כיצד בנוי נספח א' בתקן ISO 27701:2025?
נספח א' הוא נורמטיבי, כלומר הבקרות שלו הן דרישה (ולא הנחיות אופציונליות). הוא מאורגן בשלוש טבלאות המבוססות על תפקיד הארגון בעיבוד מידע אישי מזהה (PII):
| טבלתי | חל על | פקדים | אזורי מיקוד |
|---|---|---|---|
| טבלה א.1 | בקרי PII | 31 | בסיס חוקי, הסכמה, זכויות עיקריות בנוגע למידע אישי מזהה, פרטיות מכוונת, העברות נתונים |
| טבלה א.2 | מעבדי PII | 18 | הסכמי לקוחות, מטרות עיבוד, ניהול קבלני משנה, גילויים |
| טבלה א.3 | גם בקרים וגם מעבדים | 29 | מדיניות אבטחת מידע, בקרת גישה, ניהול אירועים, קריפטוגרפיה, אבטחת פיתוח |
לכל בקרה בנספח א' יש הנחיות יישום תואמות בנספח ב' (לדוגמה, הנחיות לבקרה A.1.2.2 זיהוי ותיעוד מטרה נמצאות ב-B.1.2.2). ארגונים חייבים לכלול את כל הבקרות הרלוונטיות בהצהרת הישימות שלהם, עם נימוק לכל החרגה [סעיף 6.1.3 ה)].
מה מכסה טבלה א.1? (בקרות בקר PII)
טבלה א'.1 מכילה 31 בקרות המקובצות לארבע מטרות. אלה חלות על כל ארגון שקובע את המטרות והאמצעים של עיבוד מידע אישי מזהה.
תנאים לאיסוף ועיבוד (A.1.2)
מטרה: להוכיח כי העיבוד הוא חוקי, עם בסיס משפטי בהתאם לתחומי השיפוט הרלוונטיים, ועם מטרות מוגדרות בבירור ולגיטימיות.
| שליטה | כותרת |
|---|---|
| A.1.2.2 זיהוי ותיעוד המטרה | זיהוי ותיעוד מטרה |
| A.1.2.3 זיהוי הבסיס החוקי | זהה את הבסיס החוקי |
| A.1.2.4 קביעת הסכמה | לקבוע מתי וכיצד יש לקבל את ההסכמה |
| A.1.2.5 קבלת הסכמה ורישום | קבלת הסכמה ורישום |
| A.1.2.6 הערכת השפעה על הפרטיות | הערכת השפעה על הפרטיות |
| A.1.2.7 חוזים עם מעבדי מידע אישי | חוזים עם מעבדי מידע אישי (PII) |
| A.1.2.8 בקר משותף לזיהוי פרטים | בקר PII משותף |
| A.1.2.9 רישומי עיבוד של מידע אישי | רשומות הקשורות לעיבוד מידע אישי מזהה |
התחייבויות כלפי ספקי מידע אישי (A.1.3)
מטרה: להבטיח שמנהלי מערכות מידע אישיות יקבלו מידע מתאים אודות עיבוד המידע האישי שלהם ולעמוד בכל התחייבות רלוונטית אחרת.
| שליטה | כותרת |
|---|---|
| A.1.3.2 התחייבויות כלפי ספקי מידע אישי | קביעה ומילוי התחייבויות כלפי גורמי זיהוי אישי |
| A.1.3.3 מידע עבור גורמי זיהוי אישי (PII) | קביעת מידע עבור מנהלי פרטים אישיים מזהים |
| A.1.3.4 מתן מידע | מתן מידע למנהלי PII |
| A.1.3.5 שינוי או ביטול הסכמה | מתן מנגנון לשינוי או ביטול הסכמה |
| A.1.3.6 התנגדות לעיבוד מידע אישי | מתן מנגנון להתנגדות לעיבוד מידע אישי |
| A.1.3.7 גישה, תיקון או מחיקה | גישה, תיקון או מחיקה |
| A.1.3.8 ליידע צדדים שלישיים | חובותיהם של בקרי מידע מזהה אישי ליידע צדדים שלישיים |
| A.1.3.9 מתן עותק של מידע אישי | אספקת עותק של מידע אישי מעובד |
| A.1.3.10 טיפול בבקשות | טיפול בבקשות |
| A.1.3.11 קבלת החלטות אוטומטית | קבלת החלטות אוטומטית |
פרטיות מעוצבת ופרטיות כברירת מחדל (A.1.4)
מטרה: להבטיח שתהליכים ומערכות מתוכננים כך שאיסוף ועיבוד מידע אישי יוגבלו למה שנדרש למטרה שזוהתה.
| שליטה | כותרת |
|---|---|
| A.1.4.2 גביית מגבלות | הגבלת איסוף |
| A.1.4.3 הגבלת עיבוד | הגבלת עיבוד |
| A.1.4.4 דיוק ואיכות | דיוק ואיכות |
| A.1.4.5 מזעור מידע אישי מזהה | יעדי מזעור מידע אישי מזהה |
| A.1.4.6 הסרת זיהוי ומחיקה | ביטול זיהוי ומחיקה של פרטים אישיים מזהים בסוף העיבוד |
| A.1.4.7 קבצים זמניים | קבצים זמניים |
| A.1.4.8 שמירה | עצירה |
| A.1.4.9 סילוק | רשות |
| A.1.4.10 בקרות שידור PII | בקרות שידור PII |
שיתוף, העברה וגילוי של פרטים אישיים מזהים (A.1.5)
מטרה: לקבוע האם ולתעד מתי מידע מזהה אישי משותף, מועבר או נחשף בהתאם לחובות הרלוונטיות.
| שליטה | כותרת |
|---|---|
| A.1.5.2 בסיס להעברת מידע אישי | זהה את הבסיס להעברת מידע אישי בין תחומי שיפוט |
| A.1.5.3 מדינות להעברת מידע אישי | מדינות וארגונים בינלאומיים שאליהם ניתן להעביר מידע אישי מזהה |
| A.1.5.4 רישומי העברת מידע אישי | רישומי העברת מידע אישי |
| A.1.5.5 רישומי גילוי מידע אישי | רישומי גילוי מידע אישי (PII) לצדדים שלישיים |
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
מה מכסה טבלה A.2? (בקרות מעבד PII)
טבלה א.2 מכילה 18 בקרות המקובצות לארבע מטרות. אלה חלות על כל ארגון המעבד מידע אישי מטעם בקר מידע אישי.
תנאים לאיסוף ועיבוד (A.2.2)
| שליטה | כותרת |
|---|---|
| א.2.2.2 הסכם לקוח | הסכם לקוח |
| א.2.2.3 מטרות הארגון | מטרות הארגון |
| A.2.2.4 שיווק ופרסום | שימוש בשיווק ופרסום |
| A.2.2.5 הוראה מפרה | הוראה מפרה |
| A.2.2.6 התחייבויות הלקוח | התחייבויות הלקוח |
| A.2.2.7 רישומי עיבוד של מידע אישי | רשומות הקשורות לעיבוד מידע אישי מזהה |
התחייבויות כלפי ספקי מידע אישי (A.2.3)
| שליטה | כותרת |
|---|---|
| A.2.3.2 התחייבויות כלפי ספקי מידע אישי | לעמוד בהתחייבויות כלפי מנהלי מידע אישי |
פרטיות מעוצבת ופרטיות כברירת מחדל (A.2.4)
| שליטה | כותרת |
|---|---|
| A.2.4.2 קבצים זמניים | קבצים זמניים |
| A.2.4.3 החזרה, העברה או סילוק | החזרה, העברה או סילוק של מידע אישי |
| A.2.4.4 בקרות שידור PII | בקרות שידור PII |
שיתוף, העברה וגילוי של פרטים אישיים מזהים (A.2.5)
| שליטה | כותרת |
|---|---|
| A.2.5.2 בסיס להעברת מידע אישי | בסיס להעברת מידע אישי בין תחומי שיפוט |
| A.2.5.3 מדינות להעברת מידע אישי | מדינות וארגונים בינלאומיים שאליהם ניתן להעביר מידע אישי מזהה |
| A.2.5.4 רישומי גילוי מידע אישי | רישומי גילוי מידע אישי (PII) לצדדים שלישיים |
| A.2.5.5 בקשות לגילוי מידע אישי מזהה | הודעה על בקשות גילוי מידע מזהה אישי |
| A.2.5.6 גילויים מחייבים מבחינה משפטית | גילוי מידע אישי מחייב מבחינה משפטית |
| A.2.5.7 גילוי קבלני משנה | גילוי קבלני משנה המשמשים לעיבוד מידע אישי מזהה |
| A.2.5.8 הפעלת קבלני משנה | העסקת קבלן משנה לעיבוד מידע אישי |
| A.2.5.9 שינוי קבלן משנה | שינוי קבלן משנה לעיבוד מידע אישי |
מה מכסה טבלה A.3? (בקרות אבטחה משותפות)
טבלה A.3 מכילה 29 בקרות החלות הן על בקרי PII והן על מעבדי PII. אלו הן בקרות אבטחת מידע עם דרישות ספציפיות לעיבוד PII.
| שליטה | כותרת |
|---|---|
| א.3.3 מדיניות אבטחת מידע | מדיניות לאבטחת מידע |
| א.3.4 תפקידי אבטחה | תפקידים ואחריות של אבטחת מידע |
| A.3.5 סיווג מידע | סיווג מידע |
| A.3.6 תיוג מידע | תיוג מידע |
| A.3.7 העברת מידע | העברת מידע |
| A.3.8 ניהול זהויות | ניהול זהות |
| A.3.9 זכויות גישה | זכויות גישה |
| A.3.10 הסכמי ספקים | טיפול באבטחת מידע במסגרת הסכמי ספקים |
| A.3.11 ניהול אירועים | תכנון והכנה לניהול אירועי אבטחת מידע |
| A.3.12 תגובה לאירועי אבטחה | מענה לאירועי אבטחת מידע |
| A.3.13 דרישות משפטיות ורגולטוריות | דרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות |
| A.3.14 הגנה על רשומות | הגנה על רשומות |
| A.3.15 סקירה עצמאית | סקירה עצמאית של אבטחת מידע |
| A.3.16 עמידה במדיניות | עמידה במדיניות, כללים ותקנים לאבטחת מידע |
| A.3.17 מודעות והדרכה ביטחונית | מודעות, חינוך והדרכה לאבטחת מידע |
| A.3.18 הסכמי סודיות | הסכמי סודיות או סודיות |
| A.3.19 שולחן עבודה נקי ומסך נקי | שולחן כתיבה ברור ומסך ברור |
| A.3.20 אמצעי אחסון | אחסון מדיה |
| A.3.21 סילוק בטוח של ציוד | סילוק מאובטח או שימוש חוזר בציוד |
| A.3.22 התקני קצה של משתמשים | התקני נקודת קצה למשתמש |
| A.3.23 אימות מאובטח | אימות מאובטח |
| A.3.24 גיבוי מידע | גיבוי מידע |
| A.3.25 רישום | רישום |
| A.3.26 שימוש בקריפטוגרפיה | שימוש בקריפטוגרפיה |
| A.3.27 מחזור חיים של פיתוח מאובטח | מחזור חיי פיתוח מאובטח |
| A.3.28 אבטחת יישומים | דרישות אבטחת יישומים |
| A.3.29 ארכיטקטורת מערכת מאובטחת | ארכיטקטורת מערכת מאובטחת ועקרונות הנדסיים |
| A.3.30 פיתוח במיקור חוץ | פיתוח במיקור חוץ |
| A.3.31 מידע על בדיקה | מידע על הבדיקה |
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
כיצד נספח א' ונספח ב' פועלים יחד?
נספח א' מגדיר את יעדי הבקרה והצהרות הבקרה ("מה"). נספח ב' מספק הנחיות יישום ("איך"). לכל בקרה בנספח א' יש סעיף בנספח ב' תואם עם אותו מספור:
- שליטה A.1.2.2 זיהוי ותיעוד המטרה (זיהוי ותיעוד מטרה) → הנחיות ב ב .1.2.2
- שליטה א.2.2.2 הסכם לקוח (הסכם לקוח) → הדרכה ב ב .2.2.2
- שליטה א.3.3 מדיניות אבטחת מידע (מדיניות לאבטחת מידע) → הנחיות ב ב .3.3
בעת יישום בקרה, יש לקרוא יחד את הדרישה בנספח א' ואת ההנחיות בנספח ב'. נספח ב' מסווג כנורמטיבי, למרות שהוא משתמש בניסוח "צריך" ולא ב"חייב", אך מבקרים יצפו שהיישום שלכם יהיה עקבי עם כוונתו.
כיצד נספח א' קשור לנספחים אחרים?
התקן כולל ארבעה נספחים נוספים למיפוי המחברים את בקרות נספח א' למסגרות חיצוניות:
- נספח ג' — ממפה בקרות ל-11 עקרונות הפרטיות בתקן ISO/IEC 29100
- נספח ד' - ממפה בקרות למאמרי GDPR (סעיפים 5–35 ו-44–49)
- נספח ה' — ממפה בקרות ל-ISO/IEC 27018 (מעבדי ענן) ול-ISO/IEC 29151 (הגנה מפני פרטים אישיים מזהים)
- נספח ו' - ממפה בקרות 2025 למקבילות ISO 27701:2019
מיפויים אלה הם אינפורמטיביים (לא נורמטיביים), אך הם בעלי ערך רב עבור ארגונים שצריכים להדגים עמידה במספר מסגרות בו זמנית.
למה לבחור ISMS.online עבור ISO 27701:2025 נספח א'?
ISMS.online מספק לך דרך מובנית וניתנת לביקורת ליישם כל בקרה בנספח A:
השווה כיצד פלטפורמות מובילות תומכות ביישום נספח A בהשוואת תוכנות התאימות שלנו.
- ערכות בקרה מוכנות מראש — כל 78 הבקרות ממופות ומוכנות להצהרת תחולתך
- קישור ראיות — צרף מדיניות, הערכות סיכונים, תוצאות ביקורת ורישומים ישירות לכל בקרה
- תצוגות מבוססות תפקידים — סנן בקרות לפי התפקיד שלך (בקר, מעבד או שניהם) כך שתראה רק את מה שרלוונטי
- מעקב אחר פערים — סמן כל בקרה כמיושמת, מיושמת חלקית או לא ישימה עם נימוק
- מיפוי בין-מסגרתי — ראה כיצד כל בקרה ממפה אל GDPR, ISO 27001 ומסגרות אחרות שאתם מפעילים
- ייצוא מוכן לביקורת — צור את הצהרת הישימות וחבילות הראיות עבור רואי חשבון חיצוניים
שאלות נפוצות
האם עליי ליישם את כל 78 בקרות נספח א'?
לא בהכרח. עליך לכלול את כל הבקרות הרלוונטיות לתפקידך (בקר, מעבד או שניהם) בהצהרת הישימות שלך. יש לנמק כל החרגה. ניתן להחריג בקרות כאשר הן אינן נחשבות נחוצות על ידי הערכת הסיכונים שלך או כאשר הן אינן נדרשות על ידי דרישות משפטיות רלוונטיות.
מה ההבדל בין נספח א' לנספח ב'?
נספח א' מכיל את יעדי הבקרה והצהרות הבקרה (הדרישות). נספח ב' מספק הנחיות יישום עבור כל בקרה. נספח א' הוא נורמטיבי (חובה); ההנחיות של נספח ב' הן נורמטיביות ומשתמשות בניסוח "צריך" כדי לספק המלצות יישום שמבקרים מצפים שיטופלו.
איך אני יודע איזו טבלה מתאימה לארגון שלי?
כיצד מתאימות בקרות 2025 למהדורת 2019?
נספח ו' מספק טבלת התאמה מלאה בשני הכיוונים. טבלה ו'.1 ממפה את בקרות 2025 למקבילותיהן בשנת 2019. טבלה ו'.2 ממפה את בקרות 2019 למקבילותיהן בשנת 2025. עיין במדריך ההתאמה שלנו בנספח ו' לקבלת המיפוי המלא.
למד כיצד לתעד את בחירות הבקרה שלך במדריך הצהרת הישימות שלנו.
כל בקרה דורשת ראיות תומכות - עיין במדריך דרישות ראיות הביקורת שלנו לקבלת מידע על מה שמבקרים מצפים לו.
