Hoe om voldoening aan GDPR Artikel 5 te demonstreer

Inligtingsoordrag

ISO 27701 Klousule 6.10.2.1 (Inligtingsoordragbeleide en -prosedures) en EU GDPR Artikel 5 (1)(f)

Inligtingsoordragbedrywighede moet:

• Fokus op kontroles wat voorkom dat die onderskepping, ongemagtigde toegang, kopiëring, verandering, verkeerde roetes, vernietiging en ontkenning van diens van PII en privaatheidverwante inligting (sien ISO 27002 Beheer 8.24).
• Maak seker dat inligting naspeurbaar is.
• Kategoriseer 'n lys van kontakte – dws eienaars, risiko-eienaars ens.
• Skets verantwoordelikhede in die geval van 'n veiligheidsvoorval.
• Sluit duidelike en bondige etiketteringstelsels in (sien ISO 27002 Beheer 5.13).
• Verseker 'n betroubare oordragfasiliteit, insluitend onderwerpspesifieke beleide oor die oordrag van data (sien ISO 27002 Beheer 5.10).
• Skets riglyne vir bewaring en wegdoening, insluitend enige streek- of sektorspesifieke wette en riglyne.

Elektroniese oordrag

Wanneer elektroniese oordragfasiliteite gebruik word, moet organisasies:

1. Poging om kwaadwillige programme op te spoor en te beskerm (sien ISO 27002 Beheer 8.7).
2. Fokus op die beskerming van aanhangsels.
3. Wees baie versigtig om inligting na die korrekte adres te stuur.
4. Mandaat vir 'n goedkeuringsproses, voordat werknemers in staat is om inligting via 'eksterne openbare dienste' (bv. kitsboodskappe) oor te dra en groter beheer oor sulke metodes uit te oefen.
5. Vermy die gebruik van SMS-dienste en faksmasjiene, waar moontlik.

Fisiese oordragte (insluitend bergingsmedia)

Wanneer fisiese media (insluitend papierdokumente) tussen persele of eksterne liggings oorgedra word, moet organisasies:

• Skets duidelike verantwoordelikhede vir versending en ontvangs.
• Wees baie versigtig om die korrekte adresbesonderhede in te voer.
• Gebruik verpakking wat beskerming bied teen fisiese skade of gepeuter.
• Werk met 'n lys van gemagtigde koeriers en derdeparty-afsenders, insluitend robuuste identifikasiestandaarde.
• Hou deeglike logboeke van alle fisiese oordragte, insluitend ontvangerbesonderhede, datums en tye van oordragte, en enige fisiese beskermingsmaatreëls.

Verbale oordragte

Die verbale oordra van sensitiewe inligting hou 'n unieke sekuriteitsrisiko in, veral waar PII en privaatheidsbeskerming ter sprake is.

Organisasies moet werknemers herinner om:

1. Vermy sulke gesprekke in 'n openbare plek, of onbeveiligde interne plek.
2. Vermy die verlaat van stemposboodskappe wat sensitiewe of beperkte inligting bevat.
3. Maak seker dat die persoon met wie hulle praat op 'n gepaste vlak is om genoemde inligting te ontvang, en lig hulle in oor wat gesê gaan word voordat inligting bekend gemaak word.
4. Wees bedag op hul omgewing en maak seker dat kamerkontroles nagekom word.

Bykomende Britse GDPR-oorwegings

• Artikel 5 – (1)(f)

Ondersteun ISO 27002-kontroles

• ISO 27002 5.13
• ISO 27002 8.7
• ISO 27002 8.24

ISO 27701 Klousule 6.10.2.4 (Vertroulikheid of Nie-openbaarmakingsooreenkomste) en EU GDPR Artikel 5 (1)

Organisasies moet nie-openbaarmakingsooreenkomste (NDA's) en vertroulikheidsooreenkomste gebruik om die opsetlike of toevallige bekendmaking van sensitiewe inligting aan ongemagtigde personeel te beskerm.

By die opstel, implementering en instandhouding van sulke ooreenkomste, moet organisasies:

• Bied 'n definisie vir die inligting wat beskerm moet word.
• Skets die verwagte duur van die ooreenkoms duidelik.
• Noem duidelik enige vereiste aksies sodra 'n ooreenkoms beëindig is.
• Enige verantwoordelikhede wat deur bevestigde ondertekenaars ooreengekom word.
• Eienaarskap van inligting (insluitend IP en handelsgeheime).
• Hoe ondertekenaars toegelaat word om die inligting te gebruik.
• Beskryf die organisasie se reg om vertroulike inligting te monitor duidelik.
• Enige reperkussies wat sal ontstaan ​​as gevolg van nie-nakoming.
• Hersien gereeld hul vertroulikheidsbehoeftes en pas enige toekomstige ooreenkomste dienooreenkomstig aan.

Vertroulikheidswette verskil van jurisdiksie tot jurisdiksie, en organisasies moet hul eie wetlike en regulatoriese verpligtinge in ag neem wanneer hulle NDA's en vertroulikheidsooreenkomste opstel (sien ISO 27002 Kontroles 5.31, 5.32, 5.33 en 5.34).

Ondersteun ISO 27002-kontroles

• ISO 27002 5.31
• ISO 27002 5.32
• ISO 27002 5.33
• ISO 27002 5.34

Stelselverkrygingsontwikkeling en -onderhoud

ISO 27701 Klousule 6.11.1.2 (Beveiliging van toepassingsdienste op openbare netwerke) en EU GDPR Artikel 5 (1)(f)

Toepassingsekuriteitsprosedures moet saam met breër privaatheidsbeskermingsbeleide ontwikkel word, gewoonlik via 'n gestruktureerde risiko-evaluering wat verskeie veranderlikes in ag neem.

Toepassingsekuriteitsvereistes moet die volgende insluit:

1. Die vlakke van vertroue inherent binne alle netwerkentiteite (sien ISO 27002 Kontroles 5.17, 8.2 en 8.5).
2. Die klassifikasie van data wat die toepassing opgestel is om te verwerk (insluitend PII).
3. Enige segregasievereistes.
4. Beskerming teen interne en eksterne aanvalle, en/of kwaadwillige gebruik.
5. Enige heersende wetlike, kontraktuele of regulatoriese vereistes.
6. Robuuste beskerming van vertroulike inligting.
7. Data wat tydens vervoer beskerm moet word.
8. Enige kriptografiese vereistes.
9. Veilige invoer- en uitsetkontroles.
10. Minimale gebruik van onbeperkte invoervelde – veral dié wat die potensiaal het om persoonlike data te stoor.
11. Die hantering van foutboodskappe, insluitend duidelike kommunikasie van foutkodes.

Transaksionele Dienste

Transaksionele dienste wat die vloei van privaatheiddata tussen die organisasie en 'n derdeparty-organisasie, of vennootorganisasie fasiliteer, moet:

• Vestig 'n gepaste vlak van vertroue tussen organisatoriese identiteite.
• Sluit meganismes in wat kontroleer vir vertroue tussen gevestigde identiteite (bv. hashing en digitale handtekeninge).
• Skets robuuste prosedures wat bepaal wat werknemers in staat is om sleutel-transaksiedokumente te bestuur.
• Bevat dokument- en transaksionele bestuursprosedures wat die vertroulikheid, integriteit, bewys van versending en ontvangs van sleuteldokumente en transaksies dek.
• Sluit spesifieke leiding in oor hoe om transaksies vertroulik te hou.

Elektroniese bestel- en betalingsaansoeke

Vir enige aansoeke wat elektroniese bestelling en/of betaling behels, moet organisasies:

• Skets streng vereistes vir die beskerming van betalings- en besteldata.
• Verifieer betalingsinligting voordat 'n bestelling geplaas word.
• Berg transaksionele en privaatheidverwante data veilig op 'n manier wat ontoeganklik is vir die publiek.
• Gebruik vertroude owerhede wanneer jy digitale handtekeninge implementeer, met privaatheidsbeskerming te alle tye in gedagte.

Ondersteun ISO 27002-kontroles

• ISO 27002 5.17
• ISO 27002 8.2
• ISO 27002 8.5

ISO 27701 Klousule 6.11.3.1 (Beskerming van Toetsdata) en EU GDPR Artikel 5 (1)(f)

Organisasies moet toetsdata versigtig kies om te verseker dat toetsaktiwiteit betroubaar en veilig is. Organisasies moet ekstra aandag daaraan skenk om te verseker dat PII nie na die ontwikkeling- en toetsomgewings gekopieer word nie.

Om operasionele data tydens toetsaktiwiteite te beskerm, moet organisasies:

1. Gebruik 'n homogene stel toegangsbeheerprosedures oor toets- en operasionele omgewings.
2. Maak seker dat magtiging vereis word elke keer wanneer operasionele data na 'n toetsomgewing gekopieer word.
3. Teken die kopiëring en gebruik van operasionele data aan.
4. Beveilig privaatheidinligting deur tegnieke soos maskering (sien ISO 27002 Beheer 8.11).
5. Verwydering van operasionele data uit 'n toetsomgewing, sodra dit nie meer nodig is nie (sien ISO 27002 Beheer 8.10).
6. Stoor toetsdata veilig en maak seker dat werknemers bewus is daarvan dat dit slegs vir toetsdoeleindes gebruik moet word.

Ondersteun ISO 27002-kontroles

• ISO 27002 8.10
• ISO 27002 8.11

Verskafferverhoudings

ISO 27701 Klousule 6.12.1.2 (Aanspreek sekuriteit binne Verskaffersooreenkomste) en EU GDPR Artikel 5 (1)(f)

Wanneer sekuriteit binne verskafferverhoudings aangespreek word, moet organisasies verseker dat beide partye bewus is van hul verpligtinge teenoor privaatheidsinligtingsekuriteit, en mekaar.

Sodoende moet organisasies:

• Bied 'n duidelike beskrywing wat die privaatheidsinligting wat toegang moet kry, en hoe toegang tot daardie inligting verkry gaan word, uiteensit.
• Klassifiseer die privaatheidsinligting waartoe toegang verkry moet word in ooreenstemming met 'n aanvaarde klassifikasieskema (sien ISO 27002 Kontroles 5.10, 5.12 en 5.13).
• Gee voldoende oorweging aan die verskaffer se eie klassifikasieskema.
• Kategoriseer regte in vier hoofareas – wetlik, statutêr, regulatories en kontraktueel – met 'n gedetailleerde beskrywing van verpligtinge per gebied.
• Verseker dat elke party verplig is om 'n reeks beheermaatreëls in te stel wat privaatheidsinligtingsekuriteitrisikovlakke monitor, assesseer en bestuur.
• Skets die behoefte aan verskafferspersoneel om aan 'n organisasie se inligtingsekuriteitstandaarde te voldoen (sien ISO 27002 Beheer 5.20).
• Fasiliteer 'n duidelike begrip van wat beide aanvaarbare en onaanvaarbare gebruik van privaatheidsinligting en fisiese en virtuele bates van enige party uitmaak.
• Stel magtigingskontroles in wat vereis word vir verskafferkantpersoneel om toegang tot 'n organisasie se privaatheidsinligting te verkry of dit te bekyk.
• Gee oorweging aan wat gebeur in die geval van 'n kontrakbreuk, of enige versuim om aan individuele bepalings te voldoen.
• Gee 'n uiteensetting van 'n Voorvalbestuurprosedure, insluitend hoe groot gebeurtenisse gekommunikeer word.
• Verseker dat personeel opleiding in sekuriteitsbewustheid ontvang.
• (As die verskaffer toegelaat word om subkontrakteurs te gebruik) voeg vereistes by om te verseker dat subkontrakteurs in lyn is met dieselfde stel privaatheidsinligtingsekuriteitstandaarde as die verskaffer.
• Oorweeg hoe verskafferspersoneel gekeur word voor interaksie met privaatheidsinligting.
• Bepaal die behoefte aan derdeparty-attesters wat die verskaffer se vermoë om te voldoen aan organisatoriese privaatheidinligtingsekuriteitvereistes aanspreek.
• Het die kontraktuele reg om 'n verskaffer se prosedures te oudit.
• Vereis dat verskaffers verslae lewer wat die doeltreffendheid van hul eie prosesse en prosedures uiteensit.
• Fokus daarop om stappe te neem om die tydige en deeglike oplossing van enige gebreke of konflikte te beïnvloed.
• Verseker dat verskaffers met 'n voldoende BUDR-beleid werk om die integriteit en beskikbaarheid van PII en privaatheidverwante bates te beskerm.
• Vereis 'n verskaffer-kant veranderingsbestuurbeleid wat die organisasie inlig oor enige veranderinge wat die potensiaal het om privaatheidbeskerming te beïnvloed.
• Implementeer fisiese sekuriteitskontroles wat eweredig is aan die sensitiwiteit van die data wat gestoor en verwerk word.
• (Waar data oorgedra moet word) vra verskaffers om te verseker dat data en bates teen verlies, skade of korrupsie beskerm word.
• Skets 'n lys van aksies wat deur enige party geneem moet word in die geval van beëindiging.
• Vra die verskaffer om te verduidelik hoe hulle van voorneme is om privaatheidinligting te vernietig na beëindiging, of van die data word nie meer benodig nie.
• Neem stappe om minimale besigheidsonderbreking tydens 'n oorhandigingstydperk te verseker.

Organisasies moet ook 'n register van ooreenkomste, wat alle ooreenkomste wat met ander organisasies gehou word, lys.

Ondersteun ISO 27002-kontroles

• ISO 27002 5.10
• ISO 27002 5.12
• ISO 27002 5.13
• ISO 27002 5.20

Bestuur en nakoming van inligtingsekuriteitvoorval

ISO 27701 Klousule 6.13.1.1 (Verantwoordelikhede en Prosedures) en EU GDPR Artikel 5 (1)(f)

Rolle en verantwoordelikhede

Om 'n samehangende, hoogs funksionerende voorvalbestuurbeleid te skep wat die beskikbaarheid en integriteit van privaatheidsinligting tydens kritieke voorvalle beskerm, moet organisasies:

• Volg 'n metode om privaatheidsinligtingsekuriteitsgebeure aan te meld.
• Vestig 'n reeks prosesse wat privaatheidinligtingsekuriteitverwante voorvalle regoor die besigheid bestuur, insluitend:
• Administrasie.
• Dokumentasie.
• Opsporing.
• Triage.
• Prioritering.
• Analise.
• Kommunikasie.
• Stel 'n insidentreaksieprosedure op wat die organisasie in staat stel om voorvalle te assesseer, daarop te reageer en daaruit te leer.
• Verseker dat voorvalle bestuur word deur opgeleide en bekwame personeel wat voordeel trek uit deurlopende werkplekopleiding en sertifiseringsprogramme.

Incident Management

Personeel wat betrokke is by privaatheidsinligtingsekuriteitvoorvalle moet verstaan:

1. Die tyd wat dit moet neem om 'n voorval op te los.
2. Enige moontlike gevolge.
3. Die erns van die voorval.

Wanneer hulle met privaatheidsinligtingsekuriteitsgebeure te doen het, moet personeel:

• Evalueer gebeure in ooreenstemming met 'n streng kriteria wat dit bekragtig as 'n goedgekeurde insidente.
• Kategoriseer privaatheidsinligtingsekuriteitsgebeure in 5 sub-onderwerpe:
• Monitering (sien ISO 27002 Kontroles 8.15 en 8.16).
• Opsporing (sien ISO 27002 Beheer 8.16).
• Klassifikasie (sien ISO 27002 Beheer 5.25).
• Analise.
• Verslagdoening (sien ISO 27002 Beheer 6.8).
• Wanneer privaatheidsinligtingsekuriteitsvoorvalle opgelos word, moet organisasies:
• Reageer en eskaleer kwessies (sien ISO 27002 Beheer 5.26) in ooreenstemming met die tipe voorval.
• Aktiveer krisisbestuur en besigheidskontinuïteitsplanne.
• Beïnvloed 'n bestuurde herstel van 'n voorval wat operasionele en/of finansiële skade versag.
• Verseker deeglike kommunikasie van voorvalverwante gebeure aan alle relevante personeel.
• Neem deel aan samewerkende werk (sien ISO 27002 Kontroles 5.5 en 5.6).
• Teken alle insidentbestuurde-gebaseerde aktiwiteite aan.
• Wees verantwoordelik vir die hantering van voorvalverwante bewyse (sien ISO 27002 Beheer 5.28).
• Onderneem 'n deeglike grondoorsaak-analise om die risiko dat die voorval weer sal plaasvind te verminder, insluitend voorgestelde wysigings aan enige prosesse.

Verslagdoeningsaktiwiteite moet rondom 4 sleutelareas gesentreer word:

1. Aksies wat geneem moet word sodra 'n inligtingsekuriteitsgebeurtenis plaasvind.
2. Insidentvorms wat inligting regdeur 'n voorval aanteken.
3. End-tot-end terugvoerprosesse aan alle relevante personeel.
4. Insident verslae wat detail wat gebeur het sodra 'n voorval opgelos is.

Ondersteun ISO 27002-kontroles

• ISO 27002 5.25
• ISO 27002 5.26
• ISO 27002 5.5
• ISO 27002 5.6
• ISO 27002 6.8
• ISO 27002 8.15
• ISO 27002 8.16

ISO 27701 Klousule 6.15.1.1 (Identifisering van toepaslike wetgewing en kontraktuele vereistes) en EU GDPR Artikel 5 (1)(f)

Organisasies moet aan wetlike, statutêre, regulatoriese en kontraktuele vereistes voldoen wanneer:

• Opstel en/of wysiging van privaatheidsinligtingsekuriteitsprosedures.
• Kategorisering van inligting.
• Begin met risikobeoordelings wat verband hou met privaatheidsinligtingsekuriteitsaktiwiteite.
• Die smee van verskafferverhoudings, insluitend enige kontraktuele verpligtinge regdeur die voorsieningsketting.

Wetgewende en Regulerende Faktore

Organisasies moet prosedures volg wat hulle toelaat identifiseer, analise en verstaan wetgewende en regulatoriese verpligtinge – veral dié wat met privaatheidbeskerming en PII gemoeid is – waar hulle ook al werk.

Organisasies moet voortdurend bewus wees van hul privaatheidsbeskermingsverpligtinge wanneer hulle nuwe ooreenkomste met derdepartye, verskaffers en kontrakteurs aangaan.

Kriptografie

Wanneer enkripsiemetodes ontplooi word om privaatheidbeskerming te versterk en PII te beskerm, moet organisasies:

1. Neem enige wette na wat die invoer en uitvoer van hardeware of sagteware reguleer wat die potensiaal het om 'n kriptografiese funksie te vervul.
2. Verskaf toegang tot geënkripteerde inligting onder die wette van die jurisdiksie waarbinne hulle werksaam is.
3. Gebruik drie sleutelelemente van enkripsie:
• Digitale handtekeninge.
• Seëls.
• Digitale sertifikate.

Ondersteun ISO 27002-kontroles

• ISO 27002 5.20

ISO 27701 Klousule 6.15.1.3 (Beskerming van Rekords) en EU GDPR Artikel 5 (2)

Organisasies moet rekordbestuur oor 4 sleutelareas oorweeg:

1. Egtheid.
2. Betroubaarheid.
3. Integriteit.
4. Bruikbaarheid.

Om 'n funksionele rekordstelsel te handhaaf wat PII en privaatheidverwante inligting beskerm, moet organisasies:

• Publiseer riglyne wat handel oor:
• Stoor.
• Hantering (ketting van bewaring).
• Beskikking.
• Voorkoming van manipulasie.
• Beskryf hoe lank elke rekordtipe behou moet word.
• Onderhou enige wette wat met rekordhouding handel.
• Voldoen aan kliënte se verwagtinge in hoe organisasies hul rekords moet hanteer.
• Vernietig rekords sodra dit nie meer nodig is nie.
• Klassifiseer rekords op grond van hul sekuriteitsrisiko, bv.
• Rekeningkunde.
• Besigheidstransaksies.
• Personeel rekords.
• Legal.
• Verseker dat hulle in staat is om rekords binne 'n aanvaarbare tydperk te herwin, indien 'n derde party of wetstoepassingsagentskap versoek om dit te doen.
• Volg altyd die vervaardiger se riglyne wanneer u rekords op elektroniese mediabronne berg of hanteer.

Mobiele toestelle en telewerk

ISO 27701 Klousule 6.3.2.1 (Mobiele Toestelbeleide) en EU GDPR Artikel 5 (1)(f)

Organisasies moet onderwerpspesifieke beleide implementeer wat handel oor verskillende kategorieë eindpunttoestelle en sagtewareweergawes vir mobiele toestelle, en hoe sekuriteitskontroles aangepas moet word om datasekuriteit te verbeter.

'n Organisasie se mobiele toestelbeleid, prosedures en ondersteunende sekuriteitsmaatreëls moet in ag neem:

• Die verskillende kategorieë van data wat die toestel beide kan verwerk en stoor.
• Hoe toestelle op die netwerk geregistreer en geïdentifiseer word.
• Hoe toestelle fisies beskerm gaan word.
• Enige beperkings op toepassings en sagteware-installasies.
• Afgeleë bestuur, insluitend opdaterings en pleisters.
• Gebruikerstoegangskontroles, insluitend RBAC indien nodig.
• Enkripsie.
• Antimalware-teenmaatreëls (bestuur of onbestuur).
• BUDR.
• Blaaibeperkings.
• Gebruikersanalise (sien ISO 27002 Beheer 8.16).
• Die installering, gebruik en afstandbestuur van verwyderbare bergingstoestelle of verwyderbare randtoestelle.
• Hoe om data op die toestel te skei, sodat PII afgeskort word van standaard toesteldata (insluitend die gebruiker se persoonlike data). Dit sluit in om te oorweeg of dit gepas is om enige soort organisatoriese data op die fisiese toestel te stoor, eerder as om die toestel te gebruik om aanlyn toegang daartoe te verskaf.
• Wat gebeur wanneer 'n toestel verlore of gesteel word – dit wil sê om enige wetlike, regulatoriese of kontraktuele vereistes aan te spreek, en die organisasie se versekeraars te hanteer.

Individuele gebruikersverantwoordelikheid

Almal in die organisasie wat afstandtoegang gebruik, moet uitdruklik bewus gemaak word van enige mobiele toestelbeleid en prosedures wat op hulle van toepassing is binne die konteks van veilige eindpunttoestelbestuur.

Gebruikers moet opdrag gegee word om:

• Maak enige aktiewe werksessies toe wanneer dit nie meer gebruik word nie.
• Implementeer fisiese en digitale beskermingskontroles, soos deur die beleid vereis word.
• Wees bedag op hul fisiese omgewing - en die inherente sekuriteitsrisiko's wat dit bevat - wanneer toegang tot veilige data verkry word deur die toestel te gebruik.

Bring jou eie toestel (BJET)

Organisasies wat personeel toelaat om toestelle in persoonlike besit te gebruik, moet ook die volgende sekuriteitskontroles oorweeg:

• Die installering van sagteware op die toestel (insluitend selfone) wat help met die skeiding van besigheids- en persoonlike data.
• Afdwinging van 'n BYOD-beleid wat die volgende insluit:
• Erkenning van organisatoriese eienaarskap van PII.
• Fisiese en digitale beskermingsmaatreëls (sien hierbo).
• Afgeleë verwydering van data.
• Enige maatreëls wat ooreenstemming met PII-wetgewing en regulatoriese leiding verseker.
• IP-regte, met betrekking tot maatskappy eienaarskap van enigiets wat op 'n persoonlike toestel vervaardig is.
• Organisatoriese toegang tot die toestel – hetsy vir privaatheidsbeskermingsdoeleindes, of om aan 'n interne of eksterne ondersoek te voldoen.
• EULA's en sagtewarelisensiëring wat beïnvloed kan word deur die gebruik van kommersiële sagteware op 'n toestel in privaat besit.

Draadlose konfigurasies

By die opstel van prosedures wat oor draadlose verbinding op eindpunttoestelle handel, moet organisasies:

• Oorweeg noukeurig hoe sulke toestelle toegelaat moet word om aan draadlose netwerke te koppel vir internettoegang, met die doel om PII te beskerm.
• Maak seker dat draadlose verbindings voldoende kapasiteit het om rugsteun of enige ander onderwerpspesifieke funksies te fasiliteer.

Ondersteun ISO 27002-kontroles

• ISO 27002 8.9 – Konfigurasiebestuur
• ISO 27002 8.16 – Moniteringsaktiwiteite

Asset Management

ISO 27701 Klousule 6.5.2.1 (Klassifikasie van Inligting) en EU GDPR Artikel 5 (1)(f)

Eerder as om alle inligting op gelyke voet te plaas, moet organisasies inligting op 'n onderwerpspesifieke basis klassifiseer.

Inligtingseienaars moet vier sleutelfaktore oorweeg wanneer hulle data klassifiseer (veral met betrekking tot PII), wat periodiek hersien moet word, of wanneer sulke faktore verander:

1. Die vertroulikheid van die data.
2. Die integriteit van die data.
3. data beskikbaarheid vlakke.
4. Die organisasie se wetlike verpligtinge na PII.

Om 'n duidelike operasionele raamwerk te verskaf, moet inligtingkategorieë benoem word in ooreenstemming met die inherente risikovlak, sou enige voorvalle plaasvind wat enige van die bogenoemde faktore in gevaar stel.

Om kruisplatform-versoenbaarheid te verseker, moet organisasies hul inligtingkategorieë beskikbaar stel aan enige eksterne personeel met wie hulle inligting deel, en verseker dat die organisasie se eie klassifikasieskema wyd deur alle relevante partye verstaan ​​word.

Organisasies moet versigtig wees om data te onderklassifiseer of omgekeerd te oorklassifiseer. Eersgenoemde kan lei tot foute met die groepering van PII met minder sensitiewe datatipes, terwyl eersgenoemde dikwels lei tot ekstra koste, 'n groter kans op menslike foute en verwerkingsafwykings.

ISO 27701 Klousule 6.5.2.2 (Etikettering van inligting) en EU GDPR Artikel 5 (1)(f)

Etikette is 'n sleuteldeel om te verseker dat die organisasie se PII-klassifikasiebeleid (sien hierbo) nagekom word, en dat data duidelik geïdentifiseer kan word in ooreenstemming met die sensitiwiteit daarvan (bv. PII word gemerk as onderskei van minder vertroulike datatipes).

PII-etiketteringsprosedures moet definieer:

• Enige scenario waar etikettering nie vereis word nie (publiek beskikbare data).
• Instruksies oor hoe personeel beide digitale en fisiese bates en bergingsplekke moet etiketteer.
• Gebeurlikheidsplanne vir enige scenario waar etikettering nie fisies moontlik is nie.

ISO bied baie ruimte vir organisasies om hul eie etiketteringtegnieke te kies, insluitend:

• Fisiese etikettering.
• Elektroniese etikette in kop- en voettekste.
• Die byvoeging of wysiging van metadata, insluitend soekbare terme en interaktiewe funksionaliteit met ander inligtingbestuurplatforms (bv. die organisasie se PIBS).
• watermarking wat 'n duidelike aanduiding gee van die dataklassifikasie op 'n dokument-vir-dokument basis.
• Stempel merke op fisiese kopieë van inligting.

ISO 27701 Klousule 6.5.3.1 (Bestuur van verwyderbare media) en EU GDPR Artikel 5 (1)(f)

Verwyderbare bergingsmedia

Wanneer organisasies beleid ontwikkel wat die hantering van mediabates wat betrokke is by die berging van PII reguleer, moet organisasies:

• Ontwikkel unieke onderwerpspesifieke beleide gebaseer op departementele of posgebaseerde vereistes.
• Verseker dat behoorlike magtiging gesoek en verleen word, voordat personeel in staat is om bergingsmedia van die netwerk te verwyder (insluitend die hou van 'n akkurate en op datum rekord van sulke aktiwiteite).
• Berg media in ooreenstemming met die vervaardiger se spesifikasies, vry van enige omgewingskade.
• Oorweeg om enkripsie te gebruik as 'n voorvereiste om toegang te verkry, of waar dit nie moontlik is nie, om bykomende fisiese sekuriteitsmaatreëls te implementeer.
• Verminder die risiko dat PII beskadig word deur inligting tussen bergingsmedia oor te dra, soos vereis word.
• Stel PII-oortolligheid bekend deur beskermde inligting op verskeie bates op dieselfde tyd te stoor.
• Magtig slegs die gebruik van bergingsmedia op goedgekeurde insette (dws SD-kaarte en USB-poorte), op 'n bate-vir-bate basis.
• Monitor die oordrag van PII na stoormedia noukeurig, vir enige doel.
• Neem die risiko's wat inherent is aan die fisiese oordrag van bergingsmedia (en by volmag, die PII daarop vervat) in ag wanneer bates tussen personeel of persele verskuif word (sien ISO 27002 Beheer 5.14).

Hergebruik en wegdoening

Wanneer bergingsmedia herdoel, hergebruik of weggedoen word, moet robuuste prosedures in plek gestel word om te verseker dat PII nie op enige manier geraak word nie, insluitend:

1. Formatering van die stoormedia, en verseker dat alle PII verwyder word voor hergebruik (sien ISO 27002 Beheer 8.10), insluitend die handhawing van voldoende dokumentasie van al sulke aktiwiteite.
2. Veilig wegdoen van enige media waarvoor die organisasie geen verdere gebruik het nie, en gebruik is om PII te stoor.
3. Indien wegdoening die betrokkenheid van 'n derdeparty vereis, moet organisasies groot sorg dra om te verseker dat hulle 'n geskikte en gepaste vennoot is om sulke pligte uit te voer, in lyn met die organisasie se verantwoordelikheid teenoor PII en privaatheidbeskerming.
4. Implementering van prosedures wat identifiseer watter bergingsmedia beskikbaar is vir hergebruik, of dienooreenkomstig weggedoen kan word.

As toestelle wat gebruik is om PII te stoor beskadig raak, moet organisasies sorgvuldig oorweeg of dit meer gepas is om sulke media te vernietig of nie vir herstel te stuur (fout aan die kant van eersgenoemde).

Ondersteun ISO 27002-kontroles

• ISO 27002 5.14

ISO 27701 Klousule 6.5.3.2 (Beskikking van media) en EU GDPR Artikel 5 (1)(f)

sien ISO 27701 Klousule 6.5.3.1

Bykomende PII-verwante leiding

As media ontslae geraak wil word van daardie PII wat voorheen gehou is, moet organisasies prosedures implementeer wat die vernietiging van PII en privaatheidverwante data dokumenteer, insluitend kategoriese versekering dat dit nie meer beskikbaar is nie.

ISO 27701 Klousule 6.5.3.3 en EU GDPR 5 (1)(f)

Verwyderbare bergingsmedia

By die implementering van beleide wat oor verwyderbare media handel, moet organisasies:

• Ontwikkel prosedures wat departementele of posgebaseerde vereistes aanspreek.
• Maak seker dat behoorlike magtiging verkry word voordat enige media van die korporatiewe netwerk verwyder word.
• Maak seker dat enige vervaardiger se riglyne streng nagekom word wanneer enige vorm van bergingstoestel gebruik word.
• Oorweeg die gebruik van kriptografiese bergingstegnologie.
• Neem stappe om te verseker dat data nie tydens enige oordragproses beskadig word nie.
• Verhoog oortolligheid deur inligting oor verskeie bates op dieselfde tyd te stoor.
• Keur die gebruik van bergingsmedia (bv. SD-kaarte en USB-poorte) op 'n bate-vir-bate-basis goed.
• Verstaan ​​en versag die risiko's wat inherent is aan die verskuiwing van media en bates tussen personeel en liggings (sien ISO 27002 Beheer 5.14).

Organisasies moet deeglik rekord hou van enige bergingsmedia wat gebruik word om sensitiewe inligting te verwerk, insluitend:

• Die tipe media wat gestuur moet word (HDD, USB, SD-kaart, ens.).
• Enige gemagtigde senders en enige interne personeel wat toegelaat word om media te ontvang.
• Die datum en tyd van oordrag.
• Hoeveel media moet oorgedra word.

Hergebruik en wegdoening

Gedurende die proses van herdoel, hergebruik of wegdoen van bergingsmedia, moet organisasies:

• Maak seker dat alle media korrek geformateer is, en al sulke aktiwiteite is deeglik gedokumenteer (sien ISO 27002 Beheer 8.10).
• Verseker dat, wanneer bergingsbates nie meer benodig word nie, dit op 'n veilige en veilige wyse van die hand gesit word – insluitend deeglike keuring van enige derde partye wat betrokke is by wegdoeningsaktiwiteite, om te verseker dat die organisasie sy pligte met betrekking tot die hantering van PII nakom.
• Identifiseer watter media geskik is vir hergebruik, of weggedoen moet word, veral waar toestelle op enige manier beskadig of fisies gekompromitteer is.

Toegangsbeheer

ISO 27701 Klousule 6.6.2.1 (Gebruikerregistrasie en Deregistrasie) en EU GDPR 5 (1)(f)

Gebruikersregistrasie word beheer deur die gebruik van toegewysde 'identiteite'. Identiteite voorsien organisasies van 'n raamwerk om gebruikerstoegang tot PII en privaatheidverwante bates en materiaal te beheer, binne die grense van 'n netwerk.

Organisasie moet ses hoof riglyne volg om te verseker dat identiteite korrek bestuur word, en PII word beskerm waar dit ook al gestoor, verwerk of toegang verkry word:

1. Waar identiteite aan 'n mens toegeken word, word slegs daardie persoon toegelaat om te verifieer met en/of daardie identiteit te gebruik, wanneer toegang tot PII verkry word.
2. Gedeelde identiteite – veelvuldige individue wat op dieselfde identiteit geregistreer is – moet slegs ontplooi word om aan 'n unieke stel operasionele vereistes te voldoen.
3. Nie-menslike entiteite moet anders oorweeg en bestuur word as gebruikergebaseerde identiteite wat toegang tot PII en privaatheidverwante materiaal verkry.
4. Identiteite moet verwyder word sodra hulle nie meer nodig is nie – veral dié met toegang tot PII of privaatheidsgebaseerde rolle.
5. Organisasies moet by 'n 'een entiteit, een identiteit'-reël hou wanneer identiteite oor die netwerk versprei word.
6. Registrasies moet aangeteken en aangeteken word deur duidelike dokumentasie, insluitend tydstempels, toegangsvlakke en identiteitsinligting.

Organisasies wat in vennootskap met eksterne organisasies werk (veral wolkgebaseerde platforms) moet die inherente risiko's wat met sulke praktyke geassosieer word, verstaan, en stappe neem om te verseker dat PII nie nadelig geraak word in die proses nie (sien ISO 27002 Kontroles 5.19 en 5.17).

Ondersteun ISO 27002-kontroles

• ISO 27002 5.17
• ISO 27002 5.19

ISO 27701 Klousule 6.6.2.2 (Gebruikertoegangvoorsiening) en EU GDPR 5 (1)(f)

'Toegangsregte' beheer hoe toegang tot PII en privaatheidverwante inligting beide verleen en herroep word, met dieselfde stel riglyne.

Toekenning en herroeping van toegangsregte

Toegangsprosedures moet die volgende insluit:

• Toestemming en magtiging van die eienaar (of bestuur) van die inligting of bate (sien ISO 27002 Beheer 5.9).
• Enige heersende kommersiële, wetlike of operasionele vereistes.
• 'n Erkenning van die behoefte om pligte te skei om PII-sekuriteit te verbeter en 'n meer veerkragtige privaatheidsbeskermingsoperasie te bou.
• Kontroles om toegangsregte te herroep, wanneer toegang nie meer nodig is nie (verlaters ens.).
• Tyetoegangsmaatreëls vir tydelike personeel of kontrakteurs.
• 'n Gesentraliseerde rekord van toegangsregte wat aan beide menslike en nie-menslike entiteite toegeken word.
• Maatreëls om die toegangsregte van enige personeel of derdepartykontrakteurs wat van werksrolle verander het, te wysig.

Hersiening van toegangsregte

Organisasies moet periodieke hersiening van toegangsregte oor die netwerk doen, insluitend:

• Om toegangsregherroeping in te bou in HR off-boarding prosedures (sien ISO 27002 Kontroles 6.1 en 6.5) en rolverandering werkvloeie.
• Versoeke vir 'bevoorregte' toegangsregte.

Veranderbestuur en Verlaters

Personeel wat óf die organisasie verlaat (óf opsetlik óf as 'n beëindigde werknemer), en diegene wat die onderwerp van 'n veranderingsversoek is, se toegangsregte moet gewysig word op grond van robuuste risikobestuursprosedures, insluitend:

• Die bron van die verandering/beëindiging, insluitend die onderliggende rede.
• Die gebruiker se huidige posrol en gepaardgaande verantwoordelikhede.
• Die inligting en bates wat tans toeganklik is – insluitend hul risikovlakke en waarde vir die organisasie.

Aanvullende leiding

Dienskontrakte en kontrakteur/dienskontrakte moet 'n verduideliking insluit van wat gebeur na enige pogings tot ongemagtigde toegang (sien ISO 27002 Kontroles 5.20, 6.2, 6.4, 6.6).

Ondersteun ISO 27002-kontroles

• ISO 27002 5.9
• ISO 27002 5.20
• ISO 27002 6.2
• ISO 27002 6.4
• ISO 27002 6.6

ISO 27701 Klousule 6.6.4.2 (Veilige aanmeldprosedures) en EU GDPR 5 (1)(f)

PII en privaatheidverwante bates moet op 'n netwerk gestoor word wat 'n reeks verifikasiekontroles bevat, insluitend:

• Multi-faktor-verifikasie (MFA).
• Digitale sertifikate.
• Slimkaarte/fobs.
• Biometriese verifikasie.
• Veilige tekens.

Om die risiko van ongemagtigde toegang tot PII te voorkom en te verminder, moet organisasies:

1. Voorkom die vertoon van PII op 'n monitor of eindpunttoestel totdat 'n gebruiker suksesvol geverifieer het.
2. Gee voornemende gebruikers 'n duidelike waarskuwing - voordat enige aanmelding gepoog word - wat die sensitiewe aard van die data wat hulle op die punt sal kry, uiteensit.
3. Wees versigtig om te veel bystand deur die stawingsproses te verskaf (dws verduidelik watter deel van 'n mislukte aanmeldpoging ongeldig is).
4. Ontplooi beste praktyk sekuriteitsmaatreëls, insluitend:
• CAPTCHA tegnologie.
• Om wagwoordterugstellings te forseer en/of tydelike aanmelding te voorkom na verskeie mislukte pogings.
5. Meld mislukte aanmeldpogings aan vir verdere ontleding en/of verspreiding na wetstoepassingsagentskappe.
6. Begin 'n sekuriteitsvoorval wanneer 'n groot aanmelding-teenstrydigheid bespeur word, of die organisasie 'n stawing-afwyking ontdek wat die potensiaal het om PII te beïnvloed.
7. Stuur stawinglogboeke – wat laaste aanmeldpoging en mislukte aanmeldinligting bevat – na 'n aparte databron oor.
8. Voer slegs wagwoorddata as abstrakte simbole uit), tensy die gebruiker toeganklikheid-/visieprobleme het.
9. Voorkom die deel van enige en alle verifikasiedata.
10. Maak sluimerende aanmeldsessies dood, veral waar PII in afgeleë werksomgewings of op BYOD-bates gebruik word.
11. Plaas 'n tydsbeperking op geverifieerde sessies, veral dié wat aktief toegang tot PII het.

Fisiese en Omgewingssekerheid

ISO 27701 Klousule 6.8.2.7 (Veilige wegdoening of hergebruik van toerusting) en EU GDPR 5 (1)(f)

PII en privaatheidverwante inligting is veral in gevaar wanneer die behoefte ontstaan ​​om óf van die hand te sit, óf te herdoel berging en verwerking van bates – óf intern óf in vennootskap met 'n gespesialiseerde derdepartyverskaffer.

Bowenal moet organisasies verseker dat enige bergingsmedia wat vir wegdoening gemerk is, wat PII bevat het, moet word fisies vernietig, uitgewis or oorgeskryf (sien ISO 27002 Beheer 7.10 en 8.10).

Om te verhoed dat PII op enige manier gekompromitteer word, moet organisasies wanneer bates ontslae raak of hergebruik word:

• Maak seker dat alle etikette óf verwyder óf gewysig word, soos nodig – veral dié wat die teenwoordigheid van PII aandui.
• Verwyder alle fisiese en logiese sekuriteitskontroles, wanneer fasiliteite uit diens gestel word of perseel verskuif word, met die oog daarop om dit op 'n nuwe plek te hergebruik.

Ondersteun ISO 27002-kontroles

• ISO 27002 7.10
• ISO 27002 8.10

ISO 27701 Klousule 6.8.2.9 (Beleid vir duidelike lessenaar en duidelike skerm) en EU GDPR 5 (1)(f)

PII en privaatheidverwante inligting is veral in gevaar wanneer sorgelose personeel en derdepartykontrakteurs versuim om werkpleksekuriteitsmaatreëls na te kom wat beskerm teen die toevallige of doelbewuste besigtiging van PII deur ongemagtigde personeel.

Organisasies moet onderwerpspesifieke duidelike lessenaar en duidelike skermbeleide opstel (op 'n werkspasie-vir-werkspasie basis indien nodig) wat insluit:

• Versteek vir toevallige aansig, toesluit of veilig berging van PII en privaatheidverwante inligting, wanneer sulke datamateriaal nie benodig word nie.
• Fisiese sluitmeganismes op IKT-bates.
• Digitale toegangskontroles – soos vertoningstydperke, wagwoordbeskermde skermbeskermers en outomatiese afmeldfasiliteite.
• Veilige drukwerk en onmiddellike dokumentversameling.
• Veilige, geslote berging van sensitiewe dokumentasie, en behoorlike wegdoening van sodanige materiaal wanneer dit nie meer nodig is nie (versnippering, derdeparty-wegdoendienste, ens.).
• Om bedag te wees op boodskapvoorskoue (e-pos, SMS, kalenderherinneringe) wat toegang tot sensitiewe data kan verskaf; wanneer 'n skerm in 'n openbare plek gedeel of bekyk word.
• Vee fisiese vertonings (bv. witborde en kennisgewingborde) van sensitiewe inligting uit, wanneer dit nie meer benodig word nie.

Wanneer organisasies gesamentlik 'n perseel verlaat - soos tydens 'n kantoorverhuising of soortgelyke verskuiwing - moet ek probeer om te verseker dat geen dokumentasie agtergelaat word nie, hetsy in lessenaars en liasseerstelsels, of enige wat in duister plekke verval het.

Bedryfsekuriteit

ISO 27701 Klousule 6.9.3.1 (Inligtingrugsteun) en EU GDPR 5 (1)(f)

Organisasies moet onderwerpspesifieke beleide opstel wat direk aanspreek hoe die organisasie die relevante areas van sy netwerk rugsteun om PII te beskerm en veerkragtigheid teen privaatheidsverwante voorvalle te verbeter.

BUDR-prosedures moet opgestel word om die primêre doelwit te bereik om dit te verseker almal besigheidskritiese data, sagteware en stelsels kan volgende herwin word verlies van data, inbraak, besigheidsonderbreking en kritieke mislukkings.

As 'n prioriteit moet BUDR-planne:

• Skets herstelprosedures wat alle kritieke stelsels en dienste dek.
• In staat wees om werkbare kopieë te produseer van enige stelsels, data of toepassings wat deel is van 'n rugsteunwerk.
• Dien die kommersiële en operasionele vereistes van die organisasie (sien ISO 27002 Beheer 5.30).
• Berg rugsteun op 'n omgewingsbeskermde plek wat fisies apart van die brondata is (sien ISO 27002 Beheer 8.1).
• Toets en evalueer gereeld rugsteuntake teen die organisasies se opdrag vir hersteltye, om die beskikbaarheid van data te waarborg.
• Enkripteer alle PII-verwante rugsteundata.
• Kontroleer dubbel vir enige dataverlies voordat 'n rugsteuntaak uitgevoer word.
• Voldoen aan 'n verslagdoeningstelsel wat personeel waarsku oor die status van rugsteuntake.
• Probeer om data van wolkgebaseerde platforms wat nie direk deur die organisasie bestuur word nie, in interne rugsteuntake in te sluit.
• Berg rugsteun in ooreenstemming met 'n toepaslike PII-behoudbeleid (sien ISO 27002 Beheer 8.10).

Bykomende Pii-spesifieke leiding

Organisasies moet aparte prosedures ontwikkel wat uitsluitlik met PII handel (al is dit vervat in hul hoof-BUDR-plan).

Streeksafwykings in PII BUDR-standaarde (kontraktueel, wetlik en regulatories) moet in ag geneem word wanneer 'n nuwe werk geskep word, poste gewysig word of nuwe PII-data by die BUDR-roetine gevoeg word.

Wanneer die behoefte ontstaan ​​om PII te herstel na 'n BUDR-voorval, moet organisasies baie versigtig wees om die PII na sy oorspronklike toestand terug te bring, en herstelaktiwiteite te hersien om enige probleme met die nuwe data op te los.

Organisasies moet 'n log van herstelaktiwiteit hou, insluitend enige personeel wat by die herstel betrokke is, en 'n beskrywing van die PII wat herstel is.

Organisasies moet met enige wetgewende of regulatoriese agentskappe nagaan en verseker dat hul PII-herstelprosedures in ooreenstemming is met wat van hulle as 'n PII-verwerker en kontroleerder verwag word.

Ondersteun ISO 27002-kontroles

• ISO 27002 5.30
• ISO 27002 8.1
• ISO 27002 8.10

ISO 27701 Klousule 6.9.4.1 (Gebeurtenisregistrasie) en EU GDPR 5 (1)(f)

ISO definieer 'n 'gebeurtenis' as enige aksie wat deur 'n digitale of fisiese teenwoordigheid/entiteit op 'n rekenaarstelsel uitgevoer word.

Gebeurtenisloglêers moet die volgende bevat:

• 'n Gebruikers-ID - Wie of watter rekening het die aksies uitgevoer.
• 'n Rekord van stelselaktiwiteit.
• Tydstempels.
• Toestel- en stelselidentifiseerders, en die ligging van die gebeurtenis.
• IP-adres inligting.

Tipes gebeurtenisse

ISO identifiseer 11 gebeurtenisse/komponente wat aanteken vereis (en gekoppel aan dieselfde tydbron – sien ISO 27002 Beheer 8.17), ten einde PII-sekuriteit te handhaaf en organisatoriese privaatheidbeskerming te verbeter:

1. Stelseltoegangpogings.
2. Datatoegangpogings.
3. Pogings tot hulpbrontoegang.
4. OS-konfigurasie verander.
5. Verhoogde voorregte.
6. Nutsprogramme en instandhoudingsfasiliteite (sien ISO 27002 Beheer 8.18).
7. Lêertoegangversoeke, en wat gebeur het (skrap, migrasie, ens.).
8. Kritiese onderbrekings.
9. Aktiwiteite rondom sekuriteit/teen-wanwarestelsels.
10. Identiteitsadministrasiewerk (bv. gebruikerbyvoegings en -skrapings).
11. Geselekteerde toepassingsessie-aktiwiteite.

Log Beskerming

Logs moet beskerm word teen ongemagtigde veranderinge of bedryfsafwykings, insluitend:

• Boodskaptipe wysigings.
• Skrap of wysiging.
• Oorskryf as gevolg van stoorprobleme.

Organisasies moet met die volgende tegnieke omgaan om log-gebaseerde sekuriteit te verbeter:

• Kriptografiese hashing.
• Byvoeg-opname.
• Leesalleen-opname.
• Gebruik van openbare deursigtigheidlêers.

Wanneer die behoefte ontstaan ​​om logs aan eksterne organisasies te verskaf, moet streng maatreëls getref word om PII en privaatheidverwante inligting te beskerm, in ooreenstemming met aanvaarde dataprivaatheidstandaarde (sien ISO 27002 Beheer 5.34 en bykomende leiding hieronder).

Loganalise

Logs sal van tyd tot tyd ontleed moet word om privaatheidbeskerming in die geheel te verbeter, en om sekuriteitsbreuke op te los en te voorkom.

Wanneer logboekanalise uitgevoer word, moet organisasies in ag neem:

• Die kundigheid van die personeel wat die ontleding uitvoer.
• Die tipe, Kategorie en kenmerk van elke tipe gebeurtenis.
• Enige uitsonderings wat toegepas word via netwerkreëls wat voortspruit uit sekuriteitsagteware-hardeware en -platforms.
• Abnormale netwerkverkeer.
• Gespesialiseerde data-analise.
• Beskikbare bedreigingsintelligensie (hetsy intern, óf van 'n betroubare derdeparty-bron).

Log monitering

Log monitering bied organisasies die kans om PII by die bron te beskerm en 'n proaktiewe benadering tot privaatheidsbeskerming te bevorder.

Organisasies moet:

1. Hersien interne en eksterne pogings om toegang tot veilige hulpbronne te verkry.
2. Ontleed DNS-logboeke (en datagebruikverslae) om verkeer na en van kwaadwillige bronne te identifiseer.
3. Versamel logs van fisiese toegangspunte en fisiese omtreksekuriteitstoestelle (toegangstelsels ens.).

Bykomende PII-verwante leiding

ISO vereis dat organisasies logboeke met betrekking tot PII monitor deur 'n 'deurlopende en outomatiese monitering en waarskuwingsproses'. Dit kan 'n aparte stel prosedures noodsaak wat toegang tot PII monitor.

Organisasies moet verseker dat - as 'n prioriteit - logs 'n duidelike weergawe van toegang tot PII verskaf, insluitend:

• Wie het toegang tot die data gekry.
• Wanneer toegang tot die data verkry is.
• Watter skoolhoof se PII verkry is.
• Enige veranderinge wat gemaak is.

Organisasies moet besluit'indien, wanneer en hoe' PII-loginligting moet aan kliënte beskikbaar gestel word, met enige kriteria wat vryelik aan die skoolhoofde self beskikbaar gestel word en groot sorg geneem word om te verseker dat PII-prinsipale slegs toegang tot inligting rakende hulle het.

Ondersteun ISO 27002-kontroles

• ISO 27002 5.34
• ISO 27002 8.11
• ISO 27002 8.17
• ISO 27002 8.18

ISO 27701 Klousule 6.9.4.2 (Beskerming van loginligting) en EU GDPR 5 (1)(f)

Sien ISO 27701 Klousule 6.9.4.1

Bykomende PII-verwante leiding

Organisasies moet baie aandag daaraan wy om te verseker dat logs wat PII bevat behoorlik beheer word, en voordeel trek uit veilige monitering.

Geoutomatiseerde prosedures moet in plek gestel word wat logs óf uitvee óf 'de-identifiseer', in ooreenstemming met 'n gepubliseerde retensiebeleid (sien ISO 27002 Beheer 7.4.7).

Leiding vir PII-beheerders

ISO 27701 Klousule 7.2.1 (Identifiseer en dokumentdoel) en EU GDPR 5 (1)(b)

PII-prinsipale moet ten volle vertroud wees met al die verskillende redes waarom hul PII verwerk word.

Dit is die verantwoordelikheid van die organisasie om hierdie redes aan PII-hoofde oor te dra, saam met 'n 'duidelike verklaring' oor hoekom hulle hul inligting moet verwerk.

Alle dokumentasie moet duidelik, omvattend en maklik verstaanbaar wees deur enige PII-prinsipaal wat dit lees – insluitend enigiets wat met toestemming verband hou, sowel as afskrifte van interne prosedures (sien ISO 27701 Klousules 7.2.3, 7.3.2 en 7.2.8).

Ondersteun ISO 27701-klousules

• ISO 27701 7.2.3
• ISO 27701 7.3.2
• ISO 27701 7.2.8

ISO 27701 Klousule 7.2.2 (Identifiseer wettige basis) en EU GDPR 5 (1)(a)

Om 'n regsgrondslag vir die verwerking van PII te vorm, moet organisasies:

• Soek toestemming van PII-hoofde.
• Stel 'n kontrak op.
• Voldoen aan verskeie ander wetlike verpligtinge.
• Beskerm die 'noodsaaklike belange' van die verskillende PII-prinsipale.
• Verseker dat die take wat uitgevoer word in die openbare belang is.
• Bevestig dat PII-verwerking 'n wettige belang is.

Vir elke punt hierbo genoem, moet organisasies gedokumenteerde bevestiging kan bied

Organisasies moet ook enige 'spesiale kategorieë' van PII wat met hul organisasie verband hou, in hul dataklassifikasieskema oorweeg (sien ISO 27701 Klousule 7.2.8) (klassifikasies kan van streek tot streek verskil).

As organisasies enige veranderinge aan hul onderliggende redes vir die verwerking van PII ervaar, moet dit onmiddellik in hul gedokumenteerde regsgrondslag weerspieël word.

Ondersteun ISO 27701-klousules

• ISO 27701 7.2.8

ISO 27701 Klousule 7.2.6 (Kontrakte met PII-verwerkers) en EU GDPR 5 (2)

Organisasies moet skriftelike, bindende kontrakte aangaan met enige eksterne PII-verwerker wat hulle gebruik.

Enige kontrakte moet verseker dat die PII-verwerker al die vereiste inligting wat binne ISO 27701 Bylae B vervat is, implementeer, met besondere aandag aan risikobepalingskontroles (ISO 27701 Klousule 5.4.1.2) en die algehele omvang van die verwerkingsaktiwiteite (sien ISO 27701 Klousule 6.12) ).

Organisasies moet in staat wees om die weglating van enige kontroles vervat in Bylae B, in hul verhouding met die PII-verwerker te regverdig (sien ISO 27701 Klousule 5.4.1.3).

ISO 27701 Klousule 7.2.8 (Rekords wat verband hou met verwerking van PII) en EU GDPR 5 (2)

Organisasies moet 'n deeglike stel rekords byhou wat hul optrede en verpligtinge as 'n PII-verwerker ondersteun.

Rekords (andersins bekend as 'voorraadlyste') moet 'n gedelegeerde eienaar hê, en kan die volgende insluit:

• Operasioneel – die spesifieke tipe PII-verwerking wat onderneem word.
• Regverdigings – waarom die PII verwerk word.
• Kategories – lyste van PII-ontvangers, insluitend internasionale organisasies.
• Sekuriteit – 'n oorsig van hoe PII beskerm word.
• Privaatheid – dws 'n privaatheidsimpakbeoordelingsverslag.

ISO 27701 Klousule 7.3.6 (Toegang, Regstelling En/of Uitvee) en EU GDPR 5 (1)(d)

Organisasies moet prosedures opstel, dokumenteer en implementeer wat PII-prinsipale toelaat om toegang tot hul PII te verkry, reg te stel en/of uit te vee.

Prosedures moet meganismes insluit waardeur die PII-prinsipaal in staat is om die bogenoemde aksie uit te voer, insluitend hoe die organisasie die skoolhoof moet inlig indien regstellings nie gemaak kan word nie.

Organisasies moet verbind tot 'n gepubliseerde reaksietyd vir alle versoeke om toegang, regstelling of uitvee.

Dit is uiters belangrik om enige sodanige versoeke aan derde partye te kommunikeer wat PII oorgedra is (sien ISO 27701 Klousule 7.3.7).

'n PII-prinsipaal se vermoë om regstellings of skrappings aan te vra, word bepaal deur die jurisdiksie waarin die organisasie bedrywig is. As sodanig moet maatskappye hulself op hoogte hou van enige wetlike of regulatoriese veranderinge wat hul verpligtinge teenoor PII beheer.

Ondersteun ISO 27701-klousules

• ISO 27701 7.3.7

Privaatheid deur ontwerp en privaatheid by verstek

ISO 27701 Klousule 7.4.1 (Limiteversameling) en EU GDPR 5 (1)(b) en (1)(c)

Organisasies moet hul versameling van PII beperk op grond van drie faktore:

1. Relevansie.
2. Proporsionaliteit.
3. Noodsaaklikheid.

Organisasies moet slegs PII insamel – hetsy direk of indirek – in ooreenstemming met bogenoemde faktore, en slegs vir doeleindes wat relevant en nodig is vir hul gestelde doel.

As 'n konsep moet 'privaatheid by verstek' nagekom word – maw enige opsionele funksies moet by verstek gedeaktiveer word.

ISO 27701 Klousule 7.4.3 (Akkuraatheid en Kwaliteit) en EU GDPR 5 (1)(d)

Organisasies moet stappe doen om te verseker dat PII akkuraat, volledig en op datum is, deur sy hele lewensiklus.

Organisatoriese inligtingsekuriteitsbeleide en tegniese konfigurasies moet stappe bevat wat poog om foute regdeur sy PII-verwerkingsoperasie te minimaliseer, insluitend kontroles oor hoe om op onakkuraathede te reageer.

ISO 27701 Klousule 7.4.4 (PII-minimaliseringsdoelwitte) en EU GDPR 5 (1)(c) en (1)(e)

Organisasies moet 'dataminimisering'-prosedures saamstel, insluitend meganismes soos de-identifikasie.

Dataminimalisering moet gebruik word om te verseker dat PII-insameling en verwerking beperk word tot die 'geïdentifiseerde doel' van elke funksie (sien ISO 27701 Klousule 7.2.1).

'n Groot deel van hierdie proses behels die dokumentasie van die mate waarin 'n PII-hoofinligting direk aan hulle toegeskryf moet word, en hoe minimalisering bereik moet word deur 'n verskeidenheid beskikbare metodes.

Organisasies moet die spesifieke tegnieke uiteensit wat gebruik word om PII-prinsipale te de-identifiseer, soos:

1. Randomisering.
2. Geraas toevoeging.
3. Veralgemening.
4. Eienskap verwydering.

Ondersteun ISO 27701-klousules

• ISO 27701 7.2.1

ISO 27701 Klousule 7.4.5 (PII de-identifikasie en uitvee aan die einde van verwerking) en EU GDPR 5 (1)(c) en (1)(e)

Organisasies moet óf enige PII wat nie meer 'n doel vervul, heeltemal vernietig nie, óf dit verander op 'n manier wat enige vorm van hoofidentifikasie verhoed.

Sodra die organisasie vasgestel het dat die PII nie te eniger tyd in die toekoms verwerk hoef te word nie, moet die inligting geskrap or de-geïdentifiseer, soos die omstandighede dit voorskryf.

ISO 27701 Klousule 7.4.6 (Tydelike Lêers) en EU GDPR 5 (1)(c)

Tydelike lêers word vir 'n aantal tegniese redes geskep, regdeur die PII-verwerking en versamelingslewensiklus, oor talle toepassings, stelsels en sekuriteitsplatforms.

Organisasies moet verseker dat hierdie lêers binne 'n redelike tyd vernietig word, in ooreenstemming met 'n amptelike bewaringsbeleid.

'n Eenvoudige manier om die bestaan ​​van sulke lêers te identifiseer, is om periodieke kontroles van tydelike lêers oor die netwerk uit te voer. Tydelike lêers sluit dikwels in:

• Databasisopdateringlêers.
• Gekas inligting.
• Lêers geskep deur toepassings en pasgemaakte sagtewarepakkette.

Organisasies moet voldoen aan 'n sg vullisverwyderingsprosedure wat tydelike lêers uitvee wanneer dit nie meer nodig is nie.

ISO 27701 Klousule 7.4.8 (Beskikking) en EU GDPR 5 (1)(f)

Organisasies moet duidelike beleide en prosedures hê wat bepaal hoe PII weggedoen word.

Dataverwydering is 'n wydlopende onderwerp wat 'n magdom verskillende veranderlikes bevat, gebaseer op die vereiste wegdoeningstegniek en die aard van die data waaroor weggedoen word.

Organisasies moet in ag neem:

• Wat die PII insluit.
• Enige oorblywende metadata wat langs die hoofdata uitgevee moet word.
• Die tipe bergingsmedia waarop die PII gehou word.

ISO 27701 Klousule 7.4.9 (PII-transmissiekontroles) en EU GDPR 5 (1)(f)

Enige PII wat na 'n derdeparty-organisasie oorgedra sal word, moet dit gedoen word met die grootste sorg vir die inligting wat gestuur word, met behulp van veilige maniere.

Organisasies moet verseker dat slegs gemagtigde personeel toegang tot transmissiestelsels het, en dit doen op 'n manier wat maklik geoudit kan word met die uitsluitlike doel om die inligting te kry waar dit moet gaan sonder voorval.

Leiding vir PII-verwerkers

ISO 27701 Klousule 8.2.2 (Organisatoriese doeleindes) en EU GDPR 5 (1)(a) en (1)(b)

Van die begin af moet PII slegs in ooreenstemming met die kliënt se instruksies verwerk word.

Kontrakte moet SLA's insluit wat verband hou met wedersydse doelwitte, en enige gepaardgaande tydskale waarbinne dit voltooi moet word.

Organisasies moet hul reg erken om die afsonderlike metodes te kies wat gebruik word om PII te verwerk, wat wettiglik bereik waarna die kliënt soek, maar sonder dat dit nodig is om gedetailleerde toestemmings te verkry oor hoe die organisasie te werk gaan op 'n tegniese vlak.

ISO 27701 Klousule 8.4.1 (Tydelike Lêers) en EU GDPR 5 (1)(c)

Organisasies moet verseker dat tydelike lêers binne 'n redelike tyd vernietig word, in ooreenstemming met 'n amptelike bewaringsbeleid en duidelike uitveeprosedures.

'n Eenvoudige manier om die bestaan ​​van sulke lêers te identifiseer, is om periodieke kontroles van tydelike lêers oor die netwerk uit te voer.

Organisasies moet voldoen aan 'n sg vullisverwyderingsprosedure wat tydelike lêers uitvee wanneer dit nie meer nodig is nie.

ISO 27701 Klousule 8.4.3 (PII-kontroles) en EU GDPR 5 (1)(f)

Wanneer ook al die behoefte ontstaan ​​dat PII oor 'n datanetwerk versend word (insluitend 'n toegewyde skakel), moet organisasies besig wees om te verseker dat die PII die korrekte ontvangers bereik, betyds.

Wanneer PII tussen datanetwerke oorgedra word, moet organisasies:

• Maak seker dat slegs gemagtigde individue die oordrag kan uitvoer.
• Hou by gepubliseerde prosedures wat die oordrag van PII van die organisasie na 'n derdeparty beheer.
• Behou alle ouditdata.
• Sluit transmissievereistes in die kliënt se kontrak in.
• Raadpleeg die kliënt voordat enige oordrag onderneem word, indien geen skriftelike of kontraktuele bepalings bestaan ​​nie.

Ondersteun ISO 27701-klousules en ISO 27002-kontroles

Hoe ISMS.online Help

Jou volledige GDPR-oplossing.

’n Voorafgeboude omgewing wat naatloos by jou bestuurstelsel inpas, laat jou toe om jou benadering tot die beskerming van Europese en Britse klantdata te beskryf en te demonstreer.

Met ISMS.online kan jy direk na GDPR voldoen en vlakke van beskerming demonstreer wat verder gaan as 'redelik', alles op een veilige, altyd-aan-plek.

In kombinasie met ons 'Neem aan, pas aan, voeg by'-implementeringsbenadering, bied die ISMS.aanlyn-platform ingeboude leiding by elke stap, wat die moeite wat nodig is om jou GDPR-voldoening te demonstreer, verminder. 'n Aantal kragtige tydbesparende kenmerke sal ook vir jou beskikbaar wees.

Vind meer uit deur bespreek 'n kort 30 minute demo.