מהם בקרות בקר PII בתקן ISO 27701:2025?
טבלה A.1 של נספח A לתקן ISO 27701:2025 מגדירה 31 בקרות החלות על כל ארגון הפועל כבקר מידע מזהה אישי. בקר מידע מזהה אישי הוא ארגון הקובע את המטרות והאמצעים לעיבוד מידע המאפשר זיהוי אישי.
בקרות אלו מקובצות לארבע מטרות:
- תנאים לאיסוף ועיבוד (A.1.2) — 8 בקרות המכסות בסיס חוקי, הסכמה, הערכת השפעה על הפרטיות, חוזים ורישומים
- התחייבויות כלפי ספקי מידע אישי (A.1.3) — 10 בקרות המכסות שקיפות, זכויות נושאי נתונים, החלטות אוטומטיות וטיפול בבקשות
- פרטיות מעוצבת ופרטיות כברירת מחדל (A.1.4) — 9 בקרות המכסות מזעור נתונים, שמירה, סילוק והעברה
- שיתוף, העברה וגילוי של פרטים אישיים מזהים (A.1.5) — 4 בקרות המכסות העברות חוצות גבולות ורישומי גילוי
לכל בקרה יש הנחיות יישום מתאימות בנספח ב' (סעיף ב'.1). לדוגמה, הנחיות לבקרה A.1.2.2 זיהוי ותיעוד מטרה נמצאות ב-B.1.2.2.
תנאים לאיסוף ועיבוד (A.1.2)
מטרה: להוכיח כי העיבוד הוא חוקי, עם בסיס משפטי בהתאם לתחומי השיפוט הרלוונטיים, ועם מטרות מוגדרות בבירור ולגיטימיות.
| שליטה | כותרת | <br> סיכום |
|---|---|---|
| A.1.2.2 זיהוי ותיעוד המטרה | זיהוי ותיעוד מטרה | זהה ותעד את המטרות הספציפיות שלשמן יעובדו המידע האישי |
| A.1.2.3 זיהוי הבסיס החוקי | זהה את הבסיס החוקי | קבע, תעד והדגים עמידה בבסיס החוקי הרלוונטי |
| A.1.2.4 קביעת הסכמה | לקבוע מתי וכיצד יש לקבל את ההסכמה | לתעד תהליך להדגמת האם, מתי וכיצד התקבלה הסכמה |
| A.1.2.5 קבלת הסכמה ורישום | קבלת הסכמה ורישום | השגת ורישום הסכמה ממנהלי מידע מזהה אישי בהתאם לתהליכים מתועדים |
| A.1.2.6 הערכת השפעה על הפרטיות | הערכת השפעה על הפרטיות | הערכת הצורך ויישום של הערכות השפעה על הפרטיות עבור עיבוד חדש או שונה |
| A.1.2.7 חוזים עם מעבדי מידע אישי | חוזים עם מעבדי מידע אישי (PII) | ודא שחוזים בכתב עם מעבדי PII יטפלו בתנאים המתאימים נספח א בקרות |
| A.1.2.8 בקר משותף לזיהוי פרטים | בקר PII משותף | קביעת תפקידים ואחריות עם כל בקר PII משותף |
| A.1.2.9 רישומי עיבוד של מידע אישי | רשומות הקשורות לעיבוד מידע אישי מזהה | קביעה ותחזוקה מאובטחת של רשומות התומכות בחובות עיבוד מידע אישי |
התחל את תקופת הניסיון בחינם
רוצה לחקור?
הירשם לגרסת הניסיון החינמית שלך עוד היום וקבל יד על כל תכונות התאימות שיש ל-ISMS.online להציע
התחייבויות כלפי ספקי מידע אישי (A.1.3)
מטרה: להבטיח שמנהלי מערכות מידע אישיות יקבלו מידע מתאים אודות עיבוד המידע האישי שלהם ולעמוד בכל התחייבות רלוונטית אחרת.
| שליטה | כותרת | <br> סיכום |
|---|---|---|
| A.1.3.2 התחייבויות כלפי ספקי מידע אישי | קביעה ומילוי התחייבויות כלפי גורמי זיהוי אישי | קבע ותעד התחייבויות משפטיות, רגולטוריות ועסקיות כלפי גורמי זיהוי אישי (PII) |
| A.1.3.3 מידע עבור גורמי זיהוי אישי (PII) | קביעת מידע עבור מנהלי פרטים אישיים מזהים | קבע ותעד איזה מידע לספק למנהלי גורמי זיהוי אישי ומתי |
| A.1.3.4 מתן מידע | מתן מידע למנהלי PII | לספק מידע ברור ונגיש המזהה את הבקר ומתאר את העיבוד |
| A.1.3.5 שינוי או ביטול הסכמה | מתן מנגנון לשינוי או ביטול הסכמה | לספק מנגנון עבור מנהלי מידע אישי לשינוי או לבטל הסכמה |
| A.1.3.6 התנגדות לעיבוד מידע אישי | מתן מנגנון להתנגדות לעיבוד מידע אישי | לספק מנגנון עבור מנהלי מידע אישי להתנגד לעיבוד |
| A.1.3.7 גישה, תיקון או מחיקה | גישה, תיקון או מחיקה | יישום מדיניות ומנגנונים לעמידה בחובות גישה, תיקון או מחיקה |
| A.1.3.8 ליידע צדדים שלישיים | חובותיהם של בקרי מידע מזהה אישי ליידע צדדים שלישיים | ליידע צדדים שלישיים על שינויים, משיכות או התנגדויות למידע אישי משותף |
| A.1.3.9 מתן עותק של מידע אישי | אספקת עותק של מידע אישי מעובד | ספק עותק של מידע אישי מזהה שעובד כאשר יבקש על ידי מנהל המידע האישי |
| A.1.3.10 טיפול בבקשות | טיפול בבקשות | הגדרה ותיעוד של מדיניות לטיפול בבקשות לגיטימיות ממנהלי מידע אישי |
| A.1.3.11 קבלת החלטות אוטומטית | קבלת החלטות אוטומטית | זהה התחייבויות מהחלטות המבוססות אך ורק על עיבוד אוטומטי של מידע אישי |
פרטיות מעוצבת ופרטיות כברירת מחדל (A.1.4)
מטרה: להבטיח שתהליכים ומערכות מתוכננים כך שאיסוף ועיבוד של מידע אישי מוגבלים למה שנדרש למטרה שזוהתה.
| שליטה | כותרת | <br> סיכום |
|---|---|---|
| A.1.4.2 גביית מגבלות | הגבלת איסוף | הגבלת איסוף מידע אישי למינימום הרלוונטי, הפרופורציונלי והכרחי |
| A.1.4.3 הגבלת עיבוד | הגבלת עיבוד | הגבל את העיבוד למה שנאות, רלוונטי והכרחי למטרות שזוהו |
| A.1.4.4 דיוק ואיכות | דיוק ואיכות | יש לוודא שהמידע המזהה האישי מדויק, שלם ומעודכן לאורך כל מחזור חייו. |
| A.1.4.5 מזעור מידע אישי מזהה | יעדי מזעור מידע אישי מזהה | הגדרה ותיעוד של יעדים ומנגנונים לצמצום נתונים |
| A.1.4.6 הסרת זיהוי ומחיקה | ביטול זיהוי ומחיקה של פרטים אישיים מזהים | מחיקת מידע אישי או הפיכתו ללא ניתנת לזיהוי כאשר אינו נחוץ עוד |
| A.1.4.7 קבצים זמניים | קבצים זמניים | סילוק קבצים זמניים מעיבוד מידע אישי בתוך פרק זמן מתועד |
| A.1.4.8 שמירה | עצירה | אין לשמור מידע אישי מזהה למשך זמן רב יותר מהנדרש למטרות עיבוד |
| A.1.4.9 סילוק | רשות | יש מדיניות, נהלים ומנגנונים מתועדים לסילוק מידע מזהה אישי |
| A.1.4.10 בקרות שידור PII | בקרות שידור PII | מידע אישי מועבר דרך רשתות לבקרות מתאימות |
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שיתוף, העברה וגילוי של פרטים אישיים מזהים (A.1.5)
מטרה: לקבוע האם ולתעד מתי מידע מזהה אישי משותף, מועבר או נחשף בהתאם לחובות הרלוונטיות.
| שליטה | כותרת | <br> סיכום |
|---|---|---|
| A.1.5.2 בסיס להעברת מידע אישי | זהה את הבסיס להעברת מידע אישי בין תחומי שיפוט | זהה ותעד את הבסיס להעברות בינלאומיות של מידע אישי מזהה |
| A.1.5.3 מדינות להעברת מידע אישי | מדינות וארגונים בינלאומיים להעברת מידע אישי | ציין ותעד את המדינות והארגונים שאליהם ניתן להעביר את המידע האישי |
| A.1.5.4 רישומי העברת מידע אישי | רישומי העברת מידע אישי | רישום העברות מידע אישי אל או מגורמי צד שלישי והבטחת שיתוף פעולה |
| A.1.5.5 רישומי גילוי מידע אישי | רישומי גילוי מידע אישי (PII) לצדדים שלישיים | תיעוד גילויים כולל מה נחשף, למי ומתי |
כיצד בקרות אלו קשורות ל-GDPR?
בקרות בקר המידע האישי מותאמות באופן נרחב לדרישות ה-GDPR . הקשרים העיקריים כוללים:
- א.1.2 (איסוף ועיבוד) מפות לסעיפים 5-6 בתקנת ה-GDPR (עקרונות ובסיס חוקי), סעיף 7 (הסכמה), סעיפים 8-9 (ילדים וקטגוריות מיוחדות)
- א.1.3 (התחייבויות כלפי ספקי מידע אישי) מפות לסעיפים 12-22 של GDPR (זכויות נושא המידע, כולל גישה, תיקון, מחיקה, ניידות והחלטות אוטומטיות)
- A.1.4 (פרטיות מעוצבת) מפות לסעיף 25 בתקנת ה-GDPR (הגנה על מידע מעוצב וכברירת מחדל) ולסעיף 5(1)(c-e) (מזעור, דיוק, הגבלת אחסון)
- A.1.5 (העברות) מפות לסעיפים 44-49 של GDPR (העברות בינלאומיות, נאותות, אמצעי הגנה, BCRs)
למה לבחור ISMS.online לצורך תאימות לבקרת PII?
ISMS.online עוזר לך ליישם ולהוכיח כל בקרה בטבלה A.1:
- מסגרת בקרה בנויה מראש — כל 31 בקרות הבקר ממופות ומוכנות להצהרת תחולתך
- ניהול הסכמה — תהליכי הסכמה למסמכים, רישומים ומנגנוני ביטול
- זרימת עבודה של PIA — לבצע ולעקוב אחר הערכות השפעה על הפרטיות באמצעות טפסים מבוססי תבניות
- מעקב אחר בקשות נושא נתונים — רישום וניהול של בקשות גישה, תיקון ומחיקה באמצעות מעקב אחר SLA
- העברת רשומות — ניהול רישום של העברות בינלאומיות עם תיעוד בסיסי
- ניהול חוזי מעבדים — מעקב אחר חוזים, בדיקת נאותות וחובות תאימות עבור כל מעבד
שאלות נפוצות
האם כל 31 הבקרות חלות על כל בקר PII?
לא בהכרח. עליך לכלול את כל הבקרות הרלוונטיות בהצהרת הישימות שלך, אך ניתן לשלול בקרות כאשר הערכת הסיכונים שלך קובעת שהן אינן נחוצות או כאשר הן אינן נדרשות על פי חוק רלוונטי. כל החרגה חייבת להיות מנומקת.
מה ההבדל בין טבלה A.1 לטבלה A.3?
טבלה א.1 מכילה בקרות ספציפיות לבקרי מידע מזהה אישי (למשל, הסכמה, זכויות נושאי מידע, הערכות השפעה על הפרטיות). טבלה א.3 מכילה בקרות אבטחת מידע החלות הן על בקרים והן על מעבדים (למשל, בקרת גישה, רישום, קריפטוגרפיה). כבקר מידע מזהה אישי, שתי הטבלאות חלות עליך.
היכן אוכל למצוא את הנחיות היישום עבור בקרות אלו?
סעיף B.1 בנספח B מספק הנחיות יישום עבור כל בקרה בטבלה A.1. המספור תואם ישירות: ההנחיות עבור A.1.2.2 זיהוי ותיעוד מטרה נמצאות ב-B.1.2.2, ההנחיות עבור A.1.3.7 גישה, תיקון או מחיקה נמצאות ב-B.1.3.7, וכן הלאה.
תעדו את בחירות בקרת הבקר שלכם בהצהרת תחולה כדי להדגים את הרציונל שלכם למבקרים.
פקידי הגנה על מידע (DPOs) יכולים למצוא סקירה ממוקדת של חובותיהם כבקר במדריך שלנו לפקידי הגנה על מידע.
עיין במדריך דרישות ראיות הביקורת שלנו לקבלת מידע על ציפיות המבקרים בנוגע לבקרות אלו.
