ISO 27701: yhdistä tietosuojan hallinta ja tietoturva

Tietosuojan hallinta toimii parhaiten, kun käsittelyä koskevat päätökset, suojatoimet, rekisteröityjen oikeuksien käsittely ja toimittajien vastuut sopivat yhteen. ISO/IEC 27701 tarjoaa tähän työhön hallintajärjestelmälähestymistavan: tietosuojan hallintajärjestelmän (PIMS).

Teknologiajohtajalle haasteena on yhdistää dokumentoidut velvoitteet järjestelmien toimintaan. Säilytyspolitiikasta on tultava poistoprosessi; käsittelijän sitoumuksen on rajoitettava pääsyä ja uudelleenkäyttöä; tietosuojakatselmoinnin on vaikutettava julkaisuihin. Tietoturvan hallintakeinot tukevat näitä lopputuloksia, mutta ne eivät voi ratkaista, onko käsittely perusteltua.

Valitse oikea painos ja suhde ISMS:ään

ISO/IEC 27701:2025 on toinen painos, ja se määrittää PIMS-vaatimukset itsenäisenä standardina. Vanhempi vuoden 2019 painos oli ISO 27001:n ja ISO 27002:n laajennus. Älä rakenna uutta toteutusta sen oletuksen varaan, että ISO 27001 -sertifiointi on aina edellytys. Varmista sovellettava painos ja siirtymäjärjestelyt sertifiointielimesi kanssa.

Olemassa oleva ISO 27001 -ISMS on edelleen hyödyllinen. Hallinto, riskiprosessit, asiakirjahallinta, sisäiset auditoinnit ja johdon katselmus voivat tukea molempia järjestelmiä. ISO 27002 antaa ohjeita tietoturvallisuuden hallintakeinoista.

Pidä tavoitteet erillään. Tietoturva tarkastelee luottamuksellisuutta, eheyttä ja saatavuutta. Tietosuoja tarkastelee lisäksi käyttötarkoituksia, oikeasuhteisuutta, läpinäkyvyyttä ja yksilöille aiheutuvia seurauksia. Salattu tietokanta voi silti sisältää tarpeettomasti kerättyjä tietoja. Tietoturvanäytön uudelleenkäyttö on järkevää; sen pitäminen todisteena tietosuojavaatimusten noudattamisesta ei ole.

Määritä soveltamisala käsittelyn, ei pelkän infrastruktuurin kautta

Aloita PIMS:n kattamista palveluista ja toiminnoista. Ota mukaan tukevat järjestelmät, tiimit, toimittajat ja rajapinnat. Raja, kuten ”tuotannon pilviympäristö”, on riittämätön, jos asiakastuki vie henkilötietoja erilliseen tikettijärjestelmään.

Dokumentoi kustakin toiminnosta:

• Käyttötarkoitus, henkilötietoryhmät ja asianomaiset rekisteröityjen ryhmät.
• Rekisterinpitäjän tai käsittelijän rooli, mukaan lukien toiminnot, joissa roolit eroavat.
• Keräyslähteet, vastaanottajat, tallennuspaikat ja siirtoreitit.
• Säilytyssäännöt, poistojen toiminta, omistajat ja sovellettavat velvoitteet.

Roolit riippuvat käsittelytoiminnosta, eivät pelkästään yrityksen identiteetistä. Ohjelmistotoimittaja voi käsitellä asiakkaiden lataamia tietoja asiakkaan ohjeiden mukaisesti ja toimia samalla rekisterinpitäjänä omien laskutustietojensa osalta. Nämä toiminnot tarvitsevat erilliset päätöspolut.

Osoita tekniset, tuotteeseen liittyvät, tietosuoja-, hankinta- ja operatiiviset vastuut nimenomaisesti. Jos tietosuojavastaava on vaadittu tai nimitetty, säilytä hänen riippumaton neuvonta- ja valvontaroolinsa sen sijaan, että tekisit hänestä vastuullisen käsittelyn tarkoitusten valinnasta. Yleinen tietosuoja-asetus (GDPR) sisältää asiaankuuluvat rekisterinpitäjää, käsittelijää ja tietosuojavastaavaa koskevat velvoitteet.

Arvioi tietosuojariskit tietoturvariskien rinnalla

Käytä käsittelyinventaariota sekä yksilöihin kohdistuvien haittojen että organisaation altistumisen tunnistamiseen. Luvattomalla pääsyllä on merkitystä, mutta niin on myös liiallisella keräämisellä, odottamattomalla uudelleenkäytöllä, virheellisillä tiedoilla, vaikeasti käytettävillä oikeuksien toteuttamismenettelyillä ja säilyttämisellä yli todetun tarpeen.

Käytännöllisen arvioinnin tulee yhdistää kukin riski toimintoon, seuraukseen, olemassa olevaan suojatoimeen, käsittelyyn, vastuulliseen omistajaan ja katselmoinnin käynnistävään tekijään. Kirjaa, miksi jäljelle jäävä riski hyväksytään tai miksi lisätyötä tarvitaan.

Tarkastellaan raportointiominaisuutta, joka vie työntekijöiden suoritustietoja. Tunnistautuminen ja pääsyn lokitus vastaavat tietoturvahuoliin. Tietosuoja-analyysissa on lisäksi arvioitava, sisältääkö vienti tarpeettomia kenttiä, paljastaako se arkaluonteisia päätelmiä tai mahdollistaako se käyttötapoja, jotka eivät ole ilmoitetun tarkoituksen mukaisia.

PIMS-arviointi voi tukea oikeudellista arviointityötä, mutta se ei automaattisesti täytä jokaisen lainkäyttöalueen vaatimuksia. GDPR:n 35 artiklan mukaan käsittely, joka todennäköisesti aiheuttaa korkean riskin, edellyttää tietosuojaa koskevaa vaikutustenarviointia. Arvioi tämä kynnys erikseen ja säilytä päätös ja mahdollinen vaadittu arviointi.

Muunna velvoitteet testattaviksi hallintakeinoiksi

Vältä tietosuojapolitiikkaa, jota kehitystiimi ei pysty toteuttamaan. Määritä kunkin velvoitteen osalta odotettu järjestelmän toiminta ja näyttö, joka osoittaa sen. Seuraavat ovat käytännöllisiä toteutusesimerkkejä, eivät yleinen pakollinen hallintakeinojoukko.

Salaus, vähimpien oikeuksien periaate, lokitus ja palautuminen ovat edelleen tärkeitä yhteisiä suojatoimia. Valitse toimenpiteet riskin mukaan: GDPR:n 32 artikla ei edellytä kattavaa salausta kaikissa tilanteissa. Dokumentoi avainten käyttöä, palautusta ja poistoa koskevat rajoitukset silloin, kun ne vaikuttavat tietosuojan lopputuloksiin. Toteutukseen liittyviä näkökohtia käsitellään artikkelissa salaus ja avainten hallinta.

Rakenna toimintamenettelyt, jotka kestävät todelliset tapaukset

Oikeuksien käsittely tarvitsee vastaanottoreitin, omistajuuden, oikeasuhteisen henkilöllisyyden todentamisen, järjestelmähaut, kolmansien osapuolten tietojen katselmoinnin ja turvallisen toimituksen. GDPR:n mukaan pyyntöihin on yleensä vastattava kuukauden kuluessa; sallitusta jatkoajasta on ilmoitettava tämän ensimmäisen kuukauden aikana. Säilytä tapauskirjaukset, jotka selittävät päätökset, älä pelkkiä suljettujen tikettien määriä. Tarkastusoikeuspyyntöjen työnkulun tulee kattaa myös manuaaliset järjestelmät ja toimittajien apu.

Poikkeamien käsittelyssä on erotettava tekninen rajaaminen tietosuojaa koskevista ilmoituspäätöksistä. GDPR:n mukaan käsittelijät ilmoittavat rekisterinpitäjille ilman aiheetonta viivytystä. Rekisterinpitäjät arvioivat ilmoituksen valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa tietoon tulemisesta, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä yksilöiden oikeuksille ja vapauksille. Kirjaa perustelut ilmoittamatta jättämiselle ja arvioi, edellyttääkö korkea riski viestintää yksilöille.

Toimittajamenettelyissä on tarkasteltava ohjeita, alihankkijoina toimivia käsittelijöitä, apua pyyntöjen ja poikkeamien käsittelyssä, tietojen palauttamista tai poistamista sekä pääsyä näyttöön. Kun GDPR:ää sovelletaan, 28 artiklan mukaisissa sopimuksissa on oltava tietyt pakolliset osat. Toimittajan sertifikaatti on tukevaa varmennusta, ei näiden ehtojen korvike.

Kansainväliset siirrot edellyttävät erillistä oikeudellista arviointia. ISO 27701 -sertifiointi ei oikeuta niitä eikä poista valvontaan liittyviä riskejä. Dokumentoi sovellettava siirtoperuste, arvioi sen edellytykset ja toteuta tarvittaessa täydentäviä toimenpiteitä. Tietojen sijainti ei yksinään osoita vaatimustenmukaisuutta.

Esimerkki: asiakastukipalvelu

Oletetaan havainnollistamismielessä, että SaaS-palveluntarjoaja käsittelee asiakastuen viestejä asiakkaiden ohjeiden mukaisesti ja toimii rekisterinpitäjänä omien asiakastilien yhteystietojensa osalta. Molemmat toiminnot käyttävät samaa tukialustaa.

Tiimi kartoittaa viestien sisällön, liitteet, tilitunnisteet, toimittajien pääsyn ja vientikohteet. Se huomaa, että vianetsintävienti kopioi kokonaiset viestit kehitystiimin työtilaan, jossa säilytysaika on pidempi.

Käsittely on täsmällinen: korvaa kokonaisten viestien viennit minimoiduilla diagnostiikkakentillä, rajoita poikkeuksellista pääsyä, sovella hyväksyttyä säilytysaikaa ja kirjaa, kuka valtuuttaa poikkeukset. Testaa, että rutiiniviennit jättävät viestien sisällön pois ja että vanhentuneet diagnostiikkatietueet poistetaan.

Näyttöpaketti sisältää käsittelyselosteen, roolinarvioinnin, toimittajaehdot, riskipäätöksen, konfiguraation, testitulokset ja hyväksyntähistorian. Yhteinen käyttöoikeuksien hallintakeinojen katselmointi tukee sekä tietoturvaa että tietosuojaa, kun taas viennin käyttötarkoitusta koskeva päätös pysyy tietosuojakohtaisena.

Valmistaudu sertifiointiin operatiivisella näytöllä

Sertifioinnin suorittaa riippumaton sertifiointielin, ei ISO. Varmista ennen arvioinnin aikatauluttamista soveltamisala, painos, auditointitapa ja näyttöä koskevat odotukset. Tyypilliseen ensimmäiseen sertifiointiprosessiin kuuluu valmius- ja dokumentaatiokatselmointi, jota seuraa toteutuksen arviointi; varmista järjestelyt valitun elimen kanssa.

Tee sisäinen auditointi sovellettavia vaatimuksia ja omia menettelyjänne vasten. Ota otoksia käsittelytoiminnoista, oikeuksia koskevista tapauksista, toimittajapäätöksistä, säilytyksen toteutuksesta ja tuotemuutoksista. Erota puuttuva asiakirja hallintakeinosta, joka on olemassa mutta epäonnistuu käytännössä.

Johdon katselmuksessa on tarkasteltava havaintoja, ratkaisemattomia riskejä, muutoksia, suorituskykyä ja resursseja. Korjaavat toimenpiteet tarvitsevat omistajat, näytön toteutumisesta ja vaikuttavuuden tarkistukset. Sertifiointi voi tarjota varmuutta rajatusta hallintajärjestelmästä, mutta se ei osoita GDPR:n noudattamista, luo oikeusperustetta tai kata soveltamisalan ulkopuolisia toimintoja.

Aloita yhdestä jäljitettävästä käsittelytoiminnosta

Valitse yksi toiminto, seuraa sen tietoja kytkettyjen järjestelmien ja toimittajien läpi ja yhdistä kukin olennainen velvoite omistajaan, suojatoimeen ja päätöshistoriaan. Katselmoi se asiaankuuluvien muutosten jälkeen sen sijaan, että odottaisit seuraavaa auditointia.

Secani tukee tätä näyttötyönkulkua yhdistämällä vaatimukset, hallintakeinot, järjestelmät, näytön ja katselmointipäätökset. Tiimit voivat säilyttää yhteisen ISMS-näytön tietosuojakohtaisten päätösten rinnalla, muuttaa puutteet osoitetuiksi tehtäviksi ja säilyttää ihmisen hyväksynnän tekoälyavusteisille ehdotuksille. Ensimmäinen hyödyllinen tuotos on katselmoitu ketju käsittelyn tarkoituksesta toteutettuun suojatoimeen ja sitä tukevaan näyttöön.