ISO 27701: ühendage privaatsuse haldus ja infoturve

Privaatsuse haldus toimib kõige paremini siis, kui töötlemisotsused, kaitsemeetmed, õiguste käsitlemine ja tarnijate vastutus sobituvad omavahel. ISO/IEC 27701 pakub selleks tööks juhtimissüsteemi lähenemist: privaatsusteabe halduse süsteemi ehk PIMS-i.

CTO jaoks seisneb väljakutse dokumenteeritud kohustuste sidumises süsteemi käitumisega. Säilitamispoliitikast peab saama kustutamisprotsess; volitatud töötleja kohustus peab piirama juurdepääsu ja taaskasutust; privaatsusülevaatus peab mõjutama väljalaskeid. Turvameetmed toetavad neid tulemusi, kuid ei saa otsustada, kas töötlemine on põhjendatud.

Valige õige väljaanne ja suhe oma ISMS-iga

ISO/IEC 27701:2025 on teine väljaanne ja kehtestab PIMS-i nõuded iseseisva standardina. Varasem 2019. aasta väljaanne oli ISO 27001 ja ISO 27002 laiendus. Ärge ehitage uut juurutust eeldusele, et ISO 27001 sertifikaat on alati eeltingimus. Kinnitage kohaldatav väljaanne ja üleminekukord oma sertifitseerimisasutusega.

Olemasolev ISO 27001 ISMS on endiselt kasulik. Juhtimine, riskiprotsessid, dokumendihaldus, siseauditid ja juhtkonnapoolne ülevaatus võivad toetada mõlemat süsteemi. ISO 27002 annab infoturbe kontrollimeetmete juhised.

Hoidke eesmärgid lahus. Turve käsitleb konfidentsiaalsust, terviklust ja käideldavust. Privaatsus käsitleb lisaks eesmärke, proportsionaalsust, läbipaistvust ja tagajärgi üksikisikutele. Krüpteeritud andmebaas võib siiski sisaldada asjatult kogutud teavet. Turvatõendite taaskasutamine on mõistlik; nende käsitlemine privaatsusnõuetele vastavuse tõendina ei ole.

Määrake ulatus töötlemise, mitte ainult taristu kaudu

Alustage PIMS-iga hõlmatud teenustest ja tegevustest. Kaasake toetavad süsteemid, meeskonnad, tarnijad ja liidesed. Selline piir nagu „tootmispilvekeskkond“ ei ole piisav, kui klienditugi ekspordib isikuandmeid eraldi piletisüsteemi.

Dokumenteerige iga tegevuse kohta:

• Eesmärk, isikuandmete kategooriad ja mõjutatud isikute rühmad.
• Vastutava või volitatud töötleja roll, sealhulgas tegevused, mille puhul rollid erinevad.
• Kogumisallikad, vastuvõtjad, säilitamiskohad ja edastusteed.
• Säilitamisreeglid, kustutamise käitumine, omanikud ja kohaldatavad kohustused.

Rollid sõltuvad töötlemistoimingust, mitte lihtsalt ettevõtte identiteedist. Tarkvarapakkuja võib töödelda kliendi üles laaditud andmeid kliendi juhiste alusel, olles samal ajal oma arveldusandmete vastutav töötleja. Need tegevused vajavad erinevaid otsustusteid.

Määrake inseneri-, toote-, privaatsus-, hanke- ja tegevusvastutus selgesõnaliselt. Kui andmekaitseametnik on nõutav või määratud, säilitage tema sõltumatu nõuandev ja järelevalvav roll, selle asemel et teha ta vastutavaks töötlemiseesmärkide valimise eest. GDPR sätestab asjakohased vastutava töötleja, volitatud töötleja ja andmekaitseametniku kohustused.

Hinnake privaatsusriske koos turvariskidega

Kasutage töötlemistoimingute inventari, et tuvastada nii kahju üksikisikutele kui ka organisatsiooni riskid. Volitamata juurdepääs on oluline, kuid sama olulised on liigne kogumine, ootamatu taaskasutus, ebatäpsed kirjed, raskesti ligipääsetavad õiguste menetlused ja säilitamine kauem, kui väljaselgitatud vajadus ette näeb.

Praktiline hindamine peaks siduma iga riski tegevuse, tagajärje, olemasoleva kaitsemeetme, käsitlusviisi, vastutava omaniku ja ülevaatuse käivitajaga. Salvestage, miks jääkrisk aktsepteeritakse või miks on vaja täiendavat tööd.

Võtke näiteks aruandlusfunktsioon, mis ekspordib töötajate tulemuslikkuse andmeid. Autentimine ja juurdepääsu logimine lahendavad turvaprobleemid. Privaatsusanalüüs peab lisaks kaaluma, kas eksport sisaldab mittevajalikke välju, paljastab tundlikke järeldusi või võimaldab kasutusviise, mis ei ole kooskõlas deklareeritud eesmärgiga.

PIMS-i hindamine võib toetada õiguslikku hindamist, kuid ei täida automaatselt iga jurisdiktsiooni nõudeid. GDPR-i artikli 35 kohaselt nõuab tõenäoliselt suurt riski põhjustav töötlemine andmekaitsealast mõjuhinnangut. Hinnake seda lävendit eraldi ning säilitage otsus ja kõik nõutavad hinnangud.

Muutke kohustused testitavateks kontrollimeetmeteks

Vältige privaatsuspoliitikat, mida insenerid ei saa rakendada. Määrake iga kohustuse jaoks oodatav süsteemi käitumine ja seda tõendavad tõendid. Järgnevad on praktilised juurutusnäited, mitte universaalne kohustuslik kontrollimeetmete kogum.

Krüpteerimine, vähimate õiguste põhimõte, logimine ja taastamine jäävad olulisteks ühisteks kaitsemeetmeteks. Valige meetmed riski järgi: GDPR-i artikkel 32 ei kehtesta üldist krüpteerimiskohustust igas olukorras. Dokumenteerige võtmetele juurdepääsu, taastamise ja kustutamise piirangud seal, kus need mõjutavad privaatsustulemusi. Juurutamise kaalutlusi vt artiklist krüpteerimine ja võtmehaldus.

Looge tegevusprotseduurid, mis peavad vastu päris juhtumitele

Õiguste käsitlemine vajab vastuvõtukanalit, vastutajat, proportsionaalset isikusamasuse kontrolli, süsteemiotsinguid, kolmandate isikute andmete ülevaatust ja turvalist edastamist. GDPR-i kohaselt tuleb vastata tavaliselt ühe kuu jooksul; lubatud pikendamisest tuleb teatada selle esimese kuu jooksul. Säilitage juhtumikirjeid, mis selgitavad otsuseid, mitte ainult suletud piletite arvu. Andmesubjekti juurdepääsutaotluste töövoog peaks hõlmama ka käsitsi peetavaid süsteeme ja tarnijate abi.

Intsidentide käsitlemine peab eristama tehnilist ohjeldamist privaatsusalastest teavitamisotsustest. GDPR-i kohaselt teavitavad volitatud töötlejad vastutavaid töötlejaid põhjendamatu viivituseta. Vastutavad töötlejad hindavad järelevalveasutuse teavitamist põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta üksikisikute õigusi ja vabadusi. Salvestage teavitamata jätmise põhjendus ja hinnake, kas suur risk nõuab üksikisikute teavitamist.

Tarnijaprotseduurid peaksid käsitlema juhiseid, alamtöötlejaid, abi taotluste ja intsidentidega, andmete tagastamist või kustutamist ning juurdepääsu tõenditele. Kui kohaldub GDPR, on artikli 28 lepingutel konkreetsed nõutavad elemendid. Tarnija sertifikaat on toetav kindlustunne, mitte nende tingimuste asendaja.

Rahvusvahelised edastamised nõuavad eraldi õiguslikku hindamist. ISO 27701 sertifikaat ei anna neile luba ega neutraliseeri jälgimisriske. Dokumenteerige kohaldatav mehhanism, hinnake selle tingimusi ja rakendage vajaduse korral täiendavaid meetmeid. Andmete asukoht üksi ei tõenda vastavust.

Läbitöötatud näide: klienditoe teenus

Oletame illustratiivselt, et SaaS-teenuse pakkuja töötleb klienditoe sõnumeid klientide juhiste alusel ja vastutab ise oma kontokontaktide kirjete eest. Mõlemad tegevused kasutavad sama klienditoe platvormi.

Meeskond kaardistab sõnumite sisu, manused, kontoidentifikaatorid, tarnijate juurdepääsu ja ekspordi sihtkohad. Ta avastab, et silumiseks tehtav eksport kopeerib terviklikud sõnumid pikema säilitusajaga inseneride tööruumi.

Käsitlus on konkreetne: asendada täissõnumite ekspordid minimeeritud diagnostikaväljadega, piirata erandlikku juurdepääsu, rakendada kinnitatud säilitusaega ja salvestada, kes erandeid lubab. Testida, et tavapärased ekspordid jätavad sõnumite sisu välja ja et aegunud diagnostikakirjed eemaldatakse.

Tõendipakett sisaldab töötlemistoimingute registri kannet, rollihinnangut, tarnijatingimusi, riskiotsust, konfiguratsiooni, testitulemusi ja kinnitusajalugu. Ühine juurdepääsukontrolli ülevaatus toetab nii turvet kui ka privaatsust, samal ajal kui ekspordi eesmärgi otsus jääb privaatsusespetsiifiliseks.

Valmistuge sertifitseerimiseks tegevuslike tõenditega

Sertifitseerimise viib läbi sõltumatu sertifitseerimisasutus, mitte ISO. Enne hindamise ajastamist kinnitage ulatus, väljaanne, auditi lähenemisviis ja tõenditele esitatavad ootused. Tüüpiline esmane sertifitseerimisprotsess hõlmab valmisoleku ja dokumentatsiooni ülevaatust, millele järgneb juurutuse hindamine; kinnitage korraldus valitud asutusega.

Viige läbi siseaudit kohaldatavate nõuete ja oma protseduuride alusel. Võtke valimisse töötlemistoiminguid, õiguste juhtumeid, tarnijaotsuseid, säilitamise täitmist ja tootemuudatusi. Eristage puuduvat dokumenti kontrollimeetmest, mis on olemas, kuid ei toimi praktikas.

Juhtkonnapoolne ülevaatus peaks käsitlema leide, lahendamata riske, muudatusi, tulemuslikkust ja ressursse. Parandusmeetmed vajavad omanikke, lõpetamise tõendeid ja tõhususe kontrolle. Sertifitseerimine võib anda kindlustunde ulatusse kuuluva juhtimissüsteemi kohta, kuid ei tõenda GDPR-ile vastavust, ei loo õiguslikku alust ega hõlma tegevusi väljaspool seda ulatust.

Alustage ühest jälgitavast töötlemistoimingust

Valige üks tegevus, järgige selle andmeid seotud süsteemide ja tarnijate kaudu ning siduge iga oluline kohustus omaniku, kaitsemeetme ja otsuste ajalooga. Vaadake see üle pärast asjakohaseid muudatusi, selle asemel et oodata järgmist auditit.

Secani toetab seda tõendite töövoogu, ühendades nõuded, kontrollimeetmed, süsteemid, tõendid ja ülevaatusotsused. Meeskonnad saavad hoida ühiseid ISMS-i tõendeid koos privaatsusespetsiifiliste otsustega, muuta lüngad määratud ülesanneteks ja säilitada tehisintellekti abil tehtud ettepanekute inimkinnituse. Esimene kasulik tulemus on ülevaadatud ahel töötlemise eesmärgist rakendatud kaitsemeetme ja seda toetavate tõenditeni.