Mitä kohta A.3.16 edellyttää?
Organisaation tietoturvapolitiikan, aihekohtaisten käytäntöjen, henkilötietojen käsittelyyn liittyvien sääntöjen ja standardien noudattamista on tarkasteltava säännöllisesti.
Tämä ohjaus sijaitsee Jaetut suojaustoiminnot liite (A.3) ja keskittyy toiminnan varmentamiseen – sen tarkistamiseen, että dokumentoimiasi valvontatoimia todella noudatetaan käytännössä. A.3.15 Riippumaton arviointi käsittelee riippumatonta arviointia strategisella tasolla, A.3.16 varmistaa päivittäisen vaatimustenmukaisuuden valvonnan.
Ymmärrä koko auditointiprosessi oppaastamme: Mitä odottaa ISO 27701:2025 -auditoinnilta.
Mitä liitteen B täytäntöönpano-ohjeissa sanotaan?
Liitteessä B (kohta B.3.16) annetaan seuraavat ohjeet:
- Tarkista työkalut ja komponentit — Sisällytä menetelmät henkilötietojen käsittelyyn liittyvien työkalujen ja komponenttien tarkasteluun, ei pelkästään käytäntöjä ja menettelyjä
- Jatkuva seuranta — Tämä voi sisältää jatkuvaa tai säännöllistä seurantaa sen varmistamiseksi, että ainoastaan sallittua käsittelyä tapahtuu.
- Tunkeutumis- ja haavoittuvuustestaus — Erityistestit, kuten penetraatiotestaus tai haavoittuvuusarvioinnit, voivat olla osa vaatimustenmukaisuuden tarkastusohjelmaa.
- Motivoituneen tunkeutujan testaus — Ohjeissa mainitaan erityisesti motivoituneet tunkeutujatestit anonymisoiduilla tietojoukoilla sen varmistamiseksi, että anonymisointi- tai pseudonymisointitoimenpiteet ovat tehokkaita.
- Katso myös A.3.3: Tietoturvakäytännöt asiaankuuluvia vaatimuksia varten
- Katso myös A.3.4: Tietoturvaroolit ja -vastuut asiaankuuluvia vaatimuksia varten
Ohjeistus tekee selväksi, että vaatimustenmukaisuuden tarkastus ei ole pelkkää paperilla tehtävää työtä. Tekninen testaus – mukaan lukien yritykset anonymisoitujen tietojen uudelleentunnistamiseksi – on tärkeä osa sen varmistamista, että yksityisyyden suojan säätimet toimivat tarkoitetulla tavalla.
Miten tämä vastaa GDPR:ää?
Kontrollin A.3.16 kohdennus GDPR Artiklan 32(1)(d) mukaan on otettava käyttöön prosessi, jolla säännöllisesti testataan, arvioidaan ja arvioidaan käsittelyn turvallisuuden varmistamiseksi toteutettujen teknisten ja organisatoristen toimenpiteiden tehokkuutta, ja artiklan 32(2) mukaan on otettava huomioon käsittelystä rekisteröidyille aiheutuvat riskit.
Täydellinen GDPR:n ja ISO 27701 -standardin välinen vastaavuus on lueteltu alla. GDPR-vaatimustenmukaisuusopas.
Mikä muuttui standardista ISO 27701:2019?
Vaiheittaisen lähestymistavan löydät kohdasta Siirtymäkausi vuodesta 2019 vuoteen 2025.
Vuoden 2019 painoksessa tätä vaatimusta käsiteltiin kohdissa 6.15.2.2 (tietoturvakäytäntöjen ja -standardien noudattaminen) ja 6.15.2.3 (teknisen vaatimustenmukaisuuden tarkastus). Vuoden 2025 painos yhdistää nämä yhdeksi vaatimukseksi (A.3.16) yhdistämällä käytäntöjen noudattamisen tarkastukset tekniseen vaatimustenmukaisuuden testaukseen. Katso Liitteen F vastaavuustaulukko koko kartoitusta varten.
Aloita ilmainen kokeilu
Haluatko tutkia?
Rekisteröidy ilmaiseen kokeilujaksoon tänään ja pääset käyttämään kaikkia ISMS.onlinen tarjoamia yhteensopivuusominaisuuksia
Mitä todisteita tilintarkastajat odottavat?
Arvioidessaan kohdan A.3.16 vaatimustenmukaisuutta tilintarkastajat etsivät tyypillisesti seuraavia seikkoja:
- Vaatimustenmukaisuuden tarkastusaikataulu — Dokumentoitu säännöllisten vaatimustenmukaisuustarkastusten ohjelma, joka kattaa kaikki PII-tietoihin liittyvät käytännöt ja standardit
- Tarkista tiedot — Todisteet suoritetuista tarkastuksista, mukaan lukien arvioidut asiat, havainnot ja mahdolliset havaitut vaatimustenvastaisuudet
- Tekniset testausraportit — Tunkeutumistestien, haavoittuvuusskannausten tai muiden teknisten arviointien tulokset, joilla arvioidaan henkilötietojen tietoturvakontrollien tehokkuutta
- Seurantatodisteet — Jatkuvien valvontajärjestelmien lokit tai raportit, jotka varmistavat, että vain sallittuja henkilötietoja käsitellään
- Korjaavien toimenpiteiden seuranta — Todiste siitä, että tarkastusten aikana havaitut poikkeamat kirjataan, niihin viitataan ja ne ratkaistaan dokumentoidulla seurannalla
Mitä asiaan liittyviä ohjausobjekteja on?
| Valvonta: | Yhteys |
|---|---|
| A.3.15 Riippumaton arviointi | A.3.15 Riippumaton arviointi tarjoaa strategista riippumatonta varmuutta; A.3.16 kattaa operatiivisen vaatimustenmukaisuuden tarkastuksen |
| A.3.9 Käyttöoikeudet | Vaatimustenmukaisuustarkastuksissa tulisi varmistaa, että käyttöoikeuskäytäntöjä noudatetaan. |
| A.3.13 Lakisääteiset ja sopimusoikeudelliset vaatimukset | Vaatimustenmukaisuustarkastusten tulisi kattaa lakisääteisten velvoitteiden noudattaminen |
| A.3.17 Tietoisuus ja koulutus | Vaatimustenvastaisuudet osoittavat usein koulutuksen puutteita, joihin on puututtava. |
| A.3.14 Asiakirjojen suojaaminen | Arviointitietueet ja testausraportit on suojattava vaatimustenmukaisuuden todisteina |
Ketä tämä valvonta koskee?
A.3.16 on jaettu hallinta Tämä koskee sekä henkilötietojen rekisterinpitäjiä että käsittelijöitä. Molempien roolien on varmistettava, että heidän dokumentoituja käytäntöjään ja teknisiä valvontatoimia noudatetaan. Käsittelijöiden osalta tähän sisältyy sen varmistaminen, että käsittely rajoittuu rekisterinpitäjän ohjeisiin ja että tekniset toimenpiteet, kuten salaus ja käyttöoikeuksien hallinta, toimivat tarkoitetulla tavalla.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Miksi valita ISMS.online jatkuvia vaatimustenmukaisuustarkastuksia varten?
ISMS.online tarjoaa käytännön työkaluja tietosuojaohjelmasi vaatimustenmukaisuuden seurantaan ja varmentamiseen:
- Vaatimustenmukaisuustarkastusten ajoittaja — Suunnittele ja aikatauluta säännöllisiä vaatimustenmukaisuuden tarkastuksia automaattisten muistutusten, tehtävänjakojen ja määräaikojen seurannan avulla
- Käytännön kuittausten seuranta — Varmista, että henkilöstö on lukenut ja hyväksynyt henkilötietoihin liittyvien käytäntöjen ajantasaiset versiot, ja lähetä automaattisia muistutuksia niille, jotka eivät ole
- Poikkeamien hallinta — Kirjaa vaatimustenmukaisuustarkastusten havainnot, määritä korjaavat toimenpiteet, seuraa edistymistä ja varmista päätöksenteko
- Kontrollin tehokkuuden seuranta — Seuraa yksittäisten kontrollien suorituskykyä ajan kuluessa ja tunnista trendit ja toistuvat ongelmat
- Kojelaudan raportointi — Reaaliaikaiset vaatimustenmukaisuusraportit, jotka näyttävät tarkastusten tilan, jäljellä olevat löydökset ja ohjelman yleisen tilan
UKK
Kuinka usein vaatimustenmukaisuustarkastukset tulisi suorittaa?
Standardi edellyttää säännöllisiä tarkastuksia, mutta ei määrittele tarkistusten tiheyttä. Paras käytäntö on laatia säännöllisesti toistuva tarkastusohjelma, joka kattaa kaikki henkilötietoihin liittyvät käytännöt ja valvonnan määritellyn syklin puitteissa – tyypillisesti vuosittain matalan riskin alueilla ja neljännesvuosittain korkean riskin käsittelytoimissa. Teknisiä testejä, kuten haavoittuvuustarkistuksia, voidaan suorittaa useammin, usein kuukausittain tai merkittävien järjestelmämuutosten jälkeen.
Mikä on motivoitunut tunkeutujatesti ja milloin sitä tarvitaan?
Motivoituneen tunkeutumistestin avulla arvioidaan, pystyisikö määrätietoinen hyökkääjä, jolla on pääsy julkisesti saatavilla oleviin tietoihin, tunnistamaan henkilöitä uudelleen anonymisoiduista tai pseudonymisoiduista tietojoukoista. Toteutusohjeissa suositellaan tällaista testausta, jossa organisaatiot käyttävät anonymisointia tai pseudonymisointia yksityisyyden suojana. Jos testi osoittaa, että uudelleentunnistus on mahdollista, anonymisointimenetelmä on riittämätön ja sitä on vahvistettava.
Miten tämä eroaa kohdassa A.3.15 Riippumaton arviointi kuvatusta riippumattomasta arvioinnista?
A.3.15 Riippumaton arviointi keskittyy riippumattomien tahojen (sisäisten tarkastajien tai ulkoisten sertifiointielinten) suorittamiin säännöllisiin, strategisiin arviointeihin, joissa arvioidaan tietoturvallisuuden hallintaan liittyvää yleistä lähestymistapaa. A.3.16 keskittyy säännöllisiin, operatiivisiin vaatimustenmukaisuuden tarkastuksiin – sen varmistamiseen, että tiettyjä käytäntöjä, sääntöjä ja teknisiä standardeja noudatetaan päivittäisessä toiminnassa. Molempia tarvitaan: A.3.15 Riippumaton arviointi tarjoaa varmuuden järjestelmätasolla, kun taas A.3.16 havaitsee toiminnalliset poikkeamat virallisten auditointien välillä.
Yhtiömme tarkastusevidenssivaatimusten opas yksityiskohtaisesti, mitä vaatimustenmukaisuutta koskevaa näyttöä tarkastajat etsivät.
