어떤 필수 기록은 디지털 전환 법에 맞습니까?

디지털 변혁 법은 조직이 이전과 각 전환 중에 정의, 문서화 단계가 발생했다고 설정하는 데 휴식합니다. 최소 규제 마찰 및 소송 노출에 직면하는 조직은 법적 이정표를 치료하는 것이 아니라 IT 프로젝트. 법원 및 규제 기관은 회사가 식별 된 적용 법률, 평가된 공급 업체 준수를 보여주는 동시 레코드를 보존하고 마이그레이션 중에 데이터 무결성을 모니터링 할 수 있는지 여부를 검사합니다. 조직이 기술적인 cutover를 완료할 때 일반적인 pitfall는 법적 검토 또는 수락 테스트의 문서화 된 증거가 부족합니다. 규제 기관 조사 또는 의사의 문제 발견 요청을 반대 할 때, 사전 전달 법률 감사 또는 마이그레이션 준수 체크리스트가 법적 의무에 대한 negligence 또는 indifference를 제안할 수 있습니다.

제품 정보 디지털 변환 HIPAA가 의료 시스템에 대한 HIPA, 금융보고 인프라의 SOX 또는 소비자 데이터 플랫폼에 대한 상태 개인 정보 보호 법률을 분석하는 것이 일반 규정 의무를 매핑하기위한 기업에게 조언합니다. 각 정권은 데이터 처리, 액세스 제어 및 감사 트레일에 대한 명백한 요구 사항을 부과합니다. 조직은 새로운 시스템이 살고 가기 전에 각 요구 사항을 만족시키는 방법을 문서해야합니다. 이 포워딩 준비는 규제적 스크루티를 초대하거나 소송 책임이 있는 한 가지에서 현명한 변혁을 구별합니다.

적절한 공급 업체를 선택하고 보호 계약 조건을 협상하는 것은 변화 중 법적 위험 관리를위한 가장 중요한 레버입니다. 조직의 책임 노출은 공급업체를 선택할 때 끝나지 않습니다. 전체 참여와 그 이상의 작업을 통해 확장됩니다. 법원과 규제 기관은 회사가 공급업체의 행동, 데이터 위반 및 제3자가 발생했을 때에도 준수 실패를 책임집니다. 계약은 명확하게 위험을 할당해야하며, 지정된 규정 준수 기준을 유지하고 공급업체가 짧은 기간 동안 조직 감사 및 종료 권한을 부여해야합니다.

공급 업체를 평가할 때, 관련 인증의 증거가 필요하며 SOC 2는 데이터 보안에 대한 테스트, 정보 보안 관리를위한 ISO 27001 또는 업계 별 인증을 요구합니다. 실제 감사 보고서 또는 임원 summaries를 요청하여 법적 및 준수 팀이 귀사의 조직 위험 공차와 관련하여 공급업체 통제를 확인할 수 있습니다. 데이터 암호화, 액세스 제어, 사건 응답 절차 및 규제 준수 기록을 포함하는 공급업체 보안 설문 조사에 대한 자세한 답변. 공급업체가 특정 질문에 답하거나 evasive 응답을 제공 할 경우, 해당 신호는 더 깊은 조사 또는 공급 업체 대용암호를 보장하는 적대항.

계약은 가동 시간 보장, 데이터 가용성 약속 및 실패를 위한 구제 조건을 지정하는 서비스 수준 계약을 포함해야 합니다. 공급업체가 공급 업체의 시스템을 방어하고, 제3자 지적 재산권을 침해하거나 행위하는 경우 조직에 대한 허가를 받아야 하는 명시적 인 통합 언어, 데이터 보호법 또는 분야별 규정. 추가 보험으로 지명된 조직과 사이버 책임 보험을 유지해야 합니다. 닐기 감사 권리는 귀사의 조직이 공급업체 시스템, 데이터 처리 관행 및 합리적인 통지에 대한 준수 문서를 검사할 수 있도록 합니다. 공급 업체가 준수 기준을 충족하지 못하면 벌금없이 재료 위반에 대한 종결을 제외하고. 잘 짜진 공급업체 계약은 당사자가 법적 의무와 실패의 결과에 대해 이해하는 구조적 준수 파트너십으로 공급 업체 관계를 변화시킵니다.

데이터 마이그레이션은 시스템 간의 이동하기 때문에 가장 높은 변화 단계이며 액세스 제어는 유출에있을 수 있으며, 조직의 시정이 데이터 위치와 무결성으로 종종 낮습니다. 규제 및 평형화의 상담은 데이터 손실, 무단 액세스 또는 이 단계 동안 준수 실패가 침해 통지 의무, 규정 벌금 및 소송 노출을 유발할 수 있기 때문에 강력하게 마이그레이션 관행을 중단합니다. 조직은 단계로 마이그레이션을 계획해야하며 각 단계에서 데이터 무결성을 검증하고 데이터를 액세스하는 데 필요한 상세한 로그를 유지합니다.

마이그레이션이 시작되기 전에 종합적인 데이터 재고 및 분류 운동을 수행합니다. 모든 데이터 자산을 식별하고, 감도 수준과 규제 규정에 의해 분류 - 국가 개인 정보 보호법의 밑에 사람 자료, SOX- 및 문서 아래에 금융 기록 HIPAA에서 보호 된 건강 정보가 현재 위치와 액세스 제어. 이 재고는 데이터가 분실되거나 손상되지 않은 검증을 위해 기본이 됩니다. 새로운 시스템의 액세스 제어 일치 또는 이전 시스템에 대한 보호 초과. 데이터 전송, 유효성 검사점, 롤백 절차 및 각 단계별 타임라인을 지정하는 상세한 마이그레이션 runbook 개발. 각 마이그레이션 단계에 대한 명확한 소유권을 할당하고 다음 단계를 진행하기 전에 기술 및 준수 인력 모두에서 서명 오프를해야합니다.

마이그레이션 중, 모든 데이터 전송의 상세한 로그를 유지, 액세스 시도 및 시스템 변경. 이 로그는 규제 조사 또는 소송이 나중에 데이터에 대한 합리적인 관심을 연습 할지 여부를 결정하는 경우 중요한 증거가됩니다. .ransit 및 나머지 데이터의 암호화는 비 협상이 불가능합니다. 새로운 시스템의 액세스 제어, 감사 트레일 및 데이터 백업 절차를 테스트하여 생산 데이터를 라이브합니다. 기존 시스템의 재조합을 위해 이전 시스템과 새로운 시스템을 동시에 운영하면 새 시스템이 일정한 결과를 생성하는 것을 검증할 수 있습니다. 문서 모든 테스트 결과 및 발견 된 결함과 재약.

뉴욕 법원의 변화 관련 분쟁이 발생하면, 절차 후속 조치는 조직이 준수 노력과 위험 완화 결정에 대한 충분한 서류를 생산할 수 있는지 여부를 종종 전환합니다. 뉴욕 상업 소송에서, 당사자는 이웃의 땅에 대한 변화를 도전했다. 계약 위반, 또는 규제 위반은 조직이 합리적인 관리하거나 특정 법적 의무를 위반하는 것을 설정해야 합니다. 귀하의 contemporaneous 레코드, 사전 전송 법적 감사, 유권자 파일로 인해 공급 업체, 마이그레이션 준수 체크리스트, 테스트 프로토콜 및 게시물-커버 유효성 보고서는 이러한 주장에 대한 기본 방어입니다.

디지털 시스템을 포함한 뉴욕 사례에서 발견은 공격적이고 비쌉니다. 상담은 IT 및 법률팀, 공급업체 계약과 성능 보고서, 마이그레이션 로그 및 준수 검증을 포함한 전이와 관련된 모든 문서 및 통신을 요구할 것입니다. 조직이 결정 공정 또는 준수 검토를 문서화하지 못하면, 레코드의 부재는 법원에서 금지 된 주장을 초대 할 수 있습니다. 뉴욕 상업 부문의 법원은 당사자가 자재 사업 행사와 함께 간행적으로 기록하고 생성해야하는 것을 반복적으로 개최했습니다. 지연 된 문서는 조직이 실제로 후 자체 보존 narratives를 만드는 것에 대해 질문을 제기합니다.

조직의 소송 자세를 보호하기 위해, 변환이 시작되기 전에 문서 프로토콜을 설치합니다. 법의 감사, 공급 업체 선택 및 불만족, 계약 협상, 마이그레이션 계획, 테스트 결과, 사고 로그 및 포스트 컷 검증 보고서를 포함하는 변환 준수 파일을 생성하고 유지하도록 수락 임원 또는 법적 팀 구성원을 지정합니다. 모든 주요 결정은 그들이 만든 시간에 쓰기에 문서화되어 나중에 다시 구성되지 않습니다. 기술 및 법률 인력 모두에서 등록을 요구합니다. 계획에서 문제 또는 편차가 이동 중 발생하면 즉시 문서, 정확한 행동을 설명하고 결과를 기록합니다. 이 정력적 기록 관리 분야는 소송에서 현실적인 도전을 직면하는 사람들의 변화 결정에 방어 할 수있는 조직을 분리합니다.

디지털 변환은 종종 새로운 소프트웨어 플랫폼, 클라우드 서비스 또는 데이터 분석 도구를 채택하여 지적 재산의 복제 및 라이센스 의무를 조직이 신중하게 관리해야합니다. 새로운 시스템을 선택하기 전에 조직의 기존 소프트웨어 라이센스를 감사하고 해당 라이선스가 새 플랫폼 또는 클라우드 환경에 마이그레이션할 수 있는지 결정하십시오. 일부 레거시 소프트웨어 라이센스는 온프레미스 시스템에만 제한됩니다. 라이선스를 침해하지 않고 클라우드로 마이그레이션하면 라이센서에서 청구할 권한을 부여하고 조직을 노출시킬 수 있습니다.

새로운 플랫폼을 평가할 때, 공급업체의 지적 재산 표현 및 보증을 검사합니다. 공급업체가 소유하거나 플랫폼의 모든 구성품에 권리를 가지고 있거나 타사 오픈 소스 소프트웨어 또는 라이센스 부품에서 의존합니까? 플랫폼에는 오픈 소스 코드가 포함되어 있지 않으면, 개방 자원 라이센스는 조직의 사용과 호환되며 attribution, Source Code disclosure 또는 다른 open-source license 의무와 비교해야 합니다. 제품 정보 암호화폐 및 디지털 자산법 변화하는 이니셔티브에 내장 된 신기술이 규제 또는 지적 재산 위험을 귀하의 산업으로 수행 할 수 있는지 여부를 파악합니다. 이 플랫폼은 제3자 지적 재산권을 침해하지 않는 것을 나타내고, 그 공급업체는 제 3자가 침해를 주장하는 경우 조직을 방어할 것입니다. 이 약관은 귀하의 공급업체 계약에 따라 적용됩니다. Post-transformation, 사용자 정의의 문서 소유권, 통합 또는 새로운 플랫폼에 개선 명확하게. 조직이 커스터마이징을 개발하기 위해 공급 업체를 지불하면 계약은 모든 지적 재산권을 귀하의 기관에 할당합니다.

변화가 살아남을 때, 조직의 법적 위험이 사라지지 않습니다. 지속적인 준수 모니터링 및 문서로 이동하십시오. 후의 전달 준수 검토 일정을 수립, 일반적으로 30, 60 및 90 일 cutover 이후, 새로운 시스템은 규제 요구 사항을 충족하고 데이터 또는 기능이 degraded하지 않는 것을 검증하는 것으로 입증. 각 리뷰의 결과와 복용 한 어떤 재중간 행동을 문서화합니다. 지속적인 감사의 흔적과 모니터링 제어를 구현하기 때문에 조직은 신속하게 준수 편차 또는 보안 사고에 대해 감지하고 응답 할 수 있습니다. 규제 및 라이도스는 조직이 변형 후 시스템을 적극적으로 모니터링 할 것으로 예상합니다. 지속적인 검증이없는 시스템 성능의 수동 합격은 negligence를 제안합니다.

새로운 데이터 관리 의무를 생성했는지 여부에 대한 평가. 새로운 시스템 수집, 프로세스 또는 개인 데이터를 저장하면 조직이 개인정보 보호 정책, 데이터 보존 정책을 업데이트하고 새 시스템에 대한 기능을 반영하기 위해 액세스 요청 절차를 수행해야합니다. 새로운 접근 제한, 데이터 처리 관행 및 새 시스템에 대한 준수 책임에 관한 교육 직원. 교육 기록을 유지하므로 조직이 직원 준수를 보장하기 위해 단계를 수행 할 수 있도록 규제 기관에 보여줄 수 있습니다. 새로운 시스템의 지속적 준수 감사는 액세스 제어가 효과적이며, 데이터는 정책에 따라 처리되고 감사 트레일은 완전하고 신뢰할 수 있습니다. 귀하의 변화 방아쇠 통지 또는 규제, 고객, 비즈니스 파트너에 의무를 보고하는 것을 고려하십시오. 데이터 보안, 시스템 가용성 또는 규제보고 인프라에 영향을 미치는 일부 변화는 관련 기관이나 고객에게 알림이 필요할 수 있습니다. 잘 계획된, 고분고분한 변환의 proactive 고시를 제공해서 수시로 다른 방법을 통해 변화를 발견하는 규칙 또는 고객을 허용하기 위하여 비교되는 규제 마찰 및 고객 관심사를 감소시킵니다.