Hoe ISO 27701 privaatheid tydens indiensneming verseker: 'n Gids vir klousule 6.4.2
Organisasies het 'n verpligting teenoor hul personeel, wat strek tot hulle om personeel in te lig oor wat van hulle verwag word binne die konteks van privaatheidbeskerming en PII – beide op 'n algemene en onderwerpspesifieke vlak.
In hul hoedanigheid as PII-beheerders, moet organisasies deurlopende opleiding en bewusmakingsprogramme verskaf, en voldoen aan 'n robuuste dissiplinêre beleid wat duidelike verwagtinge aan beide kante stel, in die geval van 'n data-oortreding.
Wat word gedek in ISO 27701 Klousule 6.4.2
ISO 27701 6.4.2 bevat drie hoofsubklousules wat handel oor verskeie aspekte van diensspesifieke privaatheidsbeskermingsonderwerpe.
Elke onderwerp bevat leiding van 'n aantal ISO 27002-kontroles, aangebied binne die konteks van organisatoriese privaatheidsinligtingbestuur en PII-beskerming:
- ISO 27701 Klousule 6.4.2.1 – Bestuursverantwoordelikhede (Verwysings ISO 27002 Beheer 5.4)
- ISO 27701 Klousule 6.4.2.2 – Inligtingsekuriteitsbewustheid, onderwys en opleiding (Verwysings ISO 27002 Beheer 6.3)
- ISO 27701 Klousule 6.4.2.3 – Dissiplinêre prosedures (Verwysings ISO 27002 Beheer 6.4)
Bykomende PIMS-spesifieke leiding met betrekking tot die verwerking van PII kan gevind word in klousule 6.4.2.1, wat ook gekoppel is aan VK GDPR-wetgewing.
Neem asseblief kennis dat GDPR vergelykings is vir slegs indikatiewe doeleindes. Organisasies moet die wetgewing onder die loep neem en hul eie oordeel maak oor watter dele van die wet op hulle van toepassing is.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
ISO 27701 Klousule 6.4.2.1 – Bestuursverantwoordelikhede
Verwysings ISO 27002 Beheer 5.4
Bestuur speel 'n sleutelrol in die handhawing van privaatheidbeskermingstandaarde – beide vanuit 'n administratiewe perspektief, en ook om te verseker dat personeel verstaan wat van hulle verwag word, en hulself dienooreenkomstig optree.
Senior bestuur moet verseker dat alle personeel:
- Erken hul individuele verantwoordelikhede teenoor privaatheidsinligtingbestuur en privaatheidsbeskerming – beide in die algemeen en vanuit 'n onderwerpspesifieke perspektief – voordat hulle toegelaat word om met PII en verwante bates te kommunikeer (sien ISO 27002 6.3).
- Word voorsien van 'n duidelike stel riglyne en prosedures wat privaatheidsbeskerming binne die konteks van hul rol beheer.
- Kry die hulpbronne en toepaslike vlakke van gesag om projekte/veranderings te beplan, en voldoen aan die organisasie se algemene en onderwerpspesifieke privaatheidsbeskermingsbeleide.
- Verstaan die bepalings en voorwaardes van hul diens, wat verband hou met privaatheidsbeskerming, en wat dit in die praktyk beteken.
- Kry die geleentheid om hul begrip van privaatheidsbeskerming te ontwikkel, beide as 'n konsep en 'n deurlopende operasionele oorweging.
- Verstaan hoe om oortredings van privaatheidsbeskermingsbeleide oor die organisasie heen (ook bekend as "fluitjieblaas") anoniem te kommunikeer, en word van die middele voorsien.
Relevante kontroles
- ISO 27002 6.3
ISO 27701 Klousule 6.4.2.2 – Inligtingsekuriteitsbewustheid, onderwys en opleiding
Verwysings ISO 27002 Beheer 6.3
opleiding
Deurlopende werkplekopleiding verseker dat personeel op hoogte gehou word van organisatoriese privaatheidsbeskermingsbeleide (algemeen en onderwerpspesifiek), veranderinge binne PII-wetgewing en sektorspesifieke regulatoriese riglyne.
As 'n algemene benadering moet organisasies periodieke personeelopleidingsprogramme (insluitend tydens die aanboordfase) implementeer wat spesifiek ooreenstem met hul eie algemene en onderwerpspesifieke privaatheidsbeskermingsbeleide, en PIMS-verwante vereistes.
Opleidingsformate kan die volgende insluit:
- e-leer.
- Een-tot-een konsultasie.
- Personeellede wat mekaar skadu.
- Toegewyde opleidingseminare wat deur onderwerpspesifieke of algemene privaatheidsbeskermingspesialiste gehou word.
- Werkplek mentorskap.
Personeel met 'n gespesialiseerde rol om te speel in privaatheidsbeskerming – bv. IKT-instandhoudingspersoneel – behoort voordeel te trek uit gespesialiseerde opleidingsplanne wat die integrale rol wat hulle speel in die beveiliging van PII in ag neem.
Opleidingsplanne/sessies moet afgesluit word met 'n assessering wat die organisasie 'n bo-na-onder-oorsig gee van bevoegdheidsvlakke op 'n werknemer-vir-werknemer-basis.
Bewusmakingsprogramme
Om opleiding in die werkplek aan te vul, moet organisasies ook bewusmakingsprogramme vir privaatheidbeskerming ontplooi wat personeel voorsien van 'n reeks materiaal wat as inligtingspunte optree oor die onderwerp van PII en organisatoriese privaatheidbeskerming.
Bewusmakingsprogramme kan die volgende insluit:
- pamflette.
- boekies.
- kantoor plakkate.
- toegewyde webwerwe.
- span inligtingsessies.
Bewusmakingspogings moet gefokus wees op:
- Hoe bestuur beplan om nakoming van privaatheidbeskerming regoor die organisasie te handhaaf, en wie die belangrikste kontakpunte is vir PII-verwante aangeleenthede.
- Wat die organisasie se voldoeningsvereistes is, met inagneming van wette, regulatoriese bepalings, kontraktuele verpligtinge en verskaffersooreenkomste.
- Beklemtoon die behoefte aan persoonlike aanspreeklikheid wanneer dit kom by die beskerming van PII, en wat die gevolge is vir toevallige of doelgerigte prosedurele oortredings.
- Fundamentele IKT-sekuriteitsbeginsels, soos wagwoordsekuriteit en voorvalverslagdoening.
- Hoe personeel hulself kan inlig oor die fyner aspekte van privaatheidbeskerming (verdere leeswerk, hulpbronlyste, ens.).
Bykomende PIMS-spesifieke leiding
PII moet as sy eie afsonderlike onderwerp binne privaatheidsbeskermingsopleidingsprogramme hanteer word.
Personeel moet deeglik bewus gemaak word van die spesifieke wetlike, kommersiële, reputasie- en dissiplinêre gevolge wat voortspruit uit die wanaanwending en/of wanhantering van PII.
GDPR Leiding
- Artikel 39 – (1)(b)
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
ISO 27701 Klousule 6.4.2.3 – Dissiplinêre Prosedures
Verwysings ISO 27002 Beheer 6.4
Organisasies moet dissiplinêre prosedures ontwikkel wat voorsiening maak vir individue wat algemene of onderwerpspesifieke privaatheidsbeskermingsbeleide oortree het.
Voordat enige dissiplinêre stappe geneem word, is dit belangrik dat die organisasie bevestig dat 'n beleidsoortreding wel plaasgevind het (sien ISO 27002 5.28).
Dissiplinêre prosedures moet in ag neem:
- Die onderliggende aard van die data-oortreding, en wat die verskillende gevolge is.
- Die motiewe van die betrokke individu, en of die oortreding opsetlik was of nie.
- Hoeveel keer het die individu privaatheidsbeskermingsbeleid oortree.
- As die individu voldoende opleiding ontvang het oor die relevante aspekte van privaatheidbeskerming.
- Enige individuele reg op anonimiteit, regdeur die dissiplinêre proses.
Dissiplinêre optrede in die geval van 'n bevestigde oortreding moet gebruik word as 'n afskrikmiddel vir soortgelyke aktiwiteit, en moet die organisasie se verpligtinge as 'n PII-beheerder en verwerker in ag neem, tesame met alle relevante wette, regulatoriese riglyne en kontraktuele verpligtinge.
Relevante kontroles
- ISO 27002 5.28
Ondersteunende kontroles vanaf ISO 27002 en GDPR
| ISO 27701 Klousule Identifiseerder | ISO 27701 Klousule Naam | ISO 27002-vereiste | Geassosieerde GDPR-artikels |
|---|---|---|---|
| 6.4.2.1 | Bestuursverantwoordelikhede |
5.4 – Bestuursverantwoordelikhede vir ISO 27002 |
Geen |
| 6.4.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
6.3 – Inligtingsekuriteitsbewustheid, onderwys en opleiding vir ISO 27002 |
Artikel (39) |
| 6.4.2.3 | Dissiplinêre Prosedures |
6.4 – Dissiplinêre proses vir ISO 27002 |
Geen |
Hoe ISMS.online help
Ons het u gedek.
As jy om enige rede 'n gebrek aan selfvertroue, vermoë of die dryfkrag ervaar tydens jou reis na ISO 27701, kan ons ons span interne kundiges beskikbaar stel of een van ons betroubare vennote aanbeveel om jou pogings 'n hupstoot te gee.
Hier om te help wanneer jy dit nodig het.
Vind meer uit deur bespreek 'n demo.
