ISO 27701: sujunkite privatumo valdymą ir saugumą

Privatumo valdymas veikia geriausiai, kai tvarkymo sprendimai, apsaugos priemonės, teisių įgyvendinimas ir tiekėjų atsakomybė dera tarpusavyje. ISO/IEC 27701 šiam darbui pateikia valdymo sistemos požiūrį: privatumo informacijos valdymo sistemą, arba PIMS.

Technologijų vadovui (CTO) iššūkis yra susieti dokumentuotus įpareigojimus su sistemų elgsena. Saugojimo politika turi virsti ištrynimo procesu; duomenų tvarkytojo įsipareigojimas turi riboti prieigą ir pakartotinį naudojimą; privatumo peržiūra turi daryti įtaką išleidimams. Saugumo kontrolės padeda pasiekti šiuos rezultatus, tačiau negali nustatyti, ar tvarkymas yra pagrįstas.

Pasirinkite tinkamą leidimą ir santykį su savo ISMS

ISO/IEC 27701:2025 yra antrasis leidimas, kuris PIMS reikalavimus nustato kaip savarankišką standartą. Ankstesnis 2019 m. leidimas buvo ISO 27001 ir ISO 27002 plėtinys. Nekurkite naujo diegimo remdamiesi prielaida, kad ISO 27001 sertifikavimas visada yra būtina sąlyga. Taikomą leidimą ir pereinamojo laikotarpio tvarką pasitikslinkite su savo sertifikavimo įstaiga.

Esama ISO 27001 ISMS išlieka naudinga. Valdysena, rizikos procesai, dokumentų valdymas, vidaus auditai ir vadovybės peržiūra gali palaikyti abi sistemas. ISO 27002 pateikia informacijos saugumo kontrolių gaires.

Tikslus laikykite atskirus. Saugumas nagrinėja konfidencialumą, vientisumą ir prieinamumą. Privatumas papildomai nagrinėja tikslus, proporcingumą, skaidrumą ir pasekmes asmenims. Užšifruotoje duomenų bazėje vis tiek gali būti be reikalo surinktos informacijos. Pakartotinai naudoti saugumo įrodymus yra protinga; laikyti juos privatumo atitikties įrodymu nėra.

Apibrėžkite taikymo sritį per tvarkymą, o ne vien per infrastruktūrą

Pradėkite nuo paslaugų ir veiklos, kurias apima PIMS. Įtraukite palaikančias sistemas, komandas, tiekėjus ir sąsajas. Tokios ribos kaip „gamybinė debesijos aplinka“ nepakanka, jei klientų aptarnavimo komanda asmens duomenis eksportuoja į atskirą užklausų valdymo sistemą.

Kiekvienai veiklai dokumentuokite:

• Tikslą, asmens duomenų kategorijas ir paveiktas asmenų grupes.
• Duomenų valdytojo ar duomenų tvarkytojo vaidmenį, įskaitant veiklą, kurioje vaidmenys skiriasi.
• Duomenų rinkimo šaltinius, gavėjus, saugojimo vietas ir perdavimo kelius.
• Saugojimo taisykles, ištrynimo elgseną, atsakingus asmenis ir taikomus įpareigojimus.

Vaidmenys priklauso nuo tvarkymo veiklos, o ne vien nuo įmonės tapatybės. Programinės įrangos tiekėjas gali tvarkyti kliento įkeltus duomenis pagal kliento nurodymus, o savo atsiskaitymo įrašų atžvilgiu veikti kaip duomenų valdytojas. Šioms veikloms reikia skirtingų sprendimų kelių.

Aiškiai paskirstykite inžinerijos, produkto, privatumo, pirkimų ir veiklos atsakomybes. Kai duomenų apsaugos pareigūnas yra privalomas arba paskirtas, išsaugokite jo nepriklausomą patariamąjį ir stebėsenos vaidmenį, o ne darykite jį atsakingu už tvarkymo tikslų pasirinkimą. Atitinkamus duomenų valdytojo, duomenų tvarkytojo ir duomenų apsaugos pareigūno įpareigojimus nustato BDAR.

Vertinkite privatumo rizikas kartu su saugumo rizikomis

Naudokite tvarkymo veiklos inventorių, kad nustatytumėte žalą asmenims ir organizacijos pažeidžiamumą. Neteisėta prieiga yra svarbi, tačiau svarbūs ir perteklinis duomenų rinkimas, netikėtas pakartotinis naudojimas, netikslūs įrašai, neprieinamos teisių įgyvendinimo procedūros ir saugojimas ilgiau, nei nustatyta būtinybė.

Praktiškas vertinimas turėtų susieti kiekvieną riziką su veikla, pasekme, esama apsaugos priemone, rizikos valdymo priemone, atsakingu asmeniu ir peržiūros paskata. Užfiksuokite, kodėl likutinė rizika priimama arba kodėl reikia tolesnio darbo.

Panagrinėkite ataskaitų funkciją, kuri eksportuoja darbuotojų veiklos rezultatų duomenis. Autentifikavimas ir prieigos registravimas sprendžia saugumo klausimus. Privatumo analizė taip pat turi įvertinti, ar eksporte yra nereikalingų laukų, ar jis atskleidžia jautrias išvadas, ar leidžia naudoti duomenis nesuderinamai su nurodytu tikslu.

PIMS vertinimas gali palaikyti teisinio vertinimo darbą, tačiau savaime neatitinka kiekvienos jurisdikcijos reikalavimų. Pagal BDAR 35 straipsnį tvarkymui, kuris gali sukelti didelį pavojų, reikia atlikti poveikio duomenų apsaugai vertinimą. Šią ribą įvertinkite atskirai ir išsaugokite sprendimą bei bet kokį reikalaujamą vertinimą.

Paverskite įpareigojimus patikrinamomis kontrolėmis

Venkite privatumo politikos, kurios inžinerija negali įgyvendinti. Kiekvienam įpareigojimui nurodykite tikėtiną sistemos elgseną ir ją įrodančius įrodymus. Toliau pateikti praktiniai įgyvendinimo pavyzdžiai, o ne universalus privalomų kontrolių rinkinys.

Šifravimas, mažiausių privilegijų principas, registravimas ir atkūrimas išlieka svarbios bendros apsaugos priemonės. Priemones rinkitės pagal riziką: BDAR 32 straipsnis nenustato visuotinio šifravimo kiekvienoje situacijoje. Dokumentuokite prieigos prie raktų, atkūrimo ir ištrynimo apribojimus, kai jie daro įtaką privatumo rezultatams. Įgyvendinimo aspektus rasite straipsnyje apie šifravimą ir raktų valdymą.

Sukurkite veiklos procedūras, kurios atlaiko realius atvejus

Teisių įgyvendinimui reikia prašymų priėmimo kanalo, atsakomybės, proporcingo tapatybės patikrinimo, paieškos sistemose, trečiųjų šalių informacijos peržiūros ir saugaus pateikimo. Pagal BDAR atsakyti paprastai reikia per vieną mėnesį; apie leidžiamą termino pratęsimą reikia pranešti per tą pirmąjį mėnesį. Saugokite atvejų įrašus, paaiškinančius sprendimus, o ne vien uždarytų užklausų skaičių. Prieigos prie duomenų prašymų darbo procesas taip pat turėtų apimti rankines sistemas ir tiekėjų pagalbą.

Incidentų valdymas turi atskirti techninį suvaldymą nuo sprendimų dėl pranešimų apie privatumo pažeidimus. Pagal BDAR duomenų tvarkytojai duomenų valdytojams praneša nepagrįstai nedelsdami. Duomenų valdytojai nepagrįstai nedelsdami ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai sužino apie pažeidimą, įvertina pranešimą priežiūros institucijai, nebent pažeidimas greičiausiai nekelia pavojaus asmenų teisėms ir laisvėms. Užfiksuokite nepranešimo motyvus ir įvertinkite, ar dėl didelio pavojaus reikia informuoti asmenis.

Tiekėjų procedūrose turėtų būti nagrinėjami nurodymai, subtvarkytojai, pagalba vykdant prašymus ir valdant incidentus, duomenų grąžinimas ar ištrynimas ir prieiga prie įrodymų. Kai taikomas BDAR, 28 straipsnio sutartyse turi būti konkretūs privalomi elementai. Tiekėjo sertifikatas yra papildomas užtikrinimas, o ne šių sąlygų pakaitalas.

Tarptautiniams perdavimams reikia atskiro teisinio vertinimo. ISO 27701 sertifikatas jų neleidžia ir nepanaikina sekimo rizikų. Dokumentuokite taikomą mechanizmą, įvertinkite jo sąlygas ir, kai reikia, įgyvendinkite papildomas priemones. Vien duomenų buvimo vieta atitikties nenustato.

Išnagrinėtas pavyzdys: klientų aptarnavimo paslauga

Iliustracijai tarkime, kad SaaS tiekėjas tvarko klientų aptarnavimo žinutes pagal klientų nurodymus ir valdo savo paskyrų kontaktų įrašus. Abi veiklos naudoja tą pačią aptarnavimo platformą.

Komanda sudaro žinučių turinio, priedų, paskyrų identifikatorių, tiekėjų prieigos ir eksporto paskirties vietų žemėlapį. Ji nustato, kad derinimo eksportas kopijuoja visas žinutes į inžinerijos darbo erdvę, kurioje taikomas ilgesnis saugojimo laikotarpis.

Rizikos valdymo priemonė yra konkreti: pakeisti visų žinučių eksportą sumažintais diagnostikos laukais, apriboti išimtinę prieigą, taikyti patvirtintą saugojimo laikotarpį ir užfiksuoti, kas leidžia išimtis. Patikrinkite, ar įprastiniuose eksportuose nėra žinučių turinio ir ar pasibaigusio laikotarpio diagnostikos įrašai pašalinami.

Įrodymų pakete yra tvarkymo įrašas, vaidmenų vertinimas, tiekėjų sąlygos, rizikos sprendimas, konfigūracija, testų rezultatai ir patvirtinimų istorija. Bendra prieigos kontrolės peržiūra palaiko ir saugumą, ir privatumą, o sprendimas dėl eksporto tikslo lieka specifinis privatumui.

Pasirenkite sertifikavimui su veiklos įrodymais

Sertifikavimą atlieka nepriklausoma sertifikavimo įstaiga, o ne ISO. Prieš planuodami vertinimą, pasitikslinkite taikymo sritį, leidimą, audito metodą ir lūkesčius dėl įrodymų. Įprastas pirminio sertifikavimo procesas apima pasirengimo ir dokumentacijos peržiūrą, po kurios vertinamas įgyvendinimas; tvarką suderinkite su pasirinkta įstaiga.

Atlikite vidaus auditą pagal taikomus reikalavimus ir savo pačių procedūras. Imkite tvarkymo veiklos, teisių įgyvendinimo atvejų, tiekėjų sprendimų, saugojimo vykdymo ir produkto pakeitimų imtis. Atskirkite trūkstamą dokumentą nuo kontrolės, kuri egzistuoja, bet veikloje neveikia.

Vadovybės peržiūroje turėtų būti apsvarstytos išvados, neišspręstos rizikos, pakeitimai, veiksmingumas ir ištekliai. Taisomiesiems veiksmams reikia atsakingų asmenų, įvykdymo įrodymų ir veiksmingumo patikrinimų. Sertifikavimas gali suteikti užtikrinimą dėl valdymo sistemos jos taikymo srityje, tačiau nenustato BDAR atitikties, nesukuria teisinio pagrindo ir neapima veiklos už tos srities ribų.

Pradėkite nuo vienos atsekamos tvarkymo veiklos

Pasirinkite vieną veiklą, sekite jos duomenis per susijusias sistemas ir tiekėjus ir kiekvieną reikšmingą įpareigojimą susiekite su atsakingu asmeniu, apsaugos priemone ir sprendimų istorija. Peržiūrėkite ją po atitinkamų pakeitimų, o ne laukite kito audito.

„Secani“ palaiko šį įrodymų darbo procesą, susiedama reikalavimus, kontroles, sistemas, įrodymus ir peržiūros sprendimus. Komandos gali saugoti bendrus ISMS įrodymus kartu su privatumui specifiniais sprendimais, paversti spragas priskirtomis užduotimis ir išsaugoti žmogaus atliekamą DI pasiūlymų patvirtinimą. Pirmasis naudingas rezultatas yra peržiūrėta grandinė nuo tvarkymo tikslo iki įgyvendintos apsaugos priemonės ir ją pagrindžiančių įrodymų.