Wat vereis beheer A.1.4.7?
Die organisasie moet verseker dat tydelike lêers wat as gevolg van die verwerking van persoonlike inligting geskep word, binne 'n gespesifiseerde, gedokumenteerde tydperk vernietig word (bv. uitgevee of vernietig) volgens gedokumenteerde prosedures.
Hierdie beheer sit binne die PII-minimalisering doelwit (A.1.4) en teiken 'n spesifieke, dikwels verwaarloosde kategorie data: die tydelike lêers, kasgeheue, logboeke, uitvoere en intermediêre uitsette wat stelsels tydens normale verwerking skep. Hierdie lêers bevat dikwels volledige kopieë van PII en kan lank nadat die verwerking wat hulle geskep het, voltooi is, voortduur.
Wat sê die implementeringsriglyne?
Aanhangsel B (afdeling B.1.4.7) verskaf die volgende riglyne:
- Identifiseer waar tydelike lêers geskep word — Beplan alle plekke waar tydelike lêers wat persoonlike persoonlike inligting bevat, gegenereer kan word, insluitend stelselkasgeheue, toepassingslogboeke, drukspoele, tydelike databasisse, data-uitvoerlêers, opstelgebiede en werkkopieë.
- Definieer maksimum bewaringsperiodes — Vir elke tipe tydelike lêer, definieer die maksimum tyd wat dit moet bestaan voor verwydering
- Implementeer outomatiese wegdoening — Waar moontlik, gebruik outomatiese meganismes (geskeduleerde verwyderingskripte, kas-vervalbeleide, logrotasie) om te verseker dat tydelike lêers verwyder word sonder om op handmatige aksie staat te maak.
- Verifieer wegdoening — Bevestig dat die verwydering wel plaasgevind het, veral vir handmatige prosesse waar lêers moontlik oor die hoof gesien kan word
- Sien ook A.1.4.2: Limietversameling vir verwante vereistes
- Sien ook A.1.4.4: Akkuraatheid en Kwaliteit vir verwante vereistes
Die praktiese uitdaging is dat tydelike lêers deur stelsels geskep word, nie deur mense nie. Toepassingsbedieners, databasisse, e-posstelsels, verslagdoeningsinstrumente en selfs kantoorsagteware genereer tydelike lêers as deel van normale bedryf. Die organisasie moet sy tegniese landskap goed genoeg verstaan om te identifiseer waar persoonlike inligting in tydelike vorm kan verskyn.
Hoe pas dit by die GDPR?
Beheer A.1.4.7 karteer na BBP Artikel 5(1)(c), die beginsel van dataminimalisering. Tydelike lêers wat langer as hul onmiddellike behoefte voortduur, verteenwoordig 'n onnodige bewaring van persoonlike data. Die BBP noem nie spesifiek tydelike lêers nie, maar die minimaliseringsbeginsel vereis dat persoonlike data nie in enige vorm langer as nodig gehou word nie, wat tydelike kopieë insluit.
Hoe hou dit verband met ISO 29100-privaatheidsbeginsels?
Hierdie beheer ondersteun die ISO 29100 beginsel van Beperking van gebruik, bewaring en openbaarmaking, wat vereis dat persoonlike inligting (PII) slegs so lank as wat nodig is om die gestelde doeleindes te bereik, behou moet word. Tydelike lêers bestaan per definisie vir oorgangsdoeleindes en behoort van die eerste data te wees wat weggedoen word wanneer dit nie meer nodig is nie.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Watter bewyse verwag ouditeure?
Wanneer voldoening aan A.1.4.7 beoordeel word, sal ouditeure tipies kyk na:
- Tydelike lêerinventaris — ’n Gedokumenteerde lys van alle liggings en stelselkomponente waar tydelike lêers wat persoonlike inligting bevat, geskep kan word.
- Definisies van bewaringstydperke — Gespesifiseerde maksimum bewaringstydperke vir elke tipe tydelike lêer, met regverdiging
- Beskikkingsprosedures — Gedokumenteerde prosedures vir die wegdoening van elke tipe tydelike lêer, insluitend die metode van wegdoening en wie verantwoordelik is
- Bewyse van outomatisering — Konfigurasierekords vir outomatiese wegdoeningsmeganismes (cron-take, kasbeleide, logrotasie-instellings, outomatiese verwyderingsreëls)
- Verifikasierekords — Bewyse van periodieke kontroles wat bevestig dat tydelike lêers soos verwag vernietig word, veral vir enige handmatige vernietigingsprosesse
- Insidentrekords — Enige gevalle waar tydelike lêers gevind is om langer as hul vasgestelde bewaringstydperk voortgeduur het, en die korrektiewe stappe wat geneem is
Wat is die verwante kontroles?
| Beheer | Verhoudings |
|---|---|
| A.1.4.5 PII-minimaliseringsdoelwitte | Tydelike lêerverwydering is deel van die algehele minimaliseringsstrategie |
| A.1.4.6 De-identifikasie en verwydering | Verwyderingsprosedures vir tydelike lêers volg dieselfde beginsels as verwydering aan die einde van verwerking. |
| A.1.4.9 Beskikking | Beskikkingsmeganismes moet tydelike lêers sowel as primêre databergings dek. |
| A.1.4.8 Behoud | Bewaringsbeleide moet tydelike lêers saam met permanente berging eksplisiet aanspreek |
| A.1.4.3 Beperk verwerking | Tydelike lêers verteenwoordig toevallige verwerking wat steeds binne die bestek moet wees |
| A.1.4.10 PII-oordragkontroles | Oordragprosesse skep dikwels tydelike opstellêers wat verwyder moet word |
Wat het verander van ISO 27701:2019?
Vir 'n stap-vir-stap benadering, sien die Oorgang van 2019 na 2025.
In die 2019-uitgawe is tydelike lêers aangespreek onder Klousule 7.4.6 (tydelike lêers). Die 2025-beheer is wesenlik identies in sy vereistes. Die herstruktureerde Aanhangsel ADie /B-formaat bied duideliker implementeringsriglyne, veral rondom die behoefte aan outomatiese wegdoening en verifikasie. Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Hoekom kies ISMS.aanlyn vir die bestuur van tydelike lêernakoming?
ISMS.aanlyn help jou om 'n tipies oor die hoof gesiene voldoeningsarea in 'n gedokumenteerde, ouditeerbare proses te omskep:
- Tydelike lêerregister — Katalogiseer alle plekke waar tydelike lêers wat PII bevat, gegenereer word, met gedefinieerde bewaringsperiodes en wegdoeningsmetodes vir elkeen
- Beskikkingskedulering — Stel wegdoeningstake op met outomatiese herinneringe, wat verseker dat niks vergeet word nie, selfs nie vir handmatige wegdoeningsprosesse nie
- Verifikasie-kontrolelyste — Skep herhalende verifikasiekontroles om te bevestig dat tydelike lêers soos verwag verwyder is, met gedokumenteerde uitkomste.
- Risikobepaling-integrasie — Koppel tydelike lêerrisiko's aan u breër inligtingsekuriteitsrisikoregister en verseker dat hulle gepaste aandag kry
- Ouditbewyse — Voer wegdoeningsrekords, verifikasieresultate en proseduredokumentasie uit as deel van u sertifiseringsbewyspakket
Vrae & Antwoorde
Watter tipes tydelike lêers bevat tipies persoonlike inligting?
Algemene voorbeelde sluit in: toepassingsbediener-kasgeheue, databasisnavraagresultaatkasgeheue, drukspoellêers, e-posaanhangselkasgeheue, CSV- en Excel-uitvoere vanaf CRM- of HR-stelsels, ETL-opstellêers, loglêers met gebruikersidentifiseerders, blaaierkoekies wat op gedeelde toestelle gestoor word, tydelike kopieë wat tydens datamigrasie geskep word en konsep- of outostoorlêers vanaf dokumentredigering. Die spesifieke tipes sal afhang van jou tegnologiestapel en verwerkingsaktiwiteite.
Hoe kort moet die bewaringstydperk vir tydelike lêers wees?
Die standaard skryf nie spesifieke periodes voor nie, maar vereis dat hulle "gespesifiseer" en "gedokumenteer" moet word. Die toepaslike periode hang af van die tipe lêer en die tegniese doel daarvan. 'n Drukspoellêer kan redelikerwys binne ure verwyder word, terwyl 'n datamigrasie-opstellêer dalk vir dae moet bestaan totdat die migrasie geverifieer is. Die sleutelbeginsel is dat die periode so kort as wat prakties is vir die lêer se doel moet wees, en dat verwydering outomaties moet plaasvind waar moontlik.
Moet loglêers as tydelike lêers onder hierdie beheer behandel word?
Indien loglêers persoonlike inligting bevat (soos gebruikers-ID's, e-posadresse of IP-adresse), moet dit ingesluit word in u tydelike lêerbestuur of aangespreek word deur u bewaringsbeleid onder A.1.4.8Baie organisasies behandel toepassings- en toegangslogboeke as 'n aparte kategorie met hul eie bewaringstydperke, dikwels gedryf deur sekuriteitsmoniteringsvereistes. Die belangrike ding is dat hulle gedokumenteer word, gedefinieerde bewaringstydperke het en weggedoen word wanneer daardie tydperke verstryk.
sien ons gids vir vereistes vir ouditbewyse vir die spesifieke bewyse wat ouditeure verwag vir datakwaliteit en minimaliseringskontroles.
Teken hierdie kontrole in jou Verklaring van toepaslikheid met u regverdiging vir die toepaslikheid daarvan.
