ISO 27701 – Klousule 6.11 – Stelselverkryging, ontwikkeling en instandhouding

Sleutelvereistes van ISO 27701 Klousule 6.11 Verduidelik

Toepassingsdienste, inligtingsekuriteitsvereistes en projekbestuuraktiwiteite moet saam met enige organisatoriese privaatheidbeskermingspogings ontwikkel word om te verseker dat PII en betalings-/bestellingsdata die grootste beskerming deur die toepassing en projeklewensiklus gebied word.

Wat word gedek in ISO 27701 Klousule 6.11

ISO 27701 Klousule 6.11 bevat drie subklousules wat handel oor die hoofelemente van stelselverkryging, met elke klousule wat aangrensende leiding bevat van kontroles vervat in ISO 27002:

• ISO 27701 6.11.1.1 – Ontleding en spesifikasie van inligtingsekuriteitvereistes (ISO 27002 Beheer 5.8)
• ISO 27701 6.11.1.2 – Beveiliging van toepassingsdienste op publieke netwerke (ISO 27002 Beheer 8.26)
• ISO 27701 6.11.1.3 – Beskerming van toepassingsdienstetransaksies (ISO 27002 Beheer 8.26)

Een subklousule – 6.11.1.2 – bevat inligting wat toepaslike elemente van VK is BBP wetgewing, met geen verdere leiding oor PIMS of PII-verwante onderwerpe nie.

Neem asseblief kennis dat GDPR-aanhalings slegs vir aanduidingsdoeleindes is. Organisasies moet die wetgewing onder die loep neem en hul eie oordeel maak oor watter dele van die wet op hulle van toepassing is.

ISO 27701 Klousule 6.11.1.1 – Ontleding en spesifikasie van inligtingsekuriteitsvereistes

Verwysings ISO 27002 Beheer 5.8

Privaatheidsbeskermingsprosedures moet by projekbestuuraktiwiteite geïntegreer word om te verseker dat PII deurgaans beskerm word, en organisatoriese sekuriteitsbeleide in lyn is.

Organisasies moet verseker dat:

• Privaatheidsbeskermingsrisiko's word deur die hele projeklewensiklus in ag geneem, veral in die vroeë stadiums.
• Die vordering van risikoversagting van privaatheidbeskerming word periodiek hersien, met die fokus op die verbetering van doeltreffendheid en veerkragtigheid.
• Projekkomitees neem privaatheidsbeskermingskontroles in gepaste stadiums van die projek in ag.
• Rolle en verantwoordelikhede vir privaatheidbeskerming moet in 'n vroeë stadium uiteengesit word.
• Enige produkte wat as deel van die projek afgelewer gaan word, het 'n duidelike stel privaatheidsbeskermingsvereistes.
• Projek lewensiklusse (rats, waterval ens.) weerspieël die risikovereistes van die genoemde projek deur enige gegewe stadium, met die klem op privaatheidbeskerming.

ISO 27701 Klousule 6.11.1.2 – Beveiliging van toepassingsdienste op openbare netwerke

Verwysings ISO 27002 Beheer 8.26

Toepassingsekuriteitsprosedures moet saam met breër privaatheidsbeskermingsbeleide ontwikkel word, gewoonlik via 'n gestruktureerde risiko-evaluering wat verskeie veranderlikes in ag neem.

Toepassingsekuriteitsvereistes moet die volgende insluit:

• Die vlakke van vertroue inherent binne alle netwerkentiteite (sien ISO 27002 Kontroles 5.17, 8.2 en 8.5).
• Die klassifikasie van data wat die toepassing opgestel is om te verwerk (insluitend PII).
• Enige segregasievereistes.
• Beskerming teen interne en eksterne aanvalle, en/of kwaadwillige gebruik.
• Enige heersende wetlike, kontraktuele of regulatoriese vereistes.
• Robuuste beskerming van vertroulike inligting.
• Data wat tydens vervoer beskerm word.
• Enige kriptografiese vereistes.
• Veilige invoer- en uitsetkontroles.
• Minimale gebruik van onbeperkte invoervelde – veral dié wat die potensiaal het om persoonlike data te stoor.
• Die hantering van foutboodskappe, insluitend duidelike kommunikasie van foutkodes.

Transaksionele Dienste

Transaksionele dienste wat die vloei van privaatheiddata tussen die organisasie en 'n derdeparty-organisasie, of vennootorganisasie fasiliteer, moet:

• Vestig 'n gepaste vlak van vertroue tussen organisatoriese identiteite.
• Sluit meganismes in wat kontroleer vir vertroue tussen gevestigde identiteite (bv. hashing en digitale handtekeninge).
• Skets robuuste prosedures wat bepaal wat werknemers in staat is om sleutel-transaksiedokumente te bestuur.
• Bevat dokument- en transaksionele bestuursprosedures wat die vertroulikheid, integriteit, bewys van versending en ontvangs van sleuteldokumente en transaksies dek.
• Sluit spesifieke leiding in oor hoe om transaksies vertroulik te hou.

Elektroniese bestel- en betalingsaansoeke

Vir enige aansoeke wat elektroniese bestelling en/of betaling behels, moet organisasies:

1. Skets streng vereistes vir die beskerming van betalings- en besteldata.
2. Verifieer betalingsinligting voordat 'n bestelling geplaas word.
3. Berg transaksionele en privaatheidverwante data veilig op 'n manier wat ontoeganklik is vir die publiek.
4. Gebruik vertroude owerhede wanneer jy digitale handtekeninge implementeer, met privaatheidsbeskerming te alle tye in gedagte.

Toepaslike GDPR-artikels

• Artikel 5 – (1)(f)
• Artikel 32 – (1)(a)

Relevante ISO 27002-kontroles

• ISO 27002 5.17
• ISO 27002 8.2
• ISO 27002 8.5

ISO 27701 Klousule 6.11.1.3 – Beskerming van toepassingsdienstetransaksies

Verwysings ISO 27002 Beheer 8.26

Sien ISO 27701 Klousule 6.11.1.2

Ondersteunende kontroles vanaf ISO 27002 en GDPR

Hoe ISMS.online help

Ons alles-in-een-platform verseker dat jou privaatheidswerk ooreenstem met en aan die behoeftes van elke afdeling van die ISO 27701-standaard voldoen. En omdat dit regulering agnosties is, kan jy dit karteer op enige regulasie wat jy nodig het.

• Ingeboude risikobank
• ROPA maklik gemaak
• Veilige spasie vir DRR

Vind meer uit deur bespreek 'n demo.