ISO 27701 - התקן לניהול מידע פרטיות

מהו ISO 27701?

בעקבות תקנת הגנת המידע הכללית של האיחוד האירופי (GDPR), POPIA של דרום אפריקה, LGPD של ברזיל, עקרונות הפרטיות של אוסטרליה, חוקים ותקנות פרטיות דומים רבים שמתנסחים ברחבי העולם; יש צורך הולך וגובר בקוד התנהגות, או תקן, כדי להדגים תאימות לנתוני פרטיות והסמכה. ISO 27701 שואף לספק גישה בינלאומית אמיתית להגנת הפרטיות כמרכיב של אבטחת מידע.

ISO 27701 פותח כדי לספק תקן לבקרת פרטיות נתונים, אשר, בשילוב עם ISMS, מאפשר לארגון להפגין ניהול יעיל של נתוני פרטיות. זה קובע את הפרמטרים עבור PIMS במונחים של הגנת הפרטיות ועיבוד מידע אישי מזהה (PII).

ISO 27701 הוא דרך מרשימה להדגים לצרכנים, לארגונים חיצוניים ולבעלי עניין פנימיים, שקיימים מנגנונים לשמירה על בטיחות הנתונים ולציית ל-GDPR וחוקי פרטיות אחרים.

תקן ISO 27701, תקן PIMS (Privacy Information Management System), מציג מערך מפורט של רשימות ביקורת תפעוליות שניתן להתאים למגוון תקנות, כולל GDPR. חברות מתעדות את המדיניות, הנהלים, הפרוטוקולים והפעילויות שלהן בהתאם לרשימות הבדיקה התפעוליות של התקן, כאשר הרישומים נבחנו על ידי מבקרים פנימיים ושל צד שלישי, וכתוצאה מכך הוכחה מפורטת לעמידה בתקן. ISO 27701 מסייע לחברות לשמור על מערכת פרטיות ואבטחת מידע יעילה ולהפחית את סיכוני הפרטיות.

מהן אבני הבניין של התקן?

ISO 27701 הוא הרחבה של ISO/IEC 27001, שהוא אחד התקנים הבינלאומיים הנפוצים ביותר לניהול אבטחת מידע. אם הארגון שלך כבר מכיר את ISO/IEC 27001, שילוב בקרות הפרטיות החדשות של PIMS עשוי להיות פשוט יחסית. ISO 27701 מבוסס גם על תקנים אחרים, כמו ISO 27002 ו-ISO 29100. ISO 27701 מוסיף שכבת פרטיות נתונים לתקני אבטחת מידע קודמים. אם אתה מסמן את התיבות עבור תקנים אחרים, ייתכן שאתה מסמן כבר חלק מהתיבות עבור ISO 27701.

נקודות חשובות לזכור לגבי ISO 27001 ו-PIMS:

• PIMS מספק בקרות חדשות ספציפיות לבקר ולמעבד המסייעות לארגונים להתגבר על אתגרי הפרטיות והאבטחה על ידי יצירת נקודת התכנסות בין מה שיכול להיות שתי פונקציות שונות.
• אבטחה חשובה לפרטיות. ISO 22701 PIMS מסתמך על ISO 27001 לניהול אבטחה. הסמכת IS0 27701 זמינה רק כתוספת לאישור ISO 27001 ולא ניתן לקבל אותה כאישור עצמאי.

אתגרי תאימות לתקן ISO 27701

על פי הנחיות ה-GDPR, ארגונים צפויים לשמור על כל המידע המאפשר זיהוי אישי בטוח מפני גניבה, אובדן ונזק.

שינויים בחוק הבריטי מאז מאי 2018 פירושם כעת שארגונים חייבים להציב מדיניות טיפול בנתוני משאבי אנוש, עם היכולת להראות כי נתונים אישיים לא רלוונטיים נמחקים כראוי. ISO 27701 מסייע לארגונים להתמודד עם שלושת אתגרי הציות החשובים הללו:

יותר מדי דרישות רגולטוריות כדי ללהטט

השימוש ב-ISO 27701 כמערכת מאוחדת של בקרה תפעולית על פרטיות הנתונים מסיר את הצורך להתמקד ברגולציות מרובות. כתקן בינלאומי, ISO 27701 נועד לעמוד בדרישות של הגנת מידע ו-GDPR, ולהיות גמיש מספיק כדי להיות מותאם לדרישות התעשייה הספציפיות. זה מאפשר לחברות לעבוד במסגרת אחת בעמידה בדרישות רגולטוריות מרובות.

יקר מדי לביקורת רגולציה אחר תקנה

מבקרים פנימיים וחיצוניים משתמשים ב-ISO 27701 כדי לקבוע תאימות לרגולציה במחזור ביקורת אחד. זה חוסך לארגון כסף בהשוואה לביצוע תהליך ביקורת רגולציה מפורק.

הבטחות של ציות ללא הוכחות הן עלולה להיות מסוכנת

זה לא מספיק שחברות יפעלו לפי תהליכי פרטיות נתונים של שיטות עבודה מומלצות; הם חייבים גם להיות מסוגלים להוכיח ציות לחוקים ולתקנות. זה אומר שיש תהליך חזק ומשולב לתיעוד. לעסקים עם תהליכים מורכבים עשויים להיות סוגים מרובים של בקרי נתונים ומעבדי נתונים, ספקי ענן וספקים שותפים. חוסר יכולת להוכיח עמידה בחוקים או תקנות בכל חלק בשרשרת האספקה ​​עלולה לחשוף את העסק לסיכון פיננסי ומוניטין.

היתרונות של ISO 27701

הצג הגנה על נתונים ברמה הבאה עם ISO 27701

תקן ISO 27701 הוא אחת הדרכים להראות שאתה עומד בכל דרישות הגנת הנתונים, הסודיות והפרטיות המתאימות.

בנה אמון בעת ​​ניהול מידע אישי

בכל הנוגע לטיפול במידע אישי, צריך שתהיה לך דרך להבטיח שהארגון שלך עושה כל שניתן כדי להבטיח שהמידע יטופל בצורה נכונה ובהתאמה לחוק. ISO 27701 נותן לך את התקן הדרוש לבניית אמון בעת ​​ניהול נתונים. ספקים, צרכנים ושותפים יכולים לסמוך על המדיניות, הנהלים והפרוטוקולים שלכם כאשר אתם עובדים לפי תקן בינלאומי כמו ISO 27701.

משתלב בתקני אבטחת המידע המובילים

ISO 27701 משתלב בתקני אבטחת המידע המובילים. זה מאפשר פיתוח ועדכון חלקים של מדיניות ונהלים על פני תקנים שונים, ואת הידיעה הבטוחה שלא תתפשר על התאימות שלך לתקנים אחרים על ידי אימוץ תקני ISO 27701.

תומך בעמידה בתקנות פרטיות אחרות

ISO 27701 הוא 'תקן התעשייה' כדי לעמוד בחקיקה החדשה להגנה על מידע. למרות ש-ISO 27701 תואם את עקרונות ה-GDPR, הוא גם מאפשר לארגונים לתעד ציות לחוקי פרטיות אחרים, תקנות, תקנים ודרישות.

גמיש מספיק כדי להתאים לפרטי תחום שיפוט

תקן ISO 27701 פותח כדי לספק תקנים לעבודה עם מידע אישי מזהה, כך שתוכל לעמוד בחוקי הפרטיות השונים. אם החברה שלך פועלת מחוץ לאיחוד האירופי וברצונך לציית להנחיות הספציפיות המקבילות לטריטוריה המקבילות ל-GDPR, תוכל להכניס את הפרטים הספציפיים של תחום השיפוט ל-ISO 27701.

מספק שקיפות בין מחזיקי עניין

ISO 27701 קובע את הסטנדרט לאופן ניהול נתוני הפרטיות. התקן הופך תהליכים לשקופים עבור כל מחזיקי העניין, יוצר אמון וכבוד הדדי.

מקל על הסכמים עסקיים יעילים

כאשר חברות מחויבות לעבוד על אותם סטנדרטים גבוהים של נתוני פרטיות שם, קל יותר לעשות הסכמים ולעבוד יחד. תקן ISO 27701 יוצר אמון ומבטיח שכל מחזיקי העניין נמצאים באותו עמוד כאשר בוחנים שילוב מערכות ותהליכים עסקיים משותפים.

ISO 27701 לעומת ISO 27001 - מה ההבדלים?

ISO 27701 ו-ISO 27001 הם שני תקנים המשמשים לעתים קרובות לסירוגין על ידי אנשי מקצוע שאינם אבטחת מידע כאשר מתייחסים לאבטחת מידע.

גם תקני ISO 27001 וגם ISO 27701 הם תקני ניהול אבטחת IT. ההבדל בין שני התקנים הוא ש-ISO 27001 מתמקד בפער בין ניהול סיכונים ובקרות אבטחה בעוד ש-ISO 27701 הוא תקן המיועד לעמוד בתקנות וחוקים של פרטיות כמו GDPR וחוק הגנת המידע. ISO 27701 מתמקד בסיכוני נתוני פרטיות.

כיצד ISO 27001 ו-ISO 27701 משתלבים זה עם זה?

ISO 27701 הוא הרחבה של ISO 27001. זהו אחד מתקני ניהול הסיכונים, אך הוא מבטיח שהעסק עומד ב-GDPR ובתקנות PII רלוונטיות אחרות. לפני שתוכל ליהנות מיתרונות האבטחה של ISO 27701, עליך להטמיע תחילה את ISO 27001.

איך ISO 27701 קשור ל-GDPR?

ארגונים חייבים לאבטח ולהבטיח את שלמותם של כל הנתונים הרגישים שהם מעבדים במסגרת תקנת הגנת המידע הכללית (GDPR) וחוק הגנת הנתונים הבריטי 2018 (DPA). עם זאת, לא ה-GDPR ולא ה-DPA מספקים הבהרות לגבי הפעולות שחברות חייבות לנקוט כדי להבטיח פרטיות נתונים. כאן נכנס לתמונה ISO 27701. ISO 27701 מספק את הדרישות וההנחיות לתהליך שיטות עבודה מומלצות להפעלת מערכת ניהול מידע פרטיות (PIMS) עם יכולות אבטחת מידע ופרטיות יעילות.

איך ISO 27001 ו-GDPR משתלבים זה עם זה?

ISO 27001 הוא תקן השיטות המומלצות הבינלאומי למערכת ניהול אבטחת מידע (ISMS) שאומצה על ידי מדינות רבות ברחבי העולם. יותר מ-35 מדינות חתמו ליישום GDPR. ISO 27701 יכול לעזור בעמידה ב-GDPR.

תחילת העבודה עם ISO 27701

אם אתה הבעלים של עסק המעבד נתונים אישיים, אז אתה צריך להבין כיצד תקן ISO 27701 החדש חל עליך. הבנת היסודות של ISO 27701 יכולה להיות אתגר. זה נכון במיוחד אם אתה רגיל לעבוד לפי סטנדרטים שונים.

יישום ISO 27701

כמו ברוב התקנים הרשמיים, ISO 27701 יכול להיות קצת מסובך לעקוף את הראש. ISMS.online עוזר לך על ידי מתן פתרון מבוסס ענן לתיעוד תאימות לדרישות ISO 27701.
יישום ISO 27701 ייתן לך מסגרת יציבה לעמידה בחוקים ותקנות, החל מתקנות ה-GDPR ועד להגנה ברמת HIPAA.

הדגמת נוהג טוב

הטמעת ISO 27701 עוסקת בהפגנת 'תרגול טוב' לניהול מידע אישי. ISO 27701 הפך לחלק בלתי נפרד ממסגרת ניהול הנתונים עבור עסקים במגזרים רבים. תקן חשוב זה הוא מעבר מהדגש הטכני והנכסים של אבטחת מידע ISO 27001 למיקוד עסקי יותר מבוסס סיכונים.

לתכנן, לעשות, לבדוק, לפעול

Plan, Do, Check, Act (PDCA) הוא מחזור שיפור מתמשך שחברות פרוגרסיביות רבות משתמשות בו, ומהווה מרכיב חיוני ביישום ISO 27701. אחרים עשויים להשתמש בשמות שונים עבור השלבים - אבל הרעיון המרכזי זהה: תכנן מה צריך לעשות; לעשות את העבודה הטובה ביותר שאתה יכול ביישום וביצוע של משימה זו; בדוק את התוצאות מול התוכנית שלך; וכאשר השינויים הדרושים בתוכנית פועלים לשיפור הביצועים.

דרישות של ISO 27701

הדרישות להשגת תאימות ISO/IEC 27701 כוללות:

• תכנן, בנה והטמיע מערכת מידע אישי עבור הארגון שלך.
• פעל בהתאם להנחיות ISO 27701 בעת תכנון ויישום PIMS.
• על ה-PIM להגדיר מערכות קפדניות ובקרות טקטיות לניהול מידע אישי מזהה, לרבות האופן שבו מידע זה מתקבל, נעשה בו שימוש, שיתוף ונמחק.
• הגדר תפקידי משתמש קפדניים וסיסמאות חזקות עבור כל בעלי העניין המעבדים ובקרה על נתוני הפרטיות.

הסמכת ISO 27701 מחייבת שיש לך אישור ISO 27001. מערכת ניהול המידע האישי שלך מבוססת על מערכת ניהול אבטחת המידע שלך (ISMS). אתה יכול לקבל הסמכה ל-ISO 27701 במקביל ל-ISO 27001. ביצוע שניהם במקביל הוא בדרך כלל קל יותר, פחות אינטנסיבי במשאבים וזול יותר מאשר לעשות אותם בסדרות.

מִבְנֶה

ISO 27701 מחולק לסעיפים, בדיוק כמו תקני ISO אחרים, כאשר סעיפים 5–8 מפרטים את הדרישות והעדכונים הנוספים שיש להוסיף ל-ISO 27001:

• סעיף 5 מתאר את דרישות ה-PIMS לתאימות ISO/IEC 27001.
• סעיף 6 מתאר את הנחיות PIMS עבור ISO/IEC 27002.
• סעיף 7 מתאר הנחיות PIMS עבור בקרי PII.
• סעיף 8 של PIMS מספק הנחיות למעבדי PII.

גם הנספחים הבאים כלולים בתקן:

• מטרות ובקרות ייחוס ספציפיות ל-PIMS מוזכרות בנספח A. (בקרי PII)
• מטרות ובקרות ניהול התייחסות ספציפיות ל-PIMS מוזכרות בנספח B. (מעבדי PII)
• מיפוי של נספח C ל-ISO/IEC 29100
• מיפוי לתקנת הגנת המידע הכללית (GDPR) בנספח D (GDPR).
• נספח E ל-ISO/IEC 27018 ומיפוי ISO/IEC 29151
• נספח ו' מה הקשר בין ISO/IEC 27701 ו-ISO/IEC 27001 ו-ISO/IEC 27002?

עם זאת, חשוב שתלמד את כל המדיניות, הנהלים והבקרות הקיימות ושיאוקבים אחריהם באופן עקבי בכל הארגון שלך.

יישום ISO 27701

הטמעת ISO/IEC 27701 היא דרך חזקה להתחיל מערכת ניהול מידע פרטיות בתוך כל חברה. חברות רבות בוחרות להמשיך ב-ISO 27701 לצד ISO 27001. זה יכול להפחית את העלות ואת הזמן והמאמץ הכוללים הכרוכים בהשגת שני התקנים.

כאן ב-ISMS.online, אנו מספקים פתרונות מבוססי ענן שבהם הארגון שלך יכול להשתמש כדי לתעד תאימות עם ISO 27001 ולאחר מכן ISO 27701. אנו מוציאים את אי הוודאות והניחושים מהתהליך על ידי מתן מסגרת לעמידה בתקני ISO.

מי צריך ליישם את ISO 27701?

ISO 27701 מציע תקן בינלאומי לכל ארגון המטפל בנתוני פרטיות. כל חברה שמחזיקה במידע אישי מזהה, ללא קשר לגודל וסוג, עשויה להפיק תועלת מיישום ISO 27701. תקן ISO 27701 עוזר להפחית את הסיכונים הפיננסיים והרגולטוריים הקשורים להפרות מידע על פרטיות. ISO 27701 מיועד לחברות פרטיות, ציבוריות ואפילו סוכנויות ממשלתיות שצריכות לנקוט בגישה מבוססת סיכונים לאחזקה ועיבוד מידע אישי.

אילו תפקידים מעורבים ביישום ISO 27701?

בהתחשב בהיקפו ובקנה המידה של תקן ISO 27701, אין זה מפתיע שתפקידים שונים מעורבים ביישום התקן. תפקידים אלה כוללים בדרך כלל:

• המיישם/מנהל הפרויקטים הראשי
• קצין פרטיות ראשי / קצין הגנת מידע
• מנהל פרטיות/מנהל הגנת נתונים
• ניהול תיקיות משותפות
• מבקר חיצוני
• מנתח פרטיות- ללקיחת דרישות פונקציונליות והמרה ליישום טכני
• מקצועני מסדי נתונים ותוכנה

ציות לעומת הסמכה

תאימות והסמכה ל-ISO 27701 יכולים להיות מבלבלים, מכיוון שבערך הנקוב נראה שהם מתכוונים לאותו דבר.

תאימות ל-ISO 27701 פירושה שהארגון שלך הציב את הבקרות הנדרשות כדי לעמוד בדרישות של ISO 27701; קבוצה של שיטות עבודה מומלצות לניהול מידע פרטיות. עמידה בתקנים חשובה.

תעודת ISO 27701 היא המסמך שמאשר שארגון מסוים עבר את התהליכים ותיעד את כל הדרוש כדי להיות תואם ל-ISO 27701.

הסמכה פירושה שהוכחת תאימות.

האם הסמכת ISO 27701 מתאימה לי?

אם החברה שלך עוסקת במידע המאפשר זיהוי אישי, ייתכן שתצטרך לבדוק את הסמכת ISO 27701. הסמכת ISO 27701 תגרום לכם להתבלט בהשוואה לחברות שאינן מוסמכות.

בנוסף, במקרה של הפרת מידע, משרד נציב המידע (ICO) בבריטניה הצהיר כי ארגונים המיישמים הסמכה או שיש להם מערכת מקיפה לטיפול באבטחת המידע שלהם עשויים להיראות טוב יותר על ידי הרגולטורים.

תהליך הסמכה ISO 27701

תהליך הטמעת ISO 27701 קל יחסית לארגונים שכבר יש להם הסמכות ISO 27001.

ניתן לקבל את הסמכת ISO 27701 בשלושה שלבים:

תחילה עליך להעסיק גוף הסמכה מוסמך שיבצע ביקורת על הארגון שלך.

לאחר שהסכמתם על הצעה, שמאי יעניק לארגון שלכם ביקורת מפורטת. על המעריך לערוך ביקור חובה במהלך ביקורת ההסמכה הראשונית. הם יבדקו אם הקמת מערכת ניהול מידע אישי פונקציונלית לחלוטין.

לאחר שהמעריך סיים את הביקורת, גוף ההסמכה יחליט אם הארגון שלך עמד בקריטריונים. אם התוצאה חיובית, הם יתנו לך אישור המעיד על כך שהחברה שלך עומדת במפרט התקן. ההסמכה תקפה לשלוש השנים הבאות, או עד שתפוג תעודת ISO 27001 שלך, המוקדם מביניהם.

אם לחברה שלך אין עדיין הסמכת ISO 27001, תצטרך לקבל אותה תחילה, או להמשיך בהסמכת ISO 27001 ו-ISO 27701 בו-זמנית.

שמירה על הסמכת ISO 27701

שמירה על הסמכת ISO 27701 אינה צריכה להיות פוטנציאל מרתיע, כל עוד היישום הראשוני של ISO 27701 הושלם כהלכה. עם זאת, כדי לשמור על תוקף ISO 27701 שלך, עליך לבצע ביקורות מעקב תקופתיות בשילוב עם ביקורת ISO 27001 שלך, ולאחר מכן הערכה מחדש מלאה לפני חידוש ההסמכה.

הדרך הטובה ביותר לשמור על הסמכת ISO 27701 היא לנהל את המערכות שלך בצורה כזו שתוכל להמשיך לעשות שיפורים מתמשכים. שיפור מתמיד הוא המאמץ המתמשך של הארגון שלך כדי לשפר את האופן שבו הוא מטפל במידע הניתן לזיהוי אישי, זיהוי סיכונים מתעוררים לעמידה בדרישות ונקיטת פעולות מערכתיות כדי לתקן אותם.

הדרך הפשוטה ביותר ל-ISO 27701

ISMS.online מקל על ניהול מידע אישי באמצעות פתרון מעולה מבוסס ענן לתמיכה בתאימות ל-ISO 27701 בארגון שלך. נוסף על כך יש לנו מומחי אבטחת מידע ומשאבים זמינים שידריכו אותך בתהליך ההסמכה של ISO 27701.

מסגרות עבור ISO 27701

זה יכול להיות קשה לדעת מאיפה להתחיל עם ISO 27701, במיוחד אם מעולם לא נאלצת לעשות דבר כזה בעבר. זה המקום שבו ISMS.online נכנס לתמונה. פתרונות ה-ISO 27701 שלנו מספקים מסגרות המאפשרות לארגון שלך להפגין תאימות ל-ISO 27701. מומחי אבטחת המידע שלנו יכולים לעבוד איתך כדי להבטיח שאתה מפתח תהליך הטמעה לוגי המתאים למסגרת התיעוד המקוון .

כלים לניהול שרשרת אספקה

ב-ISMS.online נוכל לשלב ניהול אבטחת מידע בשרשרת האספקה ​​ב-ISMS שלך. מדדי ביצועים מהירים ומעשיים יכולים לשמש גם כדי לעקוב אחר התקדמות הספקים שלך ושותפויות צד שלישי אחרות. השתמש באשכולות ISMS.online כדי לרכז את כל שרשרת האספקה ​​במיקום אחד לצורך בהירות, תובנה ושליטה.

פיקוח ושיתוף פעולה פרויקטים יעילים ביותר

פתרונות ה-ISMS.online שלנו מקלים על ארגונים להשיג פיקוח על הפרויקט, ומבטיחים שהמדיניות והנהלים של בקר הנתונים והמעבד תואמים לתקן ISO. המערכת המקוונת שלנו גם מבטיחה שלמיישמי מערכות יש מקום אחד להתייחסות ולשיתוף פעולה. שיטת התוצאות המובטחות שלנו (ARM) מאפשרת לך להיות בטוח שאתה מסמן את כל התיבות שאתה צריך כדי לעמוד בתקן.

עזור ותמוך במעורבות האנשים שלך

ISO 27701 אינו רק מסגרת לאימוץ של ארגונים; זה אומר להתאים את הדרך שבה אנשים מבינים, ממשקים ומתקשרים עם נתונים. ב-ISMS.online, תכננו את המערכת שלנו כך שאתה והצוות שלך יכולים לנצל את הממשק הקל לשימוש שלנו לתיעוד מסע ה-ISO שלך. אנו מספקים גם משאבי וידאו וגישה לאנשי מקצוע בתחום אבטחת המידע כדי לעזור לך לשלב תקנים בחברה שלך.