ISO 27701: savienojiet privātuma pārvaldību un drošību

Privātuma pārvaldība darbojas vislabāk, kad apstrādes lēmumi, aizsardzības pasākumi, datu subjektu tiesību īstenošana un piegādātāju pienākumi ir savstarpēji saskaņoti. ISO/IEC 27701 nodrošina šim darbam pārvaldības sistēmas pieeju: privātuma informācijas pārvaldības sistēmu jeb PIMS.

Tehnoloģiju direktoram izaicinājums ir savienot dokumentētos pienākumus ar sistēmu darbību. Glabāšanas politikai jākļūst par dzēšanas procesu; apstrādātāja saistībām jāierobežo piekļuve un atkārtota izmantošana; privātuma pārskatīšanai jāietekmē laidieni. Drošības kontroles atbalsta šos rezultātus, taču nevar noteikt, vai apstrāde ir pamatota.

Izvēlieties pareizo izdevumu un saistību ar savu ISMS

ISO/IEC 27701:2025 ir otrais izdevums, un tas nosaka PIMS prasības kā patstāvīgs standarts. Vecākais 2019. gada izdevums bija ISO 27001 un ISO 27002 paplašinājums. Neveidojiet jaunu ieviešanu, pieņemot, ka ISO 27001 sertifikācija vienmēr ir priekšnosacījums. Pārliecinieties par piemērojamo izdevumu un pārejas kārtību ar savu sertifikācijas institūciju.

Esoša ISO 27001 ISMS joprojām ir noderīga. Pārvaldība, riska procesi, dokumentu kontrole, iekšējie auditi un vadības pārskats var atbalstīt abas sistēmas. ISO 27002 sniedz norādījumus par informācijas drošības kontrolēm.

Turiet mērķus atsevišķi. Drošība izvērtē konfidencialitāti, integritāti un pieejamību. Privātums izvērtē arī nolūkus, samērīgumu, pārredzamību un sekas personām. Šifrētā datubāzē joprojām var būt nevajadzīgi savākta informācija. Drošības pierādījumu atkārtota izmantošana ir saprātīga; to uzskatīšana par privātuma atbilstības pierādījumu nav.

Definējiet tvērumu, balstoties uz apstrādi, nevis tikai infrastruktūru

Sāciet ar pakalpojumiem un darbībām, ko aptver PIMS. Iekļaujiet atbalstošās sistēmas, komandas, piegādātājus un saskarnes. Tāda robeža kā „ražošanas mākoņvide” ir nepietiekama, ja klientu atbalsta dienests eksportē personas datus uz atsevišķu pieteikumu sistēmu.

Katrai darbībai dokumentējiet:

• Nolūku, personas datu kategorijas un ietekmētās personu grupas.
• Pārziņa vai apstrādātāja lomu, ieskaitot darbības, kurās lomas atšķiras.
• Vākšanas avotus, saņēmējus, glabāšanas vietas un nosūtīšanas ceļus.
• Glabāšanas noteikumus, dzēšanas darbību, īpašniekus un piemērojamos pienākumus.

Lomas ir atkarīgas no apstrādes darbības, nevis vienkārši no uzņēmuma identitātes. Programmatūras nodrošinātājs var apstrādāt klientu augšupielādētus datus saskaņā ar klientu norādījumiem, vienlaikus darbojoties kā pārzinis attiecībā uz saviem norēķinu ierakstiem. Šīm darbībām nepieciešami atšķirīgi lēmumu pieņemšanas ceļi.

Skaidri piešķiriet inženieru, produktu, privātuma, iepirkumu un darbības pienākumus. Ja datu aizsardzības speciālists ir nepieciešams vai iecelts, saglabājiet viņa neatkarīgo konsultatīvo un uzraudzības lomu, nevis padariet viņu atbildīgu par apstrādes nolūku izvēli. VDAR nosaka attiecīgos pārziņa, apstrādātāja un datu aizsardzības speciālista pienākumus.

Novērtējiet privātuma riskus līdzās drošības riskiem

Izmantojiet apstrādes darbību sarakstu, lai identificētu kaitējumu personām, kā arī organizācijas atklātību. Neatļauta piekļuve ir svarīga, taču tikpat svarīga ir pārmērīga vākšana, negaidīta atkārtota izmantošana, neprecīzi ieraksti, nepieejamas tiesību īstenošanas procedūras un glabāšana ilgāk par noteikto vajadzību.

Praktiskā novērtējumā katrs risks jāsasaista ar darbību, sekām, esošo aizsardzības pasākumu, apstrādi, atbildīgo īpašnieku un pārskatīšanas ierosinātāju. Reģistrējiet, kāpēc atlikušais risks tiek pieņemts vai kāpēc nepieciešams turpmāks darbs.

Aplūkosim pārskatu funkciju, kas eksportē darbinieku snieguma datus. Autentifikācija un piekļuves žurnalēšana risina drošības jautājumus. Privātuma analīzē jāizvērtē arī tas, vai eksportā ir nevajadzīgi lauki, vai tas atklāj sensitīvus secinājumus vai ļauj veikt lietojumus, kas neatbilst norādītajam nolūkam.

PIMS novērtējums var atbalstīt juridiskā novērtējuma darbu, taču automātiski neizpilda katras jurisdikcijas prasības. Saskaņā ar VDAR 35. pantu apstrādei, kas varētu radīt augstu risku, nepieciešams novērtējums par ietekmi uz datu aizsardzību. Izvērtējiet šo slieksni atsevišķi un saglabājiet lēmumu un jebkuru nepieciešamo novērtējumu.

Pārvērtiet pienākumus testējamās kontrolēs

Izvairieties no privātuma politikas, ko inženieri nevar ieviest. Katram pienākumam norādiet gaidāmo sistēmas darbību un pierādījumus, kas to apliecina. Turpmākie ir praktiski ieviešanas piemēri, nevis universāls obligāts kontroļu kopums.

Šifrēšana, mazāko privilēģiju princips, žurnalēšana un atjaunošana joprojām ir svarīgi kopīgi aizsardzības pasākumi. Izvēlieties pasākumus atbilstoši riskam: VDAR 32. pants neparedz vispārēju šifrēšanu katrā situācijā. Dokumentējiet piekļuvi atslēgām, atjaunošanas un dzēšanas ierobežojumus, ja tie ietekmē privātuma rezultātus. Ieviešanas apsvērumus skatiet rakstā šifrēšana un atslēgu pārvaldība.

Veidojiet darbības procedūras, kas iztur reālus gadījumus

Tiesību īstenošanai nepieciešams pieprasījumu saņemšanas ceļš, īpašumtiesības, samērīga identitātes pārbaude, meklēšana sistēmās, trešo personu informācijas pārskatīšana un droša nosūtīšana. Saskaņā ar VDAR atbildes parasti jāsniedz viena mēneša laikā; atļautiem pagarinājumiem nepieciešams paziņojums šī pirmā mēneša laikā. Uzturiet gadījumu ierakstus, kas izskaidro lēmumus, nevis tikai slēgto pieteikumu skaitu. Datu subjekta piekļuves pieprasījumu darba plūsmai jāaptver arī manuālās sistēmas un piegādātāju palīdzība.

Incidentu apstrādē jānošķir tehniskā ierobežošana no lēmumiem par paziņošanu privātuma jomā. Saskaņā ar VDAR apstrādātāji bez nepamatotas kavēšanās paziņo pārziņiem. Pārziņi bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc uzzināšanas izvērtē paziņošanu uzraudzības iestādei, ja vien nav maz ticams, ka pārkāpums radīs risku personu tiesībām un brīvībām. Reģistrējiet pamatojumu lēmumam nepaziņot un izvērtējiet, vai augsts risks prasa paziņošanu personām.

Piegādātāju procedūrās jāizvērtē norādījumi, apakšapstrādātāji, palīdzība saistībā ar pieprasījumiem un incidentiem, datu atgriešana vai dzēšana un piekļuve pierādījumiem. Ja piemērojama VDAR, 28. panta līgumos ir konkrēti obligāti elementi. Piegādātāja sertifikāts ir pamatojošs apliecinājums, nevis šo noteikumu aizstājējs.

Starptautiskai datu nosūtīšanai nepieciešams atsevišķs juridisks novērtējums. ISO 27701 sertifikācija to neatļauj un nenovērš novērošanas riskus. Dokumentējiet piemērojamo mehānismu, izvērtējiet tā nosacījumus un, ja nepieciešams, ieviesiet papildu pasākumus. Datu atrašanās vieta vien nepierāda atbilstību.

Praktisks piemērs: klientu atbalsta pakalpojums

Ilustratīvi pieņemsim, ka SaaS pakalpojumu sniedzējs apstrādā klientu atbalsta ziņojumus saskaņā ar klientu norādījumiem un kontrolē savus kontu kontaktpersonu ierakstus. Abas darbības izmanto vienu un to pašu atbalsta platformu.

Komanda kartē ziņojumu saturu, pielikumus, kontu identifikatorus, piegādātāju piekļuvi un eksporta galamērķus. Tā atklāj, ka atkļūdošanas eksports kopē pilnus ziņojumus inženieru darbvietā ar ilgāku glabāšanas laiku.

Apstrāde ir konkrēta: aizstāt pilnu ziņojumu eksportus ar minimizētiem diagnostikas laukiem, ierobežot izņēmuma piekļuvi, piemērot apstiprinātu glabāšanas periodu un reģistrēt, kas atļauj izņēmumus. Testējiet, ka parastajos eksportos nav ziņojumu teksta un ka diagnostikas ieraksti pēc termiņa beigām tiek dzēsti.

Pierādījumu paketē ietilpst apstrādes darbību ieraksts, lomu novērtējums, piegādātāja noteikumi, riska lēmums, konfigurācija, testu rezultāti un apstiprināšanas vēsture. Kopīgā piekļuves kontroļu pārskatīšana atbalsta gan drošību, gan privātumu, savukārt lēmums par eksporta nolūku paliek privātumam specifisks.

Sagatavojieties sertifikācijai ar darbības pierādījumiem

Sertifikāciju veic neatkarīga sertifikācijas institūcija, nevis ISO. Pirms novērtējuma plānošanas pārliecinieties par tvērumu, izdevumu, audita pieeju un pierādījumu gaidām. Tipisks sākotnējās sertifikācijas process ietver gatavības un dokumentācijas pārskatīšanu, kam seko ieviešanas novērtējums; saskaņojiet kārtību ar izvēlēto institūciju.

Veiciet iekšējo auditu attiecībā pret piemērojamajām prasībām un savām procedūrām. Pārbaudiet izlases veidā apstrādes darbības, tiesību īstenošanas gadījumus, lēmumus par piegādātājiem, glabāšanas izpildi un produktu izmaiņas. Nošķiriet trūkstošu dokumentu no kontroles, kas pastāv, bet darbībā neizdodas.

Vadības pārskatā jāizvērtē konstatējumi, neatrisinātie riski, izmaiņas, darbības rezultāti un resursi. Korektīvajām darbībām nepieciešami īpašnieki, pabeigšanas pierādījumi un efektivitātes pārbaudes. Sertifikācija var sniegt apliecinājumu par pārvaldības sistēmu noteiktajā tvērumā, taču tā nepierāda atbilstību VDAR, nerada likumīgu pamatu un neaptver darbības ārpus šī tvēruma.

Sāciet ar vienu izsekojamu apstrādes darbību

Izvēlieties vienu darbību, izsekojiet tās datus caur savienotajām sistēmām un piegādātājiem un sasaistiet katru būtisku pienākumu ar īpašnieku, aizsardzības pasākumu un lēmumu vēsturi. Pārskatiet to pēc būtiskām izmaiņām, nevis gaidiet nākamo auditu.

Secani atbalsta šo pierādījumu darba plūsmu, savienojot prasības, kontroles, sistēmas, pierādījumus un pārskatīšanas lēmumus. Komandas var glabāt kopīgos ISMS pierādījumus līdzās privātumam specifiskiem lēmumiem, pārvērst nepilnības piešķirtos uzdevumos un saglabāt cilvēka apstiprinājumu MI atbalstītiem ieteikumiem. Pirmais noderīgais rezultāts ir pārskatīta ķēde no apstrādes nolūka līdz ieviestam aizsardzības pasākumam un pamatojošiem pierādījumiem.