השגת תאימות ל-ISO 27701 סעיף 6.15: סקירה מלאה
תאימות היא חלק חיוני בכל פעולת הגנת הפרטיות - ארגונים צריכים להיות מסוגלים להוכיח שהם ממלאים את התחייבויותיהם כלפי PII, והמערכות המשמשות לאחסון ועיבוד של חומר הקשור לפרטיות.
מה מכוסה בסעיף 27701 של ISO 6.15
ISO 27701 6.15 עוסק בעמידה בשני תחומים עיקריים - עמידה בדרישות החוק והחוזיות, ו סקירות אבטחת מידע (האחרון הוא הכלי העיקרי לחשוף מקרים של אי ציות ולפתור בעיות הקשורות לפרטיות).
- ISO 27701 6.15.1.1 - זיהוי החקיקה החלה והדרישות החוזיות (ISO 27002 בקרה 5.31)
- ISO 27701 6.15.1.2 - זכויות קניין רוחני (ISO 27002 Control 5.32)
- ISO 27701 6.15.1.3 - הגנה על רשומות (ISO 27002 בקרה 5.33)
- ISO 27701 6.15.1.4 - פרטיות והגנה על מידע אישי מזהה (ISO 27002 בקרה 5.34)
- ISO 27701 6.15.1.5 - הסדרת בקרות קריפטוגרפיות (ISO 27002 Control 5.31)
- ISO 27701 6.15.2.2 - עמידה במדיניות ותקני אבטחה (ISO 27002 בקרה 5.36)
- ISO 27701 6.15.2.3 - סקירת תאימות טכנית (ISO 27002 Control 5.36)
ארבעה סעיפי משנה מכילים מידע שרלוונטי לבריטניה GDPR חקיקה - סיפקנו את ההפניות למאמר מתחת לכל סעיף משנה לנוחיותך:
- ISO 27701 6.15.1.1
- ISO 27701 6.15.1.3
- ISO 27701 6.15.2.1
- ISO 27701 6.15.2.3
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
ISO 27701 סעיף 6.15.1.1 - זיהוי חקיקה ישימה ודרישות חוזיות
הפניות ISO 27002 בקרה 5.31
ארגונים צריכים לציית לדרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות כאשר:
- ניסוח ו/או תיקון נהלי אבטחת מידע פרטיות.
- סיווג מידע.
- יציאה להערכות סיכונים הקשורות לפעילויות אבטחת מידע פרטיות.
- גיבוש קשרי ספקים, לרבות התחייבויות חוזיות לאורך שרשרת האספקה.
גורמי חקיקה ורגולציה
ארגונים צריכים לפעול לפי נהלים המאפשרים להם לזהות, לנתח ו להבין חובות חקיקה ורגולטוריות - במיוחד אלה העוסקות בהגנה על פרטיות ובפרטיות מידע - בכל מקום שבו הן פועלות.
ארגונים צריכים להיות מודעים ללא הרף לחובותיהם להגנת הפרטיות בכל פעם שהם נכנסים להסכמים חדשים עם צדדים שלישיים, ספקים וקבלנים.
קריפטוגרפיה
בעת פריסת שיטות הצפנה לחיזוק הגנת הפרטיות ושמירה על PII, ארגונים צריכים:
- שים לב לכל החוקים המסדירים את הייבוא והייצוא של חומרה או תוכנה שיש להם פוטנציאל למלא פונקציה קריפטוגרפית.
- לספק גישה למידע מוצפן במסגרת החוקים של תחום השיפוט שבו הם פועלים.
- השתמש בשלושה מרכיבי מפתח של הצפנה:
- חתימה דיגיטלית.
- כלבי ים.
- תעודות דיגיטליות.
מאמרי GDPR ישימים
- סעיף 5 – (1)(ו)
- סעיף 28 – (1), (3)(א), (3)(ב), (3)(ג), (3)(ד), (3)(ה), (3)(ו), ( 3)(ג), (3)(ח)
- סעיף 30 – (2)(ד)
- סעיף 32 – (1)(ב)
בקרות ISO 27002 רלוונטיות
- ISO 27002 5.20
ISO 27701 סעיף 6.15.1.2 – זכויות קניין רוחני
הפניות ISO 27002 בקרה 5.32
כדי להגן על כל מידע, תוכנה או נכס שיכולים להיחשב כקניין רוחני (IP), ארגונים צריכים:
- הקפידו על מדיניות "ספציפית לנושא" העוסקת בזכויות IP, שלוקחת בחשבון IP על בסיס כל מקרה לגופו.
- הקפידו על נהלים המגדירים כיצד ניתן לשמור על שלמות IP תוך שימוש בתוכנות ומוצרים ארגוניים.
- השתמש רק במקורות מכובדים לרכישת תוכנה, בעת רכישה, השכרה או השכרה של תוכנות ומנויי תוכנה.
- שמור הוכחת בעלות (אלקטרונית או פיזית).
- הקפידו על מגבלות השימוש בתוכנה.
- עברו סקירות תוכנה תקופתיות כדי להימנע משימוש בכל יישומים לא מורשים או שעלולים להזיק.
- ודא שרשיונות התוכנה תקפים ומעודכנים, ושמירה על הנחיות שימוש הוגן.
- טיוטת נהלים המבטיחים סילוק בטוח ומאובטח של נכסי תוכנה.
- (כאשר מדובר בהקלטות מסחריות), ודא שאף חלק מההקלטה לא יחולץ, יועתק או יומר באמצעים לא מורשים.
- ודא כי נתונים טקסטואליים נחשבים לצד מדיה דיגיטלית.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
ISO 27701 סעיף 6.15.1.3 – הגנה על רשומות
הפניות ISO 27002 בקרה 5.33
ארגונים צריכים לשקול ניהול רשומות על פני 4 תחומים מרכזיים:
- אותנטיות
- אמינות
- שלמות
- שימושיות
כדי לשמור על מערכת רשומות פונקציונלית ששומרת על PII ומידע הקשור לפרטיות, ארגונים צריכים:
- פרסם הנחיות העוסקות ב:
- אחסון.
- טיפול (שרשרת משמורת).
- רְשׁוּת.
- מניעת מניפולציה.
- ציין כמה זמן יש לשמור כל סוג רשומה.
- שימו לב לכל החוקים העוסקים בשמירת רישומים.
- היצמדו לציפיות הלקוחות כיצד ארגונים צריכים לטפל ברשומות שלהם.
- הרס רשומות ברגע שהם כבר לא נדרשים.
- סיווג רשומות בהתאם לסיכון האבטחה שלהן, למשל:
- חשבונאות.
- עסקאות עסקיות.
- רישומי כוח אדם.
- משפטי
- ודא שהם מסוגלים לאחזר רשומות בתוך פרק זמן מקובל, אם צד שלישי או סוכנות אכיפת חוק מתבקשים לעשות זאת.
- הקפד תמיד על הנחיות היצרן בעת אחסון או טיפול ברשומות במקורות מדיה אלקטרוניים.
מאמרי GDPR ישימים
- סעיף 5 - (2)
- סעיף 24 - (2)
ISO 27701 סעיף 6.15.1.4 - פרטיות והגנה על מידע אישי מזהה
הפניות ISO 27002 בקרה 5.34
ארגונים צריכים להתייחס ל-PII כאל א ספציפי לנושא תפיסה שיש להתייחס אליה בטווח של פונקציות עסקיות שונות.
בראש ובראשונה, ארגונים צריכים ליישם מדיניות המתייחסת לשלושה היבטים עיקריים של עיבוד ואחסון PII:
- שמירה
- פרטיות
- הֲגָנָה
ארגונים צריכים להבטיח שכל העובדים מודעים לחובותיהם כלפי טיפול ב-PII, לא רק אלה שנתקלים בכך מדי יום במסגרת עבודתם.
קציני פרטיות
ארגונים צריכים למנות קצין פרטיות, שתפקידו להנחות עובדים וארגונים צד שלישי בנושא PII, לצד ייעוץ להנהלה הבכירה כיצד לשמור על שלמות וזמינות מידע הפרטיות.
ISO 27701 סעיף 6.15.1.5 – הסדרת בקרות קריפטוגרפיות
הפניות ISO 27002 בקרה 5.31
ראה ISO 27701 סעיף 6.15.1.1
ISO 27701 סעיף 6.15.2.1 - סקירה עצמאית של אבטחת מידע
הפניות ISO 27002 בקרה 5.35
ארגונים צריכים לפתח תהליכים המספקים סקירות עצמאיות של נוהלי אבטחת מידע הפרטיות שלהם, כולל מדיניות ספציפית לנושא ומדיניות כללית.
ביקורות צריכות להתבצע על ידי:
- מבקרים פנימיים.
- מנהלי מחלקות עצמאיים.
- ארגוני צד שלישי מיוחדים.
הביקורות צריכות להיות עצמאיות ולהתבצע על ידי אנשים בעלי ידע מספק בהנחיות הגנת הפרטיות ובנהלים של הארגון.
על הבודקים לקבוע אם נוהלי אבטחת מידע פרטיות תואמים את "יעדי הארגון והדרישות המתועדות".
בנוסף לביקורות תקופתיות מובנות, ארגונים עשויים להיתקל בצורך לבצע ביקורות אד-הוק המופעלות על ידי אירועים מסוימים, כולל:
- בעקבות תיקונים במדיניות פנימית, חוקים, הנחיות ותקנות המשפיעים על הגנת הפרטיות.
- לאחר תקריות גדולות שהשפיעו על הגנת הפרטיות.
- בכל פעם שנוצר עסק חדש, או נחקקים שינויים גדולים בעסק הנוכחי.
- בעקבות אימוץ מוצר או שירות חדש העוסק בהגנת הפרטיות בכל דרך שהיא.
מאמרי GDPR ישימים
- סעיף 32 – (1)(ד), (2)
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
ISO 27701 סעיף 6.15.2.2 - עמידה במדיניות ותקני אבטחה
הפניות ISO 27002 בקרה 5.36
ארגונים צריכים להבטיח שאנשי הצוות יוכלו לעיין במדיניות הפרטיות על פני כל הספקטרום של הפעילות העסקית.
ההנהלה צריכה לפתח שיטות טכניות לדיווח על תאימות לפרטיות (כולל אוטומציה וכלים מותאמים אישית). יש לתעד, לאחסן ולנתח דוחות כדי לשפר עוד יותר את מאמצי האבטחה והגנת הפרטיות של PII.
כאשר מתגלות בעיות ציות, ארגונים צריכים:
- קבע את הסיבה.
- החליטו על שיטה לפעולה מתקנת כדי לסתום פערים ותאימות.
- בדוק שוב את הנושא לאחר פרק זמן מתאים, כדי להבטיח שהבעיה נפתרה.
חשוב מאוד לנקוט באמצעי תיקון בהקדם האפשרי. אם הבעיות לא נפתרו במלואן עד למועד הסקירה הבאה, לכל הפחות, יש לספק ראיות המוכיחות שמתבצעת התקדמות.
ISO 27701 סעיף 6.15.2.3 - סקירת תאימות טכנית
הפניות ISO 27002 בקרה 5.36
ראה ISO 27701 סעיף 6.15.2.2
מאמרי GDPR ישימים
- סעיף 32 – (1)(ד), (2)
בקרות תומכות מ-ISO 27002 ו-GDPR
| מזהה סעיף ISO 27701 | שם סעיף ISO 27701 | דרישת ISO 27002 | מאמרי GDPR משויכים |
|---|---|---|---|
| 6.15.1.1 | זיהוי חקיקה ישימה ודרישות חוזיות |
5.31 – דרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות עבור ISO 27002 |
מאמרים (5), (28), (30), (32) |
| 6.15.1.2 | זכויות קניין רוחני |
5.32 – זכויות קניין רוחני עבור ISO 27002 |
ללא חתימה |
| 6.15.1.3 | הגנה על רשומות |
5.33 - הגנה על רשומות עבור ISO 27002 |
מאמרים (5), (24) |
| 6.15.1.4 | פרטיות והגנה על מידע אישי מזהה |
5.34 - פרטיות והגנה על PII עבור ISO 27002 |
ללא חתימה |
| 6.15.1.5 | רגולציה של בקרות קריפטוגרפיות |
5.31 – דרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות עבור ISO 27002 |
ללא חתימה |
| 6.15.2.1 | סקירה עצמאית של אבטחת מידע |
5.35 - סקירה עצמאית של אבטחת מידע עבור ISO 27002 |
סעיף (32) |
| 6.15.2.2 | עמידה במדיניות ותקני אבטחה |
5.36 - עמידה במדיניות, כללים ותקנים לאבטחת מידע עבור ISO 27002 |
ללא חתימה |
| 6.15.2.3 | סקירת תאימות טכנית |
5.36 - עמידה במדיניות, כללים ותקנים לאבטחת מידע עבור ISO 27002 |
סעיף (32) |
כיצד ISMS.online עוזר
ISO 27701 אינו רק מסגרת לאימוץ של ארגונים; זה אומר להתאים את הדרך שבה אנשים מבינים, ממשקים ומתקשרים עם נתונים.
ב-ISMS.online, עיצבנו את המערכת שלנו כך שאתה והצוות שלך יכולים לנצל את הממשק הקל לשימוש שלנו לתיעוד מסע ה-ISO שלך.
אנו מספקים גם משאבי וידאו וגישה לאנשי מקצוע בתחום אבטחת המידע כדי לעזור לך לשלב תקנים בחברה שלך.
למידע נוסף על ידי הזמנת הדגמה מעשית.
