ISO 27701 – Klousule 7.4 – Privaatheid deur ontwerp en privaatheid by verstek

ISO 27701 Klousule 7.4.1 – Beperk versameling

Doel van klousule 7.4.1

Organisasies moet hul versameling van PII beperk op grond van drie faktore:

• Relevansie.
• Proporsionaliteit.
• Noodsaaklikheid.

Leiding oor Klousule 7.4.1

Organisasies moet slegs PII insamel – hetsy direk of indirek – in ooreenstemming met bogenoemde faktore, en slegs vir doeleindes wat relevant en nodig is vir hul gestelde doel.

As 'n konsep moet 'privaatheid by verstek' nagekom word – maw enige opsionele funksies moet by verstek gedeaktiveer word.

ISO 27701 Klousule 7.4.2 – Beperk verwerking

Doel van klousule 7.4.2

Om ISO 27701 7.4.1 te vergesel, moet organisasies ook slegs PII verwerk as dit relevant, proporsioneel en nodig is om 'n gestelde doel te vervul.

Leiding oor Klousule 7.4.2

PII-verwerking sluit in:

• Bekendmaking.
• Stoor.
• Toeganklikheid.

Al die bogenoemde funksies moet uitgevoer word tot die minimum vlakke wat nodig is om 'n doelwit te bereik.

Organisasies moet die verwerking van PII in samewerking met gepubliseerde inligtingsekuriteitsprosesse, -beleide en -prosedures beperk (sien ISO 27701 Klousule 6.2).

Relevante ISO 27701-klousules

• ISO 27701 6.2

ISO 27701 Klousule 7.4.3 – Akkuraatheid en Kwaliteit

Doel van klousule 7.4.3

Organisasies moet stappe doen om te verseker dat PII is akkuraat, volledige en up-to-date, deur sy hele lewensiklus.

Leiding oor Klousule 7.4.3

Organisatoriese inligtingsekuriteitsbeleide en tegniese konfigurasies moet stappe bevat wat poog om foute regdeur sy PII-verwerkingsoperasie te minimaliseer, insluitend kontroles oor hoe om op onakkuraathede te reageer.

ISO 27701 Klousule 7.4.4 – PII-minimaliseringsdoelwitte

Doel van klousule 7.4.4

Organisasies moet 'dataminimisering'-prosedures saamstel, insluitend meganismes soos de-identifikasie.

Leiding oor Klousule 7.4.4

Dataminimalisering moet gebruik word om te verseker dat PII-insameling en verwerking beperk word tot die 'geïdentifiseerde doel' van elke funksie (sien ISO 27701 Klousule 7.2.1).

'n Groot deel van hierdie proses behels die dokumentasie van die mate waarin 'n PII-hoofinligting direk aan hulle toegeskryf moet word, en hoe minimalisering bereik moet word deur 'n verskeidenheid beskikbare metodes.

Organisasies moet die spesifieke tegnieke uiteensit wat gebruik word om PII-prinsipale te de-identifiseer, soos:

• Randomisering.
• Geraas toevoeging.
• Veralgemening.
• Eienskap verwydering.

Relevante ISO 27701-klousules

• ISO 27701 7.2.1

ISO 27701 Klousule 7.4.5 – PII de-identifikasie en uitvee aan die einde van verwerking

Doel van klousule 7.4.5

Organisasies moet óf enige PII wat nie meer 'n doel vervul, heeltemal vernietig nie, óf dit verander op 'n manier wat enige vorm van hoofidentifikasie verhoed.

Leiding oor Klousule 7.4.5

Sodra die organisasie vasgestel het dat die PII nie te eniger tyd in die toekoms verwerk hoef te word nie, moet die inligting geskrap or de-geïdentifiseer, soos die omstandighede dit voorskryf.

ISO 27701 Klousule 7.4.6 – Tydelike lêers

Doel van klousule 7.4.6

Tydelike lêers word vir 'n aantal tegniese redes geskep, regdeur die PII-verwerking en versamelingslewensiklus, oor talle toepassings, stelsels en sekuriteitsplatforms.

Organisasies moet verseker dat hierdie lêers binne 'n redelike tyd vernietig word, in ooreenstemming met 'n amptelike bewaringsbeleid.

Leiding oor Klousule 7.4.6

'n Eenvoudige manier om die bestaan ​​van sulke lêers te identifiseer, is om periodieke kontroles van tydelike lêers oor die netwerk uit te voer. Tydelike lêers sluit dikwels in:

• Databasisopdateringlêers.
• Gekas inligting.
• Lêers geskep deur toepassings en pasgemaakte sagtewarepakkette.

Organisasies moet voldoen aan 'n sg vullisverwyderingsprosedure wat tydelike lêers uitvee wanneer dit nie meer nodig is nie.

ISO 27701 Klousule 7.4.7 – Behoud

Doel van klousule 7.4.7

Dit is uiters belangrik dat organisasies hul verpligtinge erken om PII uit te vee en/of ontslae te raak van PII wat nie meer nodig is om 'n gestelde doel te bereik nie.

Leiding oor Klousule 7.4.7

Organisasies moet kategoriese bewaringskedules opstel en daarby hou wat die presiese tydperk uiteensit wat PII-prinsipale kan verwag dat hul data gestoor moet word.

Behoudskedules moet aangepas word rondom enige wetlike, statutêre of kontraktuele vereistes wat bepaal hoe lank PII op enige gegewe platform gestoor moet word.

ISO 27701 Klousule 7.4.8 – Wegdoening

Doel van klousule 7.4.8

Organisasies moet duidelike beleide en prosedures hê wat bepaal hoe PII weggedoen word.

Leiding oor Klousule 7.4.8

Dataverwydering is 'n wydlopende onderwerp wat 'n magdom verskillende veranderlikes bevat, gebaseer op die vereiste wegdoeningstegniek en die aard van die data waaroor weggedoen word.

Organisasies moet in ag neem:

• Wat die PII insluit.
• Enige oorblywende metadata wat langs die hoofdata uitgevee moet word.
• Die tipe bergingsmedia waarop die PII gehou word.

ISO 27701 Klousule 7.4.9 – PII-transmissiekontroles

Doel van klousule 7.4.9

Enige PII wat na 'n derdeparty-organisasie oorgedra sal word, moet dit gedoen word met die grootste sorg vir die inligting wat gestuur word, met behulp van veilige maniere.

Leiding oor Klousule 7.4.9

Organisasies moet verseker dat slegs gemagtigde personeel toegang tot transmissiestelsels het, en dit doen op 'n manier wat maklik geoudit kan word met die uitsluitlike doel om die inligting te kry waar dit moet gaan sonder voorval.

Ondersteunende GDPR-artikels

Verskeie elemente van ISO 27701 Klousule 7.4 is van toepassing binne die VK BBP wetgewing. Kyk na die onderstaande tabel vir die ooreenstemmende verwysings.

Hoe ISMS.online help

Die ISMS.online platform bied geïntegreerde bystand in elke stadium, en ons 'Adopt, Adapt, Add' implementeringsbenadering tot ISO 27701, om die proses baie makliker te maak.

Jy sal ook baat vind by 'n verskeidenheid tydbesparende kenmerke.

As jy om enige rede 'n gebrek aan selfvertroue, vermoë of die dryfkrag ervaar tydens jou reis na ISO 27701, kan ons ons span interne kundiges beskikbaar stel.

Vind meer uit deur bespreek 'n demo.