Henkilökohtaisten tunnistetietojen suojaaminen: ISO 27002 -valvonnan parhaat käytännöt 5.34
Henkilökohtaisesti tunnistettavat tiedot (PII) ovat mitä tahansa tietoja, jotka vahvistavat henkilön henkilöllisyyden.
Henkilökohtaiset tunnistetiedot voivat sisältää:
- Osoite
- Kansallinen vakuutusnumero tai sosiaaliturvatunnus
- Ajokortti
- Taloudelliset tiedot, mukaan lukien pankkitilit
- Potilastiedot
PII on keskeinen osa organisaation tiedonhallintastrategiaa, ja siihen liittyy useita ainutlaatuisia sääntely-, lainsäädäntö- ja sopimusriskejä.
Control 5.34 käsittelee henkilökohtaisia tunnistetietoja kolmella eri tavalla:
- säilytys
- yksityisyys
- suojaus
Valvonnan tarkoitus 5.34
Control 5.34 on ennaltaehkäisevä kontrolli , joka ylläpitää riskiä luomalla ohjeita ja menettelyjä, jotka täyttävät organisaation lakisääteiset, säädöksiin, määräyksiin ja sopimuksiin perustuvat vaatimukset henkilötietojen tallentamisesta , yksityisyydestä ja suojaamisesta kaikissa muodoissaan.
Ohjauksen ominaisuudet 5.34
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Tunnistaa | #Tiedon suojaus | #Suojaus |
| #Integrity | #Suojella | #Laki ja vaatimustenmukaisuus | ||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 5.34
Ohjaus 5.34 nimeää nimenomaisesti organisaation valtuutetun tietosuojavastaavan (tai vastaavan organisaation) henkilöksi, jonka tulee valvoa henkilökohtaisten tunnistetietojen noudattamista.
Yleiset valvontaohjeet 5.34
Organisaatioiden tulee käsitellä henkilökohtaisia tunnistetietoja aihekohtaisena liiketoimintatehtävänä ja kehittää organisaatiolle ainutlaatuiset käytännöt sekä niiden päivittäisessä toiminnassa yleisimmät PII-luokat.
Ensinnäkin organisaation tulee laatia, kehittää ja toteuttaa joukko käytäntöjä, jotka huolehtivat henkilökohtaisten tunnistetietojen säilyttämisestä, yksityisyydestä ja suojelusta, ja varmistettava, että ne välitetään kaikille henkilökohtaisia tunnistetietoja käsitteleville työntekijöille ja niitä käyttävät – ei vain niille, jotka ovat velvollisia käsitellä sitä osana työtehtäviään.
Henkilötietoja on hallittava jäsennellysti, selkeästi ja ytimekkäästi. Tämän saavuttamiseksi Control 5.34 pyytää organisaatioita laatimaan käytännöt, joissa otetaan huomioon yksilölliset roolit, vastuut ja tiedonhallinnan keinot koko organisaatiossa.
Helpoin ja tehokkain tapa saavuttaa tämä on ottaa käyttöön ylhäältä alas -lähestymistapa, jossa on tietosuojavastaava, jonka tehtävänä on neuvoa työntekijöitä ja kolmansien osapuolien organisaatioita henkilökohtaisia tunnistetietoja koskevissa asioissa sekä neuvoa ylimmälle johdolle. kuinka noudattaa organisaation velvoitteita.
Sääntely-, lainsäädäntö- ja sopimusohjeiden lisäksi organisaation tulisi toteuttaa teknisiä ja operatiivisia toimenpiteitä , jotka koskevat henkilötietojen käytännön käsittelyä niiden tallentamisen ja siirtämisen yhteydessä yrityksessä.
Täydentävä opas
PII-lainsäädäntö vaihtelee maittain, jopa alueilla, joilla on hajautettuja hallintoja tai ei-liittovaltion hallituksia.
Organisaatioiden tulisi auditoida henkilötietojen käsittelyvaatimuksiaan ja ottaa huomioon kaikki rajat ylittävät vaikutukset, joita henkilötietojen keräämisestä, käsittelystä tai jakelusta eri lainkäyttöalueilla voi aiheutua.
Vaikka ISO 27002:2022 -standardissa ei ole lisäohjeita tämän saavuttamiseksi, useat ISO-asiakirjat käsittelevät asiaa yksityiskohtaisemmin, mukaan lukien:
- ISO/IEC 29100 (henkilökohtaisten tunnistetietojen suojaaminen ICT-järjestelmissä)
- ISO/IEC 27701 (yksityisyyden hallintajärjestelmät)
- ISO/IEC 27018 (PII julkisessa pilviinfrastruktuurissa)
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022-5.34 korvaa 27002:2013-18.1.4 (Yksityisyys ja henkilötietojen suoja).
27002:2022-5.34 on melkein jäljennös vuoden 2013 edeltäjästään kahta merkittävää poikkeusta lukuun ottamatta.
- 27002:2022-5.34 pyytää organisaatioita harkitsemaan aihekohtaista politiikkaa PII-periaatteita ja -menettelyjä muotoillessaan ja toteuttaessaan.
- 27002:2022-5.34 painottaa enemmän säilytys henkilökohtaisia tunnistetietoja (kuten hallinnan otsikossa mainitaan) sekä yleiset tietosuoja- ja suojaohjeet.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
Pilvipohjainen alustamme tarjoaa sinulle vankan tietoturvallisuuden hallintakehyksen, jotta voit tarkistaa ISMS-prosessisi prosessin edetessä varmistaaksesi, että se täyttää ISO 27k -standardin vaatimukset. Oikein käytettynä ISMS online voi auttaa sinua saavuttamaan sertifioinnin minimaalisella ajan ja resurssien käytöllä.
Ota yhteyttä jo tänään varataksesi demon.
