قائمة التحقق لتطبيق ISO 27701

فهم امتداد الخصوصية ISO 27701

تمتلك المؤسسات التي حصلت بالفعل على شهادة ISO 27001 أساساً قوياً في أمن المعلومات. ومع ذلك، فإن حماية البيانات من المتسللين هي نصف المعركة فقط؛ يجب عليك أيضاً حماية حقوق الخصوصية للأفراد الذين تحتفظ ببياناتهم. هنا يأتي دور معيار ISO 27701. يعد ISO 27701 امتداداً للخصوصية لمعياري ISO 27001 و ISO 27002. وهو يوفر إطار العمل لإنشاء نظام إدارة معلومات الخصوصية (PIMS).

نظراً لأنه امتداد، لا يمكنك الحصول على شهادة ISO 27701 بشكل مستقل؛ يجب تدقيقها جنباً إلى جنب مع شهادة ISO 27001 الخاصة بك أو بعدها. يتطلب المعيار منك تعيين نظام إدارة أمن المعلومات (ISMS) الحالي الخاص بك ليتوافق مع متطلبات الخصوصية.

تتمثل الخطوة الأولى الحاسمة في أي قائمة تحقق لتطبيق ISO 27701 في تحديد دور مؤسستك. يوفر المعيار متطلبات محددة ومنفصلة بناءً على ما إذا كنت متحكماً في معلومات التعريف الشخصية (PII Controller) (أنت تقرر سبب وكيفية معالجة البيانات) أو معالجاً لمعلومات التعريف الشخصية (PII Processor) (أنت تعالج البيانات نيابة عن شخص آخر). تعمل العديد من المؤسسات الحديثة بكلا الصفتين، مما يعني أنك ستحتاج إلى تطبيق ضوابط من كل من البند 7 والبند 8 من المعيار.

المرحلة الأولى السياق والنطاق وتعيين البيانات

يبدأ أساس نظام PIMS الخاص بك بالبند 5.1، والذي يتطلب منك تحديث سياق مؤسستك. بينما ركز سياق نظام ISMS الخاص بك على تهديدات الأمن السيبراني واستمرارية الأعمال، يجب أن يدمج سياق PIMS الخاص بك تشريعات الخصوصية العالمية، مثل اللائحة العامة لحماية البيانات (GDPR) أو قانون خصوصية المستهلك في كاليفورنيا (CCPA) أو قوانين حماية البيانات الإقليمية الأخرى.

بعد ذلك، يجب عليك توسيع نطاق نظام الإدارة الخاص بك رسمياً (البند 5.2) ليشمل معالجة معلومات التعريف الشخصية (PII). للقيام بذلك بفعالية، يجب أن تفهم بالضبط ما هي البيانات التي لديك. يمكن القول إن تعيين البيانات هو الجزء الأكثر استهلاكاً للوقت في قائمة التحقق لتطبيق ISO 27701.

قائمة التحقق لتعيين البيانات

• حدد جميع فئات معلومات التعريف الشخصية التي تجمعها مؤسستك.
• وثق مصدر معلومات التعريف الشخصية والأساس القانوني لجمعها.
• تتبع مسار تدفق معلومات التعريف الشخصية عبر أنظمتك الداخلية والموردين الخارجيين.
• حدد عمليات نقل البيانات عبر الحدود والآليات التي تحميها.

سؤال نموذجي من المدقق: "كيف تضمن أن نطاق PIMS الخاص بك يعكس بدقة جميع الأقسام والأنظمة التي تعالج معلومات التعريف الشخصية؟" تأكد من أن بيان النطاق الخاص بك يذكر الخصوصية صراحة ويتوافق مع جرد البيانات المحدث الخاص بك. من حالات عدم المطابقة الشائعة اكتشاف نظام تقنية معلومات خفي يعالج معلومات التعريف الشخصية وتم استبعاده من نطاق PIMS.

المرحلة الثانية تحديث منهجية تقييم المخاطر

ينص البند 5.4 على وجوب تحديث عملية تقييم المخاطر الخاصة بك لمعالجة مخاطر الخصوصية. يعد هذا تحولاً كبيراً في النموذج لفرق الأمن. في نظام ISMS القياسي، يتم تقييم المخاطر بناءً على تأثيرها على المؤسسة (مثل الخسارة المالية، والإضرار بالسمعة). في نظام PIMS، يجب تقييم المخاطر بناءً على تأثيرها على صاحب البيانات - الفرد الذي تتم معالجة بياناته.

يجب أن تراعي منهجيتك المحدثة السرية والنزاهة والتوافر والخصوصية (CIA+P) للبيانات. يجب عليك دمج تقييمات تأثير الخصوصية (PIAs) في إطار عمل إدارة المخاطر الخاص بك.

خطوات تقييم مخاطر الخصوصية

• حدد التهديدات التي تمس خصوصية أصحاب البيانات (مثل الإفراط في الجمع، والمشاركة غير المصرح بها، والاحتفاظ بالبيانات بعد الحد القانوني لها).
• قيم احتمالية وتأثير هذه التهديدات المحتمل على الأفراد.
• حدد خيارات معالجة المخاطر المناسبة من بنود ISO 27701 أرقام 6 و 7 و 8.

سينظر المدققون عن كثب إلى سجل المخاطر الخاص بك. من حالات عدم المطابقة المتكررة تقديم سجل مخاطر يسرد فقط تأثيرات الأعمال. إذا لم يذكر تقييم المخاطر الخاص بك صراحة الضرر المحتمل على أصحاب البيانات - مثل سرقة الهوية أو التمييز أو فقدان الخصوصية - فلن تجتاز تدقيق الشهادة.

المرحلة الثالثة تطبيق ضوابط متحكم البيانات

إذا كانت مؤسستك تحدد الغرض من معالجة معلومات التعريف الشخصية ووسائلها، فأنت متحكم في البيانات (PII Controller). يحدد البند 7 من ISO 27701 الضوابط المحددة التي يجب عليك تطبيقها. يتحمل المتحكمون المسؤولية الأساسية عن ضمان احترام حقوق أصحاب البيانات وأن المعالجة قانونية.

يجب أن تتضمن قائمة التحقق لتطبيق ISO 27701 آليات قوية للموافقة والشفافية. يجب عليك تقديم إشعارات خصوصية واضحة تشرح ما هي البيانات التي يتم جمعها، ولماذا يتم جمعها، ومع من يتم مشاركتها.

الضوابط الرئيسية للمتحكم

• الخصوصية حسب التصميم والافتراض: ادمج ضوابط الخصوصية في دورة حياة تطوير المنتجات والخدمات الجديدة.
• تقليل البيانات: تأكد من أنك تجمع فقط معلومات التعريف الشخصية الضرورية للغاية للغرض المعلن.
• حقوق أصحاب البيانات: نفذ إجراءات موثقة للتعامل مع طلبات الوصول إلى البيانات وتصحيحها ومحوها ونقلها ضمن الأطر الزمنية المقررة قانوناً.
• الاحتفاظ بالبيانات: فرض عمليات آلية أو يدوية لتدمير معلومات التعريف الشخصية بشكل آمن عندما لا تعد هناك حاجة إليها.

حالة عدم مطابقة شائعة: وجود سياسة مكتوبة للاحتفاظ بالبيانات ولكن الفشل في حذف بيانات العملاء القديمة فعلياً من قواعد البيانات القديمة. سيطلب المدققون أدلة فنية على أن حذف البيانات يحدث بشكل نشط.

تابع المرحلة الثالثة تطبيق ضوابط معالج البيانات

إذا كانت مؤسستك تعالج معلومات التعريف الشخصية نيابة عن عميل أو شريك، فأنت معالج بيانات (PII Processor)، وينطبق عليك البند 8. يجب على المعالجين التأكد من أنهم يتصرفون فقط بناءً على التعليمات الموثقة للمتحكم. لا يمكنك استخدام البيانات لأغراضك الخاصة، مثل التسويق أو التحليلات غير المصرح بها.

إدارة الموردين أمر بالغ الأهمية هنا. إذا كنت تستخدم معالجين من الباطن (مثل مزودي الاستضافة السحابية، وأدوات التحليلات التابعة لجهات خارجية)، فيجب عليك تمرير نفس التزامات الخصوصية إليهم.

الضوابط الرئيسية للمعالج

• تعليمات المعالجة: احتفظ بسجلات لتعليمات المتحكم وتأكد من أن جميع عمليات المعالجة تلتزم بها بدقة.
• إدارة المعالجين من الباطن: احصل على تفويض كتابي من المتحكم قبل إشراك أي معالجين من الباطن.
• مساعدة المتحكم: قدم الدعم الفني والتنظيمي لمساعدة المتحكم في تلبية طلبات حقوق أصحاب البيانات والتحقيق في خروقات البيانات.
• إرجاع البيانات أو تدميرها: أعد أو دمر جميع معلومات التعريف الشخصية بشكل آمن عند إنهاء عقد المعالجة.

سيطلب المدققون رؤية اتفاقيات معالجة البيانات (DPAs) الخاصة بك. سؤال نموذجي من المدقق هو: "أرني العملية التي تتبعها لإخطار المتحكم إذا كنت تعتقد أن تعليمات المعالجة الخاصة به تنتهك إحدى لوائح الخصوصية."

المرحلة الرابعة التوثيق والتدريب وبيان القابلية للتطبيق

يتطلب توسيع نظام ISMS الخاص بك إلى نظام PIMS تحديثات كبيرة للوثائق. أولاً، يجب عليك تحديث سياسة أمن المعلومات الشاملة الخاصة بك لتشمل التزامات صريحة بالخصوصية والامتثال لتشريعات معلومات التعريف الشخصية (البند 5.2).

بعد ذلك، يجب عليك مراجعة بيان القابلية للتطبيق (SoA). يجب أن يسرد بيان SoA الجديد الخاص بك جميع الضوابط من الملحق أ لمعيار ISO 27001، بالإضافة إلى ضوابط PIMS ذات الصلة من بنود ISO 27701 أرقام 6 و 7 و 8. لكل ضابط، يجب أن تذكر ما إذا كان قابلاً للتطبيق، ومبرر إدراجه أو استبعاده، وكيفية تنفيذه.

قائمة التحقق للتوثيق والتدريب

• قم بتحديث خطة الاستجابة للحوادث لتشمل مسارات عمل محددة وجداول زمنية صارمة لإشعارات خرق الخصوصية.
• راجع سياسات الموارد البشرية لتشمل اتفاقيات السرية التي تشير تحديداً إلى معلومات التعريف الشخصية.
• قم بإجراء تدريب على التوعية بالخصوصية قائم على الأدوار لجميع الموظفين الذين يتعاملون مع معلومات التعريف الشخصية.

يمكن أن تصبح إدارة هذه الوثائق المتداخلة فوضوية. يمكن أن يساعدك استخدام أداة خارطة طريق للامتثال أو قوالب منظمة، مثل تلك التي توفرها KaliteGO، في تتبع إصدارات المستندات والتأكد من عدم إغفال أي بنود إلزامية خلال رحلة التطبيق الخاصة بك.

المرحلة الخامسة التدقيق الداخلي والتحضير للشهادة

قبل أن تتمكن من دعوة جهة مانحة للشهادة خارجية لتقييم نظام PIMS الخاص بك، يجب عليك إجراء تدقيق داخلي شامل (البند 5.9). يجب أن يكون المدققون الداخليون لديك موضوعيين ومن الناحية المثالية لديهم تدريب محدد في لوائح الخصوصية ومتطلبات ISO 27701. يجب عليهم أخذ عينات من الأدلة عبر مجالي الأمن والخصوصية.

بعد التدقيق الداخلي، يجب على الإدارة العليا إجراء مراجعة الإدارة (البند 5.10). يجب توسيع جدول أعمال هذه المراجعة ليشمل مقاييس خاصة بنظام PIMS، مثل حجم طلبات أصحاب البيانات التي تمت معالجتها، واتجاهات خروقات الخصوصية، والتغييرات في تشريعات الخصوصية العالمية.

التحضير للتدقيق الخارجي

• تأكد من إغلاق جميع حالات عدم المطابقة التي تم العثور عليها أثناء التدقيق الداخلي بإجراءات تصحيحية موثقة.
• تحقق من أن إشعارات الخصوصية، واتفاقيات معالجة البيانات، وسجلات الموافقة يسهل على المدقق الوصول إليها.
• كن مستعداً لإثبات كيف يتم دمج الخصوصية في عملياتك اليومية، وليس فقط مكتوبة في السياسات.

خلال المرحلة الأولى من التدقيق، سيقوم المدقق بمراجعة إطار عمل PIMS والوثائق الخاصة بك. في المرحلة الثانية، سيقومون بإجراء مقابلات مع الموظفين واختبار الفعالية التشغيلية لضوابطك. باتباع قائمة التحقق لتطبيق ISO 27701 هذه، ستبني نظاماً مرناً يدمج الخصوصية والأمن بسلاسة، مما يضمن مساراً سلساً للحصول على الشهادة.