ახალი მომწოდებელი და თქვენი მონაცემები

ახალი სერვისის დანერგვამდე ჯერ გაარკვიეთ, კონკრეტულად რა ინფორმაციას მიიღებს მომწოდებელი და რა წვდომა სჭირდება სამუშაოსთვის. ქვემოთ მოცემული ფორმატი დაგეხმარებათ საკითხების შეგროვებასა და იურიდიულ და ტექნიკურ გუნდებთან განხილვაში.

აღწერეთ მონაცემთა მოძრაობა

ერთ გვერდზე ჩამოწერეთ: მონაცემების წყარო, მიმღები სერვისი, გამოყენების მიზანი, წვდომის მქონე პირები და შენახვის ადგილი. გამოყავით მომხმარებელთა, თანამშრომელთა და სხვა პირების ინფორმაცია. გადაამოწმეთ, ნამდვილად სჭირდება თუ არა მომწოდებელს ყველა მოთხოვნილი მონაცემი.

დასვით კონკრეტული კითხვები

რომელი მონაცემები გადაეცემა და რატომ?
ვინ იღებს გადაწყვეტილებას მათი გამოყენების მიზნებსა და საშუალებებზე?
სად ინახება ინფორმაცია და ვინ არიან დამატებითი მომსახურების მომწოდებლები?
ვინ შეძლებს ადმინისტრაციულ წვდომას? ხელმისაწვდომია მრავალფაქტორიანი ავთენტიფიკაცია და წვდომის ჩანაწერები?
როგორ ხდება ინფორმაციის დაბრუნება და წაშლა მომსახურების დასრულებისას?
ვის ვუკავშირდებით ინციდენტის დროს და როგორ გვაწვდიან ინფორმაციას?

მოითხოვეთ შესაბამისი მტკიცებულება

ზოგადი დაპირების ნაცვლად მოითხოვეთ შესაბამისი დოკუმენტი ან ახსნა: უსაფრთხოების აღწერა, დამოუკიდებელი აუდიტის მოქმედი ანგარიში, წვდომის მართვის წესები ან ინციდენტზე რეაგირების პროცედურა. შეამოწმეთ, კონკრეტულად რას მოიცავს მოწოდებული მტკიცებულება. სერტიფიკატის არსებობა ყველა რისკის პასუხი არ არის.

შეათანხმეთ გადაწყვეტილება

ბიზნესგუნდმა უნდა ახსნას სერვისის საჭიროება, ტექნიკურმა გუნდმა შეაფასოს უსაფრთხოება, ხოლო იურიდიულმა გუნდმა განსაზღვროს მხარეთა როლები და შესაბამისი სახელშეკრულებო და სამართლებრივი მოთხოვნები. მონაცემთა საერთაშორისო გადაცემისა და სპეციალური კატეგორიის მონაცემების საკითხები ცალკე განხილვას შეიძლება საჭიროებდეს.

შეინახეთ მოკლე შეფასება

შეფასებაში ასახეთ სერვისის დასახელება, მონაცემები, მიზანი, გამოვლენილი რისკები, საჭირო ზომები, გადაწყვეტილების მიმღები და გადახედვის თარიღი. დაუმტკიცებელი მნიშვნელოვანი საკითხები დატოვეთ ღიად და მიუთითეთ, რა პირობით შეიძლება მომსახურების დაწყება.

ტექნიკური შეფასებისთვის დამატებით გამოგადგებათ ქვემოთ მითითებული NCSC-ის ღრუბლოვანი სერვისების უსაფრთხოების სახელმძღვანელო. ეს არის გაერთიანებული სამეფოს ტექნიკური რეკომენდაცია და არა საქართველოს სამართლებრივ მოთხოვნათა ჩამონათვალი.

Before introducing a service, establish what information the supplier will receive and what access it actually needs. Use this guide to collect the facts for a joint business, legal and technical review.

Map the information flow

Record the source, destination, purpose, people with access and storage location. Distinguish customer, employee and other personal information. Check whether every requested data field is necessary for the service.

Ask specific questions

What information is transferred, and why?
Who decides the purposes and means of its use?
Where is it stored, and which additional providers are involved?
Who has administrative access? Are multi-factor authentication and access logs available?
How will information be returned and deleted when the service ends?
Who is the incident contact and how will updates be provided?

Ask for relevant evidence

Seek an appropriate document or explanation: a security description, a current independent audit report, access-management rules or an incident-response procedure. Check the scope of the evidence. A certificate alone does not resolve every risk.

Agree the decision

The business team explains the need; the technical team assesses security; the legal team identifies the parties' roles and the relevant contractual and legal requirements. International transfers and special-category information may require separate assessment.

Keep a short assessment record

Record the service, information involved, purpose, risks, actions, decision owner and review date. Keep significant unresolved questions open and state any conditions that must be met before use begins.

For technical assessment, the NCSC cloud security guidance below provides useful reference points. It is UK technical guidance, not a statement of Georgian legal requirements.