ISO 27701 – Lauseke 5.6 – Toiminta

ISO 27701 lauseke 5.6 Selitetty: Keskeiset toiminnalliset vaatimukset

ISO 27701 lauseke 5.6 käsittelee käytäntöä hallita prosesseja, valvontaa ja menettelyjä, jotka ovat tarpeen vankan yksityisyyden suojasuunnitelman ja tietosuojatietojen hallintajärjestelmän käyttämiseksi.

Toiminnan suunnittelu kattaa laajan valikoiman aiheita – rakenteellisista muutoksenhallintatoimista yksityisyyden suojan riskien arviointeihin ja riskienhallintasuunnitelmiin, parantaa henkilökohtaisten tunnistetietojen turvallisuutta organisaation verkoston rajoissa.

Mitä ISO 27701:n lauseke 5.6 kattaa

ISO 27701 lauseke 5.6 sisältää kolme alalauseketta, jotka luottaa mukana tuleviin ISO 27001 -ohjeisiin:

• ISO 27701 5.6.1 – Toiminnan suunnittelu ja ohjaus (viitteet ISO 27001 Control 8.1)
• ISO 27701 5.6.2 – Tietoturvariskin arviointi (viitteet ISO 27001 Control 8.2)
• ISO 27701 5.6.3 – Tietoturvariskien käsittely (viitteet ISO 27001 Control 8.3)

ISO 27701 5.6 ei sisällä muita ohjeita, jotka käsittelevät nimenomaan PIMS:n käyttöönottoa – sen sijaan keskittäisivät huomionsa laajemmin organisaation yksityisyyden suojaan – eikä siihen liity mitään GDPR artikkeleita.

ISO 27701, kohta 5.6.1 – Toiminnan suunnittelu ja valvonta

Viitteet ISO 27001 Control 8.1

ISO 27701 Control 5.6.1 hahmottelee ISO:n laajemman lähestymistavan yksityisyyden suojan suunnitteluun. Organisaatioiden tulee "suunnitella, toteuttaa ja valvoa" ja sisäisiä menettelyjä tai prosesseja, jotka liittyvät yksityisyyden suojaan ja henkilökohtaisten tunnistetietojen tallentamiseen ja käsittelyyn (katso ISO 27001 6.1 ja 6.2).

ISO pyytää myös organisaatioita säilyttämään dokumentoidut tiedot, jotka osoittavat noudattamisen ja muutoksen organisaation yksityisyyden suojan hallintaan, mukaan lukien kaikki ulkoistetut toiminnot.

Suunnittelu ulottuu myös muutoksenhallintaan. ISO edellyttää, että organisaatiot hallitsevat kaikki sisäiset muutokset minimoidakseen henkilökohtaisiin tietoihin kohdistuvan riskin ja arvioivan tarkoituksenmukaisista tai tahattomista muutoksista aiheutuvat tahattomat seuraukset.

Asiaankuuluvat ISO 27001 -säätimet

• 6.1 – Toimet riskien ja mahdollisuuksien käsittelemiseksi
• 6.1.2 – Tietoturvariskien arviointi
• 6.2 – Tietoturvatavoitteet ja niiden saavuttamisen suunnittelu

ISO 27701 lauseke 5.6.2 – Tietoturvariskin arviointi

Viitteet ISO 27001 Control 8.2

Organisaatioiden on suoritettava säännöllisiä tietosuojariskin arviointeja toiminnan keskeisissä vaiheissa – kuten suuressa muutoksessa tai välittömästi tietoturvaloukkauksen jälkeen.

Kuten kaikissa henkilötietoihin liittyvissä toimissa, organisaatioiden tulee dokumentoida perusteellisesti kaikki riskiarvioinnit parantaakseen yleistä tietoturvatoimintaansa ja pystyäkseen toimittamaan riittävästi todisteita laki- ja sääntelyviranomaisille tarvittaessa.

Asiaankuuluvat ISO 27001 -säätimet

• 6.1.2 – Tietoturvariskien arviointi

ISO 27701 lauseke 5.6.3 – Tietoturvariskien käsittely

Viitteet ISO 27001 Control 8.3

Säännöllisten riskinarviointien lisäksi organisaatioiden tulisi myös laatia yksityisyyden suojan "riskien käsittelysuunnitelma", jonka tulisi sisältää suosituksia, jotka vähentävät henkilötietojen tallentamiseen ja käsittelyyn liittyvien riskien todennäköisyyttä ja/tai vaikutusta.

Tuetut ohjaimet ISO 27001:sta ja GDPR:stä

Miten ISMS.online auttaa

Kun PIMS on välittömästi kiinnostuneiden osapuolten saatavilla, ei ole koskaan ollut helpompaa valvoa, raportoida ja auditoida sekä ISO 27001- että ISO 27701 -standardien mukaisesti napin painalluksella.

Selvitä, kuinka paljon aikaa ja rahaa säästät matkallasi yhdistettyyn ISO 27001- ja 27701-sertifiointiin käyttämällä ISMS.onlinea.

Katso se livenä ISMS.onlinen kautta varata demo.