Checklist de implementación ISO 27701

Entendiendo la extensión de privacidad ISO 27701

Las organizaciones que ya han logrado la certificación ISO 27001 tienen una base sólida en seguridad de la información. Sin embargo, proteger los datos de los piratas informáticos es solo la mitad de la batalla; también debe proteger los derechos de privacidad de las personas cuyos datos posee. Aquí es donde entra en juego la norma ISO 27701. La ISO 27701 es una extensión de privacidad de la ISO 27001 y la ISO 27002. Proporciona el marco para establecer un Sistema de Gestión de Información de Privacidad (SGIP).

Debido a que es una extensión, no puede certificarse en ISO 27701 de forma independiente; debe ser auditada junto con o después de su certificación ISO 27001. La norma requiere que asigne su Sistema de Gestión de Seguridad de la Información (SGSI) existente a los requisitos de privacidad.

Un primer paso crítico en cualquier checklist de implementación ISO 27701 es determinar su rol organizacional. La norma proporciona requisitos específicos y separados dependiendo de si usted es un Responsable del tratamiento de Información Identificable Personal (IIP) (usted decide por qué y cómo se procesan los datos) o un Encargado del tratamiento de IIP (procesa datos en nombre de otra persona). Muchas organizaciones modernas actúan como ambos, lo que significa que deberá implementar controles tanto de la Cláusula 7 como de la Cláusula 8 de la norma.

Fase uno contexto alcance y mapeo de datos

La base de su SGIP comienza con la Cláusula 5.1, que requiere que actualice el contexto de su organización. Mientras que el contexto de su SGSI se centraba en las amenazas de ciberseguridad y la continuidad del negocio, el contexto de su SGIP debe incorporar la legislación de privacidad global, como el RGPD, la CCPA u otras leyes regionales de protección de datos.

A continuación, debe ampliar formalmente el alcance de su sistema de gestión (Cláusula 5.2) para incluir el procesamiento de IIP. Para hacer esto de manera efectiva, debe comprender exactamente qué datos tiene. El mapeo de datos es posiblemente la parte que más tiempo consume del checklist de implementación ISO 27701.

Checklist de mapeo de datos

• Identifique todas las categorías de IIP recopiladas por su organización.
• Documente la fuente de la IIP y la base legal para recopilarla.
• Mapee el flujo de IIP a través de sus sistemas internos y proveedores externos.
• Identifique las transferencias de datos transfronterizas y los mecanismos que las protegen.

Pregunta típica del auditor: "¿Cómo se asegura de que el alcance de su SGIP refleje con precisión todos los departamentos y sistemas que procesan IIP?" Asegúrese de que su declaración de alcance mencione explícitamente la privacidad y se alinee con su inventario de datos actualizado. Una no conformidad común es descubrir un sistema de TI en la sombra que procesa IIP y que fue excluido del alcance del SGIP.

Fase dos actualización de la metodología de riesgos

La Cláusula 5.4 exige que su proceso de evaluación de riesgos se actualice para abordar los riesgos de privacidad. Este es un cambio de paradigma importante para los equipos de seguridad. En un SGSI estándar, los riesgos se evalúan en función de su impacto en la organización (por ejemplo, pérdida financiera, daño a la reputación). En un SGIP, los riesgos deben evaluarse en función de su impacto en el titular de la IIP: el individuo cuyos datos se están procesando.

Su metodología actualizada debe tener en cuenta la Confidencialidad, Integridad, Disponibilidad y Privacidad (CID+P) de los datos. Debe integrar las Evaluaciones de Impacto en la Privacidad (EIP) en su marco de gestión de riesgos.

Pasos para la evaluación de riesgos de privacidad

• Identifique las amenazas a la privacidad de los interesados (por ejemplo, recopilación excesiva, intercambio no autorizado, retención de datos más allá de su límite legal).
• Evalúe la probabilidad y el impacto potencial de estas amenazas en las personas.
• Seleccione las opciones de tratamiento de riesgos adecuadas de las Cláusulas 6, 7 y 8 de la norma ISO 27701.

Los auditores examinarán de cerca su registro de riesgos. Una no conformidad frecuente es presentar un registro de riesgos que solo enumera los impactos comerciales. Si su evaluación de riesgos no menciona explícitamente el daño potencial a los interesados, como el robo de identidad, la discriminación o la pérdida de privacidad, no superará la auditoría de certificación.

Fase tres implementación de controles del responsable

Si su organización determina el propósito y los medios del procesamiento de IIP, usted es un Responsable del tratamiento de IIP. La Cláusula 7 de la norma ISO 27701 describe los controles específicos que debe implementar. Los responsables tienen la responsabilidad principal de garantizar que se respeten los derechos de los interesados y que el procesamiento sea lícito.

Su checklist de implementación ISO 27701 debe incluir mecanismos sólidos para el consentimiento y la transparencia. Debe proporcionar avisos de privacidad claros que expliquen qué datos se recopilan, por qué se recopilan y con quién se comparten.

Controles clave del responsable

• Privacidad desde el diseño y por defecto: Integre controles de privacidad en el ciclo de vida de desarrollo de nuevos productos y servicios.
• Minimización de datos: Asegúrese de recopilar solo la IIP que sea estrictamente necesaria para su propósito establecido.
• Derechos de los interesados: Implemente procedimientos documentados para manejar las solicitudes de acceso, corrección, eliminación y portabilidad de datos dentro de los plazos legalmente establecidos.
• Retención de datos: Aplique procesos automatizados o manuales para destruir de forma segura la IIP cuando ya no sea necesaria.

No conformidad común: Tener una política de retención de datos por escrito pero no eliminar realmente los datos antiguos de los clientes de las bases de datos heredadas. Los auditores pedirán pruebas técnicas de que la eliminación de datos se está produciendo activamente.

Fase tres continuación controles del encargado

Si su organización procesa IIP en nombre de un cliente o socio, usted es un Encargado del tratamiento de IIP, y se le aplica la Cláusula 8. Los encargados deben asegurarse de actuar únicamente siguiendo las instrucciones documentadas del Responsable. No puede utilizar los datos para sus propios fines, como marketing o análisis no autorizados.

La gestión de proveedores es fundamental aquí. Si utiliza subencargados (por ejemplo, proveedores de alojamiento en la nube, herramientas de análisis de terceros), debe transferirles las mismas obligaciones de privacidad.

Controles clave del encargado

• Instrucciones de procesamiento: Mantenga registros de las instrucciones del Responsable y asegúrese de que todo el procesamiento se adhiera estrictamente a ellas.
• Gestión de subencargados: Obtenga autorización por escrito del Responsable antes de contratar a cualquier subencargado.
• Asistencia al Responsable: Proporcione apoyo técnico y organizativo para ayudar al Responsable a cumplir con las solicitudes de derechos de los interesados e investigar las violaciones de datos.
• Devolución o destrucción de datos: Devuelva o destruya de forma segura toda la IIP tras la finalización del contrato de procesamiento.

Los auditores solicitarán ver sus Acuerdos de Procesamiento de Datos (APD). Una pregunta típica del auditor es: "Muéstreme el proceso que sigue para notificar a un Responsable si cree que sus instrucciones de procesamiento violan una regulación de privacidad".

Fase cuatro documentación formación y la DdA

Ampliar su SGSI a un SGIP requiere importantes actualizaciones de documentación. En primer lugar, debe actualizar su Política de Seguridad de la Información general para incluir compromisos explícitos con la privacidad y el cumplimiento de la legislación sobre IIP (Cláusula 5.2).

A continuación, debe revisar su Declaración de Aplicabilidad (DdA). Su nueva DdA debe enumerar todos los controles del Anexo A de la norma ISO 27001, más los controles del SGIP pertinentes de las Cláusulas 6, 7 y 8 de la norma ISO 27701. Para cada control, debe indicar si es aplicable, la justificación de su inclusión o exclusión y cómo se implementa.

Checklist de documentación y formación

• Actualice el Plan de Respuesta a Incidentes para incluir flujos de trabajo específicos y plazos estrictos para las notificaciones de violaciones de privacidad.
• Revise las políticas de RR. HH. para incluir acuerdos de confidencialidad que hagan referencia específica a la IIP.
• Lleve a cabo una formación de concienciación sobre privacidad basada en roles para todos los empleados que manejan IIP.

La gestión de estos documentos superpuestos puede volverse caótica. El uso de una herramienta de hoja de ruta de cumplimiento o plantillas estructuradas, como las que proporciona KaliteGO, puede ayudarle a realizar un seguimiento de las versiones de los documentos y garantizar que ninguna cláusula obligatoria se pase por alto durante su viaje de implementación.

Fase cinco auditoría interna y certificación

Antes de invitar a una entidad de certificación acreditada (por ejemplo, por ENAC o EMA) a evaluar su SGIP, debe realizar una auditoría interna exhaustiva (Cláusula 5.9). Sus auditores internos deben ser objetivos e idealmente tener formación específica en normativas de privacidad y requisitos de la norma ISO 27701. Deben tomar muestras de pruebas tanto en el ámbito de la seguridad como en el de la privacidad.

Tras la auditoría interna, la alta dirección debe llevar a cabo una Revisión por la Dirección (Cláusula 5.10). La agenda de esta revisión debe ampliarse para incluir métricas específicas del SGIP, como el volumen de solicitudes de los interesados procesadas, las tendencias de las violaciones de privacidad y los cambios en la legislación de privacidad global.

Preparación para la auditoría externa

• Asegúrese de que todas las no conformidades encontradas durante la auditoría interna se cierren con acciones correctivas documentadas.
• Verifique que los avisos de privacidad, los APD y los registros de consentimiento sean fácilmente accesibles para el auditor.
• Esté preparado para demostrar cómo se integra la privacidad en sus operaciones diarias, no solo escrita en las políticas.

Durante la auditoría de Fase 1, el auditor revisará su marco y documentación del SGIP. En la Fase 2, entrevistarán al personal y probarán la eficacia operativa de sus controles. Al seguir este checklist de implementación ISO 27701, construirá un sistema resiliente que integre a la perfección la privacidad y la seguridad, garantizando un camino fluido hacia la certificación.