Die Internasionale Organisasie vir Standaardisering (ISO) het die opgedateerde ISO/IEC 27701 standaard vir privaatheidsinligtingsbestuur in Oktober 2025. Voorheen 'n uitbreiding van ISO 27001 en ISO 27002, stel die ISO 27701:2025-opdatering vas ISO 27701 as 'n onafhanklike standaard.
In hierdie blog ondersoek ons die verskille tussen ISO 27701:2025 en die 2019-weergawe daarvan en bespreek wat dit vir u besigheid beteken.
Wat het verander in die ISO 27701:2025-standaard?
ISO 27701 se verandering van uitbreiding na standaard in eie reg kom met 'n nuwe titel; Inligtingsekuriteit, kuberveiligheid en privaatheidsbeskerming – Privaatheidsinligtingbestuurstelsels, wat die nuwe status daarvan weerspieël. Dit vervang die vorige titel, Sekuriteitstegnieke — Uitbreiding na ISO/IEC 27001 en ISO/IEC 27002 vir privaatheidsinligtingsbestuur.
Veranderinge op die hoogste vlak sluit in:
- ISO 27701 is nou 'n standaard eerder as 'n uitbreiding van ISO 27001.
- Bestuursklousules 4.1 tot 10.2 is bygevoeg
- Aanhangsels is hernoem en hernommer
- Privaatheidskontroles bly dieselfde, met dieselfde vereistes
- 'n Nuwe aanhangsel met 29 inligtingsekuriteitskontroles is bygevoeg.
- Nuwe inligtingsekuriteitsbeheermaatreëls vervang ISO 27701:2019 klousule 6.
Ons sal hierdie veranderinge in meer diepte ondersoek.
ISO 27701:2019 tot ISO 27701:2025 Klousule Herstrukturering
Die standaard het 'n herstrukturering ondergaan, met bestuursklousules 4.1 tot 10.2 wat in lyn met ISO 27001 en ISO 27002 ingestel is.
Die vorige weergawe van die standaard, ISO 27701:2019, het klousules bevat wat PIMS (Privaatheidsinligtingbestuurstelsel)-spesifieke vereistes in verband met ISO 27001, PIMS-spesifieke vereistes in verband met ISO 27002, bykomende riglyne vir PII (persoonlik identifiseerbare inligting)-beheerders en bykomende riglyne vir PII-verwerkers uiteensit.
Klausule 1, omvang, verwys nou na vereistes vir die vestiging, implementering, instandhouding en voortdurende verbetering van 'n selfstandige privaatheidsinligtingbestuurstelsel (PIMS) eerder as om 'n PIMS te bou as 'n uitbreiding van ISO 27001 en ISO 27002.
Klausule 2, normatiewe verwysings, bevat 'n korter lys van verwysings, aangesien ISO 27701 nou as 'n standaard eerder as 'n uitbreiding bestaan. Die 2025-opdatering verwys slegs na ISO/IEC 29100, Inligtingstegnologie — Sekuriteitstegnieke — Privaatheidsraamwerk.
Verwyderde verwysings uit die 2019-uitgawe sluit in:
- ISO/IEC 27000, Inligtingstegnologie — Sekuriteitstegnieke — Inligtingsekuriteitsbestuurstelsels — Oorsig en woordeskat
- ISO/IEC 27001:2013, Inligtingstegnologie — Sekuriteitstegnieke — Inligtingsekuriteitsbestuurstelsels — Vereistes
- ISO/IEC 27002:2013, Inligtingstegnologie — Sekuriteitstegnieke — Praktykkode vir inligtingsekuriteitsbeheermaatreëls.
Klausule 3, terme, definisies en afkortings, word uitgebrei as gevolg van die breër omvang van die standaard, en bevat nou verwysings na doelwitte, belanghebbende partye, ens. in ooreenstemming met ander ISO-standaarde.
Klousule 4 is nou konteks van die organisasie. Hierdie klousule vereis dat organisasies interne en eksterne kwessies bepaal wat relevant is tot hul vermoë om die beoogde resultate van hul PIMS te bereik. Hulle moet ook die behoeftes en verwagtinge van belanghebbende partye bepaal, die omvang van hul PIMS bepaal, en dan hul PIMS vestig, implementeer, onderhou en verbeter.
Klousule 5 is nou leierskap, wat die PIMS-spesifieke vereistes met betrekking tot ISO 27001 van die 2019-standaard vervang. Hierdie klousule is ontwerp om te verseker dat topbestuur leierskap en toewyding met betrekking tot hul PIMS demonstreer, 'n geskikte privaatheidsbeleid vestig en rolle, verantwoordelikhede en magte toepaslik delegeer.
Klousule 6 is nou beplanning, vervanging van die PIMS-spesifieke vereistes met betrekking tot ISO 27002 uit die 2019-standaard. Hierdie klousule fokus op aksies om risiko's en geleenthede aan te spreek, insluitend privaatheidsrisikobepaling en -behandeling. Organisasies moet ook privaatheidsdoelwitte vasstel en beplan hoe om dit te bereik, en beplan vir veranderinge aan die PIMS.
Klousule 7 is nou ondersteuning, ter vervanging van die bykomende ISO 27002-riglyne vir PII-beheerders. Hierdie klousule vereis dat organisasies moet verseker dat toepaslike hulpbronne, bevoegdheid, bewustheid, kommunikasie en gedokumenteerde inligting beskikbaar is vir die vestiging, implementering, instandhouding en voortdurende verbetering van die PIMS.
Klousule 8 is nou werking, wat die bykomende ISO 27002-riglyne vir PII-verwerkers vervang. Die klousule vereis dat organisasies die prosesse beplan, implementeer en beheer wat nodig is om aan voldoeningsvereistes te voldoen. Dit vereis ook dat organisasies privaatheidsrisikobepalings uitvoer en privaatheidsrisikobehandelings implementeer.
Klausule 9, prestasie-evaluering is 'n nuwe toevoeging tot die standaard. Hierdie klousule fokus op monitering, meting, analise en evaluering, insluitend interne oudits en bestuursoorsigte.
Klausule 10, verbetering, is ook 'n nuwe toevoeging tot die standaard. Dit vereis dat organisasies stappe doen om hul PIMS voortdurend te verbeter.
Klausule 11, verdere inligting oor aanhangsels, is 'n nuwe toevoeging en verskaf inligting oor Aanhangsel C, D, E en F.
Wysigings aan Aanhangsels
Die ISO 27701-aanhangsels is hernoem en hernommer, maar die privaatheidskontroles bly dieselfde en bevat dieselfde vereistes. Aanhangsel A is in een gekonsolideer, waar dit voorheen twee aparte aanhangsels vir PII-verwerkers en PII-beheerders was.
Nuwe inligtingsekuriteitsbeheermaatreëls is egter bygevoeg.
Nuwe inligtingsekuriteitsbeheermaatreëls
Die 29 nuwe inligtingsekuriteitskontroles word in Tabel A.3 – Beheerdoelwitte en kontroles vir PII-beheerders en PII-verwerkers – gevind. Kontroles sluit in:
- Beleide vir inligtingsekuriteit
- Klassifikasie van inligting
- Identiteitsbestuur
- Toegangsregte
- Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste
- Bewustheid, onderwys en opleiding van inligtingsekuriteit
En nog baie meer.
Ek is reeds ISO 27701-gesertifiseerd, wat beteken dit vir my?
Die sperdatum vir die oorgang na die nuwe ISO 27701-standaard is Oktober 2028. Baie van die inligtingsekuriteitsbeheermaatreëls in die nuwe ISO 27701:2025-opdatering is egter direk in lyn met die vereistes vir ISO 27001. Gevolglik behoort organisasies wat reeds gesertifiseer is volgens ISO 27701 as 'n uitbreiding van ISO 27001, die oorgang na ISO 27701:2025 as 'n aparte standaard relatief naatloos te vind.
Versterk jou dataprivaatheidshouding vandag
Dataprivaatheid is 'n sleutelelement van IO se nakomingslus: inligtingsekuriteit, dataprivaatheid en KI-bestuur, wat alles organisatoriese veerkragtigheid ondersteun. Organisasies wat kuberveerkragtigheid insluit, tree vinnig op as leiers in hul bedryf en behaal 'n mededingende voordeel. Die opgedateerde ISO 27701 ondersteun die bou van 'n privaatheidsinligtingbestuurstelsel en die holistiese verbetering van dataprivaatheidspraktyke.
Die IO-platform en -gereedskap is nou gereed om jou te ondersteun, van om jou te help om die veranderinge te verstaan, die impak op jou organisasie se dataprivaatheidsdoelwitte na te gaan, implementeringsleiding te gee en jou sertifisering oor te skakel. Ontsluit vandag jou voldoeningsvoordeel – bespreek jou demonstrasie!
