ISO 27701 Uygulama Kontrol Listesi

ISO 27701 Gizlilik Uzantısını Anlamak

Halihazırda ISO 27001 belgesine sahip olan kuruluşlar, bilgi güvenliği konusunda güçlü bir temele sahiptir. Ancak, verileri bilgisayar korsanlarından korumak işin sadece yarısıdır; aynı zamanda elinizde verisi bulunan kişilerin gizlilik haklarını da korumalısınız. İşte ISO 27701 standardı burada devreye girer. ISO 27701, ISO 27001 ve ISO 27002 için bir gizlilik uzantısıdır. Bir Gizlilik Bilgi Yönetim Sistemi (PYS) kurmak için gerekli çerçeveyi sağlar.

Bir uzantı olduğu için bağımsız olarak ISO 27701 belgesi alamazsınız; ISO 27001 belgelendirmenizle birlikte veya sonrasında denetlenmesi gerekir. Standart, mevcut Bilgi Güvenliği Yönetim Sisteminizi (BGYS) gizlilik şartlarıyla eşleştirmenizi gerektirir.

Herhangi bir ISO 27701 uygulama kontrol listesindeki kritik ilk adım, kurumsal rolünüzü belirlemektir. Standart, bir Kişisel Veri (KV) Veri Sorumlusu (verilerin neden ve nasıl işleneceğine siz karar verirsiniz) veya bir KV Veri İşleyen (verileri başkası adına işlersiniz) olmanıza bağlı olarak spesifik, ayrı şartlar sunar. Günümüzdeki birçok kuruluş her iki rolü de üstlenir, bu da standardın hem Madde 7 hem de Madde 8'indeki kontrolleri uygulamanız gerekeceği anlamına gelir.

Birinci Aşama Bağlam Kapsam ve Veri Haritalama

PYS'nizin temeli, kuruluşunuzun bağlamını güncellemenizi gerektiren Madde 5.1 ile başlar. BGYS bağlamınız siber güvenlik tehditlerine ve iş sürekliliğine odaklanırken, PYS bağlamınız GDPR, CCPA veya KVKK gibi bölgesel veri koruma yasaları dahil olmak üzere küresel gizlilik mevzuatlarını içermelidir.

Ardından, KV işlemeyi içerecek şekilde yönetim sisteminizin kapsamını (Madde 5.2) resmi olarak genişletmelisiniz. Bunu etkili bir şekilde yapmak için tam olarak hangi verilere sahip olduğunuzu anlamalısınız. Veri haritalama, ISO 27701 uygulama kontrol listesinin tartışmasız en çok zaman alan kısmıdır.

Veri Haritalama Kontrol Listesi

• Kuruluşunuz tarafından toplanan tüm KV kategorilerini belirleyin.
• KV'nin kaynağını ve toplanması için yasal dayanağı dokümante edin.
• Dahili sistemleriniz ve harici tedarikçileriniz aracılığıyla KV akışının haritasını çıkarın.
• Sınır ötesi veri aktarımlarını ve bunları koruyan mekanizmaları belirleyin.

Tipik denetçi sorusu: "PYS kapsamınızın KV işleyen tüm departmanları ve sistemleri doğru bir şekilde yansıttığından nasıl emin oluyorsunuz?" Kapsam beyanınızın gizlilikten açıkça bahsettiğinden ve güncellenmiş veri envanterinizle uyumlu olduğundan emin olun. Yaygın bir uygunsuzluk, PYS kapsamı dışında bırakılmış ancak KV işleyen bir gölge BT sisteminin keşfedilmesidir.

İkinci Aşama Risk Değerlendirme Metodolojisini Güncelleme

Madde 5.4, risk değerlendirme sürecinizin gizlilik risklerini ele alacak şekilde güncellenmesini zorunlu kılar. Bu, güvenlik ekipleri için büyük bir paradigma değişimidir. Standart bir BGYS'de riskler, kuruluş üzerindeki etkilerine (örneğin, finansal kayıp, itibar zedelenmesi) göre değerlendirilir. Bir PYS'de ise riskler, verisi işlenen birey (ilgili kişi) üzerindeki etkilerine göre değerlendirilmelidir.

Güncellenmiş metodolojiniz verilerin Gizlilik, Bütünlük, Erişilebilirlik ve Mahremiyetini (CIA+P) hesaba katmalıdır. Gizlilik Etki Değerlendirmelerini (PIA) risk yönetimi çerçevenize entegre etmelisiniz.

Gizlilik Risk Değerlendirmesi Adımları

• İlgili kişilerin gizliliğine yönelik tehditleri belirleyin (örneğin, aşırı veri toplama, yetkisiz paylaşım, verileri yasal sınırın ötesinde saklama).
• Bu tehditlerin bireyler üzerindeki olasılığını ve potansiyel etkisini değerlendirin.
• ISO 27701 Madde 6, 7 ve 8'den uygun risk işleme seçeneklerini belirleyin.

Denetçiler risk kütüğünüze yakından bakacaktır. Sık karşılaşılan bir uygunsuzluk, yalnızca iş etkilerini listeleyen bir risk kütüğü sunmaktır. Risk değerlendirmeniz ilgili kişilere yönelik potansiyel zarardan (kimlik hırsızlığı, ayrımcılık veya gizlilik kaybı gibi) açıkça bahsetmiyorsa, belgelendirme denetimini geçemezsiniz.

Üçüncü Aşama Veri Sorumlusu Kontrollerini Uygulama

Kuruluşunuz KV'nin işlenme amacını ve yöntemini belirliyorsa, siz bir Veri Sorumlususunuz. ISO 27701'in 7. Maddesi, uygulamanız gereken spesifik kontrolleri özetler. Veri Sorumluları, ilgili kişi haklarının korunmasını ve işlemenin hukuka uygun olmasını sağlamak için birincil sorumluluğu taşır.

ISO 27701 uygulama kontrol listeniz, rıza ve şeffaflık için sağlam mekanizmalar içermelidir. Hangi verilerin toplandığını, neden toplandığını ve kimlerle paylaşıldığını açıklayan net aydınlatma metinleri sunmalısınız.

Temel Veri Sorumlusu Kontrolleri

• Tasarım ve Varsayılan Olarak Gizlilik: Gizlilik kontrollerini yeni ürün ve hizmetlerin geliştirme döngüsüne entegre edin.
• Veri Minimizasyonu: Yalnızca belirtilen amacınız için kesinlikle gerekli olan KV'leri topladığınızdan emin olun.
• İlgili Kişi Hakları: Veriye erişim, düzeltme, silme ve taşınabilirlik taleplerini yasal olarak zorunlu kılınan süreler içinde ele almak için dokümante edilmiş prosedürler uygulayın.
• Veri Saklama: KV'ye artık ihtiyaç duyulmadığında güvenli bir şekilde imha etmek için otomatik veya manuel süreçleri zorunlu kılın.

Yaygın uygunsuzluk: Yazılı bir veri saklama politikasına sahip olmak ancak eski müşteri verilerini eski veritabanlarından fiilen silmemek. Denetçiler, veri silme işleminin aktif olarak gerçekleştiğine dair teknik kanıt isteyecektir.

Üçüncü Aşamanın Devamı Veri İşleyen Kontrollerini Uygulama

Kuruluşunuz bir müşteri veya ortak adına KV işliyorsa, siz bir Veri İşleyensiniz ve Madde 8 sizin için geçerlidir. Veri İşleyenler, yalnızca Veri Sorumlusunun belgelenmiş talimatlarına göre hareket ettiklerinden emin olmalıdır. Verileri pazarlama veya yetkisiz analizler gibi kendi amaçlarınız için kullanamazsınız.

Burada tedarikçi yönetimi kritiktir. Alt işleyenler (örneğin, bulut barındırma sağlayıcıları, üçüncü taraf analiz araçları) kullanıyorsanız, aynı gizlilik yükümlülüklerini onlara da aktarmalısınız.

Temel Veri İşleyen Kontrolleri

• İşleme Talimatları: Veri Sorumlusunun talimatlarının kayıtlarını tutun ve tüm işlemlerin bunlara sıkı sıkıya bağlı kalmasını sağlayın.
• Alt İşleyen Yönetimi: Herhangi bir alt işleyenle anlaşmadan önce Veri Sorumlusundan yazılı izin alın.
• Veri Sorumlusuna Destek: Veri Sorumlusunun ilgili kişi hakları taleplerini yerine getirmesine ve veri ihlallerini araştırmasına yardımcı olmak için teknik ve organizasyonel destek sağlayın.
• Veri İadesi veya İmhası: İşleme sözleşmesinin feshi üzerine tüm KV'leri güvenli bir şekilde iade edin veya imha edin.

Denetçiler Veri İşleme Sözleşmelerinizi (DPA) görmek isteyecektir. Tipik bir denetçi sorusu şudur: "İşleme talimatlarının bir gizlilik mevzuatını ihlal ettiğine inanıyorsanız, Veri Sorumlusunu bilgilendirmek için izlediğiniz süreci bana gösterin."

Dördüncü Aşama Dokümantasyon Eğitim ve Uygulanabilirlik Bildirgesi

BGYS'nizi bir PYS'ye genişletmek, önemli dokümantasyon güncellemeleri gerektirir. İlk olarak, gizliliğe ve KV mevzuatına uyuma yönelik açık taahhütleri içerecek şekilde kapsayıcı Bilgi Güvenliği Politikanızı güncellemelisiniz (Madde 5.2).

Ardından, Uygulanabilirlik Bildirgenizi (SoA) revize etmelisiniz. Yeni SoA'nız, ISO 27001 Ek A'daki tüm kontrollerin yanı sıra ISO 27701 Madde 6, 7 ve 8'deki ilgili PYS kontrollerini listelemelidir. Her kontrol için uygulanabilir olup olmadığını, dahil edilme veya hariç tutulma gerekçesini ve nasıl uygulandığını belirtmelisiniz.

Dokümantasyon ve Eğitim Kontrol Listesi

• Olay Müdahale Planını, gizlilik ihlali bildirimleri için spesifik iş akışlarını ve kesin zaman çizelgelerini içerecek şekilde güncelleyin.
• İK politikalarını, özellikle KV'ye atıfta bulunan gizlilik sözleşmelerini içerecek şekilde revize edin.
• KV işleyen tüm çalışanlar için role dayalı gizlilik farkındalık eğitimi düzenleyin.

Bu örtüşen belgeleri yönetmek kaotik hale gelebilir. KaliteGO tarafından sağlananlar gibi yapılandırılmış şablonlar veya bir uyumluluk yol haritası aracı kullanmak, belge sürümlerini izlemenize ve uygulama yolculuğunuz sırasında hiçbir zorunlu maddenin gözden kaçmamasını sağlamanıza yardımcı olabilir.

Beşinci Aşama İç Tetkik ve Belgelendirmeye Hazırlık

PYS'nizi değerlendirmesi için harici bir belgelendirme kuruluşunu (örneğin TÜRKAK akreditasyonuna sahip bir kurumu) davet etmeden önce, kapsamlı bir iç tetkik (Madde 5.9) gerçekleştirmelisiniz. İç tetkikçileriniz objektif olmalı ve ideal olarak gizlilik mevzuatları ve ISO 27701 şartları konusunda özel eğitim almış olmalıdır. Hem güvenlik hem de gizlilik alanlarından kanıt örneklemelidirler.

İç tetkikin ardından, üst yönetim bir Yönetimi Gözden Geçirme (YGG) toplantısı yapmalıdır (Madde 5.10). Bu gözden geçirmenin gündemi; işlenen ilgili kişi taleplerinin hacmi, gizlilik ihlali eğilimleri ve küresel gizlilik mevzuatındaki değişiklikler gibi PYS'ye özgü metrikleri içerecek şekilde genişletilmelidir.

Dış Denetime Hazırlık

• İç tetkik sırasında bulunan tüm uygunsuzlukların dokümante edilmiş düzeltici faaliyetlerle kapatıldığından emin olun.
• Aydınlatma metinlerinin, DPA'ların ve rıza kayıtlarının denetçi için kolayca erişilebilir olduğunu doğrulayın.
• Gizliliğin sadece politikalarda yazılı kalmayıp günlük operasyonlarınıza nasıl entegre edildiğini göstermeye hazır olun.

Aşama 1 denetimi sırasında denetçi, PYS çerçevenizi ve dokümantasyonunuzu gözden geçirecektir. Aşama 2'de ise personelle görüşecek ve kontrollerinizin operasyonel etkinliğini test edecektir. Bu ISO 27701 uygulama kontrol listesini takip ederek, gizlilik ve güvenliği sorunsuz bir şekilde entegre eden dayanıklı bir sistem kuracak ve belgelendirmeye giden sorunsuz bir yol sağlayacaksınız.