ISO 27701: legați managementul protecției datelor de securitate

Managementul protecției datelor funcționează cel mai bine atunci când deciziile privind prelucrarea, măsurile de protecție, gestionarea drepturilor și responsabilitățile furnizorilor se potrivesc între ele. ISO/IEC 27701 oferă o abordare de tip sistem de management pentru această muncă: un sistem de management al informațiilor privind confidențialitatea (PIMS).

Pentru un CTO, provocarea este legarea obligațiilor documentate de comportamentul sistemelor. O politică de păstrare trebuie să devină un proces de ștergere; un angajament al persoanei împuternicite trebuie să limiteze accesul și reutilizarea; o analiză privind protecția datelor trebuie să influențeze lansările. Controalele de securitate susțin aceste rezultate, dar nu pot stabili dacă o prelucrare este justificată.

Alegeți ediția corectă și relația cu SMSI-ul dumneavoastră

ISO/IEC 27701:2025 este a doua ediție și stabilește cerințele pentru PIMS ca standard de sine stătător. Ediția mai veche din 2019 era o extensie a ISO 27001 și ISO 27002. Nu construiți o implementare nouă pe ipoteza că certificarea ISO 27001 este întotdeauna o condiție prealabilă. Confirmați cu organismul de certificare ediția aplicabilă și aranjamentele de tranziție.

Un SMSI ISO 27001 existent rămâne util. Guvernanța, procesele de risc, controlul documentelor, auditurile interne și analiza efectuată de management pot susține ambele sisteme. ISO 27002 oferă îndrumări privind controalele de securitate a informației.

Păstrați obiectivele distincte. Securitatea examinează confidențialitatea, integritatea și disponibilitatea. Protecția datelor examinează, în plus, scopurile, proporționalitatea, transparența și consecințele pentru persoane. O bază de date criptată poate conține totuși informații colectate în mod inutil. Reutilizarea dovezilor de securitate este rezonabilă; tratarea lor drept dovadă a conformității privind protecția datelor nu este.

Definiți perimetrul prin prelucrare, nu doar prin infrastructură

Începeți cu serviciile și activitățile acoperite de PIMS. Includeți sistemele de suport, echipele, furnizorii și interfețele. O limită precum „mediul cloud de producție” este insuficientă dacă echipa de suport pentru clienți exportă date cu caracter personal într-un sistem separat de tichete.

Pentru fiecare activitate, documentați:

• Scopul, categoriile de date cu caracter personal și grupurile de persoane afectate.
• Rolul de operator sau de persoană împuternicită, inclusiv activitățile în care rolurile diferă.
• Sursele de colectare, destinatarii, locațiile de stocare și căile de transfer.
• Regulile de păstrare, modul de ștergere, proprietarii și obligațiile aplicabile.

Rolurile depind de activitatea de prelucrare, nu doar de identitatea companiei. Un furnizor de software poate prelucra datele încărcate de clienți conform instrucțiunilor acestora, acționând în același timp ca operator pentru propriile înregistrări de facturare. Aceste activități au nevoie de căi decizionale diferite.

Atribuiți explicit responsabilitățile de inginerie, produs, protecția datelor, achiziții și operațiuni. Acolo unde un responsabil cu protecția datelor (DPO) este obligatoriu sau a fost desemnat, păstrați rolul său independent de consiliere și monitorizare, în loc să îl faceți responsabil de alegerea scopurilor prelucrării. RGPD prevede obligațiile relevante ale operatorului, ale persoanei împuternicite și ale DPO.

Evaluați riscurile privind protecția datelor alături de riscurile de securitate

Folosiți inventarul prelucrărilor pentru a identifica prejudiciile pentru persoane, precum și expunerea organizației. Accesul neautorizat contează, dar la fel de mult contează colectarea excesivă, reutilizarea neașteptată, înregistrările inexacte, procedurile inaccesibile pentru exercitarea drepturilor și păstrarea dincolo de o nevoie stabilită.

O evaluare practică ar trebui să lege fiecare risc de o activitate, o consecință, o măsură de protecție existentă, o tratare, un proprietar responsabil și un declanșator al revizuirii. Înregistrați de ce riscul rămas este acceptat sau de ce este necesară o muncă suplimentară.

Să luăm o funcție de raportare care exportă date privind performanța angajaților. Autentificarea și jurnalizarea accesului abordează preocupările de securitate. Analiza privind protecția datelor trebuie să ia în considerare și dacă exportul include câmpuri inutile, expune deducții sensibile sau permite utilizări incompatibile cu scopul declarat.

O evaluare în cadrul PIMS poate susține munca de evaluare juridică, dar nu satisface automat cerințele fiecărei jurisdicții. În temeiul articolului 35 din RGPD, prelucrarea care este susceptibilă să genereze un risc ridicat necesită o evaluare a impactului asupra protecției datelor. Evaluați separat acest prag și păstrați decizia, precum și orice evaluare necesară.

Transformați obligațiile în controale care pot fi testate

Evitați o politică de protecție a datelor pe care echipa de inginerie nu o poate implementa. Pentru fiecare obligație, specificați comportamentul așteptat al sistemului și dovezile care îl demonstrează. Următoarele sunt exemple practice de implementare, nu un set universal de controale obligatorii.

Criptarea, privilegiul minim, jurnalizarea și recuperarea rămân măsuri de protecție comune importante. Selectați măsurile în funcție de risc: articolul 32 din RGPD nu impune criptarea generalizată în orice situație. Documentați accesul la chei, recuperarea și limitările privind ștergerea acolo unde acestea afectează rezultatele privind protecția datelor. Consultați criptarea și gestionarea cheilor pentru aspecte de implementare.

Construiți proceduri operaționale care rezistă cazurilor reale

Gestionarea drepturilor are nevoie de o cale de primire a cererilor, de responsabilitate, de o verificare proporțională a identității, de căutări în sisteme, de revizuirea informațiilor privind terții și de o livrare securizată. În temeiul RGPD, răspunsurile trebuie date, în mod normal, în termen de o lună; prelungirile permise necesită informarea persoanei în cursul acelei prime luni. Păstrați înregistrări ale cazurilor care explică deciziile, nu doar numărul de tichete închise. Un flux de lucru pentru cererile de acces ale persoanelor vizate ar trebui să acopere și sistemele manuale și asistența din partea furnizorilor.

Gestionarea incidentelor trebuie să distingă izolarea tehnică de deciziile de notificare privind protecția datelor. În temeiul RGPD, persoanele împuternicite notifică operatorii fără întârzieri nejustificate. Operatorii evaluează notificarea autorității de supraveghere fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la luarea la cunoștință, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor. Înregistrați raționamentul pentru nenotificare și evaluați dacă un risc ridicat impune informarea persoanelor.

Procedurile privind furnizorii ar trebui să examineze instrucțiunile, subcontractanții, asistența pentru cereri și incidente, returnarea sau ștergerea datelor și accesul la dovezi. Acolo unde se aplică RGPD, contractele prevăzute la articolul 28 au elemente obligatorii specifice. Certificatul unui furnizor este o asigurare de susținere, nu un substitut pentru aceste clauze.

Transferurile internaționale necesită o evaluare juridică separată. Certificarea ISO 27701 nu le autorizează și nu neutralizează riscurile de supraveghere. Documentați mecanismul aplicabil, evaluați condițiile acestuia și implementați măsuri suplimentare acolo unde este necesar. Locația datelor nu stabilește, singură, conformitatea.

Exemplu practic: un serviciu de suport pentru clienți

Să presupunem, cu titlu ilustrativ, că un furnizor SaaS prelucrează mesajele de suport ale clienților conform instrucțiunilor acestora și controlează propriile înregistrări privind persoanele de contact ale conturilor. Ambele activități folosesc aceeași platformă de suport.

Echipa cartografiază conținutul mesajelor, atașamentele, identificatorii conturilor, accesul furnizorilor și destinațiile exporturilor. Ea descoperă că un export pentru depanare copiază mesaje complete într-un spațiu de lucru al echipei de inginerie, cu o perioadă de păstrare mai lungă.

Tratarea este concretă: înlocuirea exporturilor de mesaje complete cu câmpuri de diagnosticare minimizate, restricționarea accesului excepțional, aplicarea unei perioade de păstrare aprobate și înregistrarea persoanei care autorizează excepțiile. Testați ca exporturile de rutină să omită conținutul mesajelor și ca înregistrările de diagnosticare expirate să fie eliminate.

Pachetul de dovezi conține evidența prelucrării, evaluarea rolurilor, clauzele contractuale cu furnizorul, decizia privind riscul, configurația, rezultatele testelor și istoricul aprobărilor. Revizuirea comună a controlului accesului susține atât securitatea, cât și protecția datelor, în timp ce decizia privind scopul exportului rămâne specifică protecției datelor.

Pregătiți certificarea cu dovezi operaționale

Certificarea este realizată de un organism de certificare independent, nu de ISO. Înainte de a programa evaluarea, confirmați perimetrul, ediția, abordarea auditului și așteptările privind dovezile. Un proces tipic de certificare inițială include o etapă de pregătire și de revizuire a documentației, urmată de evaluarea implementării; confirmați aranjamentele cu organismul ales.

Efectuați un audit intern în raport cu cerințele aplicabile și cu propriile proceduri. Eșantionați activități de prelucrare, cazuri privind drepturile, decizii privind furnizorii, executarea regulilor de păstrare și modificări ale produselor. Separați un document lipsă de un control care există, dar eșuează în funcționare.

Analiza efectuată de management ar trebui să ia în considerare constatările, riscurile nerezolvate, modificările, performanța și resursele. Acțiunile corective au nevoie de proprietari, de dovezi de finalizare și de verificări ale eficacității. Certificarea poate oferi asigurare privind sistemul de management din perimetru, dar nu stabilește conformitatea cu RGPD, nu creează un temei juridic și nu acoperă activitățile din afara acestui perimetru.

Începeți cu o singură activitate de prelucrare trasabilă

Alegeți o activitate, urmăriți-i datele prin sistemele și furnizorii conectați și legați fiecare obligație semnificativă de un proprietar, de o măsură de protecție și de un istoric al deciziilor. Revizuiți-o după modificările relevante, în loc să așteptați următorul audit.

Secani susține acest flux de lucru privind dovezile prin legarea cerințelor, controalelor, sistemelor, dovezilor și deciziilor de revizuire. Echipele pot păstra dovezile comune ale SMSI alături de deciziile specifice protecției datelor, pot transforma lacunele în sarcini atribuite și pot păstra aprobarea umană a sugestiilor asistate de AI. Primul livrabil util este un lanț revizuit, de la scopul prelucrării la măsura de protecție implementată și la dovezile care o susțin.