ISO 27701: povežite upravljanje zasebnosti in varnost

Upravljanje zasebnosti deluje najbolje, kadar se odločitve o obdelavi, zaščitni ukrepi, obravnava pravic in odgovornosti dobaviteljev med seboj ujemajo. ISO/IEC 27701 za to delo ponuja pristop sistema upravljanja: sistem upravljanja zasebnosti informacij ali PIMS.

Za tehničnega direktorja je izziv povezati dokumentirane obveznosti z vedenjem sistemov. Politika hrambe mora postati postopek brisanja; zaveza obdelovalca mora omejevati dostop in ponovno uporabo; pregled zasebnosti mora vplivati na izdaje. Varnostne kontrole podpirajo te izide, ne morejo pa določiti, ali je obdelava upravičena.

Izberite pravo izdajo in razmerje do svojega ISMS

ISO/IEC 27701:2025 je druga izdaja in zahteve za PIMS določa kot samostojen standard. Starejša izdaja iz leta 2019 je bila razširitev standardov ISO 27001 in ISO 27002. Nove implementacije ne gradite na predpostavki, da je certifikat ISO 27001 vedno predpogoj. Veljavno izdajo in prehodne ureditve potrdite s svojim certifikacijskim organom.

Obstoječi ISMS po ISO 27001 ostaja koristen. Upravljanje, procesi obvladovanja tveganj, nadzor dokumentov, notranje presoje in vodstveni pregled lahko podpirajo oba sistema. ISO 27002 ponuja smernice za kontrole informacijske varnosti.

Cilje ohranite ločene. Varnost preučuje zaupnost, celovitost in razpoložljivost. Zasebnost preučuje tudi namene, sorazmernost, preglednost in posledice za posameznike. Šifrirana podatkovna zbirka lahko še vedno vsebuje po nepotrebnem zbrane informacije. Ponovna uporaba varnostnih dokazil je smiselna; obravnavati jih kot dokaz skladnosti na področju zasebnosti pa ni.

Obseg določite prek obdelave, ne le infrastrukture

Začnite s storitvami in dejavnostmi, ki jih zajema PIMS. Vključite podporne sisteme, ekipe, dobavitelje in vmesnike. Meja, kot je „produkcijsko oblačno okolje“, ne zadostuje, če podpora strankam osebne podatke izvaža v ločen sistem za obravnavo zahtevkov.

Za vsako dejavnost dokumentirajte:

• namen, kategorije osebnih podatkov in prizadete skupine posameznikov;
• vlogo upravljavca ali obdelovalca, vključno z dejavnostmi, pri katerih se vloge razlikujejo;
• vire zbiranja, prejemnike, lokacije shranjevanja in poti prenosa;
• pravila hrambe, način brisanja, lastnike in veljavne obveznosti.

Vloge so odvisne od dejavnosti obdelave, ne preprosto od identitete podjetja. Ponudnik programske opreme lahko podatke, ki jih naložijo stranke, obdeluje po navodilih stranke, hkrati pa nastopa kot upravljavec svojih lastnih zapisov za obračunavanje. Te dejavnosti potrebujejo različne poti odločanja.

Odgovornosti za razvoj, izdelek, zasebnost, nabavo in delovanje dodelite izrecno. Kjer je pooblaščena oseba za varstvo podatkov (DPO) zahtevana ali imenovana, ohranite njeno neodvisno svetovalno in nadzorno vlogo, namesto da bi ji naložili odgovornost za izbiro namenov obdelave. Splošna uredba o varstvu podatkov (GDPR) določa ustrezne obveznosti upravljavca, obdelovalca in pooblaščene osebe.

Tveganja za zasebnost ocenjujte skupaj z varnostnimi tveganji

Evidenco obdelav uporabite za prepoznavanje škode za posameznike in tudi izpostavljenosti organizacije. Nepooblaščen dostop je pomemben, enako pa tudi prekomerno zbiranje, nepričakovana ponovna uporaba, netočni zapisi, nedostopni postopki za uveljavljanje pravic in hramba dlje, kot je utemeljeno potrebno.

Praktična ocena mora vsako tveganje povezati z dejavnostjo, posledico, obstoječim zaščitnim ukrepom, obravnavo, odgovornim lastnikom in sprožilcem pregleda. Zabeležite, zakaj je preostalo tveganje sprejeto ali zakaj je potrebno nadaljnje delo.

Vzemimo funkcijo poročanja, ki izvaža podatke o uspešnosti zaposlenih. Avtentikacija in beleženje dostopov obravnavata varnostne pomisleke. Analiza zasebnosti pa mora upoštevati tudi, ali izvoz vsebuje nepotrebna polja, razkriva občutljive sklepe ali omogoča uporabe, ki niso skladne z navedenim namenom.

Ocena v okviru PIMS lahko podpira pravno presojo, vendar samodejno ne izpolnjuje zahtev vsake jurisdikcije. Po členu 35 GDPR obdelava, ki bi verjetno povzročila veliko tveganje, zahteva oceno učinka v zvezi z varstvom podatkov. Ta prag ocenite ločeno ter shranite odločitev in morebitno zahtevano oceno.

Obveznosti pretvorite v preverljive kontrole

Izogibajte se politiki zasebnosti, ki je razvoj ne more izvesti. Za vsako obveznost določite pričakovano vedenje sistema in dokazila, ki ga izkazujejo. V nadaljevanju so praktični primeri izvedbe, ne univerzalen obvezen nabor kontrol.

Šifriranje, načelo najmanjših privilegijev, beleženje in obnova ostajajo pomembni skupni zaščitni ukrepi. Ukrepe izberite glede na tveganje: člen 32 GDPR ne nalaga splošnega šifriranja v vsakem položaju. Dokumentirajte omejitve dostopa do ključev, obnove in brisanja, kadar vplivajo na izide zasebnosti. Za vidike izvedbe glejte šifriranje in upravljanje ključev.

Oblikujte delovne postopke, ki zdržijo resnične primere

Obravnava pravic potrebuje vstopno pot, lastništvo, sorazmerno preverjanje identitete, iskanje po sistemih, pregled tretjih oseb in varno posredovanje. Po GDPR je treba odgovoriti praviloma v enem mesecu; dovoljena podaljšanja zahtevajo obvestilo v tem prvem mesecu. Hranite zapise o primerih, ki pojasnjujejo odločitve, ne le števila zaprtih zahtevkov. Potek dela za dostop posameznika do podatkov mora zajeti tudi ročne sisteme in pomoč dobaviteljev.

Obravnava incidentov mora ločevati tehnično zamejitev od odločitev o obveščanju na področju zasebnosti. Po GDPR obdelovalci upravljavce obvestijo brez nepotrebnega odlašanja. Upravljavci brez nepotrebnega odlašanja in, kadar je izvedljivo, v 72 urah po seznanitvi ocenijo obveščanje nadzornega organa, razen če ni verjetno, da bi kršitev povzročila tveganje za pravice in svoboščine posameznikov. Zabeležite utemeljitev za neobveščanje in ocenite, ali veliko tveganje zahteva sporočilo posameznikom.

Postopki za dobavitelje morajo preučiti navodila, podobdelovalce, pomoč pri zahtevah in incidentih, vračilo ali izbris ter dostop do dokazil. Kjer se uporablja GDPR, imajo pogodbe po členu 28 posebne obvezne sestavine. Certifikat dobavitelja je podporno zagotovilo, ne nadomestilo za te pogoje.

Mednarodni prenosi zahtevajo ločeno pravno presojo. Certifikat ISO 27701 jih ne dovoljuje in ne odpravlja tveganj nadzora. Dokumentirajte veljavni mehanizem, ocenite njegove pogoje in po potrebi izvedite dodatne ukrepe. Lokacija podatkov sama po sebi ne dokazuje skladnosti.

Primer iz prakse: storitev podpore strankam

Za ponazoritev predpostavimo, da ponudnik SaaS obdeluje sporočila podpore strankam po navodilih strank in nadzoruje lastne zapise kontaktov računov. Obe dejavnosti uporabljata isto platformo za podporo.

Ekipa preslika vsebino sporočil, priloge, identifikatorje računov, dostop dobaviteljev in cilje izvozov. Ugotovi, da izvoz za odpravljanje napak kopira celotna sporočila v razvojni delovni prostor z daljšo hrambo.

Obravnava je konkretna: izvoze celotnih sporočil nadomestite z minimiziranimi diagnostičnimi polji, omejite izjemni dostop, uporabite odobreno obdobje hrambe in zabeležite, kdo odobri izjeme. Preizkusite, da redni izvozi ne vsebujejo besedila sporočil in da se potekli diagnostični zapisi odstranijo.

Paket dokazil vsebuje evidenco obdelave, oceno vlog, pogoje dobavitelja, odločitev o tveganju, konfiguracijo, rezultate testov in zgodovino odobritev. Skupni pregled nadzora dostopa podpira tako varnost kot zasebnost, odločitev o namenu izvoza pa ostaja specifična za zasebnost.

Na certifikacijo se pripravite z operativnimi dokazili

Certifikacijo izvaja neodvisen certifikacijski organ, ne ISO. Pred načrtovanjem presoje potrdite obseg, izdajo, pristop k presoji in pričakovanja glede dokazil. Tipičen postopek začetne certifikacije vključuje pregled pripravljenosti in dokumentacije, ki mu sledi presoja izvedbe; ureditve potrdite z izbranim organom.

Izvedite notranjo presojo glede na veljavne zahteve in lastne postopke. Vzorčite dejavnosti obdelave, primere uveljavljanja pravic, odločitve o dobaviteljih, izvajanje hrambe in spremembe izdelka. Ločite manjkajoči dokument od kontrole, ki obstaja, vendar pri delovanju odpove.

Vodstveni pregled mora upoštevati ugotovitve, nerešena tveganja, spremembe, uspešnost in vire. Korektivni ukrepi potrebujejo lastnike, dokazila o dokončanju in preverjanja učinkovitosti. Certifikacija lahko zagotovi zaupanje v sistem upravljanja v opredeljenem obsegu, ne dokazuje pa skladnosti z GDPR, ne ustvarja pravne podlage in ne zajema dejavnosti zunaj tega obsega.

Začnite z eno sledljivo dejavnostjo obdelave

Izberite eno dejavnost, sledite njenim podatkom skozi povezane sisteme in dobavitelje ter vsako bistveno obveznost povežite z lastnikom, zaščitnim ukrepom in zgodovino odločitev. Preglejte jo po ustreznih spremembah, namesto da čakate na naslednjo presojo.

Secani podpira ta potek dela z dokazili tako, da povezuje zahteve, kontrole, sisteme, dokazila in odločitve pregledov. Ekipe lahko skupna dokazila ISMS hranijo skupaj z odločitvami, specifičnimi za zasebnost, vrzeli pretvorijo v dodeljene naloge in ohranijo človeško odobritev predlogov, ki jih pomaga pripraviti umetna inteligenca. Prvi uporaben rezultat je pregledana veriga od namena obdelave do izvedenega zaščitnega ukrepa in podpornih dokazil.