Mitä kohta A.3.24 edellyttää?
Henkilötietojen sekä niihin liittyvien ohjelmistojen ja järjestelmien varmuuskopioita on ylläpidettävä ja testattava säännöllisesti.
Tämä ohjaus sijaitsee Jaetut suojaustoiminnot liite (A.3) ja käsittelee henkilötietojen suojauksen saatavuusulottuvuutta. Vaikka monet yksityisyyden suojan toimenpiteet keskittyvät luvattoman käytön tai paljastamisen estämiseen, A.3.24 varmistaa, että henkilötiedot voidaan palauttaa ja ennallistaa järjestelmien vikaantuessa. Ilman testattuja varmuuskopioita kiristysohjelmahyökkäys, laitteistovika tai luonnonkatastrofi voi johtaa henkilötietojen pysyvään menetykseen.
Mitä liitteen B täytäntöönpano-ohjeissa sanotaan?
Liite B (kohta B.3.24) sisältää kattavat ohjeet:
- Varmuuskopiointi- ja poistokäytäntö — Organisaatiolla tulisi olla henkilötietojen varmuuskopiointia, palauttamista ja palauttamista koskeva käytäntö, mukaan lukien mahdolliset sopimus- tai lakisääteiset vaatimukset varmuuskopioitujen henkilötietojen poistamiseksi.
- Asiakasviestintä — Henkilökohtaisesti tunnistettaviin tietoihin liittyvät varmuuskopiointivastuut voivat riippua asiakkaasta. Organisaation tulisi varmistaa, että asiakkaat ovat tietoisia palvelun varmuuskopiointia koskevista rajoituksista.
- Varmuuskopiopalvelun läpinäkyvyys — Jos varmuuskopiointi- ja palautuspalveluita tarjotaan nimenomaisesti asiakkaille, organisaation tulisi antaa selkeät tiedot valmiuksistaan
- Lainkäyttöalueen vaatimukset — Joillakin lainkäyttöalueilla on erityisvaatimuksia henkilötietojen varmuuskopiointitiheydelle, tarkistus- ja testaustiheydelle tai palautusmenettelyille. Näillä lainkäyttöalueilla toimivien organisaatioiden on osoitettava vaatimustenmukaisuus.
- Henkilökohtaisten tietojen palautuksen eheys — Kun henkilötietoja palautetaan varmuuskopiosta, prosessien on varmistettava, että tiedot palautetaan tilaan, jossa niiden eheys voidaan taata tai jossa epätarkkuudet tai puutteet tunnistetaan ja korjataan (mikä voi koskea henkilötietojen pääasiallista käyttäjää).
- Palautusloki — Organisaation tulisi ylläpitää menettelyä ja lokia henkilötietojen palautustoimia varten, ja siihen tulisi kirjata vähintään vastuuhenkilön nimi ja kuvaus palautetuista henkilötiedoista.
- Alihankkijoiden varmuuskopiot — Alihankkijoiden käyttö henkilötietojen kopioiden tai varmuuskopioiden tallentamiseen kuuluu toimittajien hallintajärjestelmien piiriin (B.3.10, B.3.20).
- Katso myös A.3.22: Käyttäjän päätelaitteet asiaankuuluvia vaatimuksia varten
- Katso myös A.3.25: Lokikirjaus asiaankuuluvia vaatimuksia varten
Erityisen tärkeä seikka on varmuuskopioiden säilyttämisen ja henkilötietojen poistamisen välinen jännite: organisaatioiden on tasapainotettava varmuuskopioiden säilyttämisen tarve palautusta varten ja velvollisuus poistaa henkilötiedot säilytysaikojen päättyessä tai kun rekisteröidyt käyttävät oikeuttaan tietojen poistamiseen.
Miten tämä vastaa GDPR:ää?
Kontrolli A.3.24 vastaa seuraavaa GDPR artikkeleita:
- 5 artiklan 1 kohdan f alakohta — Eheyden ja luottamuksellisuuden periaate, joka kattaa suojan henkilötietojen vahingossa tapahtuvalta katoamiselta tai tuhoutumiselta
- 32 artiklan 1 kohdan c alakohta — Vaatimus toteuttaa valmius palauttaa henkilötietojen saatavuus ja niihin pääsy nopeasti fyysisen tai teknisen vian sattuessa
Artiklan 32(1)(c) mukaan palautusmahdollisuus on nimenomaisesti välttämätön, joten testatuista varmuuskopioista tulee suora GDPR vaatimus eikä vain hyvä käytäntö.
Mikä muuttui standardista ISO 27701:2019?
Vaiheittaisen lähestymistavan löydät kohdasta Siirtymäkausi vuodesta 2019 vuoteen 2025.
Vuoden 2019 painoksessa tätä vaatimusta käsiteltiin kohdassa 6.9.3.1 (tietojen varmuuskopiointi). Vuoden 2025 painoksessa ydinvaatimukset on säilytetty ja laajennettu kohdassa A.3.24, ja niissä on huomattavasti yksityiskohtaisempia toteutusohjeita kohdassa B.3.24, joka käsittelee palautuslokin kirjaamista, lainkäyttöaluevaatimuksia ja varmuuskopioinnin ja poiston välistä ristiriitaa. Katso Liitteen F vastaavuustaulukko koko kartoitusta varten.
Aloita helposti henkilökohtaisella tuote-esittelyllä
Yksi perehdytysasiantuntijoistamme opastaa sinua alustamme läpi ja auttaa sinua alkuun luottavaisin mielin.
Mitä todisteita tilintarkastajat odottavat?
Arvioidessaan kohdan A.3.24 vaatimustenmukaisuutta tilintarkastajat etsivät tyypillisesti seuraavia seikkoja:
- Varmuuskopiointikäytäntö — Dokumentoitu käytäntö, joka kattaa henkilötietoja sisältävien järjestelmien varmuuskopioinnin laajuuden, tiheyden, säilytysajat, salauksen, testausaikataulut ja vastuut
- Varmuuskopiotestitiedot — Todisteet säännöllisistä varmuuskopioiden palautustesteistä, mukaan lukien testipäivämäärät, laajuus, tulokset sekä mahdolliset havaitut ja korjatut ongelmat
- Palautuslokit — Loki kaikista henkilötietojen palautustapahtumista, joihin kirjataan vastuuhenkilö, kuvaus palautetuista henkilötiedoista ja mahdolliset havaitut eheysongelmat
- Varmuuskopioiden poiston yhteensovittaminen — Todiste siitä, että organisaatio on puuttunut henkilötietojen poistamiseen varmuuskopiotiedoista joko teknisillä toimenpiteillä tai dokumentoidulla säilytysperustelulla.
- Asiakasviestintä — Prosessorien osalta todiste siitä, että asiakkaille on tiedotettu varmuuskopiointiominaisuuksista ja -rajoituksista
Mitä asiaan liittyviä ohjausobjekteja on?
| Valvonta: | Yhteys |
|---|---|
| A.1.4.8 Säilytys | Varmuuskopioiden säilytyksen on oltava linjassa henkilötietojen säilytysaikataulujen kanssa |
| A.1.4.6 Tunnistamattomuuden poistaminen ja poistaminen | Henkilökohtaisten tietojen poistovaatimukset luovat jännitteitä varmuuskopioiden säilytyksen kanssa |
| A.3.20 Tallennusvälineet | Varmuuskopiointimediaa on hallittava sen elinkaaren ajan |
| A.3.26 Salauksen käyttö | Varmuuskopiotiedot tulee salata sekä siirron aikana että levossa |
| A.3.10 Toimittajasopimukset | Kolmannen osapuolen varmuuskopiointipalveluntarjoajien on oltava sidottuja asianmukaisiin sopimuksiin |
Ketä tämä valvonta koskee?
A.3.24 on jaettu hallinta Tämä koskee sekä henkilötietojen rekisterinpitäjiä että käsittelijöitä. Rekisterinpitäjien on varmistettava, että heidän henkilötiedot varmuuskopioidaan ja ne on palautettavissa. Käsittelijöillä on lisävelvollisuuksia tiedottaa asiakkailleen varmuuskopiointiominaisuuksista ja -rajoituksista sekä antaa selkeää tietoa palautusominaisuuksista, jos varmuuskopiointipalvelut ovat osa palvelutarjontaa.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Miksi valita ISMS.online varmuuskopioiden vaatimustenmukaisuuden hallintaa varten?
ISMS.online tarjoaa käytännön työkaluja henkilötietojen varmuuskopiointivaatimusten hallintaan:
- Varmuuskopiointiaikataulun hallinta — Dokumentoi ja seuraa kaikkien henkilötietojen käsittelyjärjestelmien varmuuskopiointiaikatauluja sekä automaattisia muistutuksia tulevista testeistä ja tarkistuksista
- Testitulosten seuranta — Lokivarmuuskopioiden palautustestien tulokset, joissa on mukana hyväksymis-/hylkäystila, havaitut ongelmat ja korjaavat toimenpiteet, jolloin luodaan täydellinen tarkastusketju
- Palautusloki — Ylläpidä vaadittua lokia henkilötietojen palautustapahtumista, jotka sisältävät vastuuhenkilön, kuvauksen ja eheysarvioinnin kentät.
- Politiikan hallinta — Julkaise varmuuskopiointikäytännöt versionhallinnan ja henkilöstön kuittausten seurannan avulla
- Säilytyksen hallinta — Yhdistä varmuuskopioiden säilytysajat tietojen säilytysaikatauluusi ja korosta, missä tapauksissa varmuuskopioiden säilytys voi olla ristiriidassa henkilötietojen poistamisvelvoitteiden kanssa.
UKK
Miten käsittelette poistopyyntöjä, kun varmuuskopioissa on henkilötietoja?
Tämä on yksi haastavimmista henkilötietojen varmuuskopioiden hallinnan osa-alueista. Useimmat organisaatiot eivät voi valikoivasti poistaa yksittäisiä tietueita varmuuskopioista palauttamatta koko varmuuskopiota. Yleisiä lähestymistapoja ovat: poistorekisterin ylläpitäminen, jota käytetään aina, kun varmuuskopio palautetaan, varmuuskopioiden säilytysajat, jotka ovat riittävän lyhyitä sen varmistamiseksi, että poistetut henkilötiedot vanhenevat luonnollisesti, tai varmuuskopiointiratkaisujen käyttöönotto, jotka tukevat yksityiskohtaista poistamista. Lähestymistapa tulisi dokumentoida varmuuskopiointikäytännössä ja siitä tulisi tiedottaa rekisteröidyille vastattaessa poistopyyntöihin.
Kuinka usein varmuuskopioiden palautus tulisi testata?
Standardi edellyttää säännöllistä testausta, mutta ei määrittele testaustiheyttä. Alan parhaana käytäntönä on testata kriittisten henkilötietojen järjestelmien varmuuskopiot vähintään neljännesvuosittain ja vähemmän kriittiset järjestelmät vähintään vuosittain. Jotkut lainkäyttöalueet saattavat asettaa tiettyjä testausvälejä. Testauksen tulisi varmistaa sekä tekninen kyky palauttaa tiedot että palautettujen henkilötietojen eheys. Testitulokset tulisi dokumentoida ja mahdollisten vikojen tulisi käynnistää välittömät korjaustoimenpiteet.
Mitä henkilötietojen palautuslokin tulisi sisältää?
Lokiin on kirjattava vähintään palauttamisesta vastaavan henkilön nimi ja kuvaus palautetuista henkilötiedoista. Parhaan käytännön mukaan tähän sisältyvät myös palautuksen päivämäärä ja kellonaika, palautuksen syy, käytetty varmuuskopiolähde, palautuksen aikana havaitut eheysongelmat ja niiden ratkaisemiseksi toteutetut toimenpiteet. Joissakin lainkäyttöalueissa lokitietoja on lisättävä, joten organisaatioiden tulisi tarkistaa paikalliset vaatimukset ja dokumentoida vaatimustenmukaisuus.
Tallenna tämä ohjausobjekti muistiisi Ilmoitus soveltuvuudesta toteutustapojesi kanssa.
Katso tarkastusevidenssivaatimusten opas mitä tilintarkastajat odottavat.
