ISO 27701: povežite upravljanje privatnošću i sigurnost

Upravljanje privatnošću najbolje funkcionira kada se odluke o obradi, zaštitne mjere, postupanje s pravima i odgovornosti dobavljača međusobno uklapaju. ISO/IEC 27701 pruža pristup tom radu utemeljen na sustavu upravljanja: sustav upravljanja informacijama o privatnosti (PIMS).

Za tehničkog direktora (CTO) izazov je povezati dokumentirane obveze s ponašanjem sustava. Politika čuvanja mora postati proces brisanja; obveza izvršitelja obrade mora ograničavati pristup i ponovnu upotrebu; pregled privatnosti mora utjecati na izdanja. Sigurnosne kontrole podupiru te ishode, ali ne mogu odrediti je li obrada opravdana.

Odaberite ispravno izdanje i odnos prema svojem ISMS-u

ISO/IEC 27701:2025 drugo je izdanje i utvrđuje zahtjeve za PIMS kao samostalna norma. Starije izdanje iz 2019. bilo je proširenje norma ISO 27001 i ISO 27002. Novu provedbu ne gradite na pretpostavci da je certifikacija prema ISO 27001 uvijek preduvjet. Primjenjivo izdanje i prijelazne aranžmane potvrdite sa svojim certifikacijskim tijelom.

Postojeći ISMS prema ISO 27001 i dalje je koristan. Upravljanje, procesi upravljanja rizicima, kontrola dokumenata, interni auditi i upravina ocjena mogu podupirati oba sustava. ISO 27002 daje smjernice za kontrole informacijske sigurnosti.

Ciljeve držite odvojeno. Sigurnost ispituje povjerljivost, cjelovitost i dostupnost. Privatnost ispituje i svrhe, razmjernost, transparentnost i posljedice za pojedince. Šifrirana baza podataka i dalje može sadržavati nepotrebno prikupljene informacije. Ponovna upotreba sigurnosnih dokaza razumna je; njihovo tretiranje kao dokaza usklađenosti u pogledu privatnosti nije.

Definirajte opseg kroz obradu, a ne samo infrastrukturu

Počnite s uslugama i aktivnostima koje PIMS obuhvaća. Uključite potporne sustave, timove, dobavljače i sučelja. Granica poput „produkcijsko okruženje u oblaku“ nije dovoljna ako korisnička podrška izvozi osobne podatke u zaseban sustav za upravljanje zahtjevima.

Za svaku aktivnost dokumentirajte:

• Svrhu, kategorije osobnih podataka i pogođene skupine pojedinaca.
• Ulogu voditelja obrade ili izvršitelja obrade, uključujući aktivnosti u kojima se uloge razlikuju.
• Izvore prikupljanja, primatelje, lokacije pohrane i putove prijenosa.
• Pravila čuvanja, način brisanja, vlasnike i primjenjive obveze.

Uloge ovise o aktivnosti obrade, a ne samo o identitetu tvrtke. Pružatelj softvera može obrađivati podatke koje su učitali klijenti prema uputama klijenata, a istodobno djelovati kao voditelj obrade za vlastite zapise o naplati. Te aktivnosti trebaju različite putove odlučivanja.

Odgovornosti inženjeringa, razvoja proizvoda, privatnosti, nabave i operacija dodijelite izričito. Ako je službenik za zaštitu podataka (DPO) obvezan ili imenovan, sačuvajte njegovu neovisnu savjetodavnu i nadzornu ulogu umjesto da ga učinite odgovornim za odabir svrha obrade. Opća uredba o zaštiti podataka (GDPR) propisuje relevantne obveze voditelja obrade, izvršitelja obrade i službenika za zaštitu podataka.

Procjenjujte rizike za privatnost zajedno sa sigurnosnim rizicima

Popis aktivnosti obrade koristite za utvrđivanje štete za pojedince, a ne samo izloženosti organizacije. Neovlašteni pristup je važan, ali važni su i prekomjerno prikupljanje, neočekivana ponovna upotreba, netočni zapisi, nedostupni postupci za ostvarivanje prava i čuvanje dulje od utvrđene potrebe.

Praktična procjena treba svaki rizik povezati s aktivnošću, posljedicom, postojećom zaštitnom mjerom, postupanjem, odgovornim vlasnikom i okidačem za pregled. Zabilježite zašto se preostali rizik prihvaća ili zašto je potreban daljnji rad.

Razmotrimo značajku izvješćivanja koja izvozi podatke o uspješnosti zaposlenika. Autentifikacija i bilježenje pristupa rješavaju sigurnosna pitanja. Analiza privatnosti mora razmotriti i uključuje li izvoz nepotrebna polja, otkriva li osjetljive zaključke ili omogućuje upotrebe koje nisu u skladu s navedenom svrhom.

Procjena u okviru PIMS-a može podupirati rad na pravnoj procjeni, ali ne ispunjava automatski zahtjeve svake jurisdikcije. Prema članku 35. GDPR-a obrada koja će vjerojatno prouzročiti visok rizik zahtijeva procjenu učinka na zaštitu podataka. Taj prag procijenite zasebno i sačuvajte odluku i svaku potrebnu procjenu.

Pretvorite obveze u kontrole koje se mogu testirati

Izbjegavajte politiku privatnosti koju inženjering ne može provesti. Za svaku obvezu navedite očekivano ponašanje sustava i dokaze koji ga pokazuju. Slijede praktični primjeri provedbe, a ne univerzalni obvezni skup kontrola.

Šifriranje, načelo najmanjih ovlasti, bilježenje zapisnika i oporavak ostaju važne zajedničke zaštitne mjere. Mjere odabirite prema riziku: članak 32. GDPR-a ne nameće opće šifriranje u svakoj situaciji. Dokumentirajte pristup ključevima, oporavak i ograničenja brisanja gdje utječu na ishode privatnosti. Za razmatranja o provedbi pogledajte šifriranje i upravljanje ključevima.

Izgradite operativne postupke koji izdržavaju stvarne slučajeve

Postupanje s pravima treba put zaprimanja, vlasništvo, razmjernu provjeru identiteta, pretraživanje sustava, pregled trećih strana i sigurnu isporuku. Prema GDPR-u odgovori se u pravilu daju u roku od mjesec dana; dopuštena produljenja zahtijevaju obavijest unutar tog prvog mjeseca. Vodite zapise o slučajevima koji objašnjavaju odluke, a ne samo broj zatvorenih zahtjeva. Tijek rada za zahtjeve za pristup ispitanika treba obuhvatiti i ručne sustave i pomoć dobavljača.

Postupanje s incidentima mora razlikovati tehničko ograničavanje od odluka o obavješćivanju u pogledu privatnosti. Prema GDPR-u izvršitelji obrade obavješćuju voditelje obrade bez nepotrebnog odgađanja. Voditelji obrade bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja procjenjuju izvješćivanje nadzornog tijela, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca. Zabilježite obrazloženje neobavješćivanja i procijenite zahtijeva li visok rizik obavješćivanje pojedinaca.

Postupci za dobavljače trebaju ispitati upute, podizvršitelje obrade, pomoć pri zahtjevima i incidentima, vraćanje ili brisanje te pristup dokazima. Ako se primjenjuje GDPR, ugovori prema članku 28. imaju posebne obvezne elemente. Certifikat dobavljača potporno je jamstvo, a ne zamjena za te odredbe.

Međunarodni prijenosi zahtijevaju zasebnu pravnu procjenu. Certifikacija prema ISO 27701 ne odobrava ih niti neutralizira rizike nadzora. Dokumentirajte primjenjivi mehanizam, procijenite njegove uvjete i, gdje je potrebno, provedite dodatne mjere. Sama lokacija podataka ne utvrđuje usklađenost.

Razrađeni primjer: usluga korisničke podrške

Pretpostavimo, ilustracije radi, da pružatelj SaaS usluge obrađuje poruke korisničke podrške prema uputama klijenata i kontrolira vlastite zapise o kontaktima za račune. Obje aktivnosti koriste istu platformu za podršku.

Tim mapira sadržaj poruka, privitke, identifikatore računa, pristup dobavljača i odredišta izvoza. Otkriva da izvoz za otklanjanje pogrešaka kopira cijele poruke u inženjerski radni prostor s duljim razdobljem čuvanja.

Postupanje je konkretno: izvoze cijelih poruka zamijenite smanjenim dijagnostičkim poljima, ograničite iznimni pristup, primijenite odobreno razdoblje čuvanja i zabilježite tko odobrava iznimke. Testirajte da rutinski izvozi izostavljaju tijelo poruke i da se istekli dijagnostički zapisi uklanjaju.

Paket dokaza sadrži evidenciju obrade, procjenu uloga, uvjete dobavljača, odluku o riziku, konfiguraciju, rezultate testova i povijest odobrenja. Zajednički pregled kontrole pristupa podupire i sigurnost i privatnost, dok odluka o svrsi izvoza ostaje specifična za privatnost.

Pripremite se za certifikaciju operativnim dokazima

Certifikaciju provodi neovisno certifikacijsko tijelo, a ne ISO. Prije zakazivanja ocjenjivanja potvrdite opseg, izdanje, pristup auditu i očekivanja u pogledu dokaza. Tipičan postupak početne certifikacije uključuje pregled spremnosti i dokumentacije, nakon čega slijedi ocjena provedbe; aranžmane potvrdite s odabranim tijelom.

Provedite interni audit u odnosu na primjenjive zahtjeve i vlastite postupke. Uzorkujte aktivnosti obrade, slučajeve ostvarivanja prava, odluke o dobavljačima, provedbu čuvanja i promjene proizvoda. Razlikujte nedostajući dokument od kontrole koja postoji, ali zakazuje u radu.

Upravina ocjena treba razmotriti nalaze, neriješene rizike, promjene, učinkovitost i resurse. Korektivne radnje trebaju vlasnike, dokaze o dovršetku i provjere učinkovitosti. Certifikacija može pružiti jamstvo o sustavu upravljanja s definiranim opsegom, ali ne utvrđuje usklađenost s GDPR-om, ne stvara pravnu osnovu niti obuhvaća aktivnosti izvan tog opsega.

Počnite s jednom sljedivom aktivnošću obrade

Odaberite jednu aktivnost, pratite njezine podatke kroz povezane sustave i dobavljače te svaku značajnu obvezu povežite s vlasnikom, zaštitnom mjerom i poviješću odluka. Pregledajte je nakon relevantnih promjena umjesto da čekate sljedeći audit.

Secani podupire taj tijek rada s dokazima povezivanjem zahtjeva, kontrola, sustava, dokaza i odluka o pregledu. Timovi mogu zajedničke dokaze iz ISMS-a čuvati uz odluke specifične za privatnost, pretvarati nedostatke u dodijeljene zadatke i zadržati ljudsko odobrenje prijedloga izrađenih uz pomoć umjetne inteligencije. Prvi koristan rezultat je pregledani lanac od svrhe obrade do provedene zaštitne mjere i potpornih dokaza.