Güvenlik sürekli bir sorumluluktur.

Erişim incelemesi kişileri, rollerini, eriştikleri sistemleri ve onayları belirtmelidir. Çok faktörlü kimlik doğrulama, ayrıcalıklı erişim, sır saklama ve erişimin kaldırılması kararlaştırılmalıdır. Kontrollerin kabulünden önce yapılandırma kanıtı ve son inceleme tarihi istenmelidir.

Her veri akışı için aktarım ve saklama şifrelemesi, cihaz yönetimi, anahtar sahipliği ve saklama süresi belgelenmelidir. Günlükler, yedekler ve destek erişimi de tasarıma dahil edilmelidir. İstisnalar ve sorumluları kaydedilir; politika metni tek başına uygulamayı kanıtlamaz.

Doğrulama kapsamı sistem riskine göre belirlenir. İş kapsamı mimari incelemeyi, otomatik kontrolleri, değerlendirme verilerini ve gerekli bağımsız sızma veya saldırı testlerini belirtmelidir. Test sorumluları, ortamlar, kabul ölçütleri ve açık bulguların yayına etkisi yazılmalıdır.

Verilerin nerede işlenebileceği, her talimatın ilk incelemesinde alınan, mimari kayıt defterine yazılan ve bir politika belgesi yerine tasarım tarafından uygulanan bir mimari karardır. Kayıt, müşteri verilerini tutan her bileşenin yasal bölgesini, onu işleten kuruluşu ve ona erişebilecek kişileri belirtir. Bir bileşen müşterinin seçmediği bir bölgedeyse tasarım yanlıştır.

Orkestrasyonu müşteri verisinden ayırmak riski azaltabilir; sınır test edilmelidir. Kimlik kayıtları, istemler, telemetri ve destek oturumları da kişisel veri içerebilir. Mimari inceleme sınır ötesi her akışı ve uygulanan teknik ve sözleşmesel kontrolleri belgelemelidir.

İsviçre, Avrupa Birliği, ABD, kurum içi altyapı ve egemen bulut değerlendirilecek dağıtım seçenekleridir. Kullanılabilirlik bileşenlere, lisanslara ve işletim kapasitesine bağlıdır. Model çağrıları, kimlik hizmetleri, günlükler, yedekler ve uzaktan destek dahil tüm işleme haritalanmalıdır.

Gizlilik beyan edilmek yerine tasarlanmıştır. Kişisel verilere dokunan her talimat, bir veri haritasıyla başlar ve işlemenin yüksek risk teşkil etmesi muhtemel olduğunda, uyumluluk sonradan düşünülmek yerine bir tasarım belgesi olarak yazılan bir veri koruma etki değerlendirmesiyle başlar. Değerlendirmede amaçları, hukuki dayanakları, saklama sürelerini ve veri sahiplerinin haklarını belirtir ve sistem değiştiğinde güncellenir.

Kişisel veriler sınırda en aza indirilir: amaç aksini gerektirmediği sürece bir modele ulaşmadan önce çıkarılır veya takma ad verilir ve asla başkalarına hizmet edecek bir modeli eğitmek veya değerlendirmek için kullanılmaz. İstemler, çıktılar, transkriptler ve kayıtlar yalnızca talimatın kabul ettiği süre boyunca saklanır ve silme planı, açıklanmak yerine uygulanır, test edilir ve kanıtlanır.

Firmanın kişisel verileri müşteri adına işlediği durumlarda, bunu alt işleyicileri, bölgeleri, güvenlik önlemlerini ve denetim haklarını belirten bir veri işleme sözleşmesi kapsamında bir işleyici olarak yapar. Firmanın kontrolör olduğu durumlarda, bu web sitesi aracılığıyla gönderilen taleplerde olduğu gibi, gizlilik bildirimi işleme sürecini tam olarak ortaya koyar.

Önerilen çalışmanın barındırma, model, kimlik, iletişim ve destek sağlayıcıları kaydedilmelidir. Her birinin rolü, amacı, bölgeleri, diğer sağlayıcıları ve sözleşmesel güvenceleri belirtilir. Değişikliklerin incelenmesi ve bildirilmesi kararlaştırılır. Veri paylaşmadan önce tamamlanmış kayıt istenir; bu site projeye özel bir kaydın varlığını kanıtlamaz.

Müşteri verileri paylaşılmadan önce sağlayıcılar, amaçları, işleme konumları ve sözleşmesel güvenceleri belirtilmelidir. Boş bir kayıt, üçüncü taraf bulunmadığını kanıtlamaz.

Olay planı iletişim kişilerini, önem derecelerini, bildirim yükümlülüklerini ve kurtarma adımlarını belirlemelidir. Son test tarihi ve açık noktalar kaydedilmelidir.

Müşteriler, verilerini etkileyen olaylarla ilgili olarak, sözleşmede belirlenen süre içerisinde ve her halükarda ilgili kanunun gerektirdiği süre içerisinde bilinenler, henüz bilinmeyenler ve yapılanlar ile ilgili bilgilendirilir. Kişisel veri ihlalinin denetleyici bir makama bildirilmesi gerektiği durumlarda firma, müşterinin raporunu ihtiyaç duyduğu kanıtlarla destekler. Her olay, etkilenen müşteriyle paylaşılan, nedeninin ve olayın tekrarını önleyen değişikliğin belirtildiği yazılı bir incelemeyle sona erer.

Sözleşme sorumluları, mevcut yedek kişileri, erişim düzenini ve devir yükümlülüklerini belirtmelidir. Ekip ve süreklilik düzenlemeleri kapsama bağlıdır ve iş başlamadan önce belgelenmelidir.

Yedek konumları, kurtarma hedefleri ve geri yükleme testleri her sistem için kaydedilmelidir. İkinci sağlayıcı veya bölge ancak güvenlik ve veri konumu koşulları izin verirse kullanılır.

Çıkış her nişanın başlangıcında tasarlanmıştır. Kaynak, modeller, istemler, indeksler, dokümantasyon ve veriler talep üzerine ve sonunda açık formatlarda teslim edilir; mevcut şartlarda bir geçiş dönemi teklif ediliyor; ve firmaya ait nüshaların silinmesi yazılı olarak tasdik edilir.

Yükümlülükler müşteriye, kullanım amacına ve yetki alanına bağlıdır. Satın alma incelemesi ilgili yasaları ve gözetim gereksinimlerini belirlemeli, önerilen kontrollerle eşlemeli ve kanıtlarla açıkları kaydetmelidir. Bir çerçevenin anılması uyum veya sertifika kanıtı değildir.

Çerçeveler burada adları ve yükümlülükleri ile anılmaktadır. Firma sahip olmadığı bir sertifikayı talep etmez ve aşağıdaki sertifikalar bölümü hırstan ziyade kayıttan doldurulmuştur.