כיצד להוכיח ציות ל-GDPR סעיף 5

העברת מידע

ISO 27701 סעיף 6.10.2.1 (מדיניות ונהלי העברת מידע) ו-EU GDPR סעיף 5 (1)(ו)

פעולות העברת מידע צריכות:

• התמקד בבקרות המונעות את יירוט, גישה לא מורשית, הַעתָקָה, שינוי, מסלול שגוי, הרס ו שלילת שירות של PII ומידע הקשור לפרטיות (ראה ISO 27002 בקרה 8.24).
• ודא שניתן לעקוב אחר המידע.
• סיווג רשימת אנשי קשר - כלומר בעלים, בעלי סיכונים וכו'.
• תיאור אחריות במקרה של אירוע ביטחוני.
• כלול מערכות תיוג ברורות ותמציתיות (ראה ISO 27002 בקרה 5.13).
• הבטח מתקן העברה אמין, כולל מדיניות ספציפית לנושא בנושא העברת נתונים (ראה ISO 27002 בקרה 5.10).
• הגדר קווים מנחים לשמירה וסילוק, לרבות כל חוקים והנחיות ספציפיים לאזור או למגזר.

העברה אלקטרונית

בעת שימוש במתקני העברה אלקטרוניים, ארגונים צריכים:

1. נסה לזהות ולהגן מפני תוכניות זדוניות (ראה ISO 27002 בקרה 8.7).
2. התמקד בהגנה על קבצים מצורפים.
3. הקפד מאוד על שליחת מידע לכתובת הנכונה.
4. מנדט לתהליך אישורים, לפני שהעובדים יוכלו להעביר מידע באמצעות 'שירותים ציבוריים חיצוניים' (למשל הודעות מיידיות), ולהפעיל שליטה רבה יותר על שיטות כאלה.
5. הימנעו משימוש בשירותי SMS ומכשירי פקס, במידת האפשר.

העברות פיזיות (כולל אמצעי אחסון)

בעת העברת מדיה פיזית (כולל מסמכי נייר) בין הנחות או מיקומים חיצוניים, ארגונים צריכים:

• הגדר אחריות ברורה למשלוח וקבלה.
• הקפד להזין את פרטי הכתובת הנכונים.
• השתמש באריזה המציעה הגנה מפני נזק פיזי או חבלה.
• פעל עם רשימה של שליחים מורשים ושלוחי צד שלישי, כולל תקני זיהוי חזקים.
• שמור יומנים יסודיים של כל ההעברות הפיזיות, כולל פרטי הנמען, תאריכים ושעות העברות וכל אמצעי הגנה פיזיים.

העברות מילוליות

העברה מילולית של מידע רגיש מהווה סיכון אבטחה ייחודי, במיוחד כאשר מדובר בהגנה על פרטיות ופרטיות.

ארגונים צריכים להזכיר לעובדים:

1. הימנע משיחות כאלה במקום ציבורי, או במיקום פנימי לא מאובטח.
2. הימנע מהשארת הודעות דואר קוליות המכילות מידע רגיש או מוגבל.
3. ודא שהאדם איתו הם מדברים הוא ברמה המתאימה כדי לקבל את המידע האמור, וליידע אותם על מה שעומד להיאמר לפני גילוי המידע.
4. היו מודעים לסביבתם והבטיחו כי בקרות החדר מוצמדות.

שיקולי GDPR נוספים בבריטניה

• סעיף 5 – (1)(ו)

תמיכה בבקרות ISO 27002

• ISO 27002 5.13
• ISO 27002 8.7
• ISO 27002 8.24

ISO 27701 סעיף 6.10.2.4 (הסכמי סודיות או סודיות) ו-EU GDPR סעיף 5 (1)

ארגונים צריכים להשתמש בהסכמי סודיות (NDAs) והסכמי סודיות כדי להגן על גילוי מכוון או בשוגג של מידע רגיש לעובדים לא מורשים.

בעת ניסוח, יישום ותחזוקה של הסכמים כאלה, ארגונים צריכים:

• הציעו הגדרה למידע שיש להגן עליו.
• ציין בבירור את משך ההסכם הצפוי.
• ציין בבירור את כל הפעולות הנדרשות לאחר סיום ההסכם.
• כל אחריות המוסכמת על ידי חותמים מאושרים.
• בעלות על מידע (כולל IP וסודות מסחריים).
• כיצד מותר לחותמים להשתמש במידע.
• הגדר באופן ברור את זכותו של הארגון לפקח על מידע סודי.
• כל השלכה שתנבע מאי ציות.
• בודקים באופן קבוע את צורכי הסודיות שלהם, ומתקנים את ההסכמים העתידיים בהתאם.

חוקי הסודיות משתנים מתחום שיפוט לתחום שיפוט, וארגונים צריכים לשקול את ההתחייבויות המשפטיות והרגולטוריות שלהם בעת עריכת הסכם NDA והסכמי סודיות (ראה ISO 27002 בקרות 5.31, 5.32, 5.33 ו-5.34).

תמיכה בבקרות ISO 27002

• ISO 27002 5.31
• ISO 27002 5.32
• ISO 27002 5.33
• ISO 27002 5.34

פיתוח ותחזוקה של רכישת מערכות

ISO 27701 סעיף 6.11.1.2 (אבטחת שירותי יישומים ברשתות ציבוריות) ו-EU GDPR סעיף 5 (1)(ו)

יש לפתח נהלי אבטחת יישומים לצד מדיניות הגנה רחבה יותר על פרטיות, בדרך כלל באמצעות הערכת סיכונים מובנית הלוקחת בחשבון משתנים מרובים.

דרישות אבטחת האפליקציה צריכות לכלול:

1. רמות האמון הגלומות בכל ישויות הרשת (ראה ISO 27002 בקרות 5.17, 8.2 ו-8.5).
2. סיווג הנתונים שהאפליקציה מוגדרת לעבד (כולל PII).
3. כל דרישות הפרדה.
4. הגנה מפני התקפות פנימיות וחיצוניות ו/או שימוש זדוני.
5. כל דרישות משפטיות, חוזיות או רגולטוריות רווחות.
6. הגנה חזקה על מידע סודי.
7. נתונים שאמורים להיות מוגנים במעבר.
8. כל דרישות קריפטוגרפיות.
9. בקרות קלט ופלט מאובטחות.
10. שימוש מינימלי בשדות קלט בלתי מוגבלים - במיוחד כאלו שיש להם פוטנציאל לאחסן נתונים אישיים.
11. טיפול בהודעות שגיאה, כולל תקשורת ברורה של קודי שגיאה.

שירותי עסקאות

שירותים עסקיים המקלים על זרימת נתוני הפרטיות בין הארגון לבין ארגון צד שלישי, או ארגון שותף, צריכים:

• ביסוס רמת אמון מתאימה בין זהויות ארגוניות.
• כלול מנגנונים הבודקים אמון בין זהויות מבוססות (למשל hashing וחתימות דיגיטליות).
• הגדר נהלים חזקים המסדירים את מה שהעובדים מסוגלים לנהל מסמכי עסקה מרכזיים.
• מכיל נהלי ניהול מסמכים ועסקאות המכסים את הסודיות, היושרה, הוכחת השליחה והקבלה של מסמכים ועסקאות מפתח.
• כלול הנחיות ספציפיות כיצד לשמור על סודיות עסקאות.

יישומי הזמנה ותשלום אלקטרוניים

עבור כל יישום הכרוך בהזמנה אלקטרונית ו/או תשלום, ארגונים צריכים:

• הגדר דרישות מחמירות להגנה על נתוני תשלום והזמנה.
• אמת את פרטי התשלום לפני ביצוע הזמנה.
• אחסן בצורה מאובטחת נתונים הקשורים לעסקאות ופרטיות באופן שאינו נגיש לציבור.
• השתמש ברשויות מהימנות בעת יישום חתימות דיגיטליות, תוך מחשבה על הגנת הפרטיות בכל עת.

תמיכה בבקרות ISO 27002

• ISO 27002 5.17
• ISO 27002 8.2
• ISO 27002 8.5

ISO 27701 סעיף 6.11.3.1 (הגנה על נתוני בדיקה) ו-EU GDPR סעיף 5 (1)(ו)

ארגונים צריכים לבחור בקפידה נתוני בדיקה כדי להבטיח שפעילות הבדיקה היא אמינה ומאובטחת כאחד. ארגונים צריכים להקדיש תשומת לב נוספת כדי להבטיח ש-PII לא יועתק לסביבות הפיתוח והבדיקה.

על מנת להגן על נתונים תפעוליים במהלך פעילויות הבדיקה, ארגונים צריכים:

1. השתמש בקבוצה הומוגנית של נהלי בקרת גישה על פני סביבות בדיקה ותפעול.
2. ודא שנדרש הרשאה בכל פעם שנתונים תפעוליים מועתקים לסביבת בדיקה.
3. רישום ההעתקה והשימוש בנתונים תפעוליים.
4. הגן על מידע פרטיות באמצעות טכניקות כגון מיסוך (ראה ISO 27002 בקרה 8.11).
5. הסרת נתונים תפעוליים מסביבת בדיקה, ברגע שאין בהם עוד צורך (ראה ISO 27002 בקרה 8.10).
6. אחסן בצורה מאובטחת נתוני בדיקה, וודא שהעובדים מודעים לכך שיש להשתמש בהם רק למטרות בדיקה.

תמיכה בבקרות ISO 27002

• ISO 27002 8.10
• ISO 27002 8.11

קשרי ספקים

ISO 27701 סעיף 6.12.1.2 (טיפול באבטחה במסגרת הסכמי ספקים) ו-EU GDPR סעיף 5 (1)(ו)

כאשר מתייחסים לאבטחה בתוך קשרי ספקים, ארגונים צריכים לוודא ששני הצדדים מודעים למחויבויותיהם כלפי אבטחת מידע פרטיות, וזה לזה.

בעשותם זאת, ארגונים צריכים:

• הציעו תיאור ברור המפרט את פרטי הפרטיות שאליו יש לגשת, וכיצד יש לגשת למידע זה.
• סווגו את פרטי הפרטיות שאליהם יש לגשת בהתאם לתכנית סיווג מקובלת (ראה ISO 27002 בקרות 5.10, 5.12 ו-5.13).
• תנו שיקול נאות לתכנית הסיווג של הספקים עצמו.
• סיווג זכויות לארבעה תחומים עיקריים - משפטיים, סטטוטוריים, רגולטוריים וחוזיים - עם תיאור מפורט של חובות לכל תחום.
• ודא שכל צד מחויב לחוקק סדרה של בקרות המנטרות, מעריכות ומנהלות את רמות הסיכון של אבטחת מידע פרטיות.
• תאר את הצורך של אנשי ספקים לעמוד בתקני אבטחת המידע של ארגון (ראה ISO 27002 בקרה 5.20).
• הקל על הבנה ברורה של מה מהווה שימוש מקובל ובלתי מקובל במידע פרטיות ובנכסים פיזיים ווירטואליים משני הצדדים.
• קבע בקרות הרשאות הנדרשות לאנשי צד הספק כדי לגשת או להציג מידע פרטיות של ארגון.
• קחו בחשבון מה קורה במקרה של הפרת חוזה, או כל אי עמידה בתנאים פרטניים.
• תאר נוהל ניהול תקריות, כולל איך מועברים אירועים גדולים.
• ודא כי הצוות מקבל הדרכה למודעות אבטחה.
• (אם הספק מורשה להשתמש בקבלני משנה) הוסיפו דרישות כדי להבטיח שקבלני המשנה יהיו מיושרים עם אותה סט של תקני אבטחת מידע פרטיות כמו הספק.
• שקול כיצד צוות הספק נבדק לפני אינטראקציה עם מידע פרטיות.
• לקבוע את הצורך באישורים של צד שלישי המתייחסים ליכולתו של הספק למלא את דרישות אבטחת המידע של פרטיות ארגונית.
• בעלי הזכות החוזית לבקר את נהלי הספק.
• לדרוש מהספקים לספק דוחות המפרטים את האפקטיביות של התהליכים והנהלים שלהם.
• התמקד בנקיטת צעדים כדי להשפיע על פתרון בזמן ויסודי של כל ליקוי או קונפליקטים.
• ודא שספקים פועלים עם מדיניות BUDR נאותה, כדי להגן על היושרה והזמינות של PII ונכסים הקשורים לפרטיות.
• דרשו מדיניות ניהול שינויים בצד הספק המיידעת את הארגון על כל שינוי שיש לו פוטנציאל להשפיע על הגנת הפרטיות.
• הטמע בקרות אבטחה פיזיות פרופורציונליות לרגישות הנתונים המאוחסנים ומעובדים.
• (לאן יש להעביר נתונים) בקש מהספקים לוודא שהנתונים והנכסים מוגנים מפני אובדן, נזק או שחיתות.
• ציין רשימה של פעולות שיש לנקוט על ידי כל אחד מהצדדים במקרה של סיום.
• בקש מהספק לתאר כיצד הוא מתכוון להשמיד מידע פרטיות לאחר סיום, או שהנתונים אינם נדרשים עוד.
• נקוט בצעדים כדי להבטיח הפרעה עסקית מינימלית במהלך תקופת מסירה.

ארגונים צריכים גם לשמור על א מרשם ההסכמים, שמפרטת את כל ההסכמים שנערכו עם ארגונים אחרים.

תמיכה בבקרות ISO 27002

• ISO 27002 5.10
• ISO 27002 5.12
• ISO 27002 5.13
• ISO 27002 5.20

ניהול תקריות אבטחת מידע ותאימות

ISO 27701 סעיף 6.13.1.1 (אחריות ונהלים) ו-EU GDPR סעיף 5 (1)(ו)

תפקידים ואחריות

על מנת ליצור מדיניות ניהול אירועים מגובשת ומתפקדת היטב, אשר שומרת על הזמינות והשלמות של מידע פרטיות במהלך אירועים קריטיים, ארגונים צריכים:

• היצמד לשיטה לדיווח על אירועי אבטחת מידע פרטיות.
• קבע סדרה של תהליכים המנהלים אירועים הקשורים לאבטחת מידע פרטיות ברחבי העסק, כולל:
• מינהל.
• תיעוד.
• איתור.
• טריאז'.
• עדיפות.
• ניתוח.
• תִקשׁוֹרֶת.
• נסח נוהל תגובה לאירוע המאפשר לארגון להעריך, להגיב וללמוד מתקריות.
• ודא שהתקריות מנוהלות על ידי צוות מיומן ומוכשר הנהנה מתכניות הכשרה והסמכה מתמשכות במקום העבודה.

ניהול אירועים

הצוות המעורב בתקריות אבטחת מידע פרטיות צריך להבין:

1. הזמן שצריך לקחת כדי לפתור תקרית.
2. כל השלכות אפשריות.
3. חומרת האירוע.

כאשר עוסקים באירועי אבטחת מידע פרטיות, הצוות צריך:

• הערכת אירועים בהתאם לקריטריונים מחמירים המאמתים אותם כאירועים מאושרים.
• סיווג אירועי אבטחת מידע פרטיות ל-5 נושאי משנה:
• ניטור (ראה ISO 27002 בקרות 8.15 ו-8.16).
• איתור (ראה ISO 27002 בקרה 8.16).
• סיווג (ראה ISO 27002 בקרה 5.25).
• ניתוח.
• דיווח (ראה ISO 27002 בקרה 6.8).
• בעת פתרון אירועי אבטחת מידע פרטיות, ארגונים צריכים:
• תגובה והסלמה של בעיות (ראה ISO 27002 בקרה 5.26) בהתאם לסוג האירוע.
• הפעל תוכניות לניהול משברים והמשכיות עסקית.
• להשפיע על התאוששות מנוהלת מתקרית המפחיתה נזקים תפעוליים ו/או כספיים.
• להבטיח תקשורת יסודית של אירועים הקשורים לאירועים לכל הצוות הרלוונטי.
• עסוק בעבודה משותפת (ראה ISO 27002 בקרות 5.5 ו-5.6).
• רישום את כל הפעילויות המבוססות על אירועים מנוהלים.
• היה אחראי לטיפול בראיות הקשורות לאירועים (ראה ISO 27002 בקרה 5.28).
• בצעו ניתוח שורש יסודי, כדי למזער את הסיכון שהאירוע יקרה שוב, כולל הצעות לשינויים בתהליכים כלשהם.

פעילויות הדיווח צריכות להתרכז סביב 4 תחומים מרכזיים:

1. פעולות שיש לבצע ברגע שמתרחש אירוע אבטחת מידע.
2. טפסי אירוע המתעדים מידע לאורך אירוע.
3. תהליכי משוב מקצה לקצה לכל הצוות הרלוונטי.
4. דוחות תקריות המפרטים מה התרחש לאחר פתרון תקרית.

תמיכה בבקרות ISO 27002

• ISO 27002 5.25
• ISO 27002 5.26
• ISO 27002 5.5
• ISO 27002 5.6
• ISO 27002 6.8
• ISO 27002 8.15
• ISO 27002 8.16

ISO 27701 סעיף 6.15.1.1 (זיהוי חקיקה ישימה ודרישות חוזיות) ו-EU GDPR סעיף 5 (1)(ו)

ארגונים צריכים לציית לדרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות כאשר:

• ניסוח ו/או תיקון נהלי אבטחת מידע פרטיות.
• סיווג מידע.
• יציאה להערכות סיכונים הקשורות לפעילויות אבטחת מידע פרטיות.
• גיבוש קשרי ספקים, לרבות התחייבויות חוזיות לאורך שרשרת האספקה.

גורמי חקיקה ורגולציה

ארגונים צריכים לפעול לפי נהלים המאפשרים להם לזהות, לנתח ו להבין חובות חקיקה ורגולטוריות - במיוחד אלה העוסקות בהגנה על פרטיות ובפרטיות מידע - בכל מקום שבו הן פועלות.

ארגונים צריכים להיות מודעים ללא הרף לחובותיהם להגנת הפרטיות בכל פעם שהם נכנסים להסכמים חדשים עם צדדים שלישיים, ספקים וקבלנים.

קריפטוגרפיה

בעת פריסת שיטות הצפנה לחיזוק הגנת הפרטיות ושמירה על PII, ארגונים צריכים:

1. שים לב לכל החוקים המסדירים את הייבוא ​​והייצוא של חומרה או תוכנה שיש להם פוטנציאל למלא פונקציה קריפטוגרפית.
2. לספק גישה למידע מוצפן במסגרת החוקים של תחום השיפוט שבו הם פועלים.
3. השתמש בשלושה מרכיבי מפתח של הצפנה:
• חתימה דיגיטלית.
• כלבי ים.
• תעודות דיגיטליות.

תמיכה בבקרות ISO 27002

• ISO 27002 5.20

ISO 27701 סעיף 6.15.1.3 (הגנה על רשומות) ו-EU GDPR סעיף 5 (2)

ארגונים צריכים לשקול ניהול רשומות על פני 4 תחומים מרכזיים:

1. אותנטיות.
2. מהימנות.
3. יושרה.
4. שְׁמִישׁוּת.

כדי לשמור על מערכת רשומות פונקציונלית ששומרת על PII ומידע הקשור לפרטיות, ארגונים צריכים:

• פרסם הנחיות העוסקות ב:
• אחסון.
• טיפול (שרשרת משמורת).
• רְשׁוּת.
• מניעת מניפולציה.
• ציין כמה זמן יש לשמור כל סוג רשומה.
• שימו לב לכל החוקים העוסקים בשמירת רישומים.
• היצמדו לציפיות הלקוחות כיצד ארגונים צריכים לטפל ברשומות שלהם.
• הרס רשומות ברגע שהם כבר לא נדרשים.
• סיווג רשומות בהתאם לסיכון האבטחה שלהן, למשל:
• חשבונאות.
• עסקאות עסקיות.
• רישומי כוח אדם.
• משפטי.
• ודא שהם מסוגלים לאחזר רשומות בתוך פרק זמן מקובל, אם צד שלישי או סוכנות אכיפת חוק מתבקשים לעשות זאת.
• הקפד תמיד על הנחיות היצרן בעת ​​אחסון או טיפול ברשומות במקורות מדיה אלקטרוניים.

מכשירים ניידים ועבודה מרחוק

ISO 27701 סעיף 6.3.2.1 (מדיניות מכשירים ניידים) ו-EU GDPR סעיף 5 (1)(ו)

ארגונים צריכים ליישם מדיניות ספציפית לנושא העוסקת בקטגוריות שונות של התקני קצה וגרסאות תוכנה למכשירים ניידים, וכיצד יש להתאים בקרות אבטחה לשיפור אבטחת הנתונים.

מדיניות המכשיר הסלולרי, הנהלים ואמצעי האבטחה התומכים של ארגון צריכים לקחת בחשבון:

• הקטגוריות השונות של נתונים שהמכשיר יכול גם לעבד וגם לאחסן.
• כיצד מכשירים נרשמים ומזוהים ברשת.
• כיצד מכשירים יהיו מוגנים פיזית.
• כל מגבלה על יישומים והתקנות תוכנה.
• ניהול מרחוק, כולל עדכונים ותיקונים.
• בקרות גישה למשתמש, כולל RBAC במידת הצורך.
• הצפנה.
• אמצעי נגד תוכנות זדוניות (מנוהלות או לא מנוהלות).
• BUDR.
• הגבלות גלישה.
• ניתוח משתמש (ראה ISO 27002 בקרה 8.16).
• התקנה, שימוש וניהול מרחוק של התקני אחסון נשלפים או התקנים היקפיים נשלפים.
• כיצד להפריד נתונים במכשיר, כך שה-PII יהיה מופרד מנתוני המכשיר הסטנדרטיים (כולל הנתונים האישיים של המשתמש). זה כולל לשקול האם ראוי או לא לאחסן כל סוג של נתונים ארגוניים במכשיר הפיזי, במקום להשתמש במכשיר כדי לספק גישה מקוונת אליו.
• מה קורה כאשר מכשיר אובד או נגנב – כלומר התייחסות לכל דרישות חוקיות, רגולטוריות או חוזיות, והתנהלות מול חברות הביטוח של הארגון.

אחריות משתמש אישי

כל מי בארגון שמשתמש בגישה מרחוק צריך להיות מודע במפורש לכל מדיניות ונהלים של מכשירים ניידים החלים עליהם בהקשר של ניהול מכשירי קצה מאובטחים.

יש להורות למשתמשים:

• סגור כל הפעלות עבודה פעילות כשהן כבר לא בשימוש.
• הטמעת בקרות הגנה פיזיות ודיגיטליות, כפי שנדרש במדיניות.
• היו מודעים לסביבתם הפיזית - ולסיכוני האבטחה הטמונים בהם - בעת גישה לנתונים מאובטחים באמצעות המכשיר.

הביא מכשיר משלך (BYOD)

ארגונים המאפשרים לעובדים להשתמש במכשירים בבעלות אישית צריכים לשקול גם את בקרות האבטחה הבאות:

• התקנת תוכנה במכשיר (כולל טלפונים ניידים) המסייעת בהפרדת נתונים עסקיים ואישיים.
• אכיפת מדיניות BYOD הכוללת:
• הכרה בבעלות ארגונית על PII.
• אמצעי הגנה פיזיים ודיגיטליים (ראה לעיל).
• מחיקה מרחוק של נתונים.
• כל אמצעי המבטיח התאמה לחקיקת PII והנחיה רגולטורית.
• זכויות IP, הנוגעות לבעלות החברה על כל דבר שהופק במכשיר אישי.
• גישה ארגונית למכשיר - או למטרות הגנה על פרטיות, או לציית לחקירה פנימית או חיצונית.
• EULAs ורישוי תוכנה שעלולים להיות מושפעים מהשימוש בתוכנה מסחרית במכשיר בבעלות פרטית.

תצורות אלחוטיות

בעת ניסוח נהלים העוסקים בקישוריות אלחוטית במכשירי קצה, ארגונים צריכים:

• שקול היטב כיצד יש לאפשר למכשירים כאלה להתחבר לרשתות אלחוטיות לצורך גישה לאינטרנט, למטרות הגנה על PII.
• ודא שלחיבורים אלחוטיים יש קיבולת מספקת כדי לאפשר גיבויים או כל פונקציה אחרת ספציפית לנושא.

תמיכה בבקרות ISO 27002

• ISO 27002 8.9 – ניהול תצורה
• ISO 27002 8.16 - ניטור פעילויות

ניהול נכסים

ISO 27701 סעיף 6.5.2.1 (סיווג מידע) ו-EU GDPR סעיף 5 (1)(ו)

במקום להעמיד את כל המידע על בסיס שווה, על הארגון לסווג מידע על בסיס נושא ספציפי.

בעלי מידע צריכים לשקול ארבעה גורמים מרכזיים, בעת סיווג נתונים (במיוחד לגבי PII), אשר יש לבחון מעת לעת, או כאשר גורמים כאלה משתנים:

1. השמיים סודיות של הנתונים.
2. השמיים שלמות של הנתונים.
3. נתונים זמינות רמות.
4. של הארגון התחייבויות משפטיות לכיוון PII.

כדי לספק מסגרת תפעולית ברורה, יש למנות קטגוריות מידע בהתאם לרמת הסיכון המובנית, אם יתרחשו תקריות הפוגעות באחד מהגורמים לעיל.

כדי להבטיח תאימות בין פלטפורמות, ארגונים צריכים להעמיד את קטגוריות המידע שלהם לזמינות לכל צוות חיצוני שאיתו הם חולקים מידע, ולהבטיח שסכימת הסיווג של הארגון עצמו מובנת באופן נרחב על ידי כל הצדדים הרלוונטיים.

ארגונים צריכים להיזהר מסיווג חסר או להיפך, סיווג יתר של נתונים. הראשון יכול להוביל לטעויות בקיבוץ PII עם סוגי נתונים פחות רגישים, בעוד שהראשון מוביל לעתים קרובות להוצאות נוספות, סיכוי גדול יותר לטעות אנוש וחריגות בעיבוד.

ISO 27701 סעיף 6.5.2.2 (תיוג מידע) ו-EU GDPR סעיף 5 (1)(ו)

תוויות הן חלק מרכזי בהבטחת מדיניות סיווג ה-PII של הארגון (ראה לעיל), ושניתן לזהות את הנתונים בבירור בהתאם לרגישותם (למשל, PII מסומן כמובדל מסוגי נתונים פחות חסויים).

נהלי תיוג PII צריכים להגדיר:

• כל תרחיש שבו לא נדרש תיוג (נתונים זמינים לציבור).
• הוראות כיצד הצוות צריך לסמן נכסים דיגיטליים ופיזיים ומקומות אחסון כאחד.
• תוכניות מגירה לכל תרחיש שבו תיוג אינו אפשרי פיזית.

ISO מספק שפע של מרחב לארגונים לבחור את טכניקות התיוג שלהם, כולל:

• גוּפָנִי תִיוּג.
• אֶלֶקטרוֹנִי תוויות בכותרות עליונות ותחתונות.
• הוספה או תיקון של מטה, כולל מונחים הניתנים לחיפוש ופונקציונליות אינטראקטיבית עם פלטפורמות ניהול מידע אחרות (למשל PIMS של הארגון).
• watermarking המספק אינדיקציה ברורה של סיווג הנתונים על בסיס מסמך אחר מסמך.
• בול סימנים על עותקים פיזיים של מידע.

ISO 27701 סעיף 6.5.3.1 (ניהול של מדיה נשלפת) ו-EU GDPR סעיף 5 (1)(ו)

מדיית אחסון נשלפת

בעת פיתוח מדיניות המסדירה את הטיפול בנכסי מדיה המעורבים באחסון PII, ארגונים צריכים:

• פתח מדיניות ייחודית ספציפית לנושא המבוססת על דרישות מחלקתיות או מבוססות עבודה.
• ודא שמבקשים ומעניקים אישור מתאים, לפני שאנשי הצוות יוכלו להסיר מדיית אחסון מהרשת (כולל שמירה על רישום מדויק ועדכני של פעילויות כאלה).
• אחסן את המדיה בהתאם למפרטי היצרן, ללא כל נזק סביבתי.
• שקול להשתמש בהצפנה כתנאי מוקדם לגישה, או היכן שהדבר אינו אפשרי, ליישם אמצעי אבטחה פיזיים נוספים.
• צמצם למינימום את הסיכון לפגיעה ב-PII על ידי העברת מידע בין מדיית אחסון, לפי הצורך.
• הצג יתירות PII על ידי אחסון מידע מוגן על מספר נכסים בו זמנית.
• אשר רק את השימוש באמצעי אחסון בכניסות מאושרות (כלומר כרטיסי SD ויציאות USB), על בסיס נכס אחר נכס.
• עקוב מקרוב אחר העברת PII על מדיית אחסון, לכל מטרה.
• קח בחשבון את הסיכונים הטמונים בהעברה פיזית של אמצעי אחסון (ובאמצעות proxy, ה-PII הכלול בו), בעת העברת נכסים בין כוח אדם או מתחם (ראה ISO 27002 בקרה 5.14).

שימוש חוזר וסילוק

בעת שימוש מחדש, שימוש חוזר או השלכה של מדיית אחסון, יש לנקוט נהלים חזקים כדי להבטיח ש-PII לא יושפע בשום אופן, כולל:

1. פירמוט מדיית האחסון והבטחה שכל הפרטים האישיים יוסרו לפני שימוש חוזר (ראה ISO 27002 בקרה 8.10), כולל שמירה על תיעוד הולם של כל הפעילויות הללו.
2. השלכה מאובטחת של כל מדיה שאין לארגון שימוש נוסף בה, והיא שימשה לאחסון PII.
3. אם סילוק מצריך מעורבות של צד שלישי, על הארגון לדאוג מאוד לוודא שהם שותפים ראויים ומתאימים לביצוע חובות כאלה, בהתאם לאחריות הארגון כלפי PII והגנה על הפרטיות.
4. יישום נהלים המזהים אילו אמצעי אחסון זמינים לשימוש חוזר, או שניתן להיפטר מהם בהתאם.

אם מכשירים ששימשו לאחסון PII נפגעים, על הארגון לשקול היטב אם נכון יותר להרוס מדיה כזו או לא לשלוח אותה לתיקון (שגוי בצד הראשון).

תמיכה בבקרות ISO 27002

• ISO 27002 5.14

ISO 27701 סעיף 6.5.3.2 (סילוק מדיה) ו-EU GDPR סעיף 5 (1)(ו)

לִרְאוֹת ISO 27701 סעיף 6.5.3.1

הנחיות נוספות הקשורות ל-PII

אם יש להשליך מדיה מאותו PII שהוחזק בעבר, ארגונים צריכים ליישם נהלים המתעדים את השמדת ה-PII ונתונים הקשורים לפרטיות, כולל הבטחות קטגוריות שהם אינם זמינים עוד.

ISO 27701 סעיף 6.5.3.3 ו-EU GDPR 5 (1)(ו)

מדיית אחסון נשלפת

בעת יישום מדיניות העוסקת במדיה נשלפת, ארגונים צריכים:

• פתח נהלים העונים לדרישות מחלקתיות או מבוססות עבודה.
• ודא שההרשאה המתאימה תתקבל לפני הסרת מדיה כלשהי מהרשת הארגונית.
• ודא כי הנחיות היצרן כלשהן מוצמדות בקפדנות, בעת הפעלת כל צורה של התקן אחסון.
• שקול את השימוש בטכנולוגיית אחסון קריפטוגרפית.
• נקוט בצעדים כדי להבטיח שהנתונים אינם פגומים במהלך כל תהליך העברה.
• הגדל את היתירות על ידי אחסון מידע על מספר נכסים בו זמנית.
• אשר את השימוש באמצעי אחסון (כלומר כרטיסי SD ויציאות USB), על בסיס נכס אחר נכס.
• להבין ולהפחית את הסיכונים הגלומים בהעברת מדיה ונכסים בין כוח אדם למיקומים (ראה ISO 27002 בקרה 5.14).

ארגונים צריכים לשמור תיעוד יסודי של כל אמצעי אחסון המשמש לעיבוד מידע רגיש, כולל:

• סוג המדיה שיש לשלוח (HDD, USB, כרטיס SD וכו').
• כל שולח מורשה וכל צוות פנימי המורשים לקבל מדיה.
• התאריך והשעה של ההעברה.
• כמה מדיה יש להעביר.

שימוש חוזר וסילוק

לאורך התהליך של ייעוד מחדש, שימוש חוזר או סילוק של אמצעי אחסון, ארגונים צריכים:

• ודא שכל המדיה מעוצבת כהלכה, וכל הפעילויות מסוג זה מתועדות היטב (ראה ISO 27002 בקרה 8.10).
• ודא שכאשר נכסי אחסון אינם נחוצים עוד, הם יסולקו בצורה בטוחה ומאובטחת - כולל בדיקה יסודית של כל צד שלישי המעורב בפעולות סילוק, כדי להבטיח שהארגון ממלא את חובותיו לטיפול ב-PII.
• זהה איזו מדיה מתאימה לשימוש חוזר, או שצריך להיפטר, במיוחד כאשר מכשירים נפגעו או נפגעו פיזית בכל דרך שהיא.

בקרת גישה

ISO 27701 סעיף 6.6.2.1 (רישום וביטול רישום משתמש) ו-EU GDPR 5 (1)(ו)

רישום המשתמש נשלט על ידי השימוש ב'זהויות' שהוקצו. זהויות מספקות לארגונים מסגרת לניהול גישת משתמשים ל-PII ולנכסים וחומרים הקשורים לפרטיות, בגבולות הרשת.

הארגון צריך לעקוב אחר שש נקודות הנחיה עיקריות, על מנת להבטיח שזהויות מנוהלות כהלכה, ו-PII מוגן בכל מקום שבו הוא מאוחסן, מעובד או נגיש:

1. כאשר זהויות מוקצות לבן אדם, רק אותו אדם רשאי לאמת ו/או להשתמש בזהות זו, בעת גישה ל-PII.
2. יש לפרוס זהויות משותפות - מספר אנשים הרשומים על אותה זהות - רק כדי לעמוד בסט ייחודי של דרישות תפעוליות.
3. יש להתייחס ולנהל ישויות לא אנושיות באופן שונה מזהויות מבוססות משתמשים שניגשים ל-PII ולחומר הקשור לפרטיות.
4. יש להסיר זהויות ברגע שכבר אין בהן צורך - במיוחד אלה עם גישה ל-PII או לתפקידים מבוססי פרטיות.
5. ארגונים צריכים להיצמד לכלל 'ישות אחת, זהות אחת' בעת הפצת זהויות ברחבי הרשת.
6. רישומים צריכים להירשם ולתעד באמצעות תיעוד ברור, כולל חותמות זמן, רמות גישה ופרטי זהות.

ארגונים שעובדים בשיתוף פעולה עם ארגונים חיצוניים (במיוחד פלטפורמות מבוססות ענן) צריכים להבין את הסיכונים הכרוכים בפרקטיקות כאלה, ולנקוט צעדים כדי להבטיח שה-PII לא יושפע לרעה בתהליך (ראה ISO 27002 בקרות 5.19 ו-5.17).

תמיכה בבקרות ISO 27002

• ISO 27002 5.17
• ISO 27002 5.19

ISO 27701 סעיף 6.6.2.2 (הקצאת גישה למשתמש) ו-EU GDPR 5 (1)(ו)

'זכויות גישה' קובעות את האופן שבו הגישה למידע אישי ומידע הקשור לפרטיות ניתנת וגם בוטלה, תוך שימוש באותה מערכת של עקרונות מנחים.

הענקת וביטול זכויות גישה

נהלי הגישה צריכים לכלול:

• הרשאה והרשאה מהבעלים (או ההנהלה) של המידע או הנכס (ראה ISO 27002 בקרה 5.9).
• כל דרישות מסחריות, משפטיות או תפעוליות הרווחות.
• הכרה בצורך להפריד בין תפקידים, על מנת לשפר את אבטחת ה-PII ולבנות פעולת הגנה על פרטיות עמידה יותר.
• בקרות לביטול זכויות גישה, כאשר הגישה אינה נדרשת עוד (עוזבים וכו').
• אמצעי גישה לזמן עבור עובדים זמניים או קבלנים.
• רישום מרוכז של זכויות גישה שניתנו לגופים אנושיים ולא אנושיים כאחד.
• אמצעים לשינוי זכויות הגישה של כל כוח אדם או קבלני צד שלישי שהחליפו תפקידי עבודה.

סקירת זכויות גישה

ארגונים צריכים לערוך סקירות תקופתיות של זכויות גישה ברחבי הרשת, כולל:

• בניית שלילת זכויות גישה לתוך נהלי יציאה ל-HR (ראה ISO 27002 בקרות 6.1 ו-6.5) ותהליכי עבודה של שינוי תפקידים.
• בקשות לזכויות גישה 'מורשות'.

ניהול שינויים ועזיבים

כוח אדם שעוזב את הארגון (במזיד או כעובד שפוטר), וכאלה שהם מושא בקשת שינוי, צריכים לתקן את זכויות הגישה שלהם בהתבסס על נהלי ניהול סיכונים חזקים, כולל:

• מקור השינוי/סיום, לרבות הסיבה הבסיסית.
• תפקיד התפקיד הנוכחי של המשתמש ואחריות מצורפת.
• המידע והנכסים הנגישים כעת - כולל רמות הסיכון והערך שלהם לארגון.

הדרכה משלימה

חוזי העסקה וחוזי קבלן/שירות צריכים לכלול הסבר על מה שקורה בעקבות כל ניסיונות לגישה לא מורשית (ראה ISO 27002 בקרות 5.20, 6.2, 6.4, 6.6).

תמיכה בבקרות ISO 27002

• ISO 27002 5.9
• ISO 27002 5.20
• ISO 27002 6.2
• ISO 27002 6.4
• ISO 27002 6.6

ISO 27701 סעיף 6.6.4.2 (הליכי כניסה מאובטחת) ו-EU GDPR 5 (1)(ו)

PII ונכסים הקשורים לפרטיות צריכים להיות מאוחסנים ברשת הכוללת מגוון של בקרות אימות, כולל:

• אימות רב-גורמי (MFA).
• תעודות דיגיטליות.
• כרטיסים/טלפונים חכמים.
• אימות ביומטרי.
• אסימונים מאובטחים.

כדי למנוע ולמזער את הסיכון של גישה לא מורשית ל-PII, ארגונים צריכים:

1. מנע הצגה של PII על צג או התקן נקודת קצה, עד שמשתמש יבצע אימות מוצלח.
2. תן למשתמשים לעתיד אזהרה ברורה - לפני כל ניסיון התחברות - המתאר את האופי הרגיש של הנתונים שהם עומדים לגשת אליהם.
3. היזהר ממתן סיוע רב מדי לאורך תהליך האימות (כלומר הסבר איזה חלק מניסיון התחברות כושל אינו חוקי).
4. פריסת אמצעי אבטחה מומלצים, כולל:
• טכנולוגיית CAPTCHA.
• אילוץ איפוסי סיסמה ו/או מניעת התחברות באופן זמני בעקבות מספר ניסיונות כושלים.
5. רישום ניסיונות התחברות כושלים לצורך ניתוח נוסף ו/או הפצה לרשויות אכיפת החוק.
6. התחל אירוע אבטחה בכל פעם שמתגלה אי התאמה גדולה בכניסה, או שהארגון מגלה חריגת אימות שיש לה פוטנציאל להשפיע על PII.
7. העבר יומני אימות - המכילים ניסיון כניסה אחרון ופרטי כניסה שנכשלו - למקור נתונים נפרד.
8. פלט נתוני סיסמה רק כסמלים מופשטים), אלא אם למשתמש יש בעיות נגישות/ראייה.
9. מנע שיתוף של כל נתוני אימות.
10. הרוג הפעלות התחברות רדומות, במיוחד כאשר PII נמצא בשימוש בסביבות עבודה מרוחקות, או בנכסי BYOD.
11. הגדר מגבלת זמן על הפעלות מאומתות, במיוחד אלה שניגשים באופן פעיל ל-PII.

ביטחון פיזי וסביבתי

ISO 27701 סעיף 6.8.2.7 (סילוק מאובטח או שימוש חוזר בציוד) ו-EU GDPR 5 (1)(ו)

מידע אישי ופרטיות הקשורים לפרטיות נמצאים בסיכון במיוחד כאשר מתעורר צורך להיפטר, או לייעד מחדש נכסי אחסון ועיבוד - בין אם פנימית או בשותפות עם ספק צד שלישי מיוחד.

מעל לכל, ארגונים צריכים להבטיח שכל אמצעי אחסון המסומנים לסילוק, שהכילו PII, צריך להיות נהרס פיזית, ניגב or כתוב יתר על המידה (ראה ISO 27002 בקרת 7.10 ו-8.10).

כדי למנוע פגיעה ב-PII בכל דרך שהיא, בעת סילוק או שימוש חוזר בנכסים, ארגונים צריכים:

• ודא שכל התוויות יוסרו או יתוקנו, לפי הצורך - במיוחד אלה המציינים את נוכחות PII.
• הסר את כל בקרות האבטחה הפיזיות והלוגיות, בעת פירוק מתקנים או העברת מתחמים, במטרה לעשות בהם שימוש חוזר במיקום חדש.

תמיכה בבקרות ISO 27002

• ISO 27002 7.10
• ISO 27002 8.10

ISO 27701 סעיף 6.8.2.9 (מדיניות שולחן עבודה נקי ומסך ברור) ו-EU GDPR 5 (1)(ו)

PII ומידע הקשור לפרטיות נמצאים בסיכון במיוחד כאשר צוות רשלני וקבלני צד שלישי אינם מצליחים לציית לאמצעי אבטחה במקום העבודה המגינים מפני צפייה מקרית או מכוונת של PII על ידי צוות לא מורשה.

ארגונים צריכים לנסח מדיניות ברורה בנושא שולחן עבודה ומדיניות מסך ברורה (על בסיס סביבת עבודה אחר סביבת עבודה אם יש צורך בכך) הכוללת:

• הסתרה מראייה סתמית, נעילה או אחסון מאובטח של PII ומידע הקשור לפרטיות, כאשר אין צורך בחומר מידע כזה.
• מנגנוני נעילה פיזיים על נכסי ICT.
• בקרות גישה דיגיטליות - כגון פסקי זמן לתצוגה, שומרי מסך מוגני סיסמה ומתקני יציאה אוטומטית.
• הדפסה מאובטחת ואיסוף מסמכים מיידי.
• אחסון מאובטח ונעול של תיעוד רגיש וסילוק נאות של חומר כזה כאשר הם אינם נדרשים עוד (גריסה, שירותי סילוק צד שלישי וכו').
• הקפדה על תצוגות מקדימות של הודעות (אימייל, SMS, תזכורות יומן) שעשויות לספק גישה לנתונים רגישים; בכל פעם שמסך משותף או צופה במקום ציבורי.
• ניקוי תצוגות פיזיות (כגון לוחות ולוחות מודעות) ממידע רגיש, כאשר אין צורך עוד.

כאשר ארגונים עוזבים יחד את המקום - כמו במהלך מעבר משרד או העברה דומה - אני צריך לעשות מאמצים להבטיח שלא יישאר מאחור שום תיעוד, לא בשולחנות ובמערכות תיוק, או כל תיעוד שאולי נפל למקומות לא ברורים.

אבטחת תפעול

ISO 27701 סעיף 6.9.3.1 (גיבוי מידע) ו-EU GDPR 5 (1)(ו)

ארגונים צריכים לנסח מדיניות ספציפית לנושא המתייחסת ישירות לאופן שבו הארגון מגבה את האזורים הרלוונטיים ברשת שלו על מנת להגן על PII ולשפר את החוסן מפני תקריות הקשורות לפרטיות.

יש לנסח נוהלי BUDR כדי להשיג את המטרה העיקרית להבטיח זאת את כל נתונים, תוכנות ומערכות קריטיות לעסקים ניתנים לשחזור לאחר מכן אובדן נתונים, הפרעה, הפרעה עסקית ו כשלים קריטיים.

בראש סדר העדיפויות, תוכניות BUDR צריכות:

• תיאור הליכי שחזור המכסים את כל המערכות והשירותים הקריטיים.
• להיות מסוגל לייצר עותקים מעשיים של כל מערכות, נתונים או יישומים שהם חלק מעבודת גיבוי.
• לשרת את הדרישות המסחריות והתפעוליות של הארגון (ראה ISO 27002 בקרה 5.30).
• אחסן גיבויים במיקום מוגן סביבתי הנפרד פיזית מנתוני המקור (ראה ISO 27002 בקרה 8.1).
• בדוק והעריך באופן קבוע עבודות גיבוי מול זמני השחזור המוגדרים בארגונים, על מנת להבטיח זמינות נתונים.
• הצפין את כל נתוני הגיבוי הקשורים ל-PII.
• בדוק שוב אם יש אובדן נתונים לפני ביצוע עבודת גיבוי.
• הקפידו על מערכת דיווח המתריעה לצוות על מצב עבודות הגיבוי.
• חפשו לשלב נתונים מפלטפורמות מבוססות ענן שאינן מנוהלות ישירות על ידי הארגון, בעבודות גיבוי פנימיות.
• אחסן גיבויים בהתאם למדיניות שמירת PII מתאימה (ראה ISO 27002 בקרה 8.10).

הדרכה ספציפית נוספת של Pii

ארגונים צריכים לפתח נהלים נפרדים העוסקים אך ורק ב-PII (אם כי כלולים במסגרת תוכנית ה-BUDR הראשית שלהם).

יש לקחת בחשבון הבדלים אזוריים בתקני PII BUDR (חוזי, משפטי ורגולטורי) בכל פעם שנוצרת עבודה חדשה, משרות מתוקנות או נתוני PII חדשים מתווספים לשגרת BUDR.

בכל פעם שעולה צורך לשחזר PII בעקבות תקרית BUDR, ארגונים צריכים לדאוג להחזיר את PII למצבו המקורי, ולבדוק את פעילויות השחזור כדי לפתור בעיות עם הנתונים החדשים.

ארגונים צריכים לנהל יומן של פעילות השחזור, כולל כל הצוות המעורב בשחזור, ותיאור של ה-PII ששוחזר.

ארגונים צריכים לבדוק עם כל סוכנויות מחוקקות או רגולטוריות ולוודא שהליכי שחזור ה-PII שלהם עולים בקנה אחד עם המצופה מהם כמעבד ובקר PII.

תמיכה בבקרות ISO 27002

• ISO 27002 5.30
• ISO 27002 8.1
• ISO 27002 8.10

ISO 27701 סעיף 6.9.4.1 (רישום אירועים) ו-EU GDPR 5 (1)(ו)

ISO מגדיר 'אירוע' ככל פעולה המבוצעת על ידי נוכחות/ישות דיגיטלית או פיזית במערכת מחשב.

יומני אירועים צריכים להכיל:

• מזהה משתמש - מי או איזה חשבון ביצע את הפעולות.
• תיעוד של פעילות המערכת.
• חותמות זמן.
• מזהי מכשיר ומערכת, ומיקום האירוע.
• מידע על כתובת IP.

סוגי אירועים

ISO מזהה 11 אירועים/רכיבים הדורשים רישום (ומקושרים לאותו מקור זמן - ראה ISO 27002 Control 8.17), על מנת לשמור על אבטחת PII ולשפר את הגנת הפרטיות הארגונית:

1. ניסיונות גישה למערכת.
2. ניסיונות גישה לנתונים.
3. ניסיונות גישה למשאבים.
4. שינויים בתצורת מערכת ההפעלה.
5. הרשאות מוגברות.
6. תוכניות שירות ומתקני תחזוקה (ראה ISO 27002 בקרה 8.18).
7. בקשות גישה לקובץ, ומה התרחש (מחיקה, העברה וכו').
8. קטעים קריטיים.
9. פעילויות סביב מערכות אבטחה/אנטי תוכנות זדוניות.
10. עבודת ניהול זהויות (למשל הוספות ומחיקות משתמשים).
11. פעילויות מושב יישומים נבחרות.

הגנת יומן

יומנים צריכים להיות מוגנים מפני שינויים לא מורשים או חריגות תפעוליות, כולל:

• תיקונים מסוג הודעה.
• מחיקה או עריכה.
• כתיבה יתרה עקב בעיות אחסון.

ארגונים צריכים לעסוק בטכניקות הבאות, על מנת לשפר אבטחה מבוססת יומן:

• גיבוב קריפטוגרפי.
• הקלטה להוספה בלבד.
• הקלטה לקריאה בלבד.
• שימוש בקבצי שקיפות ציבורית.

כאשר מתעורר צורך לספק יומנים לארגונים חיצוניים, יש לנקוט באמצעים קפדניים לשמירה על PII ומידע הקשור לפרטיות, בהתאם לתקני פרטיות הנתונים המקובלים (ראה ISO 27002 בקרה 5.34 והנחיה נוספת להלן).

ניתוח יומן

יומנים יצטרכו לעבור ניתוח מעת לעת, על מנת לשפר את הגנת הפרטיות באופן כללי, וכדי לפתור ולמנוע פרצות אבטחה.

בעת ביצוע ניתוח יומן, ארגונים צריכים לקחת בחשבון:

• המומחיות של הצוות המבצע את הניתוח.
• השמיים סוג, קטגוריה ו תכונה מכל סוג אירוע.
• כל חריגים המיושמים באמצעות כללי רשת הנובעים מחומרה ופלטפורמות של תוכנת אבטחה.
• תעבורת רשת חריגה.
• ניתוח נתונים מיוחד.
• מודיעין איומים זמין (בין אם פנימית או ממקור צד שלישי מהימן).

ניטור יומן

ניטור יומנים מציע לארגונים את ההזדמנות להגן על PII במקור ולטפח גישה פרואקטיבית להגנה על פרטיות.

ארגונים צריכים:

1. סקור ניסיונות פנימיים וחיצוניים לגשת למשאבים מאובטחים.
2. נתח יומני DNS (ודוחות שימוש בנתונים) כדי לזהות תנועה ממקורות זדוניים וממנו.
3. איסוף יומנים מנקודות גישה פיזיות ומהתקני אבטחה היקפיים פיזיים (מערכות כניסה וכו').

הנחיות נוספות הקשורות ל-PII

ISO דורש מארגונים לנטר יומנים הנוגעים ל-PII באמצעות 'תהליך ניטור והתראה מתמשך ואוטומטי'. זה עשוי לחייב קבוצה נפרדת של נהלים המנטרים את הגישה ל-PII.

ארגונים צריכים להבטיח ש- בראש סדר העדיפויות - יומנים מספקים חשבון ברור של גישה ל-PII, כולל:

• מי ניגש לנתונים.
• מתי הגישה לנתונים.
• לאיזה PII של המנהל הגישה.
• כל שינוי שבוצע.

ארגונים צריכים להחליט'אם, מתי ואיךמידע על יומן PII צריך להיות זמין ללקוחות, כאשר כל קריטריון יהיה זמין באופן חופשי למנהלים עצמם ונקיטת הקפדה רבה על מנת להבטיח שמנהלי PII יוכלו לגשת רק למידע הנוגע אליהם.

תמיכה בבקרות ISO 27002

• ISO 27002 5.34
• ISO 27002 8.11
• ISO 27002 8.17
• ISO 27002 8.18

ISO 27701 סעיף 6.9.4.2 (הגנה על מידע יומן) ו-EU GDPR 5 (1)(ו)

ראה ISO 27701 סעיף 6.9.4.1

הנחיות נוספות הקשורות ל-PII

ארגונים צריכים להקדיש תשומת לב רבה להבטחת היומנים המכילים PII נשלטים כראוי, ולהפיק תועלת מניטור מאובטח.

יש להפעיל נהלים אוטומטיים שמוחקים או 'מבטלים מזהים' יומנים, בהתאם למדיניות שמירה שפורסמה (ראה ISO 27002 בקרה 7.4.7).

הדרכה עבור בקרי PII

ISO 27701 סעיף 7.2.1 (זיהוי ומסמך מטרה) ו-EU GDPR 5 (1)(ב)

מנהלי PII צריכים להיות בקיא מלאה בכל הסיבות השונות מדוע מעובד PII שלהם.

באחריות הארגון להעביר את הסיבות הללו למנהלי PII, יחד עם 'הצהרה ברורה' מדוע הם צריכים לעבד את המידע שלהם.

כל התיעוד צריך להיות ברור, מקיף ומובן בקלות על ידי כל מנהל PII שקורא אותו - כולל כל מה שקשור להסכמה, כמו גם עותקים של נהלים פנימיים (ראה ISO 27701 סעיפים 7.2.3, 7.3.2 ו-7.2.8).

תמיכה בסעיפים ISO 27701

• ISO 27701 7.2.3
• ISO 27701 7.3.2
• ISO 27701 7.2.8

ISO 27701 סעיף 7.2.2 (זיהוי בסיס חוקי) ו-EU GDPR 5 (1)(א)

כדי להוות בסיס משפטי לעיבוד PII, ארגונים צריכים:

• בקש הסכמה ממנהלי PII.
• נסח חוזה.
• לעמוד בהתחייבויות משפטיות שונות אחרות.
• הגן על 'האינטרסים החיוניים' של עקרונות ה-PII השונים.
• ודא שהמשימות המבוצעות הן לטובת הציבור.
• אשר שעיבוד PII הוא אינטרס לגיטימי.

עבור כל נקודה שהוזכרה לעיל, ארגונים צריכים להיות מסוגלים להציע אישור מתועד

ארגונים צריכים גם לשקול כל 'קטגוריות מיוחדות' של PII הקשורות לארגון שלהם בסכימת סיווג הנתונים שלהם (ראה ISO 27701 סעיף 7.2.8) (הסיווגים עשויים להשתנות מאזור לאזור).

אם ארגונים חווים שינויים כלשהם בסיבות הבסיסיות שלהם לעיבוד PII, זה צריך לבוא לידי ביטוי מיד בבסיס המשפטי המתועד שלהם.

תמיכה בסעיפים ISO 27701

• ISO 27701 7.2.8

ISO 27701 סעיף 7.2.6 (חוזים עם מעבדי PII) ו-EU GDPR 5 (2)

ארגונים צריכים להתקשר בחוזים כתובים ומחייבים עם כל מעבד PII חיצוני שבו הוא משתמש.

כל חוזים צריכים להבטיח שמעבד ה-PII מיישם את כל המידע הנדרש הכלול ב-ISO 27701 נספח B, תוך תשומת לב מיוחדת לבקרות הערכת סיכונים (ISO 27701 סעיף 5.4.1.2) וההיקף הכולל של פעילויות העיבוד (ראה ISO 27701 סעיף 6.12 ).

ארגונים צריכים להיות מסוגלים להצדיק את השמטת כל הבקרות הכלולות בנספח B, ביחסיהם עם מעבד ה-PII (ראה ISO 27701 סעיף 5.4.1.3).

ISO 27701 סעיף 7.2.8 (רשומות הקשורות לעיבוד PII) ו-EU GDPR 5 (2)

ארגונים צריכים לשמור על מערכת יסודית של רשומות התומכות בפעולות ובחובות שלה כמעבד PII.

לרשומות (הידועות גם בשם 'רשימות מלאי') צריך להיות בעלים מוקצה, ועשויות לכלול:

• תפעולי - הסוג הספציפי של עיבוד PII שמתבצע.
• הצדקות - מדוע ה-PII מעובד.
• קטגורי - רשימות של מקבלי PII, כולל ארגונים בינלאומיים.
• אבטחה - סקירה כללית של האופן שבו מוגן PII.
• פרטיות – כלומר דוח הערכת השפעת פרטיות.

ISO 27701 סעיף 7.3.6 (גישה, תיקון ו/או מחיקה) ו-EU GDPR 5 (1)(ד)

ארגונים צריכים לנסח, לתעד וליישם נהלים המאפשרים למנהלי PII לגשת, לתקן ו/או למחוק PII שלהם.

נהלים צריכים לכלול מנגנונים שבאמצעותם מנהל ה-PII יכול לבצע את הפעולה הנ"ל, לרבות כיצד הארגון יודיע למנהל אם לא ניתן לבצע תיקונים.

ארגונים צריכים להתחייב לזמן תגובה שפורסם עבור כל בקשות הגישה, התיקון או המחיקה.

חשוב מאוד להעביר כל בקשות כאלה לצדדים שלישיים שהועברו PII (ראה ISO 27701 סעיף 7.3.7).

היכולת של מנהל PII לבקש תיקונים או מחיקות מוכתבת על ידי תחום השיפוט שבו פועל הארגון. ככזה, חברות צריכות להתעדכן בכל שינוי משפטי או רגולטורי המסדיר את התחייבויותיהן כלפי PII.

תמיכה בסעיפים ISO 27701

• ISO 27701 7.3.7

פרטיות לפי עיצוב ופרטיות כברירת מחדל

ISO 27701 סעיף 7.4.1 (איסוף מגבלה) ו-EU GDPR 5 (1)(ב) ו-(1)(ג)

ארגונים צריכים להגביל את איסוף הפרטים האישיים שלהם על סמך שלושה גורמים:

1. רלוונטיות.
2. מידתיות.
3. כּוֹרַח.

ארגונים צריכים לאסוף PII רק - במישרין ובין בעקיפין - בהתאם לגורמים לעיל, ורק למטרות רלוונטיות והכרחיות למטרה המוצהרת שלהם.

בתור מושג, יש להקפיד על 'פרטיות כברירת מחדל' - כלומר, כל פונקציה אופציונלית צריכה להיות מושבתת כברירת מחדל.

ISO 27701 סעיף 7.4.3 (דיוק ואיכות) ו-EU GDPR 5 (1)(ד)

ארגונים צריכים לנקוט בצעדים כדי להבטיח שה-PII מדויק, שלם ומעודכן, לאורך כל מחזור החיים שלו.

מדיניות אבטחת מידע ותצורות טכניות ארגוניות צריכות להכיל שלבים המבקשים למזער שגיאות לאורך פעולת עיבוד ה-PII שלו, כולל בקרות כיצד להגיב לאי דיוקים.

ISO 27701 סעיף 7.4.4 (יעדי מזעור PII) ו-EU GDPR 5 (1)(c) ו-(1)(e)

ארגונים צריכים לבנות נהלי 'מזעור נתונים', כולל מנגנונים כגון ביטול זיהוי.

יש להשתמש במזעור נתונים כדי להבטיח שאיסוף ועיבוד PII מוגבל ל'מטרה המזוהה' של כל פונקציה (ראה ISO 27701 סעיף 7.2.1).

חלק גדול מתהליך זה כרוך בתיעוד המידה שבה מידע ראשי PII צריך להיות מיוחס ישירות אליהם, וכיצד יש להשיג מזעור באמצעות מגוון שיטות זמינות.

ארגונים צריכים לתאר את הטכניקות הספציפיות בהן משתמשים כדי לבטל זיהוי של עקרונות PII, כגון:

1. אקראי.
2. תוספת רעש.
3. הַכלָלָה.
4. הסרת תכונה.

תמיכה בסעיפים ISO 27701

• ISO 27701 7.2.1

ISO 27701 סעיף 7.4.5 (ביטול זיהוי ומחיקה של PII בסוף העיבוד) ו-EU GDPR 5 (1)(c) ו-(1)(ה)

ארגונים צריכים להשמיד לחלוטין כל PII שאינו ממלא עוד מטרה, או לשנות אותו באופן שמונע כל צורה של זיהוי עיקרי.

ברגע שהארגון קבע שאין צורך לעבד את ה-PII בכל עת בעתיד, המידע צריך להיות נמחק or דה-מזוהה, כפי שהנסיבות מכתיבות.

ISO 27701 סעיף 7.4.6 (קבצים זמניים) ו-EU GDPR 5 (1)(c)

קבצים זמניים נוצרים ממספר סיבות טכניות, לאורך מחזור החיים של עיבוד PII ואיסוף, על פני יישומים, מערכות ופלטפורמות אבטחה רבות.

ארגונים צריכים להבטיח שהקבצים האלה יושמדו תוך פרק זמן סביר, בהתאם למדיניות שמירה רשמית.

דרך פשוטה לזהות את קיומם של קבצים כאלה היא לבצע בדיקות תקופתיות של קבצים זמניים ברחבי הרשת. קבצים זמניים כוללים לרוב:

• קבצי עדכון מסד נתונים.
• מידע שמור.
• קבצים שנוצרו על ידי יישומים וחבילות תוכנה מותאמות אישית.

ארגונים צריכים לדבוק במה שנקרא הליך איסוף אשפה שמוחק קבצים זמניים כאשר אין בהם עוד צורך.

ISO 27701 סעיף 7.4.8 (סילוק) ו-EU GDPR 5 (1)(ו)

לארגונים צריכים להיות מדיניות ונהלים ברורים המסדירים את אופן סילוק PII.

סילוק נתונים הוא נושא רחב היקף הכולל שורה של משתנים שונים, בהתבסס על טכניקת הסילוק הנדרשת ואופי הנתונים שנפטרים.

ארגונים צריכים לקחת בחשבון:

• מה כולל ה-PII.
• כל מטא נתונים שיורי שיש למחוק לצד הנתונים העיקריים.
• סוג אמצעי האחסון שבו ה-PII מוחזק.

ISO 27701 סעיף 7.4.9 (בקרות תמסורת PII) ו-EU GDPR 5 (1)(ו)

כל PII שמוגדר להעברה לארגון צד שלישי צריך להיעשות תוך הקפדה מרבית על המידע הנשלח, תוך שימוש באמצעים מאובטחים.

ארגונים צריכים להבטיח שרק צוות מורשה יוכל לגשת למערכות שידור, ועושים זאת בצורה שנבדקת בקלות במטרה היחידה להביא את המידע למקום בו הוא צריך להגיע ללא תקלות.

הדרכה למעבדי PII

ISO 27701 סעיף 8.2.2 (מטרות ארגוניות) ו-EU GDPR 5 (1)(א) ו-(1)(ב)

מלכתחילה, יש לעבד PII רק בהתאם להוראות הלקוח.

חוזים צריכים לכלול SLAs המתייחסים ליעדים הדדיים, וכל טווחי זמן קשורים בהם יש להשלים אותם.

ארגונים צריכים להכיר בזכותם לבחור בשיטות הייחודיות המשמשות לעיבוד PII, המשיגות באופן חוקי את מה שהלקוח מחפש, אך ללא צורך בקבלת הרשאות מפורטות לגבי האופן שבו הארגון מתנהל בעניין ברמה הטכנית.

ISO 27701 סעיף 8.4.1 (קבצים זמניים) ו-EU GDPR 5 (1)(c)

ארגונים צריכים להבטיח שקבצים זמניים יושמדו תוך פרק זמן סביר, בהתאם למדיניות שמירה רשמית ונהלי מחיקה ברורים.

דרך פשוטה לזהות את קיומם של קבצים כאלה היא לבצע בדיקות תקופתיות של קבצים זמניים ברחבי הרשת.

ארגונים צריכים לדבוק במה שנקרא הליך איסוף אשפה שמוחק קבצים זמניים כאשר אין בהם עוד צורך.

ISO 27701 סעיף 8.4.3 (בקרות PII) ו-EU GDPR 5 (1)(ו)

בכל פעם שעולה הצורך בהעברת PII דרך רשת נתונים (כולל קישור ייעודי), ארגונים צריכים להיות עסוקים בהבטחת שה-PII יגיע לנמענים הנכונים, בזמן.

בעת העברת PII בין רשתות נתונים, ארגונים צריכים:

• ודא שרק אנשים מורשים יכולים לבצע את ההעברה.
• היצמד לנהלים שפורסמו המסדירים את העברת PII מהארגון לצד שלישי.
• שמור את כל נתוני הביקורת.
• כלול דרישות שידור בחוזה הלקוח.
• התייעץ עם הלקוח לפני כל העברה שמתבצעת, אם לא קיימות תנאים בכתב או חוזי.

תמיכה בסעיפים של ISO 27701 ובקרות ISO 27002

כיצד ISMS.online עזרה

פתרון ה-GDPR המלא שלך.

סביבה בנויה מראש המשתלבת בצורה חלקה במערכת הניהול שלך מאפשרת לך לתאר ולהדגים את הגישה שלך להגנה על נתוני לקוחות אירופיים ובריטים.

עם ISMS.online, אתה יכול לקפוץ ישר לתאימות ל-GDPR ולהפגין רמות הגנה החורגות מ"סבירות", והכל במיקום מאובטח אחד ותמיד פועל.

בשילוב עם גישת ההטמעה 'אמץ, הסתגל, הוסף' שלנו, פלטפורמת ISMS.online מציעה הדרכה מובנית בכל שלב, ומפחיתה את המאמץ הנדרש כדי להוכיח את תאימות ה-GDPR שלך. מספר תכונות חזקות לחיסכון בזמן יהיו זמינות גם עבורך.

למידע נוסף על ידי הזמנת הדגמה קצרה של 30 דקות.