ISO 27701: свържете управлението на защитата на личните данни със сигурността

Управлението на защитата на личните данни работи най-добре, когато решенията за обработване, предпазните мерки, обработката на искания за упражняване на права и отговорностите на доставчиците са съгласувани помежду си. ISO/IEC 27701 предлага подход на система за управление за тази работа: система за управление на информацията за неприкосновеността на личния живот (PIMS).

За техническия директор предизвикателството е да свърже документираните задължения с поведението на системите. Политиката за съхранение трябва да се превърне в процес на изтриване; ангажиментът на обработващия трябва да ограничава достъпа и повторната употреба; прегледът на защитата на данните трябва да влияе на изданията. Контролите за сигурност подкрепят тези резултати, но не могат да определят дали обработването е обосновано.

Изберете правилното издание и връзката с вашата ISMS

ISO/IEC 27701:2025 е второто издание и установява изискванията към PIMS като самостоятелен стандарт. По-старото издание от 2019 г. беше разширение на ISO 27001 и ISO 27002. Не изграждайте ново внедряване около допускането, че сертифицирането по ISO 27001 винаги е предварително условие. Потвърдете приложимото издание и преходните договорености със своя сертифициращ орган.

Съществуващата ISMS по ISO 27001 остава полезна. Управлението, процесите за риска, контролът на документите, вътрешните одити и прегледът от ръководството могат да подкрепят и двете системи. ISO 27002 предоставя насоки за контролите за информационна сигурност.

Дръжте целите отделно. Сигурността разглежда поверителността, цялостността и наличността. Защитата на личните данни разглежда също целите, пропорционалността, прозрачността и последиците за физическите лица. Криптирана база данни все пак може да съдържа ненужно събрана информация. Повторната употреба на доказателства за сигурност е разумна; третирането им като доказателство за съответствие в областта на защитата на данните не е.

Определете обхвата чрез обработването, а не само чрез инфраструктурата

Започнете с услугите и дейностите, обхванати от PIMS. Включете поддържащите системи, екипи, доставчици и интерфейси. Граница като „продукционна облачна среда“ е недостатъчна, ако отделът за поддръжка на клиенти експортира лични данни в отделна система за заявки.

За всяка дейност документирайте:

• Цел, категории лични данни и засегнати групи физически лица.
• Роля на администратор или обработващ, включително дейностите, при които ролите се различават.
• Източници на събиране, получатели, места за съхранение и пътища за предаване.
• Правила за съхранение, поведение при изтриване, собственици и приложими задължения.

Ролите зависят от дейността по обработване, а не просто от идентичността на компанията. Доставчик на софтуер може да обработва данни, качени от клиенти, по инструкции на клиента, като същевременно действа като администратор за собствените си записи за фактуриране. Тези дейности се нуждаят от различни пътища за вземане на решения.

Възлагайте изрично отговорностите на инженерните, продуктовите, свързаните със защитата на данните, снабдителните и оперативните екипи. Когато се изисква или е определено длъжностно лице по защита на данните (ДЛЗД), запазете неговата независима консултативна и наблюдаваща роля, вместо да го правите отговорно за избора на целите на обработването. ОРЗД съдържа съответните задължения за администраторите, обработващите и ДЛЗД.

Оценявайте рисковете за защитата на данните заедно с рисковете за сигурността

Използвайте описа на обработването, за да идентифицирате вредите за физическите лица, както и експозицията на организацията. Неразрешеният достъп има значение, но също и прекомерното събиране, неочакваната повторна употреба, неточните записи, недостъпните процедури за упражняване на права и съхранението отвъд установената необходимост.

Практичната оценка трябва да свързва всеки риск с дейност, последица, съществуваща предпазна мярка, третиране, отговорен собственик и повод за преглед. Запишете защо оставащият риск е приет или защо е необходима допълнителна работа.

Да разгледаме функция за отчети, която експортира данни за изпълнението на служителите. Удостоверяването и логването на достъпа решават проблемите на сигурността. Анализът на защитата на данните трябва също да прецени дали експортът включва ненужни полета, разкрива чувствителни изводи или позволява употреби, несъвместими с обявената цел.

Оценката по PIMS може да подкрепи правната оценка, но не изпълнява автоматично изискванията на всяка юрисдикция. Съгласно член 35 от ОРЗД обработването, което има вероятност да породи висок риск, изисква оценка на въздействието върху защитата на данните. Преценете този праг отделно и пазете решението и всяка изисквана оценка.

Превърнете задълженията в контроли, които могат да бъдат тествани

Избягвайте политика за защита на данните, която инженерите не могат да внедрят. За всяко задължение посочете очакваното поведение на системата и доказателствата, които го доказват. Следващите примери са практически примери за внедряване, а не универсален задължителен набор от контроли.

Криптирането, най-малките необходими привилегии, логването и възстановяването остават важни общи предпазни мерки. Избирайте мерките според риска: член 32 от ОРЗД не налага общо криптиране във всяка ситуация. Документирайте ограниченията по отношение на достъпа до ключовете, възстановяването и изтриването, когато те влияят на резултатите за защитата на данните. Вижте криптиране и управление на ключове за съображенията при внедряването.

Изградете оперативни процедури, които издържат на реални случаи

Обработката на искания за упражняване на права изисква канал за приемане, собственост, пропорционална проверка на самоличността, търсене в системите, преглед по отношение на трети лица и сигурно предоставяне. Съгласно ОРЗД отговорите обикновено се дължат в срок от един месец; допустимите удължавания изискват уведомяване в рамките на този първи месец. Пазете записи за случаите, които обясняват решенията, а не само броя закрити заявки. Процесът за искания за достъп от субектите на данни трябва да обхваща и ръчните системи и съдействието от доставчици.

Обработката на инциденти трябва да разграничава техническото ограничаване от решенията за уведомяване във връзка със защитата на данните. Съгласно ОРЗД обработващите уведомяват администраторите без ненужно забавяне. Администраторите преценяват уведомяването на надзорния орган без ненужно забавяне и, когато това е осъществимо, не по-късно от 72 часа след узнаването, освен ако не съществува вероятност нарушението да породи риск за правата и свободите на физическите лица. Записвайте обосновката при решение да не се уведомява и преценявайте дали високият риск изисква съобщаване на физическите лица.

Процедурите за доставчиците трябва да разглеждат инструкциите, подизпълнителите обработващи, съдействието при искания и инциденти, връщането или изтриването и достъпа до доказателства. Когато се прилага ОРЗД, договорите по член 28 имат конкретни задължителни елементи. Сертификатът на доставчика е подкрепяща увереност, а не заместител на тези условия.

Международните предавания изискват отделна правна оценка. Сертифицирането по ISO 27701 не ги разрешава и не неутрализира рисковете от наблюдение. Документирайте приложимия механизъм, оценете условията му и внедрете допълнителни мерки, когато е необходимо. Само местоположението на данните не установява съответствие.

Практически пример: услуга за поддръжка на клиенти

Да приемем, за илюстрация, че доставчик на SaaS обработва съобщения от поддръжката на клиенти по инструкции на клиентите и е администратор на собствените си записи за контактите по акаунтите. И двете дейности използват една и съща платформа за поддръжка.

Екипът картографира съдържанието на съобщенията, прикачените файлове, идентификаторите на акаунти, достъпа на доставчици и местата, към които се експортират данни. Той открива, че експорт за отстраняване на грешки копира пълни съобщения в инженерно работно пространство с по-дълъг срок на съхранение.

Третирането е конкретно: заменете експортите на пълни съобщения с минимизирани диагностични полета, ограничете изключителния достъп, приложете одобрен срок на съхранение и запишете кой разрешава изключенията. Тествайте дали рутинните експорти пропускат текста на съобщенията и дали изтеклите диагностични записи се премахват.

Пакетът с доказателства съдържа записа за обработването, оценката на ролите, условията на доставчика, решението относно риска, конфигурацията, резултатите от тестовете и историята на одобренията. Общият преглед на контрола на достъпа подкрепя както сигурността, така и защитата на данните, докато решението за целта на експорта остава специфично за защитата на данните.

Подгответе се за сертифициране с оперативни доказателства

Сертифицирането се извършва от независим сертифициращ орган, а не от ISO. Преди да насрочите оценката, потвърдете обхвата, изданието, подхода към одита и очакванията за доказателствата. Типичният процес на първоначално сертифициране включва проверка на готовността и преглед на документацията, последвани от оценка на внедряването; потвърдете договореностите с избрания орган.

Проведете вътрешен одит спрямо приложимите изисквания и собствените си процедури. Проверете извадка от дейности по обработване, случаи на искания за упражняване на права, решения за доставчици, изпълнение на съхранението и промени в продуктите. Разграничавайте липсващ документ от контрол, който съществува, но не функционира на практика.

Прегледът от ръководството трябва да разглежда констатациите, нерешените рискове, промените, резултатността и ресурсите. Коригиращите действия се нуждаят от собственици, доказателства за изпълнение и проверки на ефективността. Сертифицирането може да осигури увереност за системата за управление с определен обхват, но не установява съответствие с ОРЗД, не създава правно основание и не обхваща дейности извън този обхват.

Започнете с една проследима дейност по обработване

Изберете една дейност, проследете данните ѝ през свързаните системи и доставчици и свържете всяко съществено задължение със собственик, предпазна мярка и история на решенията. Преглеждайте я след съответни промени, вместо да чакате следващия одит.

Secani подкрепя този процес за доказателства, като свързва изисквания, контроли, системи, доказателства и решения от прегледи. Екипите могат да пазят общите доказателства за ISMS наред с решенията, специфични за защитата на данните, да превръщат пропуските във възложени задачи и да запазват човешкото одобрение на предложенията с помощта на ИИ. Първият полезен резултат е прегледана верига от целта на обработването до внедрената предпазна мярка и подкрепящите доказателства.