պայմաններ
Լայնածավալ ավելացում/դիտարկում (վարքագծային վերլուծություն, ռիսկի սկորինգ, RG-ձգիչներ)։
Հատուկ կատեգորիաների (կենսաչափություն, առողջություն/խոցելիություն RG)։
Տվյալների հավաքածուի համադրությունը, որը ստեղծում է նոր ռիսկեր (մարքեթինգային և ստացիոնար տվյալների միաձուլումը)։
Համակարգային համակարգը հանրային հասանելի գոտի է (օրինակ ՝ սթրիմ-չաթներ)։
Էքսպորտային փոխանցումները EEZ/UK-ից դուրս (DTIA-ի հետ)։
Նպատակների/հիմքերի էական փոփոխությունները կամ նոր գողերի/ենթահամակարգերի հայտնվելը։
Եթե ռիսկը ցածր է, բավական է PIA սկրինինգը և RoPA-ում կարճ ձայնագրությունը։
3) Դերեր և պատասխանատվություն
DPO-ը մեթոդաբանության սեփականատերն է, անկախ գնահատումը, հիբրիդային ռիսկի ապահովումը, ֆոսֆորի հետ կապը։
Not/Engineering-ը նախաձեռնող է, նկարագրում է նպատակները/հոսքերը, կատարում է միջոցներ։
Express/MSE - TOMS: ծածկագրում, հասանելի, ամսագրում, DLP, թեստեր։
System/BI/ML-ը մինիմալիզացիա, անանուն/կեղծանունացում, մոդելների կառավարում։
Legal/Compliance-ը իրավական հիմքեր է, DPA/SCCS/IDTA-ը, տեղական կանոններին համապատասխանելը։
Marketing/CRM/RG/Payments - տվյալների և գործընթացների հիբրիդային սեփականատերերը։
4) P.I.A./DPIA (միջով) Գործընթացը
1. Նախաձեռնությունն ու սկրինինգը (CAB/Change) 'կարճ հարցաթերթիկ "արդյո՞ ք DPIA-ն է անհրաժեշտ։ ».
2. Տվյալների կարիզացիա (WinMap): Ռուսական դաշտի աղբյուրները ռուսական հիմքի նպատակների համար, որոնք ստացողները կստանան ռուսական երկրագրությունը պաշտպանելու ժամանակը։
3. Մրցույթի և անհրաժեշտության գնահատումը 'Lawful basis (Euract/Legal Obligation/LI/Consent), Legitimate Interesport-ում LIA թեստը (շահերի հավասարակշռություն)։
4. Ռիսկերի նույնականացումը 'վտանգներ ռուսական, ամբողջականության, հասանելիության, սուբյեկտների իրավունքների համար (ավտոմատացված լուծումներ, ստանդարտ, բյուջետային օգտագործումը)։
5. Ռիսկի սկորինգը 'հավանականությունը (L 1-5) ռուսական ազդեցություն (I 1-5) NR (1-25); գունավոր գոտիներ (օձ/դեղին/նարնջագույն/կարմիր)։
6. Միջոցառումների պլանը (TOMs) 'ինդեքսիվ/դետեկտիվ/ուղղիչ' սեփականատերերի և ժամկետների հետ։
7. Հիբրիդային ռիսկը 'կրկնվող սկորինգը միջոցներից հետո։ լուծումը go/conditioned go/2019-go; բարձր բյուջետային ռիսկի դեպքում խորհրդատվություն է ֆոսֆորի հետ։
8. Ամրագրումը և արձակումը ՝ DPIA զեկույցը, RoPA/Քաղաքականություն/տիկնիկներ/CBS, պայմանագրային փաստաթղթեր։
9. Մոսկվա: KRIS/KPIS-ը, DPIA-ի հեղափոխությունը փոփոխությունների կամ պատահականների ժամանակ։
5) Գաղտնիության ռիսկերի մատրիցը (օրինակ)
Հավանականություն (L): 1 - հազվագյուտ; 3 - պարբերական; 5 - թեյ/մշտական։
Ազդեցությունը (I) 'հաշվի առնելով PII-ի ծավալը, զգայունությունը, աշխարհագրությունը, սուբյեկտների խոցելիությունը, վնասի շրջադարձը, կարգավորող հետևանքները։
6) Տեխնոլոգիական և տեխնոլոգիական միջոցառումների հավաքածու (TOMS)
Նվազեցում և ամբողջականություն 'միայն անհրաժեշտ դաշտերի հավաքումը։ ֆոսֆատորների և իրադարձությունների բաժանումը; 07/RFC/CURATED-ի գոտիները։
Կեղծանունացում/անունացում 'կայուն կեղծ-ID, տոկենիզացիա, k-անանուն dla։
Անվտանգությունը 'at rest/in transit, KFC և կոդավորման լուծարումը, SSO/MFA, RBAC/ABAC, WORM-logs, DLP, EDR, գաղտնիք մենեջեր։
Գողերի վերահսկումը 'DPA, ռուսական ենթահամակարգեր, աուդիտ, փորձարկում, ստացիոնար օգտագործման արգելք։
Սուբյեկտների իրավունքները 'DSAR ընթացակարգերը, առարկության մեխանիզմները, «ոչ-թրաքինգը», որտեղ հնարավոր է human-review կրիտիկական լուծումների համար։
Թափանցիկություն 'Քաղաքականության նորարարություն, cookie-Banner, նախընտրությունների կենտրոն, մրցույթի ցուցակների տարբերակը։
Մոդելների որակը և արդարությունը 'bias-թեստեր, intainability, պարբերական պերոկալիբրովկա։
7) Կապը LIA և DTIA-ի հետ
LIA (Legitimate Interesport Assessance): կատարվում է, եթե հիմքը LI է։ ներառում է նպատակային, անհրաժեշտության և հավասարակշռության թեստ (վնասներ/օգուտներ, օգտագործողների սպասումներ, մեղմացնող միջոցներ)։
DTIA (Windows Transfer Impact Assess.ru) - պարտադիր SCCS/IDTA երկրների համար առանց համարժեք; արձանագրում է համապատասխան միջավայր, իշխանությունների հասանելիությունը, տեխնոլոգիական միջոցները (E2EE/հաճախորդի բանալիներ), տարածքը։
8) DPIA զեկույցի (կառուցվածքը)
1. Համատեքստը նախաձեռնողն է, ֆիչիի/գործընթացի նկարագրությունը, նպատակները, լսարանը, ժամանակը։
2. Իրավական հիմքերը ՝ Medract/LO/LI/Consent; LIA ռեզյումե։
3. Տվյալների քարտեզը ՝ կատեգորիաները, աղբյուրները, ստացողները, ենթահամակարգերը, երկրագրությունը, պահեստավորման ժամանակը, ավելացումը/ավտոմատացումը։
4. Ռիսկերի գնահատումը ՝ սպառնալիքների լուծումը, L/I/R, որոնք ազդում են իրավունքների վրա, հնարավոր է վնասել։
5. Միջոցները ՝ TOMS, սեփականատերեր, ժամկետներ, արդյունավետության չափանիշներ (KPI)։
6. Հիբրիդային ռիսկ և լուծում (go/պայմանական/108-go); եթե high-ը խորհրդատվության ծրագիր է ագրեսորի հետ։
7. Մոնիտորինգի պլանը ՝ KRIs, վերանայման իրադարձություններ, կապ պատահականության հետ։
8. Ստորագրություններ և համաձայնագրեր ՝ Զենիթ, Իսպանիա, Legal, DPO (պարտադիր)։
9) Ինտեգրումը և CAB-ը
Գեյթ DPIA 'ռիսկային փոփոխությունների համար' CAB-ի պարտադիր արտեֆակտը։
Feature-flags/canaraks: դելֆիչ սահմանափակ լսարանի հետ, գաղտնիության ազդանշաններ հավաքելը։
Գաղտնիության Change-log 'Քաղաքականության տարբերակը, գողերի ցանկը/MSK, CBS նորարարությունը, մուտքի ամսաթիվը։
Արձագանքման պլանը 'MSK/fichi անջատումը, տվյալների հեռացումը/արխիվացումը, ակնարկները/հասանելի։
10) P.I.A./DPIA
Coverage: Ածխաջրածինների տոկոսը, որոնք անցել են PIA 2495 տոկոսը, DPIA-ի ռիսկային փոփոխությունների տոկոսը 95 տոկոսն է։
Time-to-DPIA-ն 'միջին ժամանակը նախաձեռնությունից մինչև X օրվա մրցույթի լուծումը։
Quality: DPIA-ի մասնաբաժինը չափված KPI-ի միջոցներով 90 տոկոսն է։
DSAR SLA: Հաստատումը 387 օր, կատարումը 30; կապ DPIA-ի հետ նոր ֆիչի համար։
Incidents: արտահոսքի/բողոքների մասը, որոնք կապված են գոտիների հետ առանց DPIA 240; ծանուցումների տոկոսը 72 ժամվա ընթացքում 100 տոկոսն է։
Vendor readiness: ռիսկի գողերի տոկոսը DPA/SCCs/DTIA-ից 100 տոկոսն է։
11) Հիբրիդային (iGaming)
A) Նոր KYC պրովայդեր կենսաչափության հետ
Ռիսկերը 'հատուկ կոորդինատներ, լիկտություն, նկարների կանոնավոր օգտագործումը։
Միջոցներ 'պահեստավորում պրովայդերի մոտ, խիստ DPA (տվյալների վրա սովորելու արգելք), կոդավորում, հեռացում SLA, fallback պրովայդեր, DSAR ալիքը։
B) վարքագծային սկորինգի մոդել
Ռիսկերը 'ավտոմատացված լուծումներ, լուծումներ, բացատրություն։
Միջոցները ՝ human-review high-impact լուծումների համար, www.ainability, bias-աուդիտներ, պատճառների ամսագիր, ֆիչի նվազեցում։
C) Մարքեթինգը-MSK/retargeting
Ռիսկերը 'թրքինգը առանց համաձայնության, թաքնված լուծողների փոխանցումը։
Միջոցները ՝ CBS (granular consent), server-side tagging, anon-IP ռեժիմը, հիբրիդային նպատակների պայմանական արգելքը, քաղաքականության թափանցիկությունը։
D) Responsible Gaming (RG) alerta
Ռիսկերը 'տվյալների զգայունությունը, սխալ դրոշները վնասում են օգտագործողին։
Միջոցները 'փափուկ միջամտություններ, բողոքարկման իրավունք, սահմանափակ հասանելիություն, լուծումների ամսագիր, կոշիկների ուսուցում։
E) Միգրացիա ամպի/նոր տարածք
Ռիսկերը ՝ ինտենսիվությունը, նոր ենթահամակարգը։
Միջոցները ՝ SCCS/IDTA + DTIA, ԵՄ-ի բանալիները, չորեքշաբթի հատվածները, փորձարկումների թեստը, ռուսական ենթահամակարգերի նորացումը։
12) Չեկ թերթերը
12. 1 Scrining PIA (արագ)
- Արդյո՞ ք լուծումների ավելացում/ավտոմատացում կա։
- Մշակո՞ ւմ են հատուկ/մանկական տվյալներ։
- Նոր գողեր/ենթահամակարգեր/երկրներ։
- Փոխվում են նպատակները/վերամշակման հիմքերը։
- Ներգրավված են մեծ ծավալներ/խոցելի խմբեր։
Եթե «այո» -ը 1-2 կետն է, մենք սկսում ենք DPIA-ը։
12. 2 DPIA զեկույցի պատրաստակամությունը
- Տվյալների քարտեզը և RoPA-ը նորարարված են
- LIA/DTIA (եթե կիրառելի) ավարտված են
- Միջոցները (TOMS) նշանակված և չափելի են։
- Հիբրիդային ռիսկը գնահատված և համաձայնեցված է DPO-ի կողմից
- Քաղաքականությունը/տիկնիկները/SMR նորարարված են
- Dok-հետքը և տարբերակները պահպանված են
13) Ձևանմուշներ (բեկորներ)
13. 1 Նպատակի ձևակերպում (օրինակ)
«Կանխել խարդախության կանխումը, երբ կանխում եք այն միջոցները, որոնք օգտագործում են վարքագծային սկորինգը օրինական հետաքրքրության վրա, տվյալների նվազագույնի հասցնելով և human-review լուծումների համար, որոնք սահմանափակում են միջոցների հասանելիությունը»։
13. 2 KPI միջոցներ (օրինակ)
FNR մոդելի նվազումը P95 վրա առանց FPR> 2 pp աճի։
DSAR-ի պատասխանը նոր ֆիչիի վրա 20 օր է։
Կենսաչափության հեռացումը ստուգումից 24 ժամ անց, ապացույցների ամսագիրը 100 տոկոսն է։
13. 3 RoPA դաշտը (ավելացնելով)
14) Արտեֆակտների պահպանումը և աուդիտը
DPIA/LIA/DTIA, լուծումներ, Քաղաքականության/բանների վարկածներ, DPA/SCCS/ռուսական ենթահամակարգեր, CBS-ի համաձայնությունների լոգներ, կենտրոնացված (WORM/տարբերակումը)։
Աուդիտը տարին մեկ անգամ 'DPIA նմուշը, ներդրված միջոցառումների ստուգումը, մեթրիկի վերահսկումը, DSAR թեստը։
15) Իրականացման ճանապարհային քարտեզը
Շաբաթներ 1-2 'ներդնել PIA սկրինինգը CAB-ում, հաստատել DPIA-ի ձևը, ուսուցանել սեփականատերերին։
Շաբաթներ 3-4: Սկսել WindoMap/RoPA, SMR/Banner, գողերի գրանցում, պատրաստել DPA/SCCs/DTIA։
Մեկ ամիս 2: առաջին DPIA-ն անցկացնել high-risk հոսքերով (KUS/հակաֆրոդ/մարքեթինգը), կապել KPIS-ը։
Մեկ ամիս 3 + 'DPIA-ի եռամսյակային հեղափոխությունը, մոդելների bias-աուդիտները, արտահոսքի թեստային ուսուցումները, շարունակական բարելավումները։
TL; DR
PIA/DPIA = վաղ սկրինինգը + տվյալների քարտեզը + օրինականությունը (LIA/DTIA) + ռիսկի և միջոցառումների գնահատումը (TOMS) + համաձայնեցված հիբրիդային ռիսկը DPO + 108 մետրանոց վերահսկողության տակ։ Մենք կառուցում ենք CAB-ում և ալյումիններում, և վերածում ենք գաղտնիությունը կառավարվող, ստուգված գործընթացին, ոչ թե «հրշեջ աշխատանքներին»։