Mitä kohta A.3.29 edellyttää?
Henkilötietojen käsittelyyn liittyvien turvallisten järjestelmien suunnittelun periaatteet on laadittava, dokumentoitava, ylläpidettävä ja sovellettava kaikkiin tietojärjestelmien kehitystoimiin.
Tämä ohjaus sijaitsee Jaetut suojaustoiminnot liite (A.3) ja menee yksittäisten kehitysprojektien ulkopuolelle vaatien koko organisaatiota koskevia suunnitteluperiaatteita, jotka ohjaavat kaikkea järjestelmän kehittämistä. A.3.27 Turvallisen kehityksen elinkaari kattaa kehityssyklin ja A.3.28 Sovelluksen tietoturva kattaa sovellusten tietoturvavaatimukset, kun taas A.3.29 keskittyy arkkitehtuuriperustaan: suunnittelumalleihin, tietoturvaperiaatteisiin ja yksityisyyttä suojaaviin suunnittelustandardeihin, jotka ohjaavat kaikkia organisaatiossa rakennettuja tai muokattuja järjestelmiä.
Mitä liitteen B täytäntöönpano-ohjeissa sanotaan?
Liitteessä B (kohta B.3.29) annetaan seuraavat ohjeet:
- Sisäänrakennettu tietosuoja ja oletusarvoinen tietosuoja — Henkilötietojen käsittelyyn liittyvät järjestelmät tai komponentit olisi suunniteltava sisäänrakennetun yksityisyyden suojan ja oletusarvoisen yksityisyyden suojan periaatteiden mukaisesti.
- Ennakoi ja helpota valvontaa — Järjestelmäarkkitehtuurin tulisi ennakoida ja helpottaa B.1:ssä (PII-ohjaimet) ja B.2:ssa (PII-prosessorit) kuvattujen asiaankuuluvien kontrollien toteuttamista.
- Minimoi henkilötietojen käsittely — Henkilötietojen keräämisen ja käsittelyn näissä järjestelmissä tulisi rajoittua siihen, mikä on tarpeen käsittelyn yksilöityjen tarkoitusten kannalta.
- Poistettava suunnittelu — Esimerkiksi organisaation, joka käsittelee henkilötietoja, tulisi varmistaa, että se hävittää henkilötiedot tietyn ajan kuluttua. Järjestelmän, joka käsittelee kyseisiä henkilötietoja, tulisi suunnitella siten, että se mahdollistaa tämän poistovaatimuksen täyttämisen.
- Katso myös A.3.30: Ulkoistettu kehitys asiaankuuluvia vaatimuksia varten
- Katso myös A.3.31: Testitiedot asiaankuuluvia vaatimuksia varten
Poistoesimerkki on erityisen opettavainen: jos järjestelmää ei ole suunniteltu tukemaan tietojen poistamista alusta alkaen, tämän ominaisuuden asentaminen myöhemmin voi olla erittäin kallista ja teknisesti monimutkaista. Sama periaate pätee tietojen minimointiin, suostumusten hallintaan, tietojen siirrettävyyteen ja kaikkiin muihin yksityisyyden suojaa koskeviin vaatimuksiin.
Miten tämä vastaa GDPR:ää?
Kontrolli A.3.29 vastaa seuraavaa GDPR artikkeli:
- Article 25 (1) — Sisäänrakennettu ja oletusarvoinen tietosuoja, joka edellyttää asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamista, joiden tarkoituksena on panna tietosuojaperiaatteet tehokkaasti täytäntöön ja integroida tarvittavat suojatoimet käsittelyyn
A.3.29 tarjoaa käytännön viitekehyksen artiklan 25 vaatimuksen täyttämiseksi, jonka mukaan tietosuojaa on tarkasteltava arkkitehtuuritasolla, ei pelkästään sovellustasolla.
Mikä muuttui standardista ISO 27701:2019?
Vaiheittaisen lähestymistavan löydät kohdasta Siirtymäkausi vuodesta 2019 vuoteen 2025.
Vuoden 2019 painoksessa tätä vaatimusta käsiteltiin kohdassa 6.11.2.5 (turvallisen järjestelmän suunnittelun periaatteet). Vuoden 2025 painoksessa ydinvaatimukset säilytetään kohdassa A.3.29, ja kohdan B.3.29 toteutusohjeet tarjoavat selkeämmän yhteyden sisäänrakennetun yksityisyyden suojan periaatteisiin ja erityisiin rekisterinpitäjän ja käsittelijän suojausmenetelmiin, joita järjestelmäarkkitehtuurin tulisi ennakoida. Katso Liitteen F vastaavuustaulukko koko kartoitusta varten.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Mitä todisteita tilintarkastajat odottavat?
Arvioidessaan kohdan A.3.29 vaatimustenmukaisuutta tilintarkastajat etsivät tyypillisesti seuraavia seikkoja:
- Dokumentoidut suunnitteluperiaatteet — Joukko dokumentoituja turvallisen järjestelmän suunnitteluperiaatteita, jotka käsittelevät henkilötietojen suojaa, mukaan lukien tietojen minimointi, käyttötarkoituksen rajoittaminen, tallennuksen rajoittaminen ja oletusarvoinen suojaus
- Arkkitehtuurin tarkastusasiakirjat — Todiste siitä, että järjestelmäarkkitehtuurit tarkistetaan dokumentoituja periaatteita vasten ennen kehityksen etenemistä
- Tietosuojaa kunnioittavat suunnittelumallit — Dokumentoidut suunnittelumallit tai viitearkkitehtuurit, joita kehitystiimit käyttävät malleina ja jotka sisältävät henkilötietojen suojausvaatimukset
- Tietojen elinkaaren suunnittelu — Todisteet siitä, että järjestelmät on suunniteltu tukemaan henkilötietojen koko elinkaarta, mukaan lukien kerääminen, käsittely, tallentaminen, poistaminen ja rekisteröidyn oikeudet
- Periaatteiden ylläpitäminen — Tiedot, jotka osoittavat, että suunnitteluperiaatteita tarkistetaan ja päivitetään säännöllisesti tai vastauksena yksityisyyden suojaa koskevien vaatimusten muutoksiin
Mitä asiaan liittyviä ohjausobjekteja on?
| Valvonta: | Yhteys |
|---|---|
| A.3.27 Turvallinen kehityssykli | Kehitysprosessien tulisi toteuttaa suunnitteluperiaatteita |
| A.3.28 Sovelluksen tietoturvavaatimukset | Sovellusvaatimusten tulee olla yhdenmukaisia arkkitehtuuriperiaatteiden kanssa |
| A.1.2.6 Yksityisyydensuojaa koskevien vaikutusten arviointi | PIA:t tunnistavat yksityisyyden suojaan liittyviä riskejä, joihin suunnitteluperiaatteiden tulisi puuttua |
| A.1.4.5 Henkilötietojen minimointitavoitteet | Järjestelmäarkkitehtuurin tulisi oletusarvoisesti varmistaa tiedon minimointi |
| A.1.4.6 Tunnistamattomuuden poistaminen ja poistaminen | Järjestelmien on oltava arkkitehtonisesti kykeneviä tukemaan poistovaatimuksia |
Ketä tämä valvonta koskee?
A.3.29 on jaettu hallinta Tämä koskee sekä henkilötietojen rekisterinpitäjiä että käsittelijöitä. Kaikkien organisaatioiden, jotka kehittävät tietojärjestelmiä henkilötietojen käsittelyyn, on laadittava ja ylläpidettävä suunnitteluperiaatteita. Valvonta edellyttää, että näitä periaatteita sovelletaan "kaikkeen tietojärjestelmän kehitystoimintaan", mikä tarkoittaa, että ne eivät ole valinnaisia ohjeita, vaan pakollisia standardeja kaikelle kehitystyölle.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Miksi valita ISMS.online turvallisen järjestelmäarkkitehtuurin vaatimustenmukaisuuden varmistamiseksi?
ISMS.online tarjoaa käytännön työkaluja tietoturvallisten suunnitteluperiaatteidesi hallintaan:
- Periaaterekisteri — Dokumentoi ja ylläpidä tietoturvallisia suunnitteluperiaatteitasi keskitetyssä, versioidussa rekisterissä, johon kehitystiimit voivat viitata
- Arkkitehtuurin tarkastelun työnkulut — Luo tarkistustyönkulkuja, jotka edellyttävät järjestelmäsuunnitelmien arviointia suunnitteluperiaatteitasi vasten ennen kehityksen aloittamista
- DPIA-integraatio — Yhdistä tietosuojavaikutusten arvioinnit järjestelmäarkkitehtuuripäätöksiin varmistaen, että tietosuojavaikutusten arvioinnissa tunnistetut yksityisyyden suojaan liittyvät riskit otetaan huomioon suunnittelussa
- Vaatimustenmukaisuuden kartoitus — Yhdistä suunnitteluperiaatteesi ISO 27701 -standardin mukaisiin valvontajärjestelmiin, GDPR 25 artikla ja muut yksityisyyden suojaa koskevan kehyksen vaatimukset
- Arviointien ajoitus — Aikatauluta suunnitteluperiaatteidesi säännöllisiä tarkistuksia automaattisten muistutusten ja versionhallinnan avulla
UKK
Mitä eroa on A.3.27:n ja A.3.29:n välillä turvallisen kehityksen elinkaaren turvallinen versio?
A.3.27 Turvallisen kehityksen elinkaari kattaa turvallisen kehityssyklin – prosessin ja menettelyt, joita kehitystiimit noudattavat. A.3.29 kattaa suunnitteluperiaatteet – arkkitehtuuristandardit ja suunnittelumallit, jotka ohjaavat järjestelmien ulkoasua. Ajattele A.3.27 Turvallisen kehityksen elinkaari "kuinka rakennamme" ja A.3.29 "mitä kohti rakennamme". Molemmat toimivat yhdessä: kehitysprosessit (A.3.27 Turvallisen kehityksen elinkaari) tulisi valvoa teknisten periaatteiden soveltamista (A.3.29).
Mitä esimerkkejä on henkilökohtaisten tietojen turvallisen suunnittelun periaatteista?
Esimerkkejä ovat: kerätä vain ilmoitettuun tarkoitukseen tarvittavat henkilötietokentät; salata henkilötiedot oletusarvoisesti sekä säilytystilassa että siirron aikana; suunnitella tietokantakaavoja tukemaan yksittäisten tietueiden yksityiskohtaista poistamista; toteuttaa suostumusten hallinta datakerroksessa, ei vain käyttöliittymäkerroksessa; kirjata kaikki henkilötietojen käyttötapahtumat; käyttää roolipohjaista käyttöoikeuksien hallintaa rajoittaakseen henkilötietojen käyttöoikeuden valtuutetulle henkilöstölle; suunnitella API-rajapinnat palauttamaan vain kullekin käyttötapaukselle tarvittavat vähimmäismäärät henkilötietoja; ja sisällyttää tietojen säilytyksen automatisointi järjestelmään julkaisusta lähtien.
Kuinka usein insinööriperiaatteita tulisi tarkastella uudelleen?
Suunnitteluperiaatteita tulisi tarkastella vähintään vuosittain ja aina, kun yksityisyydensuojaa koskevassa lainsäädännössä, organisaation henkilötietojen käsittelytoiminnassa, teknologiapinossa tai uhkakuvassa tapahtuu merkittäviä muutoksia. Arvioinnin yhteydessä tulisi arvioida, ovatko periaatteet edelleen ajantasaisia, tehokkaita ja organisaation yksityisyydensuojaa koskevien velvoitteiden mukaisia. Kaikista päivityksistä tulisi tiedottaa kehitystiimeille ja ne tulisi ottaa huomioon arkkitehtuuritarkistuslistoissa.
SaaS-alustat voivat löytää räätälöityä ohjausta opas SaaS-alustoille.
