הבנת ISO 27701 סעיף 5.2: ההקשר של הארגון
הגנת הפרטיות היא נושא חקיקתי מסובך המשלב הנחיות לא שיפוטיות ושיפוטיות ממגוון רחב של מקורות.
לאורך כל סדרת הבקרות שלו, ISO מתייחס באופן קבוע לצרכים המסחריים, מבוססי הפרטיות והלוגיסטיים הייחודיים של כל ארגון העוסק ב-PII.
ISO 27701 5.2 מכסה את מה שניתן לתאר בגדול כסדרה של תרגילי מיפוי לארגונים המבקשים להבין את חובותיהם לעובדים פנימיים וחיצוניים, וכיצד הם מקיימים אינטראקציה עם ארגוני צד שלישי מ- תאימות ופרספקטיבה של PII.
מה מכוסה בסעיף 27701 של ISO 5.2
ISO 27701 5.2 מכיל ארבעה סעיפי משנה המתייחסים להגנת הפרטיות ולעיבוד/בקרה של PII, כל אחד מהם תואם לסעיף מקושר בתוך ISO 27001 (שפועל כמסמך ההנחיות הראשי).
בנוסף, ISO 27701 מכיל נקודות הדרכה נוספות עבור ארגונים המבקשים ליישם PIMS, עם עצות כיצד ליישם את הנחיות ISO 27701 ו-ISO 27001 על נושא ספציפי זה.
ארגונים צריכים לראות ולהטמיע את ISO 27701 לצד המאמרים הכלולים במסגרת ממשלתית GDPR הנחיות. במידת הצורך, הדגשנו את מאמרי ה-GDPR הרלוונטיים לצד סעיפי המשנה הסמוכים להם.
שים לב שהציטוטים של GDPR הם למטרות אינדיקטיביות בלבד. ארגונים צריכים לבחון את החקיקה ולעשות שיקול דעת בעצמם על אילו חלקים בחוק חלים עליהם.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
ISO 27701 סעיף 5.2.1 - הבנת הארגון וההקשר שלו
הפניות ISO 27001 בקרה 4.1
ארגונים צריכים לעבור תרגיל מיפוי המפרט גורמים פנימיים וחיצוניים כאחד הקשורים ליישום PIMS.
הארגון צריך להיות מסוגל להבין כיצד הוא הולך להשיג את תוצאות ההגנה על הפרטיות שלו, ויש לזהות ולטפל בכל נושא שעומד בדרכו להגנה על PII.
הנחיות נוספות ל-PIMS ו-PII
לפני ניסיון לטפל בהגנה על הפרטיות ולהטמיע PII, ארגונים צריכים קודם כל להבין את החובות שלהם כבקר ו/או מעבד PII יחיד או משותף.
זה כולל:
- סקירת כל חוקי הפרטיות, התקנות או 'החלטות שיפוטיות' הרווחות;
- תוך התחשבות במערך הדרישות הייחודי של הארגון הנוגע לסוג המוצרים והשירות שהם מוכרים, ומסמכי ממשל, מדיניות ונהלים ספציפיים לחברה;
- כל הגורמים האדמיניסטרטיביים, לרבות התנהלות שוטפת של החברה;
- הסכמי צד שלישי או חוזי שירות שיש להם פוטנציאל להשפיע על PII והגנת הפרטיות.
מאמרי GDPR ישימים
- סעיף 24 – אחריות הבקר
- סעיף ישים - (3)
- סעיף 25 – הגנה על מידע על ידי תכנון וברירת מחדל
- סעיף ישים - (3)
- סעיף 28 – מעבד
- סעיפים ישימים - (5), (6), (10)
- סעיף 32 – אבטחת עיבוד
- סעיף ישים - (2)
- סעיף 40 – כללי התנהגות
- סעיפים החלים – (1), (2)(א), (2)(ב), (2)(ג), (2)(ד), (2)(ה), (2)(ו), ( 2)(ז), (2)(ח), (2)(i), (2)(י), (2)(ק), (3), (4), (5), (6), (7), (8), (9), (10), (11)
- סעיף 41 – מעקב אחר כללי התנהגות מאושרים
- סעיפים חלים – (1), (2)(א), (2)(ב), (2)(ג), (2)(ד), (3), (4), (5), (6)
- סעיף 42 – הסמכה
- סעיפים ישימים - (1), (2), (3), (4), (5), (6), (7), (8)
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
ISO 27701 סעיף 5.2.2 - הבנת הצרכים והציפיות של בעלי עניין
הפניות ISO 27001 בקרה 4.2
להגנה על פרטיות מידע ופרטיות יש פוטנציאל להשפיע על מספר רב של עובדים, משתמשים, לקוחות, הן פנימית והן חיצונית.
ארגונים צריכים לקבל הבנה מוצקה של הצרכים של כל הצוות המושפע ומה ISO מחשיב כ'צדדים בעלי עניין'.
הצורך של הארגון להקים ולתעד:
- כל 'צדדים בעלי עניין' הרלוונטיים לנושא הרחב יותר של הגנת הפרטיות;
- מהן הדרישות הייחודיות של האנשים האמורים בהיקף של PIMS;
ארגונים צריכים גם לקחת בחשבון כל התחייבות משפטית, רגולטורית או חוזית, לצד דרישות מעשיות ותפעוליות.
הנחיות נוספות ל-PIMS ו-PII
בעת יישום PIMS, ארגונים צריכים למפות רשימה של בעלי עניין שמושפעים מ-PIMS או שיש להם תפקיד בעיבוד PII.
כאשר מדובר ב-PII, צד מעוניין יכול להיות אחד מהבאים (אך לא רק):
- עובד;
- לקוח;
- רשויות רגולטוריות, שיפוטיות או פיקוח;
- בקרי ומעבדי PII אחרים.
חשוב לציין שדרישות PII - הקשורות ל-PIMS - נובעות לרוב ממגוון רחב של מקורות, כולל:
- תהליכים ומטרות פנימיות;
- גופים ממשלתיים ו/או רגולטוריים;
- התחייבויות חוזיות עם ארגוני צד שלישי.
לעתים קרובות יכול להיות קשה לארגוני שלטון ורגולציה לאשר עמידה בתקני הגנת הפרטיות שפורסמו מצד ארגון, בתפקידו כמעבד ובקר PII.
ככזה, ארגונים צריכים לצפות מגופים כאלה לקרוא לביקורות בלתי תלויות של כל מערכת ניהול רלוונטית, כדי לעמוד בדרישות הביקורת שלהם.
מאמרי GDPR ישימים
- סעיף 31 – שיתוף פעולה עם רשות הפיקוח
- סעיף 35 - הערכת השפעה על הגנת מידע
- סעיף ישים - (9)
- סעיף 36 – התייעצות מוקדמת
- סעיפים חלים – (1), (2), (3)(א), (3)(ב), (3)(ג), (3)(ד), (3)(ה), (3)( ו), (5)
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
ISO 27701 סעיף 5.2.3 - קביעת היקף מערכת ניהול אבטחת המידע
הפניות ISO 27001 בקרה 4.3
ISO ממליצה על תרגיל scoping יסודי, כדי שארגונים יוכלו לייצר PIMS שקודם כל עומד בדרישות הגנת הפרטיות שלו, ושנית לא יזחל לאזורים בעסק שאינם זקוקים לתשומת לב.
ארגונים צריכים להקים ולתעד:
- כל בעיה חיצונית או פנימית, כמתואר ב-ISO 27001 4.1;
- דרישות צד שלישי כמתואר ב-ISO 27001 4.2;
- כיצד הארגון מקיים אינטראקציה הן עם עצמו והן עם גופים חיצוניים (למשל נקודות מגע של לקוחות, ממשקי ICT).
הנחיות נוספות ל-PIMS ו-PII
כל תרגילי ה-scoping הממפים יישום PIMS צריכים לכלול הערכה יסודית של פעילויות עיבוד ואחסון PII.
מאמרי GDPR ישימים
- סעיף 32 – אבטחת עיבוד
- סעיף ישים - (2)
ISO 27701 סעיף 5.2.4 – מערכת ניהול אבטחת מידע
הפניות ISO 27001 בקרה 4.4
ארגונים צריכים לשאוף ליישם, לנהל ולבצע אופטימיזציה של PIMS, בהתאם לתקני ISO שפורסמו.
מאמרי GDPR ישימים
- סעיף 32 – אבטחת עיבוד
- סעיף ישים - (2)
בקרות תומכות מ-ISO 27001 ו-GDPR
| מזהה סעיף ISO 27701 | שם סעיף ISO 27701 | דרישת ISO 27001 | מאמרי GDPR משויכים |
|---|---|---|---|
| 5.2.1 | הבנת הארגון וההקשר שלו |
4.1 – הבנת הארגון וההקשר שלו עבור ISO 27001 |
סעיף (24), (25), (28), (32), (40), (41), (42) |
| 5.2.2 | הבנת הצרכים והציפיות של בעלי עניין |
4.2 – הבנת הצרכים והציפיות של בעלי עניין עבור ISO 27001 |
סעיף (31), (35), (36) |
| 5.2.3 | קביעת היקף מערכת ניהול אבטחת מידע |
4.3 - קביעת היקף ה-ISMS עבור ISO 27001 |
סעיף (32) |
| 5.2.4 | מערכת ניהול אבטחת מידע |
4.4 – מערכת ניהול אבטחת מידע (ISMS) עבור ISO 27001 |
סעיף (32) |
כיצד להשיג תאימות ל-ISO 27701 באמצעות ISMS.online
פלטפורמת ISMS.online מציעה מתקן PIMS הניתן להתאמה אישית המנטר, מדווח ומבקר כנגד ISO 27001 ו-ISO 27701 בלחיצת כפתור.
הפתרון שלנו כולל כלי דינמי של Records of Processing Activity שמסיר את כאבי הראש הכרוכים במיפוי נתונים, רישום נתונים וביקורת, עם בנק סיכונים מובנה המציע סיוע מעשי לאורך תהליך ההערכה והניהול.
ISO 27701 5.2 כולל מגוון של נקודות הנחיה לגבי תקני פרטיות של צד שלישי והקשר בין בקר PII לנושא מידע, באמצעות בקשת זכויות של נושאי מידע (DRR). מערכת ניהול ה-DRR שלנו מציעה מרכז ניהול מרכזי שעוסק בכל דבר, החל מבקשות ועד לדיווח וניתוח.
גלה כמה זמן וכסף תחסוך במסע שלך להסמכה משולבת ISO 27001 ו-27701 באמצעות ISMS.online על ידי הזמנת הדגמה.
