Kuinka osoittaa GDPR-artiklan 32 noudattaminen

Tekninen kommentti

GDPR:n artikla 32 kehottaa organisaatioita ottamaan tietojenkäsittelyssä riskiperusteisen lähestymistavan, jossa otetaan huomioon useita keskeisiä muuttujia:

• Perusteellinen riskinarviointi, jossa otetaan huomioon henkilötietojen vahingossa tapahtuva tai laiton tuhoutuminen tai muuttaminen, tietoihin pääsy ja tietojen käsittelytapa.
• Sellaisten teknisten toimenpiteiden tutkiminen, jotka vähentävät riskejä koko organisaatiossa.
• Sellaisten tekniikoiden ja toimenpiteiden käyttöönotto, jotka käsittelevät olemassa olevia riskejä todennäköisimmin esiintyy.
• Käytännesäännöt, joiden mukaan organisaatio ja sen sisällä olevat henkilöt ovat vastuussa toimistaan ​​tietojen käsittelyssä.
• Takaa rekisteröidyille, että jokainen, joka on vuorovaikutuksessa heidän tietojensa kanssa, tekee sen asianmukaisella ja laillisella tavalla.

ISO 27701:n lauseke 5.2.1 (Organisaatiosta ja sen kontekstista) ja EU:n GDPR:n artikla 32 (3)

Organisaatioiden tulee käydä läpi kartoitus, jossa luetellaan sekä sisäiset että ulkoiset tekijät, jotka liittyvät PIMS:n käyttöönottoon.

Organisaation on kyettävä ymmärtämään, kuinka se aikoo saavuttaa tietosuojatuloksensa, ja kaikki asiat, jotka estävät henkilökohtaisten tunnistetietojen suojaamisen, tulee tunnistaa ja käsitellä.

Ennen kuin organisaatiot yrittävät käsitellä yksityisyyden suojaa ja ottaa käyttöön henkilökohtaisia ​​tunnistetietoja, niiden on ensin ymmärrettävä velvollisuutensa yksittäisenä tai yhteisenä henkilökohtaisten tunnistetietojen rekisterinpitäjänä ja/tai käsittelijänä.

Tämä sisältää:

• Tarkistaa kaikki voimassa olevat yksityisyyttä koskevat lait, määräykset tai "oikeudelliset päätökset".
• Ottaen huomioon organisaation ainutlaatuiset vaatimukset, jotka liittyvät myymien tuotteiden ja palvelujen laatuun, sekä yrityskohtaiset hallintoasiakirjat, politiikat ja menettelytavat.
• Kaikki hallinnolliset tekijät, mukaan lukien yrityksen päivittäinen toiminta.
• Kolmannen osapuolen sopimukset tai palvelusopimukset, jotka voivat vaikuttaa henkilökohtaisiin tunnistetietoihin ja yksityisyyden suojaan.

ISO 27701 -lauseke 5.2.3 (tietoturvan hallintajärjestelmän laajuuden määrittäminen) ja EU:n GDPR:n artikla 32 (2)

ISO suosittelee perusteellista scoping-harjoitusta, jotta organisaatiot pystyvät tuottamaan PIMS:n, joka ensinnäkin täyttää sen yksityisyyden suojavaatimukset, eikä toisaalta hiipi huomioimattomille liiketoiminnan alueille.

Organisaatioiden tulee luoda ja dokumentoida:

1. Kaikki ulkoiset tai sisäiset ongelmat ISO 27001:n mukaisesti 4.1.
2. Kolmannen osapuolen vaatimukset ISO 27001:n mukaisesti 4.2.
3. Miten organisaatio on vuorovaikutuksessa itsensä ja ulkoisten tahojen kanssa (esim. asiakaskontaktipisteet, ICT-rajapinnat).

Kaikkiin PIMS-toteutusta kartoittaviin mittausharjoituksiin tulee sisältyä henkilötietojen käsittely- ja tallennustoimintojen perusteellinen arviointi.

ISO 27701:n lauseke 5.2.4 (tietoturvan hallintajärjestelmä) ja EU:n GDPR:n artikla 32 (2)

Organisaatioiden tulisi pyrkiä toteuttamaan, hallitsemaan ja optimoimaan Privacy Information Management System (PIMS) julkaistujen ISO-standardien mukaisesti.

ISO 27701:n lauseke 5.4.1.2 (tietoturvariskin arviointi) ja EU:n GDPR:n artiklan 32 (1) b alakohta ja 32 (2)

Organisaatioiden tulee suunnitella ja ottaa käyttöön yksityisyyden suojan riskinarviointiprosessi, joka:

• Sisältää riskin hyväksymiskriteerit yksityisyyden suojan arviointeja varten.
• Tarjoaa puitteet kaikkien yksityisyyden suojaa koskevien arvioiden vertailukelpoiselle analyysille.
• Osoittaa yksityisyyden suojan riskit (ja niiden omistajat).
• ottaa huomioon vaarat ja riskit, jotka liittyvät henkilötietojen luottamuksellisuuden, saatavuuden ja eheyden menettämiseen.
• Analysoi yksityisyyden suojan riskejä kolmen tekijän ohella:
• Niiden mahdolliset seuraukset.
• Niiden esiintymisen todennäköisyys.
• Niiden vakavuus.
• analysoi ja priorisoi tunnistetut riskit niiden riskitason mukaisesti.

ISO 27701:n lauseke 5.4.1.3 (tietoturvariskien käsittely) ja EU:n GDPR:n artikla (32) (1) (b)

Organisaatioiden tulee laatia ja ottaa käyttöön yksityisyyden suojan/henkilökohtaisen tiedon "riskinkäsittelyprosessi", joka:

• Toteuta yksityisyyden suojan "riskien hoitosuunnitelma".
• Arviointitulosten perusteella tunnistaa, kuinka PIMS:n tulisi käsitellä yksittäisiä riskitasoja.
• Korostaa useita valvontatoimia, joita tarvitaan yksityisyyden suojan riskien käsittelyn toteuttamiseen.
• Vertaile kaikkia säätimiä, jotka on tunnistettu ISO:n toimittamassa kattavassa luettelossa ISO 27001:n liite A.
• Dokumentoi ja perustele kaikkien käytettyjen kontrollien käyttö virallisessa sovellettavuuslausunnossa.
• Pyydä hyväksyntä kaikilta riskien omistajilta, ennen kuin viimeistelet yksityisyyden suojan riskien hoitosuunnitelman, joka sisältää mahdolliset "jäännöstietosuoja- ja henkilötietoriskit".

ISO 27701 -lauseke 6.11.1.2 (Turvallisuus kehitys- ja tukiprosessissa) ja EU:n GDPR artiklan 32 (1) a)

Sovellusten turvamenettelyjä tulisi kehittää laajempien yksityisyyden suojakäytäntöjen rinnalla, yleensä useat muuttujat huomioon ottavan jäsennellyn riskiarvioinnin avulla.

Sovelluksen turvallisuusvaatimusten tulee sisältää:

• Kaikkiin verkkokokonaisuuksiin sisältyvät luottamuksen tasot (katso ISO 27002 Kontrollit 5.17, 8.2 ja 8.5).
• Niiden tietojen luokitus, joita sovellus on määritetty käsittelemään (mukaan lukien henkilötiedot).
• Kaikki erotteluvaatimukset.
• Suojaus sisäisiä ja ulkoisia hyökkäyksiä ja/tai haitallista käyttöä vastaan.
• Kaikki voimassa olevat laki-, sopimus- tai sääntelyvaatimukset.
• Luottamuksellisten tietojen tehokas suoja.
• Tiedot, jotka on suojattava siirron aikana.
• Kaikki salausvaatimukset.
• Suojatut tulo- ja lähtöohjaimet.
• Rajoittamattomien syöttökenttien vähäinen käyttö – erityisesti sellaisia, joihin voidaan tallentaa henkilötietoja.
• Virheilmoitusten käsittely, mukaan lukien virhekoodien selkeä kommunikointi.

Tapahtumapalveluiden, jotka helpottavat tietosuojatietojen kulkua organisaation ja kolmannen osapuolen organisaation tai kumppaniorganisaation välillä, tulee:

1. Luo sopiva luottamustaso organisaatioidentiteettien välille.
2. Sisällytä mekanismeja, jotka tarkistavat vakiintuneiden henkilöllisyyksien välisen luottamuksen (esim. hajautus ja digitaaliset allekirjoitukset).
3. Esittele vankat menettelyt, jotka ohjaavat sitä, mitä työntekijät voivat hallita keskeisiä tapahtumaasiakirjoja.
4. Sisältävät asiakirjojen ja tapahtumien hallintamenettelyt, jotka kattavat keskeisten asiakirjojen ja tapahtumien luottamuksellisuuden, eheyden, lähettämisen ja vastaanottamisen.
5. Sisällytä erityiset ohjeet liiketoimien pitämisestä luottamuksellisina.

Kaikkien sähköistä tilaamista ja/tai maksamista koskevien sovellusten osalta organisaatioiden tulee:

• Esitä tiukat vaatimukset maksu- ja tilaustietojen suojalle.
• Tarkista maksutiedot ennen tilauksen tekemistä.
• Säilytä tapahtumatietoja ja yksityisyyteen liittyviä tietoja turvallisesti tavalla, johon yleisö ei pääse käsiksi.
• Käytä luotettavia viranomaisia, kun otat käyttöön digitaalisia allekirjoituksia, ja muista aina yksityisyyden suoja.

Tukee ISO 27002 -säätimiä

• ISO 27002 5.17
• ISO 27002 8.2
• ISO 27002 8.5

ISO 27701:n lauseke 6.12.1.2 (turvallisuuden käsitteleminen toimittajasopimuksissa) ja EU:n GDPR:n artiklan 32 (1) b alakohta

Toimittajasuhteiden turvallisuudesta puhuttaessa organisaatioiden tulee varmistaa, että molemmat osapuolet ovat tietoisia velvollisuuksistaan ​​yksityisyyden tietoturvaa kohtaan ja toisilleen.

Näin tehdessään organisaatioiden tulee:

• Tarjoa selkeä kuvaus, joka sisältää yksityiskohdat, joita on käytettävä, ja kuinka näihin tietoihin päästään.
• Luokittele käytettävät yksityisyystiedot hyväksytyn luokitusjärjestelmän mukaisesti (katso ISO 27002 Controls 5.10, 5.12 ja 5.13).
• Ota riittävästi huomioon toimittajien oma luokitusjärjestelmä.
• Luokittele oikeudet neljään pääalueeseen – oikeudellinen, lakisääteinen, säädös- ja sopimusperusteinen – ja kuvaile yksityiskohtaisesti velvollisuudet alueittain.
• Varmista, että jokainen osapuoli on velvollinen toteuttamaan useita valvontatoimia, jotka valvovat, arvioivat ja hallitsevat tietosuojan tietoturvariskin tasoja.
• Piirrä toimittajahenkilöstön tarve noudattaa organisaation tietoturvastandardeja (ks. ISO 27002 Control 5.20).
• Edistää selkeää ymmärrystä siitä, mikä on kummankin osapuolen yksityisyystietojen sekä fyysisten ja virtuaalisten omaisuuserien sekä hyväksyttävää että ei-hyväksyttävää käyttöä.
• Ota käyttöön valtuutusvalvonta, jota toimittajapuolen henkilöstö tarvitsee päästäkseen käsiksi tai tarkastellakseen organisaation tietosuojatietoja.
• Harkitse, mitä tapahtuu, jos sopimusta rikotaan tai jos yksittäisiä määräyksiä ei noudateta.
• Esittele tapahtumanhallintamenettely, mukaan lukien se, miten tärkeistä tapahtumista tiedotetaan.
• Varmista, että henkilöstölle annetaan turvallisuustietoisuuskoulutusta.
• (Jos toimittajalla on lupa käyttää alihankkijoita) lisää vaatimuksia varmistaaksesi, että alihankkijat noudattavat samoja tietosuojatietoturvastandardeja kuin toimittaja.
• Harkitse, kuinka tavarantoimittajien henkilökuntaa seulotaan ennen kuin he ovat vuorovaikutuksessa tietosuojatietojen kanssa.
• Määritä tarve kolmannen osapuolen todistuksille, jotka koskevat toimittajan kykyä täyttää organisaation tietosuojan tietoturvavaatimukset.
• Sinulla on sopimusoikeus tarkastaa toimittajan menettelyt.
• Vaadi toimittajia toimittamaan raportteja, joissa kerrotaan heidän omien prosessiensa ja menettelyjensä tehokkuudesta.
• Keskity toimenpiteisiin, jotka vaikuttavat vikojen tai ristiriitojen oikea-aikaiseen ja perusteelliseen ratkaisemiseen.
• Varmista, että toimittajat noudattavat asianmukaista BUDR-käytäntöä henkilökohtaisten tunnistetietojen ja yksityisyyteen liittyvien resurssien eheyden ja saatavuuden suojaamiseksi.
• Vaadi toimittajapuolen muutostenhallintakäytäntöä, joka ilmoittaa organisaatiolle kaikista muutoksista, jotka voivat vaikuttaa yksityisyyden suojaan.
• Ota käyttöön fyysisiä turvatoimia, jotka ovat verrannollisia tallennettavien ja käsiteltävien tietojen herkkyyteen.
• (Mihin tietoja siirretään) pyytää toimittajia varmistamaan, että tiedot ja omaisuus on suojattu katoamiselta, vahingoittumiselta tai korruptiolta.
• Esitä luettelo toimista, jotka jommankumman osapuolen on toteutettava irtisanomisen yhteydessä.
• Pyydä toimittajaa kertomaan, kuinka hän aikoo tuhota tietosuojatiedot irtisanomisen jälkeen tai tietoja ei enää tarvita.
• Ryhdy toimenpiteisiin varmistaaksesi, että liiketoiminta keskeytyy mahdollisimman vähän luovutusjakson aikana.

Organisaatioiden tulee myös ylläpitää a sopimusrekisteri, jossa luetellaan kaikki muiden organisaatioiden kanssa tehdyt sopimukset.

Tukee ISO 27002 -säätimiä

• ISO 27002 5.10
• ISO 27002 5.12
• ISO 27002 5.13
• ISO 27002 5.20

ISO 27701 -lauseke 6.15.2.1 (Independent Review of Information Security) ja EU:n GDPR:n artikla 32

Tässä osiossa puhumme GDPR-artikkeleista 32 (1) (b), 32 (1) (d), 32 (2)

Organisaatioiden tulee kehittää prosesseja, jotka mahdollistavat niiden yksityisyystietoturvakäytäntöjen riippumattoman arvioinnin, mukaan lukien sekä aihekohtaiset käytännöt että yleiset käytännöt.

Arvostelut tulee suorittaa:

• Sisäiset tarkastajat.
• Riippumattomat osastonjohtajat.
• Erikoistuneet kolmannen osapuolen organisaatiot.

Katselmusten tulee olla riippumattomia ja niiden tulee olla henkilöiden, joilla on riittävät tiedot yksityisyyden suojan ohjeista ja organisaation omista menettelytavoista.

Tarkastajien tulee selvittää, ovatko tietosuojakäytännöt organisaation "dokumentoitujen tavoitteiden ja vaatimusten mukaisia".

Järjesteltyjen määräaikaistarkastelujen lisäksi organisaatiot voivat kohdata tarpeen suorittaa ad hoc -tarkastuksia, jotka laukaisevat tietyt tapahtumat, mukaan lukien:

• Sisäisten käytäntöjen, lakien, ohjeiden ja määräysten muutosten jälkeen, jotka vaikuttavat yksityisyyden suojaan.
• Suurten tapahtumien jälkeen, jotka ovat vaikuttaneet yksityisyyden suojaan.
• Aina kun uusi yritys perustetaan tai nykyiseen liiketoimintaan tehdään suuria muutoksia.
• Yksityisyyden suojaa millään tavalla käsittelevän uuden tuotteen tai palvelun käyttöönoton jälkeen.

ISO 27701 -lauseke 6.15.2.3 (Teknisen vaatimustenmukaisuuden tarkistus) ja EU:n GDPR:n artiklat 32 (1) (d) ja (32) (2)

Organisaatioiden on varmistettava, että henkilöstö pystyy tarkistamaan tietosuojakäytännöt koko liiketoiminnassaan.

Johdon tulee kehittää teknisiä menetelmiä tietosuojan noudattamisen raportoimiseksi (mukaan lukien automaatio ja räätälöidyt työkalut). Raportit tulee tallentaa, tallentaa ja analysoida henkilökohtaisten tunnistetietojen turvallisuuden ja yksityisyyden suojan parantamiseksi.

Jos vaatimustenmukaisuuteen liittyviä ongelmia havaitaan, organisaatioiden tulee:

• Selvitä syy.
• Päätä korjaustoimenpiteiden menetelmä aukkojen korjaamiseksi ja noudattamiseksi.
• Tarkista ongelma uudelleen sopivan ajan kuluttua varmistaaksesi, että ongelma on ratkaistu.

On erittäin tärkeää ryhtyä korjaaviin toimenpiteisiin mahdollisimman pian. Jos ongelmia ei saada täysin ratkaistua seuraavaan tarkasteluun mennessä, vähintään on esitettävä todisteet siitä, että edistystä tapahtuu.

ISO 27701:n lauseke 6.5.2.1 (tietojen luokitus) ja EU:n GDPR-artikkeli (32) (2)

Sen sijaan, että kaikki hallussa olevat tiedot asettettaisiin tasa-arvoisesti, organisaation tulisi luokitella tiedot aihekohtaisesti.

Tietojen omistajien tulee ottaa huomioon neljä keskeistä tekijää luokitessaan tietoja (erityisesti henkilökohtaisia ​​tunnistetietoja), jotka tulee tarkistaa säännöllisesti tai kun tekijät muuttuvat:

1. - luottamuksellisuus tietoja.
2. - eheys tietoja.
3. Päiväys saatavuus tasoilla.
4. Organisaation lailliset velvoitteet kohti PII:tä.

Selkeän toimintakehyksen luomiseksi tietoluokat tulisi nimetä luontaisen riskitason mukaisesti, jos tapahtuu onnettomuuksia, jotka vaarantavat jonkin edellä mainituista tekijöistä.

Eri alustojen yhteensopivuuden varmistamiseksi organisaatioiden tulee saattaa tietokategoriansa kaikkien ulkopuolisten henkilöiden saataville, joiden kanssa ne jakavat tietoja, ja varmistaa, että organisaation oma luokitusjärjestelmä on laajasti kaikkien asianomaisten osapuolten ymmärtämä.

Organisaatioiden tulee olla varovaisia ​​tietojen ali- tai päinvastoin yliluokittelusta. Ensimmäinen voi johtaa virheisiin PII-tietojen ryhmittelyssä vähemmän arkaluonteisiin tietotyyppeihin, kun taas edellinen johtaa usein lisäkustannuksiin, suurempaan inhimillisten virheiden mahdollisuuteen ja käsittelyhäiriöihin.

ISO 27701:n lauseke 6.5.3.1 (siirrettävän tietovälineen hallinta) ja EU:n GDPR-asetuksen 32 artiklan 1 kohdan a alakohta

Kun kehitetään käytäntöjä, jotka ohjaavat henkilökohtaisten tunnistetietojen tallentamiseen liittyvien mediavarojen käsittelyä, organisaatioiden tulee:

• Kehitä ainutlaatuisia aihekohtaisia ​​käytäntöjä osastokohtaisten tai työhön perustuvien vaatimusten perusteella.
• Varmista, että asianmukainen valtuutus on haettu ja myönnetty, ennen kuin henkilökunta voi poistaa tallennusvälineitä verkosta (mukaan lukien tarkka ja ajantasainen kirjaus tällaisista toimista).
• Säilytä materiaalia valmistajan ohjeiden mukaisesti ilman ympäristövaurioita.
• Harkitse salauksen käyttöä pääsyn edellytyksenä tai, jos se ei ole mahdollista, fyysisten lisäturvatoimenpiteiden käyttöönottoa.
• Minimoi henkilötietojen vioittumisen riski siirtämällä tietoja tallennusvälineiden välillä tarpeen mukaan.
• Ota käyttöön henkilökohtaisten tunnistetietojen redundanssi tallentamalla suojattuja tietoja usealle omaisuudelle samanaikaisesti.
• Salli tallennusvälineiden käyttö vain hyväksytyissä tuloissa (esim. SD-kortit ja USB-portit) omaisuuskohtaisesti.
• Seuraa tarkasti henkilökohtaisten tunnistetietojen siirtoa tallennusvälineille mihin tahansa tarkoitukseen.
• Ota huomioon tallennusvälineiden fyysiseen siirtoon (ja sen sisältämien henkilökohtaisten tunnistetietojen välityspalvelimella) liittyvät riskit siirtäessäsi omaisuutta henkilöstön tai tilojen välillä (katso ISO 27002 Control 5.14).

Kun tallennusvälinettä käytetään uudelleen, käytetään uudelleen tai hävitetään, on otettava käyttöön vankat menettelyt sen varmistamiseksi, että henkilökohtaisiin tietoihin ei vaikuteta millään tavalla, mukaan lukien:

• Tallennusvälineiden alustaminen ja sen varmistaminen, että kaikki henkilötiedot poistetaan ennen uudelleenkäyttöä (katso ISO 27002 Control 8.10), mukaan lukien riittävän dokumentaation ylläpito kaikista tällaisista toiminnoista.
• Sellaisten tietovälineiden turvallinen hävittäminen, joille organisaatiolla ei ole enää käyttöä ja joita on käytetty henkilökohtaisten tunnistetietojen tallentamiseen.
• Jos hävittäminen edellyttää kolmannen osapuolen osallistumista, organisaation tulee huolehtia siitä, että se on sopiva ja asianmukainen kumppani tällaisten tehtävien suorittamiseen, mikä on organisaation vastuuta henkilökohtaisia ​​tunnistetietoja ja yksityisyyden suojaa kohtaan.
• Toteutetaan menettelyt, jotka tunnistavat, mitkä tallennusvälineet ovat käytettävissä uudelleenkäyttöön tai ne voidaan hävittää vastaavasti.

Jos henkilökohtaisten tunnistetietojen tallentamiseen käytetyt laitteet vaurioituvat, organisaation tulee harkita huolellisesti, onko tarkoituksenmukaisempaa tuhota tietoväline tai lähettää se korjattavaksi (ennen puolella).

ISO varoittaa organisaatioita käyttämästä salaamattomia tallennuslaitteita Kaikki PII-toimintaan liittyvä toiminta.

Tukee ISO 27002 -säätimiä

• ISO 27002 5.14

ISO 27701:n lauseke 6.5.3.3 (Physical Media Transfer) ja EU:n GDPR:n artiklan 32 (1) a)

Katso yllä oleva kohta ISO 27701:n lausekkeesta 6.5.3.1

lisäinformaatio

Jos media aiotaan hävittää aiemmin hallussa olevista henkilökohtaisista tiedoista, organisaatioiden tulee ottaa käyttöön menettelyt, jotka dokumentoivat henkilökohtaisten tunnistetietojen ja yksityisyyteen liittyvien tietojen tuhoamisen, mukaan lukien kategoriset takeet siitä, että ne eivät ole enää saatavilla.

Tukee ISO 27002 -säätimiä

• ISO 27002 5.14

ISO 27701:n lauseke 6.7.1.1 (salaushallintalaitteiden käyttöä koskeva käytäntö) ja EU:n GDPR:n artikla 32 (1) (a)

Organisaatioiden tulee käyttää salausta suojatakseen luottamuksellisuus, aitous ja eheys henkilökohtaisia ​​tunnistetietoja ja yksityisyyteen liittyviä tietoja sekä noudattaa erilaisia ​​sopimusvelvoitteitaan, lakisääteisiä tai säännöksiä koskevia velvoitteitaan.

Salaus on kauaskantoinen käsite – ei ole olemassa "yksi koko sopii kaikille" -lähestymistapaa. Organisaatioiden tulee arvioida tarpeensa ja valita salausratkaisu, joka täyttää niiden ainutlaatuiset kaupalliset ja toiminnalliset tavoitteet.

Organisaatioiden tulee harkita:

• Kehitä a aihekohtainen lähestymistapa salaukseen, jossa otetaan huomioon erilaiset osastokohtaiset, roolipohjaiset ja toiminnalliset vaatimukset.
• Asianmukainen suojaustaso (sekä salattavan tiedon tyyppi).
• Mobiililaitteet ja tallennusvälineet.
• Salausavainten hallinta (tallennus, käsittely jne.).
• Salaustoimintojen erityisroolit ja -vastuut, mukaan lukien toteutus ja avainten hallinta (katso ISO 27002 Control 8.24).
• Tekniset salausstandardit, jotka on otettava käyttöön, mukaan lukien algoritmit, salauksen vahvuus ja parhaiden käytäntöjen ohjeet.
• Kuinka salaus toimii yhdessä muiden kyberturvallisuustoimien, kuten haittaohjelmasuojauksen ja yhdyskäytävän suojauksen kanssa.
• Rajat ylittävät ja rajat ylittävät lait ja ohjeet (katso ISO 27002 Control 5.31).
• Sopimukset kolmansien osapuolien salauskumppaneiden kanssa, jotka kattavat kokonaan tai osittain vastuun, luotettavuuden ja vasteajat.

Avaintenhallinta

Keskeiset hallintamenettelyt tulisi jakaa seitsemään päätoimintoon:

1. Sukupolvi.
2. Varastointi.
3. Arkistointi.
4. Haku.
5. Jakeluun.
6. Eläkkeelle.
7. Tuhoaminen.

Organisaation avainten hallintajärjestelmien tulisi:

• Hallitse kaikkien salausmenetelmien avainten luomista.
• Ota käyttöön julkisen avaimen varmenteita.
• Varmista, että kaikille asiaankuuluville ihmisille ja muille kuin ihmisille on myönnetty tarvittavat avaimet.
• Säilytä avaimet.
• Muuta avaimia tarpeen mukaan.
• Ota käyttöön menettelyt mahdollisesti vaarantuneiden avainten käsittelemiseksi.
• Poista avaimet käytöstä tai peruuta käyttöoikeus käyttäjäkohtaisesti.
• Palauta kadonneet tai vialliset avaimet joko varmuuskopioista ja avainarkistoista.
• Tuhoa avaimet, joita ei enää tarvita.
• Hallitse aktivoinnin ja deaktivoinnin elinkaarta niin, että tietyt avaimet ovat käytettävissä vain sen ajan, jonka niitä tarvitaan.
• Käsittele lainvalvontaviranomaisilta tai tietyissä olosuhteissa sääntelyviranomaisilta peräisin olevia virallisia pääsypyyntöjä.
• Sisältävät pääsynhallintalaitteet, jotka suojaavat fyysistä pääsyä avaimiin ja salattuihin tietoihin.
• Harkitse julkisten avainten aitoutta ennen käyttöönottoa (varmenneviranomaiset ja julkiset varmenteet).

Tukee ISO 27002 -säätimiä

• ISO 27002 5.31
• ISO 27002 8.24

ISO 27701 -lauseke 6.9.3.1 (tietojen varmuuskopiointi) ja EU:n GDPR:n artikla 32 (1) (c)

Organisaatioiden tulee laatia aihekohtaisia ​​käytäntöjä, joissa käsitellään suoraan sitä, miten organisaatio varmuuskopioi verkostonsa asiaankuuluvia alueita henkilökohtaisten tunnistetietojen turvaamiseksi ja parantaakseen vastustuskykyä yksityisyyteen liittyvien tapausten varalta.

BUDR-menettelyt tulisi laatia ensisijaisen tavoitteen saavuttamiseksi kaikki liiketoimintakriittiset tiedot, ohjelmistot ja järjestelmät voidaan palauttaa seuraavaksi tietojen menetys, tunkeutumisen, liiketoiminnan keskeytys ja kriittisiä epäonnistumisia.

Ensisijaisesti BUDR-suunnitelmien tulee:

• Esittele palautusmenettelyt, jotka kattavat kaikki kriittiset järjestelmät ja palvelut.
• Pystyy tuottamaan toimivia kopioita kaikista järjestelmistä, tiedoista tai sovelluksista, jotka ovat osa varmuuskopiointityötä.
• Palvelevat organisaation kaupallisia ja toiminnallisia vaatimuksia (ks. ISO 27002 Control 5.30).
• Säilytä varmuuskopiot ympäristön kannalta suojatussa paikassa, joka on fyysisesti erillään lähdetiedoista (katso ISO 27002 Control 8.1).
• Testaa ja arvioi varmuuskopiointityöt säännöllisesti organisaatioiden määräämiin palautusaikaan nähden, jotta tiedon saatavuus voidaan taata.
• Salaa kaikki henkilökohtaisiin tunnistetietoihin liittyvät varmuuskopiotiedot.
• Tarkista ennen varmuuskopiointityön suorittamista tietojen häviämisen varalta.
• Noudata raportointijärjestelmää, joka varoittaa henkilöstöä varmuuskopiointitöiden tilasta.
• Pyri sisällyttämään tietoja pilvipohjaisista alustoista, joita organisaatio ei hallinnoi suoraan, sisäisiin varmuuskopiointitöihin.
• Säilytä varmuuskopiot asianmukaisten henkilökohtaisten tunnistetietojen säilytyskäytännön mukaisesti (katso ISO 27002 Control 8.10).

Organisaatioiden on kehitettävä erilliset menettelyt, jotka käsittelevät yksinomaan henkilökohtaisia ​​tunnistetietoja (vaikkakin sisältyvät niiden pääasialliseen BUDR-suunnitelmaan).

PII BUDR -standardien alueelliset erot (sopimusperusteiset, oikeudelliset ja säädökset) tulee ottaa huomioon aina kun uusi työpaikka luodaan, työpaikkoja muutetaan tai uusia PII-tietoja lisätään BUDR-rutiiniin.

Aina kun tulee tarve palauttaa henkilökohtaisia ​​tunnistetietoja BUDR-tapahtuman jälkeen, organisaatioiden tulee olla erittäin huolellisia palauttaakseen henkilökohtaisia ​​tunnistetietoja alkuperäiseen tilaan ja tarkastella palautustoimenpiteitä uusiin tietoihin liittyvien ongelmien ratkaisemiseksi.

Organisaatioiden tulee pitää kirjaa palautustoimista, mukaan lukien palauttamiseen osallistuneista henkilöistä, sekä kuvaus palautetuista henkilökohtaisista tunnisteista.

Organisaatioiden tulee ottaa yhteyttä lainsäädäntöön tai sääntelyviranomaisiin ja varmistaa, että niiden henkilökohtaisten tunnistetietojen palautusmenettelyt ovat linjassa sen kanssa, mitä niiltä odotetaan henkilötietojen käsittelijänä ja rekisterinpitäjänä.

Tukee ISO 27002 -säätimiä

• ISO 27002 5.30
• ISO 27002 8.1
• ISO 27002 8.10

ISO 27701:n lauseke 7.2.1 (Tunnista ja dokumentoi tarkoitus) ja EU:n GDPR:n artikla 32 (4)

Organisaatioiden on ensin tunnistaa ja sitten ennätys erityiset syyt käyttämiensä henkilökohtaisten tunnistetietojen käsittelyyn.

PII-päämiesten on oltava täysin perillä kaikista eri syistä, miksi heidän henkilökohtaisia ​​tunnistetietojaan käsitellään.

Organisaation vastuulla on välittää nämä syyt PII-päämiehille sekä "selkeä lausunto" siitä, miksi heidän on käsiteltävä tietojaan.

Kaikkien asiakirjojen on oltava selkeitä, kattavia ja helposti ymmärrettäviä kaikkien niitä lukevien henkilökohtaisten tunnistetietojen päämiesten – mukaan lukien kaiken suostumukseen liittyvän – sekä kopiot sisäisistä menettelyistä (katso ISO 27701:n kohdat 7.2.3, 7.3.2 ja 7.2.8).

Tukee ISO 27701 -säätimiä

• ISO 27701 7.2.3
• ISO 27701 7.3.2
• ISO 27701 7.2.8

ISO 27701 -lauseke 7.4.5 (PII-tunnisteen poistaminen ja poistaminen käsittelyn lopussa) ja EU:n GDPR:n artiklan 32 (1) a)

Organisaatioiden on joko tuhottava kokonaan kaikki henkilötiedot, jotka eivät enää täytä tarkoitusta, tai muutettava niitä tavalla, joka estää kaikenlaisen pääasiallisen tunnistamisen.

Heti kun organisaatio toteaa, että henkilökohtaisia ​​tunnistetietoja ei tarvitse käsitellä jatkossa, tiedot tulee Poistetaan or de-identifioituolosuhteiden mukaan.

ISO 27701:n lauseke 8.2.2 (Organisaatiotarkoitukset) ja EU:n GDPR:n artikla 32 (4)

Henkilökohtaisia ​​tunnistetietoja tulee alusta alkaen käsitellä vain asiakkaan ohjeiden mukaisesti.

Sopimuksiin tulee sisältyä keskinäisiin tavoitteisiin liittyvät SLA-sopimukset ja niihin liittyvät aikataulut, joiden kuluessa ne on täytettävä.

Organisaatioiden tulee tunnustaa oikeutensa valita henkilökohtaisten tunnistetietojen käsittelyyn käytettävät erilliset menetelmät, joilla saavutetaan laillisesti asiakkaan etsimä, mutta ilman tarvetta hankkia yksityiskohtaisia ​​lupia organisaation tekniseen käsittelyyn.

Tukee ISO 27701 -lausekkeita ja ISO 27002 -säätimiä

Miten ISMS.online auttaa

ISMS.online-alustalla on sisäänrakennettu opastus jokaisessa vaiheessa yhdistettynä "Ota käyttöön, mukauta, lisää" -toteutustapamme kanssa, joten GDPR-asetuksesi osoittamiseen vaadittava vaiva vähenee huomattavasti. Sinä WILL hyötyä valikoimasta tehokkaita aikaa säästäviä ominaisuuksia.

ISMS.onlinen avulla on myös helppo hypätä suoraan matkallesi kohti GDPR-vaatimustenmukaisuutta ja osoittaa helposti suojaustaso, joka ylittää "kohtuullisen", kaikki yhdessä turvallisessa, aina käytettävissä olevassa paikassa.

Lisätietoja: varata lyhyt 30 minuutin demo.