Mitä kohta A.3.15 edellyttää?
Organisaation lähestymistapaa henkilötietojen käsittelyyn liittyvän tietoturvallisuuden hallintaan ja sen toteuttamiseen, mukaan lukien ihmiset, prosessit ja teknologiat, on tarkasteltava itsenäisesti suunnitelluin väliajoin tai merkittävien muutosten yhteydessä.
Tämä ohjaus sijaitsee Jaetut suojaustoiminnot liite (A.3) ja käsittelee objektiivisen varmuuden tarvetta. Itsearviointi on tärkeää, mutta riippumaton tarkastus tarjoaa asiakkaiden, sääntelyviranomaisten ja liikekumppaneiden edellyttämää uskottavuutta.
Mitä liitteen B täytäntöönpano-ohjeissa sanotaan?
Liite B (kohta B.3.15) keskittyy erityisesti prosessorin kontekstiin:
- Yksittäisten tarkastusten epäkäytännöllisyys — Jos yksittäiset asiakastarkastukset ovat epäkäytännöllisiä tai voivat lisätä tietoturvariskejä (esimerkiksi paljastamalla muiden asiakkaiden tietoja), käsittelijöiden tulisi harkita riippumattoman todistusaineiston asettamista asiakkaiden saataville.
- Sopimusta edeltävät ja sopimuksen mukaiset todisteet — Asiakkaiden saataville tulisi asettaa riippumatonta näyttöä sekä ennen sopimuskautta että sen aikana, mikä mahdollistaa jatkuvan varmuuden
- Hyväksyttävä tarkastusevidenssi — Asiaankuuluva riippumaton tarkastus (kuten ISO 27001 -sertifikaatti tai ISO 27701 -sertifiointi) pitäisi yleensä olla hyväksyttäviä asiakkaan edun täyttämiseksi käsittelijän toiminnan tarkastelussa
- Katso myös A.3.3: Tietoturvakäytännöt asiaankuuluvia vaatimuksia varten
- Katso myös A.3.4: Tietoturvaroolit ja -vastuut asiaankuuluvia vaatimuksia varten
Tämä on erityisen merkittävää pilvipalveluntarjoajille ja SaaS-alustoille, joilla sadoilla asiakkailla voi olla kullakin sopimukseen perustuva oikeus auditointiin, mikä tekee yksittäisistä auditoinneista toiminnallisesti toimimattomia.
Miten tämä vastaa GDPR:ää?
Kontrollin A.3.15 kohdennus GDPR Artiklan 32(1)(d) mukaan teknisten ja organisatoristen toimenpiteiden tehokkuutta on säännöllisesti testattava, arvioitava ja arvioitava, ja artiklan 32(2) mukaan rekisteröidyille aiheutuvat riskit on otettava huomioon arvioitaessa asianmukaista turvallisuustasoa.
Täydellinen GDPR:n ja ISO 27701 -standardin välinen vastaavuus on lueteltu alla. GDPR-vaatimustenmukaisuusopas.
Mikä muuttui standardista ISO 27701:2019?
Vaiheittaisen lähestymistavan löydät kohdasta Siirtymäkausi vuodesta 2019 vuoteen 2025.
Vuoden 2019 painoksessa tätä vaatimusta käsiteltiin kohdassa 6.15.2.1 (tietoturvallisuuden riippumaton tarkastus). Vuoden 2025 painoksessa ydinvaatimukset on säilytetty kohdassa A.3.15, ja valvontalausunto ja toteutusohjeet on erotettu selkeämmin kohdassa B.3.15. Käytännön ohjeet riippumattomien tarkastusten käytöstä asiakkaiden varmuustarpeiden täyttämiseksi ovat edelleen keskeinen ominaisuus. Katso Liitteen F vastaavuustaulukko koko kartoitusta varten.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Mitä todisteita tilintarkastajat odottavat?
Arvioidessaan kohdan A.3.15 vaatimustenmukaisuutta tilintarkastajat etsivät tyypillisesti seuraavia seikkoja:
- Sisäisen tarkastuksen ohjelma — Dokumentoitu aikataulu riippumattomille arvioinneille, jotka kattavat PIMS-järjestelmän, mukaan lukien arviointien tiheys ja valintakriteerit
- Tilintarkastajan riippumattomuus — Todiste siitä, että tarkastajat ovat riippumattomia tarkasteltavista alueista, olivatpa he sitten eri osaston sisäisiä tarkastajia tai ulkoisia tilintarkastusyrityksiä
- Tarkastusraportit — Valmiit tarkastusraportit havaintoineen, riskiluokituksineen ja suositeltuine toimenpiteineen
- Korjaavien toimenpiteiden seuranta — Todisteet siitä, että havaintoihin on puututtu dokumentoiduilla korjaavilla toimenpiteillä, joille on osoitettu vastuuhenkilöt ja tavoitepäivämäärät
- Triggeripohjaiset arvostelut — Todisteet siitä, että lisätarkastuksia tehdään merkittävien muutosten tapahtuessa, ei vain suunnitelluin väliajoin
Mitä asiaan liittyviä ohjausobjekteja on?
| Valvonta: | Yhteys |
|---|---|
| A.3.16 Käytäntöjen noudattaminen | A.3.15 tarjoaa riippumattoman varmuuden; A.3.16 Käytäntöjen noudattaminen kattaa operatiivisen vaatimustenmukaisuuden tarkastuksen |
| A.3.13 Lakisääteiset ja sopimusoikeudelliset vaatimukset | Riippumattomien tarkastusten tulisi varmistaa määriteltyjen lakisääteisten velvoitteiden noudattaminen |
| A.3.10 Toimittajasopimukset | Toimittajasopimuksiin voi sisältyä tarkastusoikeuksia, jotka riippumattomat tarkastukset voivat täyttää |
| A.3.14 Asiakirjojen suojaaminen | Tarkastusraportit ja -havainnot on suojattava vaatimustenmukaisuusasiakirjoina |
| A.3.9 Käyttöoikeudet | Riippumattomien arviointien tulisi arvioida, ovatko henkilötietojen käyttöoikeuksien valvonnat tehokkaita |
Ketä tämä valvonta koskee?
A.3.15 on jaettu hallinta tämä koskee sekä henkilötietojen rekisterinpitäjiä että käsittelijöitä. Rekisterinpitäjät tarvitsevat riippumattoman varmuuden siitä, että heidän yksityisyyden suojauksensa toimivat tehokkaasti. Käsittelijät hyötyvät merkittävästi tästä valvonnasta, koska riippumaton tarkastusevihje (kuten ISO 27701 tai ISO 27001 sertifiointi) voivat täyttää useiden asiakkaiden auditointivaatimukset samanaikaisesti, mikä vähentää yksittäisten asiakasauditointien taakkaa.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Miksi valita ISMS.online riippumattomien arvostelujen hallintaan?
ISMS.online tarjoaa käytännön työkaluja yksityisyysohjelmasi riippumattomien arviointien suunnitteluun, toteuttamiseen ja seurantaan:
- Sisäisen tarkastuksen ohjelma — Suunnittele ja aikatauluta auditoinnit laajuusmääritelmineen, auditoijien tehtävine tehtävineen ja tulevia tarkastuksia koskevien automaattisten muistutusten kera
- Tarkastuksen hallinnan työnkulut — Opastaa tilintarkastajia tarkastusprosessin läpi tarkistuslistojen, todistusaineistopyyntöjen ja löytömallien avulla
- Korjaavien toimenpiteiden seuranta — Kirjaa löydökset vakavuusluokituksineen, määritä vastuuhenkilöt, aseta määräajat ja seuraa edistymistä sulkemiseen asti
- Todistepakettien luominen — Kokoa auditointitodisteet jäsennellyiksi paketeiksi ulkoisia auditoijia tai asiakkaiden varmistuspyyntöjä varten
- Sertifiointituki — Säilytä ISO 27701- ja ISO 27001 -sertifiointistatuksesi valvontatarkastusten valmistelu- ja kuiluanalyysityökaluilla
- Asiakasvakuutusportaali — Jaa asiaankuuluvat auditointitodisteet asiakkaiden kanssa turvallisesti, mikä vähentää yksittäisten paikan päällä tehtävien auditointien tarvetta
UKK
Kuinka usein riippumattomia arviointeja tulisi tehdä?
Standardi edellyttää tarkastuksia suunnitelluin väliajoin tai merkittävien muutosten tapahtuessa. Useimmat organisaatiot suorittavat vuosittain viralliset riippumattomat tarkastukset ISO 27001 -valvontatarkastussyklinsä mukaisesti. Merkittävien muutosten, kuten suuren järjestelmäsiirron, organisaatiorakenteen uudelleenjärjestelyn tai uudentyyppisen henkilötietojen käsittelyn, tulisi kuitenkin johtaa ylimääräiseen tarkastukseen suunnitellun aikataulun ulkopuolella.
Voiko sisäinen tarkastus täyttää riippumattomuusvaatimuksen?
Kyllä, edellyttäen, että auditoijat ovat riippumattomia tarkasteltavan alueen suhteen. Sisäinen auditointitiimi, joka ei raportoi tarkasteltavan alueen johdolle, voi tarjota riippumattoman varmuuden. Asiakkaiden auditointivaatimuksia täyttäville jalostajaorganisaatioille ulkoiset sertifiointielimet tarjoavat kuitenkin tyypillisesti vahvimman todisteen riippumattomuudesta.
Miten tämä auttaa käsittelijöitä hallitsemaan useita asiakkaiden auditointipyyntöjä?
Toteutusohjeissa tunnustetaan nimenomaisesti, että yksittäisten asiakkaiden auditoinnit voivat olla epäkäytännöllisiä ja lisätä tietoturvariskejä. Ylläpitämällä ajantasaista riippumatonta auditointitodistetta (kuten ISO 27701- tai ISO 27001 -sertifiointi) käsittelijät voivat tarjota standardoidun varmuuden kaikille asiakkaille. Tämä vähentää auditointiväsymystä, suojaa muiden asiakkaiden tietojen luottamuksellisuutta ja tarjoaa skaalautuvan lähestymistavan varmuuteen asiakaskunnan kasvaessa.
Täydellinen opas sertifiointiauditointiin on luettavissa Mitä odottaa ISO 27701:2025 -auditoinnilta.
Oikean tilintarkastajan valitseminen on ratkaisevan tärkeää – ks. miten valita sertifiointilaitos.
