מדוע תוקן תקן ISO 27701?
תקן ISO 27701:2019 פורסם כהרחבה לתקני ISO 27001 ו-ISO 27002, והוסיף דרישות ובקרות ספציפיות לפרטיות בנוסף למערכת ניהול אבטחת מידע קיימת. בעוד שלגישה זו היו יתרונות, היא יצרה בעיות מעשיות: ארגונים היו זקוקים להסמכת ISO 27001 לפני שיכלו להסמיך תחת ISO 27701, בקרות הפרטיות היו מפוזרות על פני מספר סעיפים, והמבנה לא תאם בצורה ברורה את האופן שבו ארגונים מנהלים פרטיות בפועל.
העדכון של 2025 מטפל בכל הסוגיות הללו. ISO 27701:2025 הוא תקן מערכת ניהול עצמאי עם סט דרישות מלא משלו בסעיפים 4 עד 10, נספח A שעוצב מחדש המכיל 78 בקרות פרטיות מסווגות בבירור, ונספחים חדשים למיפוי המחברים את התקן ל- GDPR , ISO 29100 וקודמו משנת 2019. לסקירה מלאה של מה שהשתנה, עיינו במדריך שלנו למה חדש ב-ISO 27701:2025.
כיצד השתנה המבנה?
השינוי המהותי ביותר הוא ש-ISO 27701:2025 אינו עוד תקן הרחבה. זהו תקן שלם ועצמאי לניהול מידע פרטיות (PIMS).
| אספקט | ISO 27701: 2019 | ISO 27701: 2025 |
|---|---|---|
| סוג סטנדרטי | הרחבה לתקן ISO 27001/ISO 27002 | מערכת ניהול עצמאית סטנדרטית |
| תְנַאִי מוּקדָם | נדרשת הסמכת ISO 27001 | אין דרישות מוקדמות; הסמכה עצמאית אפשרי |
| סעיפי מערכת ניהול | סעיפים 4 עד 10 של תקן ISO 27001 שהושלמו | מכיל את סעיפים 4 עד 10 המלאים שלו |
| בקרת פרטיות מיקום | סעיפים 7 (בקר) ו-8 (מעבד) עם בקרות מוטמעות | נספח א' עם שלוש טבלאות: א.1 בקר, א.2 מעבד, א.3 משותף |
| הנחיות יישום | משולב עם בקרות נורמטיביות | מופרד לנספח ב' (נורמטיבי) |
| הערכת סיכונים | תהליך מורחב של סיכוני אבטחת מידע ISO 27001 | הערכת סיכוני פרטיות ייעודית ב סעיף 6 |
| הצהרת תחולה | הורחב תקן ISO 27001 | SoA עצמאי המכסה בקרות של נספח A |
| שינוי אקלים | לא התייחסו | כלול ב סעיפים 4.1 ו-4.2 שיקולי הקשר |
| תעודה | תמיד בשילוב עם ISO 27001 | עצמאי או משולב, בחירת הארגון |
שינוי מבני זה פירושו שארגונים המבקשים הסמכת פרטיות אינם צריכים עוד ליישם תחילה מערכת ניהול אבטחת מידע מלאה. לפרטים על מהי הסמכה עצמאית, עיינו במדריך ההסמכה העצמאית שלנו.
סעיפים 4 עד 10: דרישות מערכת ניהול עצמאית
במהדורת 2019, סעיפים 5 עד 8 השלימו את הסעיפים התואמים של תקן ISO 27001. מהדורת 2025 מכילה סעיפים עצמאיים לחלוטין:
- סעיף 4 (הקשר) — קובע את היקף PIMS באופן עצמאי, כולל הדרישה החדשה להתחשב ברלוונטיות של שינויי האקלים
- סעיף 5 (מַנהִיגוּת) — מגדיר את אחריות ההנהלה הבכירה בנוגע לפרטיות, כולל מדיניות פרטיות והקצאת תפקידים
- סעיף 6 (תכנון) — מציג תהליך ייעודי להערכת סיכוני פרטיות וטיפול בהם, בנפרד מניהול סיכוני אבטחת מידע
- סעיף 7 (תמיכה) — מכסה משאבים, יכולת, מודעות, תקשורת ומידע מתועד עבור מערכת ה-PIMS
- סעיף 8 (מִבצָע) — תכנון תפעולי ובקרה של תהליכי פרטיות
- סעיף 9 (הערכת ביצועים) — ניטור, מדידה, ביקורת פנימית וסקירת הנהלה של מערכת ה-PIMS
- סעיף 10 (הַשׁבָּחָה) — ניהול אי-התאמות, פעולה מתקנת ושיפור מתמיד
משמעות הדבר היא שארגון יכול לבנות ולאשר מערכת ניהול מידע פרטיות מלאה מבלי להתייחס כלל לתקן ISO 27001. לקבלת הדרכה מפורטת, עיינו במדריך הדרישות שלנו לתקן ISO 27701:2025.
כיצד אורגן מחדש מבנה הבקרה של נספח א'?
מהדורת 2019 שילבה בקרות פרטיות בסעיפים 7 ו-8, תוך שילוב דרישות נורמטיביות עם הנחיות יישום. דבר זה הקשה על ההבחנה בין מה שחובה למה שמייעץ, וסיבך את יצירת הצהרת תחולה.
תקן ISO 27701:2025 נוקט בגישה שונה לחלוטין. כל בקרות הפרטיות נמצאות כעת בנספח א' , מאורגנות בשלוש טבלאות ברורות:
| טבלתי | היקף | מספר פקדים | חל על |
|---|---|---|---|
| טבלה א.1 | בקרות בקר PII | 31 | ארגונים הפועלים כבקרי נתונים |
| טבלה א.2 | בקרות מעבד PII | 18 | ארגונים הפועלים כמעבדי נתונים |
| טבלה א.3 | בקרות משותפות | 29 | כל הארגונים ללא קשר לתפקידם |
הנחיות היישום הועברו לנספח ב', שהוא נורמטיבי, המשתמש בניסוח "צריך" כדי לספק המלצות יישום. הפרדה זו הופכת את התקן לקל יותר לביקורת מולו וברור יותר עבור ארגונים ליישום, מכיוון שניתן לראות בדיוק אילו בקרות הן חובה ואילו הנחיות תומכות בהן.
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
מה קרה ליותר מ-150 הפקדים ממהדורת 2019?
מהדורת 2019 הכילה בקרות הפרוסות על פני סעיפים 6, 7 ו-8 (כ-49 בקרות ספציפיות לפרטיות בסעיפים 7 ו-8, בתוספת למעלה מ-90 סעיפי משנה של אבטחה הקשורים למידע אישי מזהה בסעיף 6), שרבות מהן היו הרחבות לבקרות ISO 27002. מהדורת 2025 כוללת 78 בקרות בנספח A. אין בכך כדי להצמצם את היקף הבקרות. במקום זאת, הבקרות אוחדו, אורגנו מחדש ובמקרים רבים שולבו במקרים בהם הייתה חפיפה.
שינויים עיקריים בנוף הבקרה:
- קונסולידציה בקרות קשורות שהיו פרוסות על פני מספר סעיפים בשנת 2019 אוחדו לבקרות מקיפות בודדות בשנת 2025
- סיווג ברור יותר — כעת מוקצים בקרות במפורש לבקר, למעבד או לקטגוריות משותפות, מה שמבטל אי-בהירות.
- הוסר כפילויות — מהדורת 2019 הכילה בקרות ששכפלו את דרישות ISO 27002. למהדורת 2025 יש מערך בקרות ייעודי משלה, מה שמסיר חפיפה מיותרת.
- בקרות חדשות — תחומים מסוימים קיבלו בקרות חדשות או מורחבות משמעותית, במיוחד סביב קבלת החלטות אוטומטית (A.1.3.11 קבלת החלטות אוטומטית), ביטול זיהוי ואנונימיזציה (A.1.4.6 הסרת זיהוי ומחיקה), ושיטות פיתוח מאובטחות (A.3.27 מחזור חיים של פיתוח מאובטח)
למיפוי מפורט בין מערכי הבקרה של 2019 ו-2025, תקן ISO 27701:2025 כולל את נספח F , המספק טבלת התאמה מלאה המציגה כיצד כל מערך בקרה של 2019 מתאמת למקבילה שלו בשנת 2025.
אילו נספחים חדשים נוספו?
מהדורת 2025 מציגה נספחים מעודכנים למיפוי ונספח חדש לגמרי (נספח ו') לצד נספחים א' ונספח ב' שעברו שינוי מבנה:
| נספח | כותרת | סוּג | מטרה |
|---|---|---|---|
| A | בקרות פרטיות | נורמטיבי | 78 בקרות חובה ב-3 טבלאות (בקר, מעבד, משותף) |
| B | הנחיות יישום | נורמטיבי | הנחיות מפורטות ליישום כל בקרה בנספח א' |
| C | מיפוי ל-ISO/IEC 29100 | אִינפוֹרמָטִיבִי | מקשר בקרות ל-11 עקרונות הפרטיות של ISO 29100 |
| D | מיפוי ל-GDPR | אִינפוֹרמָטִיבִי | ממפה בקרות למאמרי GDPR רלוונטיים לצורך יישור תאימות |
| E | מיפוי ל-ISO 27018 ו-ISO 29151 | אִינפוֹרמָטִיבִי | התכתבות עם תקני פרטיות בענן והגנה על מידע אישי מזהה |
| F | התכתבות עם תקן ISO 27701:2019 | אִינפוֹרמָטִיבִי | מיפוי מלא בין בקרות 2019 ל-2025 לתכנון המעבר |
הכללת נספח D (מיפוי GDPR) משמעותית במיוחד עבור ארגונים אירופאים, שכן היא מספקת התייחסות רשמית לאופן שבו בקרות ISO 27701 מתיישבות עם סעיפים ספציפיים של GDPR. זה מקל משמעותית על השימוש בתעודת ISO 27701 כראיה לתאימות ל-GDPR.
מהם ההבדלים המעשיים המרכזיים ביישום?
מעבר לשינויים המבניים, ישנם מספר הבדלים מעשיים המשפיעים על האופן שבו ארגונים מיישמים את התקן:
- הערכת סיכוני פרטיות סעיף 6 דורש כעת תהליך ייעודי להערכת סיכוני פרטיות, נפרד מהערכת סיכוני אבטחת מידע. תהליך זה חייב להתייחס באופן ספציפי לסיכונים לבעלי פרטיות מידע אישיים (נושאי מידע), ולא רק לסיכונים לארגון.
- הצהרת תחולה — עליך להפיק הסכם תנאי שימוש (SoA) עבור בקרות נספח א', המתעד אילו בקרות רלוונטיות, את ההצדקה שלך להכללה או אי הכללה של כל אחת מהן, ואת סטטוס היישום. זוהי כעת דרישה מפורשת, לא דרישה שעברה בירושה מתקן ISO 27001.
- שינוי אקלים — בעקבות התיקון לשנת 2024 לכל תקני מערכת הניהול של ISO, סעיפים 4.1 ו-4.2 דורשים כעת מארגונים לשקול האם שינויי האקלים רלוונטיים ל-PIMS. זהו שיקול קצר, לא הערכה סביבתית מפורטת.
- נתיב ביקורת ברור יותר — ההפרדה בין בקרות נורמטיביות (נספח א') להנחיות יישום (נספח ב') הופכת את הכנת הביקורת לפשוטה יותר. רואי החשבון מעריכים את הביקורת מול נספח א'; נספח ב' מספק את ההקשר
- תיעוד פשוט — מכיוון שהתקן עומד בפני עצמו, ארגונים אינם צריכים להשוות בין ISO 27001 ו-ISO 27002 כדי להבין את חובותיהם. הכל נמצא במסמך אחד.
השפעה על תיעוד קיים
ארגונים שעוברים בין 2019 ל-2025 צריכים לצפות לעדכון של מספר מסמכים מרכזיים:
- מדיניות הפרטיות — חייב לשקף את היקף PIMS העצמאי ולא להתייחס ל-ISMS ISO 27001
- מתודולוגיה של הערכת סיכונים — יש לטפל בסיכונים ספציפיים לפרטיות עבור מנהלי מידע אישי, ולא רק בסיכוני אבטחת מידע ארגוניים
- הצהרת תחולה — יש לבנות מחדש מול 78 בקרות נספח א', עם נימוקים להכללה או אי הכללה של כל אחת מהן
- עיבוד רשומות — דרישות הבקרה לרישומי עיבוד (A.1.2.9 רישומי עיבוד של מידע אישי ו A.2.2.7 רישומי עיבוד של מידע אישי) מוגדרים בצורה מפורשת יותר בשנת 2025
- תוכנית ביקורת פנימית — קריטריוני הביקורת צריכים להתייחס למבנה הסעיף לשנת 2025 ולבקרות של נספח א'
לסקירה מקיפה של דרישות 2025, עיינו במדריך הדרישות שלנו לתקן ISO 27701:2025.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
מה המשמעות של זה עבור ארגונים בעלי הסמכה כיום לשנת 2019?
אם הארגון שלכם כבר מחזיק בתעודת ISO 27701:2019, המעבר לשנת 2025 דורש תכנון קפדני אך אינו אומר התחלה חדשה. חלק ניכר מהעבודה שכבר ביצעתם נשאר בתוקף. מדיניות הפרטיות הקיימת שלכם, רישומי העיבוד ורבים מהנהלים התפעוליים שלכם יעברו הלאה עם עדכונים ולא עם החלפה מלאה.
התחומים העיקריים הדורשים תשומת לב הם:
- ניתוח פערים מול נספח א' — מיפוי בקרות הקיימות שלך לשנת 2019 ל-78 בקרות נספח A באמצעות נספח ו' כמקור מידע. זהו כל בקרה חדשה שלא התייחסתם אליה בעבר.
- הערכה מחודשת של סיכוני הפרטיות — ייתכן שיהיה צורך לעדכן את מתודולוגיית הערכת הסיכונים שלך כדי לשקף את דרישות סעיף 6, המתמקדות ספציפית בסיכונים למנהלי מידע אישי ולא בסיכוני אבטחת מידע ארגוניים.
- שיפוץ SoA — יש לכתוב מחדש את הצהרת הישימות שלך בהתאם למבנה החדש של נספח א', עם נימוקים לכל אחת מ-78 בקרות.
- סקירת עצמאות — אם אתם מתכוונים לאשר את תקן ISO 27701:2025 כתקן עצמאי, ודאו שתיעוד ה-PIMS שלכם עומד בפני עצמו ואינו מסתמך על הפניות לתקן ISO 27001 ISMS שלכם לצורך שלמותו.
מהו לוח הזמנים של המעבר?
ארגונים בעלי הסמכה ISO 27701:2019 חייבים לעבור למהדורת 2025 עד אוקטובר 2028. אבני דרך מרכזיות:
- עַכשָׁיו — תקן ISO 27701:2025 פורסם וזמין ליישום
- 2025 עד 2026 גופי הסמכה משלימים את ההסמכה שלהם ומתחילים להציע ביקורות ISO 27701:2025
- אוקטובר 2028 — כל תעודות ISO 27701:2019 פגות תוקף. המעבר חייב להסתיים
חלון המעבר של שלוש שנים הוא נדיב, אך ארגונים לא צריכים לחכות לרגע האחרון. מאמצים מוקדמים ייהנו מתחרות פחותה על זמינות מבקרי המערכת ומזמן רב יותר לטפל בכל פער שזוהו במהלך היישום.
ארגונים חדשים בתקן ISO 27701 צריכים ליישם את מהדורת 2025 ישירות. אין יתרון ביישום מהדורת 2019 בשלב זה, מכיוון שהיא תבוטל בסוף תקופת המעבר. לתכנון מעבר שלב אחר שלב, עיינו במדריך המעבר שלנו.
למה לבחור ISMS.online למעבר שלך?
ISMS.online נועד לסייע לארגונים לנווט את המעבר מ-2019 ל-2025 ולהשיג הסמכה ביעילות:
- מסגרת ISO 27701:2025 מוכנה מראש — התחילו עם מבנה הסעיפים המלא, כל 78 הבקרות והנחיות היישום של נספח A כבר ממופות ומוכנות להתאמה אישית
- כלי ניתוח פערים — זהו בדיוק היכן מערכת ה-PIMS הקיימת שלכם עומדת בדרישות 2025 והיכן נדרשת עבודה נוספת
- בונה הצהרת תחולה — צור ותחזק את מדיניות ה-SoA שלך עם הצדקות בקרה, סטטוס יישום וראיות מקושרות
- רישום סיכוני פרטיות — תהליכי עבודה משולבים להערכת סיכונים וטיפול בהתאם לדרישות סעיף 6
- לוח מחוונים של מוכנות לביקורת — עקבו אחר ההתקדמות שלכם, מרכזו ראיות וודאו שאתם מוכנים להסמכה לפני תאריך הביקורת שלכם
שאלות נפוצות
האם אני צריך/ה לקבל הסמכה מחדש לפי מהדורת 2025?
כן. יש להעביר את כל אישורי ISO 27701:2019 למהדורת 2025 עד אוקטובר 2028. ניתן לעשות זאת במהלך ביקורת מעקב או הסמכה מחדש מתוזמנת, או באמצעות ביקורת מעבר ייעודית. גוף ההסמכה שלכם יעריך את מערכת ה-PIMS שלכם מול דרישות 2025, כולל בקרות נספח A שעברו שינויים ודרישות הערכת סיכוני הפרטיות החדשות בסעיף 6.
האם אני יכול להשתמש בתקן ISO 27001 ISMS הקיים שלי לצד ISO 27701:2025?
בהחלט. תקן ISO 27701:2025 נועד לפעול הן כתקן עצמאי והן כהשלמה לתקן ISO 27001. אם כבר יש לכם מערכת ניהול מידע (ISMS), תוכלו לשלב אותה עימה, ולשתף אלמנטים משותפים של מערכת ניהול כגון בקרת מסמכים, ביקורת פנימית וסקירת הנהלה. ארגונים רבים יבחרו בגישה זו כדי להימנע מכפילויות בין שתי המערכות.
מהו המועד האחרון למעבר מתקן ISO 27701:2019?
מועד אחרון למעבר הוא אוקטובר 2028. לאחר תאריך זה, כל אישורי ISO 27701:2019 לא יהיו עוד תקפים. ארגונים צריכים לתכנן את המעבר שלהם מראש כדי להבטיח את זמינותם של מבקרי המידע ולאפשר מספיק זמן לכל שינוי הכרחי במערכת ניהול המידע הפרטי שלהם.
זהה בדיוק היכן מערכת ה-PIMS הנוכחית שלך לוקה בחסר בעזרת מדריך ניתוח הפערים שלנו שלב אחר שלב.
ראה את המסלול המהיר ביותר להסמכה עבור ציר זמן ריאלי המבוסס על נקודת ההתחלה שלך.
למד מאחרים ועבור על טעויות היישום הנפוצות ביותר.
