ISO 27701: prepojte riadenie ochrany súkromia a bezpečnosť

Riadenie ochrany súkromia funguje najlepšie, keď do seba zapadajú rozhodnutia o spracúvaní, ochranné opatrenia, vybavovanie práv a zodpovednosti dodávateľov. ISO/IEC 27701 poskytuje pre túto prácu prístup systému manažérstva: systém manažérstva informácií o súkromí, skrátene PIMS.

Pre CTO spočíva výzva v prepojení zdokumentovaných povinností so správaním systémov. Politika uchovávania sa musí stať procesom vymazávania; záväzok sprostredkovateľa musí obmedzovať prístup a opätovné použitie; posúdenie ochrany súkromia musí ovplyvňovať vydania. Bezpečnostné kontroly tieto výsledky podporujú, nedokážu však určiť, či je spracúvanie opodstatnené.

Zvoľte správne vydanie a vzťah k vášmu ISMS

ISO/IEC 27701:2025 je druhé vydanie a stanovuje požiadavky na PIMS ako samostatnú normu. Staršie vydanie z roku 2019 bolo rozšírením ISO 27001 a ISO 27002. Nové zavedenie nestavajte na predpoklade, že certifikácia podľa ISO 27001 je vždy podmienkou. Platné vydanie a prechodné opatrenia si overte u svojho certifikačného orgánu.

Existujúci ISMS podľa ISO 27001 zostáva užitočný. Riadenie, procesy riadenia rizík, riadenie dokumentov, interné audity a preskúmanie manažmentom môžu podporovať oba systémy. ISO 27002 poskytuje návod na kontroly informačnej bezpečnosti.

Ciele však držte oddelene. Bezpečnosť skúma dôvernosť, integritu a dostupnosť. Ochrana súkromia skúma aj účely, primeranosť, transparentnosť a dôsledky pre jednotlivcov. Šifrovaná databáza môže stále obsahovať zbytočne zozbierané informácie. Opätovné použitie bezpečnostných dôkazov je rozumné; považovať ich za dôkaz súladu v oblasti ochrany súkromia nie.

Rozsah definujte cez spracúvanie, nielen cez infraštruktúru

Začnite službami a činnosťami, na ktoré sa PIMS vzťahuje. Zahrňte podporné systémy, tímy, dodávateľov a rozhrania. Hranica ako „produkčné cloudové prostredie“ nestačí, ak zákaznícka podpora exportuje osobné údaje do samostatného systému na správu tiketov.

Pre každú činnosť zdokumentujte:

• Účel, kategórie osobných údajov a dotknuté skupiny osôb.
• Rolu prevádzkovateľa alebo sprostredkovateľa vrátane činností, pri ktorých sa roly líšia.
• Zdroje získavania, príjemcov, miesta uloženia a cesty prenosu.
• Pravidlá uchovávania, správanie pri vymazávaní, vlastníkov a platné povinnosti.

Roly závisia od spracovateľskej činnosti, nie jednoducho od identity spoločnosti. Poskytovateľ softvéru môže spracúvať údaje nahrané zákazníkmi podľa pokynov klienta a zároveň vystupovať ako prevádzkovateľ pri vlastných fakturačných záznamoch. Tieto činnosti potrebujú odlišné rozhodovacie postupy.

Zodpovednosti v oblasti vývoja, produktu, ochrany súkromia, nákupu a prevádzky prideľte výslovne. Ak je zodpovedná osoba (DPO) povinná alebo vymenovaná, zachovajte jej nezávislú poradenskú a monitorovaciu úlohu a nerobte ju zodpovednou za voľbu účelov spracúvania. Príslušné povinnosti prevádzkovateľa, sprostredkovateľa a zodpovednej osoby stanovuje všeobecné nariadenie o ochrane údajov (GDPR).

Posudzujte riziká pre súkromie spolu s bezpečnostnými rizikami

Pomocou inventára spracúvania identifikujte ujmu pre jednotlivcov, ako aj expozíciu organizácie. Neoprávnený prístup je dôležitý, rovnako však aj nadmerné získavanie údajov, neočakávané opätovné použitie, nepresné záznamy, nedostupné postupy na uplatnenie práv a uchovávanie nad rámec preukázanej potreby.

Praktické posúdenie by malo každé riziko prepojiť s činnosťou, dôsledkom, existujúcim ochranným opatrením, ošetrením, zodpovedným vlastníkom a spúšťačom revízie. Zaznamenajte, prečo sa zostatkové riziko akceptuje alebo prečo je potrebná ďalšia práca.

Predstavte si funkciu reportovania, ktorá exportuje údaje o výkonnosti zamestnancov. Autentifikácia a logovanie prístupov riešia bezpečnostné otázky. Analýza ochrany súkromia musí zvážiť aj to, či export obsahuje zbytočné polia, odhaľuje citlivé odvodené informácie alebo umožňuje použitie nezlučiteľné s uvedeným účelom.

Posúdenie v rámci PIMS môže podporiť právne posúdenie, automaticky však nespĺňa požiadavky každej jurisdikcie. Podľa článku 35 GDPR si spracúvanie, ktoré pravdepodobne povedie k vysokému riziku, vyžaduje posúdenie vplyvu na ochranu údajov. Túto hranicu vyhodnoťte samostatne a uchovajte rozhodnutie aj prípadné požadované posúdenie.

Premeňte povinnosti na overiteľné kontroly

Vyhnite sa politike ochrany súkromia, ktorú vývoj nedokáže implementovať. Pre každú povinnosť určte očakávané správanie systému a dôkaz, ktorý ho preukazuje. Nasledujúce príklady sú praktické ukážky implementácie, nie univerzálny povinný súbor kontrol.

Šifrovanie, minimálne oprávnenia, logovanie a obnova zostávajú dôležitými spoločnými ochrannými opatreniami. Opatrenia vyberajte podľa rizika: článok 32 GDPR neukladá plošné šifrovanie v každej situácii. Zdokumentujte obmedzenia prístupu ku kľúčom, obnovy a vymazávania tam, kde ovplyvňujú výsledky v oblasti ochrany súkromia. Aspekty implementácie nájdete v článku šifrovanie a správa kľúčov.

Vytvorte prevádzkové postupy, ktoré obstoja pri skutočných prípadoch

Vybavovanie práv potrebuje kanál na prijímanie žiadostí, vlastníka, primerané overenie totožnosti, vyhľadávanie v systémoch, preskúmanie údajov tretích strán a bezpečné odovzdanie. Podľa GDPR je odpoveď spravidla potrebné poskytnúť do jedného mesiaca; povolené predĺženie si vyžaduje oznámenie v rámci tohto prvého mesiaca. Uchovávajte záznamy o prípadoch, ktoré vysvetľujú rozhodnutia, nielen počty uzavretých tiketov. Postup pri žiadostiach o prístup dotknutej osoby by mal pokrývať aj manuálne systémy a súčinnosť dodávateľov.

Riešenie incidentov musí rozlišovať technické zamedzenie šírenia od rozhodnutí o oznámení v oblasti ochrany súkromia. Podľa GDPR sprostredkovatelia informujú prevádzkovateľov bez zbytočného odkladu. Prevádzkovatelia posúdia oznámenie dozornému orgánu bez zbytočného odkladu a podľa možnosti do 72 hodín od zistenia, pokiaľ nie je nepravdepodobné, že porušenie bude mať za následok riziko pre práva a slobody jednotlivcov. Zaznamenajte zdôvodnenie neoznámenia a posúďte, či vysoké riziko vyžaduje informovanie jednotlivcov.

Postupy voči dodávateľom by mali preverovať pokyny, subdodávateľov, súčinnosť pri žiadostiach a incidentoch, vrátenie alebo vymazanie údajov a prístup k dôkazom. Ak sa uplatňuje GDPR, zmluvy podľa článku 28 majú konkrétne povinné náležitosti. Certifikát dodávateľa je podporným uistením, nie náhradou za tieto podmienky.

Medzinárodné prenosy si vyžadujú samostatné právne posúdenie. Certifikácia podľa ISO 27701 ich neautorizuje ani neneutralizuje riziká sledovania. Zdokumentujte uplatniteľný mechanizmus, posúďte jeho podmienky a v prípade potreby zaveďte doplnkové opatrenia. Samotné umiestnenie údajov súlad nezakladá.

Praktický príklad: služba zákazníckej podpory

Predpokladajme pre ilustráciu, že poskytovateľ SaaS spracúva správy zákazníckej podpory podľa pokynov zákazníkov a je prevádzkovateľom vlastných kontaktných záznamov k účtom. Obe činnosti využívajú rovnakú platformu podpory.

Tím zmapuje obsah správ, prílohy, identifikátory účtov, prístup dodávateľov a ciele exportov. Zistí, že export na ladenie kopíruje celé správy do vývojárskeho pracovného priestoru s dlhším uchovávaním.

Ošetrenie je konkrétne: nahradiť exporty celých správ minimalizovanými diagnostickými poľami, obmedziť výnimočný prístup, uplatniť schválenú dobu uchovávania a zaznamenávať, kto výnimky povoľuje. Otestujte, že bežné exporty vynechávajú telá správ a že diagnostické záznamy po uplynutí doby uchovávania sú odstránené.

Balík dôkazov obsahuje záznam o spracúvaní, posúdenie rolí, zmluvné podmienky dodávateľa, rozhodnutie o riziku, konfiguráciu, výsledky testov a históriu schválení. Spoločná revízia riadenia prístupu podporuje bezpečnosť aj ochranu súkromia, zatiaľ čo rozhodnutie o účele exportu zostáva špecifické pre ochranu súkromia.

Pripravte sa na certifikáciu s prevádzkovými dôkazmi

Certifikáciu vykonáva nezávislý certifikačný orgán, nie ISO. Pred naplánovaním posudzovania si overte rozsah, vydanie, prístup k auditu a očakávania na dôkazy. Typický proces prvotnej certifikácie zahŕňa preverenie pripravenosti a dokumentácie, po ktorom nasleduje posúdenie implementácie; podrobnosti si dohodnite s vybraným orgánom.

Vykonajte interný audit voči platným požiadavkám a vlastným postupom. Vyberte vzorky spracovateľských činností, prípadov uplatnenia práv, rozhodnutí o dodávateľoch, vykonávania uchovávania a zmien produktu. Odlíšte chýbajúci dokument od kontroly, ktorá existuje, ale v prevádzke zlyháva.

Preskúmanie manažmentom by malo zohľadniť zistenia, nevyriešené riziká, zmeny, výkonnosť a zdroje. Nápravné opatrenia potrebujú vlastníkov, dôkaz o dokončení a kontroly účinnosti. Certifikácia môže poskytnúť uistenie o systéme manažérstva v danom rozsahu, nepreukazuje však súlad s GDPR, nevytvára právny základ ani nepokrýva činnosti mimo tohto rozsahu.

Začnite jednou dohľadateľnou spracovateľskou činnosťou

Vyberte jednu činnosť, sledujte jej údaje cez prepojené systémy a dodávateľov a každú podstatnú povinnosť prepojte s vlastníkom, ochranným opatrením a históriou rozhodnutí. Revidujte ju po relevantných zmenách, namiesto čakania na ďalší audit.

Secani podporuje tento pracovný postup s dôkazmi tým, že prepája požiadavky, kontroly, systémy, dôkazy a rozhodnutia z revízií. Tímy môžu uchovávať spoločné dôkazy ISMS spolu s rozhodnutiami špecifickými pre ochranu súkromia, meniť medzery na pridelené úlohy a zachovať ľudské schvaľovanie návrhov s podporou AI. Prvým užitočným výstupom je preskúmaný reťazec od účelu spracúvania k implementovanému ochrannému opatreniu a podporným dôkazom.