Wat is die gedeelde sekuriteitskontroles in ISO 27701:2025?
Tabel A.3 van ISO 27701:2025 Bylae A definieer 29 inligtingsekuriteitskontroles wat van toepassing is op enige organisasie wat PII verwerk, hetsy as 'n beheerder, verwerker of albei.
Hierdie beheermaatreëls het die 90+ subklousules in die 2019-uitgawe se Klousule 6 vervang. Die 2025-uitgawe het slegs die beheermaatreëls behou wat PII-spesifieke implementeringsleiding vereis, en dit in 'n gefokusde stel gekonsolideer. Sien die Aanhangsel F korrespondensietabel vir die volledige kartering van 2019 tot 2025.
Implementeringsriglyne vir elke beheermaatreël is in Aanhangsel B afdeling B.3 (bv. riglyne vir A.3.3 Inligtingsekuriteitsbeleide is by B.3.3).
Volledige lys van Tabel A.3-kontroles
| Beheer | Titel | Opsomming |
|---|---|---|
| A.3.3 Inligtingsekuriteitsbeleide | Beleide vir inligtingsekuriteit | Definieer, keur goed en kommunikeer inligtingsekuriteitsbeleide met betrekking tot PII-verwerking |
| A.3.4 Sekuriteitsrolle | Rolle en verantwoordelikhede vir inligtingsekuriteit | Definieer en ken sekuriteitsrolle en verantwoordelikhede vir PII-verwerking toe |
| A.3.5 Klassifikasie van inligting | Klassifikasie van inligting | Klassifiseer inligting met inagneming van persoonlike inligting gebaseer op vertroulikheid, integriteit en beskikbaarheid |
| A.3.6 Etikettering van inligting | Etikettering van inligting | Ontwikkel etiketteringsprosedures wat PII-klassifikasie in ag neem |
| A.3.7 Inligtingsoordrag | Inligting oordrag | Stel oordragreëls, prosedures en ooreenkomste vir persoonlike inligting vas |
| A.3.8 Identiteitsbestuur | Identiteitsbestuur | Bestuur die volle lewensiklus van identiteite wat verband hou met PII-verwerking |
| A.3.9 Toegangsregte | Toegangsregte | Voorsiening, hersiening, wysiging en verwydering van toegangsregte tot PII |
| A.3.10 Verskaffersooreenkomste | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste | Stel sekuriteitsvereistes vir PII-verwerking met elke verskaffer vas |
| A.3.11 Voorvalbestuur | Beplanning en voorbereiding vir voorvalbestuur | Beplan en berei voor vir die bestuur van sekuriteitsvoorvalle wat verband hou met PII |
| A.3.12 Reaksie op sekuriteitsvoorvalle | Reaksie op inligtingsekuriteitsvoorvalle | Reageer op PII-verwante sekuriteitsvoorvalle volgens gedokumenteerde prosedures |
| A.3.13 Wetlike en Regulatoriese Vereistes | Wetlike, statutêre, regulatoriese en kontraktuele vereistes | Dokumenteer wetlike en regulatoriese vereistes relevant tot PII-verwerkingssekuriteit |
| A.3.14 Beskerming van rekords | Beskerming van rekords | Beskerm PII-verwerkingsrekords teen verlies, vernietiging en ongemagtigde toegang |
| A.3.15 Onafhanklike Hersiening | Onafhanklike hersiening van inligtingsekuriteit | Hersien onafhanklik die benadering tot die bestuur van PII-verwante sekuriteit |
| A.3.16 Nakoming van Beleide | Nakoming van beleide, reëls en standaarde | Hersien gereeld voldoening aan PII-verwerkingssekuriteitsbeleide |
| A.3.17 Sekuriteitsbewustheid en -opleiding | Bewustheid, onderwys en opleiding van inligtingsekuriteit | Verskaf toepaslike opleiding in sekuriteitsbewustheid met betrekking tot PII-verwerking |
| A.3.18 Vertroulikheidsooreenkomste | Vertroulikheids- of nie-openbaarmakingsooreenkomste | Identifiseer, dokumenteer en hersien vertroulikheidsooreenkomste vir PII-beskerming |
| A.3.19 Duidelike lessenaar en duidelike skerm | Duidelike lessenaar en duidelike skerm | Definieer en handhaaf 'n skoon lessenaar- en skoonskermreëls vir PII-fasiliteite |
| A.3.20 Stoormedia | Berging media | Bestuur stoormedia met PII deur sy volle lewensiklus |
| A.3.21 Veilige wegdoening van toerusting | Veilige wegdoening of hergebruik van toerusting | Verifieer dat PII van toerusting verwyder word voor wegdoening of hergebruik |
| A.3.22 Gebruikerseindpunttoestelle | Gebruikerseindpunttoestelle | Beskerm PII op gebruikerseindpunttoestelle |
| A.3.23 Veilige stawing | Veilige verifikasie | Implementeer veilige verifikasie vir PII-verwerkingstelsels |
| A.3.24 Rugsteun van inligting | Rugsteun van inligting | Onderhou en toets rugsteunkopieë van PII en verwante stelsels |
| A.3.25 Logging | Logging | Skep, stoor, beskerm en analiseer logboeke van PII-verwerkingsaktiwiteite |
| A.3.26 Gebruik van kriptografie | Gebruik van kriptografie | Definieer en implementeer kriptografiereëls vir PII-verwerking |
| A.3.27 Veilige ontwikkelingslewensiklus | Veilige ontwikkeling lewensiklus | Stel reëls vas vir die veilige ontwikkeling van PII-verwerkingstelsels |
| A.3.28 Toepassingsekuriteit | Aansoek sekuriteit vereistes | Identifiseer sekuriteitsvereistes vir PII wanneer toepassings ontwikkel of verkry word |
| A.3.29 Veilige Stelselargitektuur | Veilige stelselargitektuur en ingenieursbeginsels | Vestig beginsels vir die ingenieurswese van veilige PII-verwerkingstelsels |
| A.3.30 Uitgekontrakteerde Ontwikkeling | Uitgekontrakteerde ontwikkeling | Bestuur, monitor en hersien die ontwikkeling van uitkontrakteerde PII-verwerkingstelsels |
| A.3.31 Toetsinligting | Toets inligting | Kies, beskerm en bestuur toetsinligting gepas vir PII-verwerking |
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Hoe hou hierdie kontroles verband met die 2019-uitgawe?
Die 29 kontroles in Tabel A.3 is direkte afstammelinge van die 2019-uitgawe se Klousule 6. Die 2019-uitgawe is egter Klousule 6 het meer as 90 subklousules bevat – die meeste het na ISO 27002-kontroles verwys. Die 2025-uitgawe het subklousules verwyder wat geen PII-spesifieke leiding gehad het nie (fisiese sekuriteit, netwerksekuriteit, wanware-beskerming, besigheidskontinuïteit, ens.) en die oorblywende kontroles gekonsolideer.
Vir die volledige kartering, sien die Aanhangsel F korrespondensietabel.
Wie moet Tabel A.3 implementeer?
Elke organisasie wat ISO 27701:2025-sertifisering soek, moet Tabel A.3 in ag neem, ongeag of hulle as 'n PII-beheerder of PII-verwerker optree. Hierdie beheermaatreëls vorm die inligtingsekuriteitsfondament van u Privaatheidsinligtingbestuurstelsel.
As jy ook ISO 27001 besit, sal baie van hierdie kontroles reeds bekend wees. Die belangrikste verskil is dat Tabel A.3 PII-spesifieke vereistes by elke kontrole voeg – byvoorbeeld, A.3.25 Logging (Logging) vereis spesifiek die opname van wie toegang tot watter PII-prinsipaal se data verkry het en watter veranderinge aangebring is.
Hoekom kies ISMS.aanlyn vir gedeelde sekuriteitsbeheer?
ISMS.aanlyn help jou om Tabel A.3 saam met jou ander voldoeningsvereistes te implementeer:
- Geïntegreerd met ISO 27001 — Indien u reeds ISO 27001-kontroles het, kyk waar Tabel A.3 PII-spesifieke vereistes byvoeg sonder om werk te dupliseer.
- Beleidsbestuur — Stel op, keur goed, versprei en spoor erkenning van PII-verwante sekuriteitsbeleide op
- Voorvalbestuur — Meld, assesseer en reageer op PII-verwante sekuriteitsvoorvalle met kennisgewingopsporing
- Verskaffersbestuur — Volg verskafferooreenkomste, sekuriteitsvereistes en voldoeningsstatus
- Oudit gereedskap — Beplan onafhanklike hersienings en nakomingskontroles teen Tabel A.3-vereistes
- Bewyskoppeling — Heg beleide, prosedures en ouditresultate direk aan elke kontrole
Vrae & Antwoorde
Waarom is daar slegs 29 kontroles terwyl die 2019-uitgawe meer as 90 subklousules gehad het?
Die 2019-uitgawe het na elke ISO 27002-kontrolepunt verwys met PII-verwante byvoegings. Baie subklousules het eenvoudig gesê "geen bykomende leiding nie". Die 2025-uitgawe het dit verwyder en slegs die 29 kontroles behou wat spesifieke PII-implementeringsleiding vereis, wat die omvang meer gefokus en ouditeerbaar maak.
Het ek Tabel A.3 nodig as ek reeds ISO 27001 het?
Ja. Tabel A.3-kontroles is ISO 27701-spesifieke vereistes, nie ISO 27001-kontroles nie. Hulle voeg PII-gefokusde vereistes by jou bestaande ISMS-kontroles. Baie van jou ISO 27001-bewyse en implementering sal egter direk relevant wees.
Wat het gebeur met kontroles soos fisiese sekuriteit en beskerming teen wanware?
Hulle is uit ISO 27701:2025 verwyder omdat hulle nie PII-spesifieke implementeringsleiding vereis het nie. As jy ISO 27001 besit, bly hulle onder daardie standaard gedek. Hulle is nie uit jou sekuriteitsprogram weg nie – hulle is net nie meer binne die bestek van ISO 27701 nie.
Teken jou gedeelde beheerkeuses op in 'n Verklaring van toepaslikheid langs jou beheerder- of verwerkerkontroles.
KISO's wat die gedeelde beheerstel bestuur, moet ons CISO-gids tot ISO 27701:2025.
ons gids vir vereistes vir ouditbewyse dek wat ouditeure soek oor hierdie gedeelde beheermaatreëls.
