Check-list de mise en œuvre ISO 27701

Comprendre l'extension de confidentialité ISO 27701

Les organisations qui ont déjà obtenu la certification ISO 27001 disposent d'une base solide en matière de sécurité de l'information. Cependant, protéger les données contre les pirates informatiques n'est que la moitié du chemin ; vous devez également protéger les droits à la vie privée des individus dont vous détenez les données. C'est ici qu'intervient la norme ISO 27701. L'ISO 27701 est une extension de confidentialité aux normes ISO 27001 et ISO 27002. Elle fournit le cadre nécessaire pour établir un Système de Management des Informations de Confidentialité (SMIP).

Étant donné qu'il s'agit d'une extension, vous ne pouvez pas être certifié ISO 27701 de manière indépendante ; elle doit être auditée en même temps ou après votre certification ISO 27001. La norme exige que vous fassiez correspondre votre Système de Management de la Sécurité de l'Information (SMSI) existant aux exigences de confidentialité.

Une première étape critique de toute check-list de mise en œuvre ISO 27701 consiste à déterminer votre rôle organisationnel. La norme fournit des exigences spécifiques et distinctes selon que vous êtes un Responsable de traitement des Informations Identifiant Personnellement (IIP) (vous décidez pourquoi et comment les données sont traitées) ou un Sous-traitant d'IIP (vous traitez les données pour le compte d'un tiers). De nombreuses organisations modernes agissent en tant que les deux, ce qui signifie que vous devrez mettre en œuvre les contrôles de l'Article 7 et de l'Article 8 de la norme.

Phase un contexte périmètre et cartographie

La fondation de votre SMIP commence avec l'Article 5.1, qui exige que vous mettiez à jour le contexte de votre organisation. Alors que le contexte de votre SMSI se concentrait sur les cybermenaces et la continuité des activités, le contexte de votre SMIP doit intégrer la législation mondiale sur la confidentialité, telle que le RGPD, le CCPA ou d'autres lois régionales sur la protection des données.

Ensuite, vous devez formellement élargir le périmètre de votre système de management (Article 5.2) pour inclure le traitement des IIP. Pour le faire efficacement, vous devez comprendre exactement quelles données vous possédez. La cartographie des données est sans doute la partie qui prend le plus de temps dans la check-list de mise en œuvre ISO 27701.

Check-list de cartographie des données

• Identifiez toutes les catégories d'IIP collectées par votre organisation.
• Documentez la source des IIP et la base légale de leur collecte.
• Cartographiez le flux des IIP à travers vos systèmes internes et vos fournisseurs externes.
• Identifiez les transferts de données transfrontaliers et les mécanismes qui les protègent.

Question typique de l'auditeur : "Comment vous assurez-vous que le périmètre de votre SMIP reflète avec précision tous les départements et systèmes qui traitent des IIP ?" Assurez-vous que votre déclaration de périmètre mentionne explicitement la confidentialité et s'aligne sur votre inventaire de données mis à jour. Une non-conformité courante consiste à découvrir un système de Shadow IT traitant des IIP qui a été exclu du périmètre du SMIP.

Phase deux mise à jour de l'évaluation des risques

L'Article 5.4 exige que votre processus d'évaluation des risques soit mis à jour pour traiter les risques liés à la vie privée. Il s'agit d'un changement de paradigme majeur pour les équipes de sécurité. Dans un SMSI standard, les risques sont évalués en fonction de leur impact sur l'organisation (par exemple, perte financière, atteinte à la réputation). Dans un SMIP, les risques doivent être évalués en fonction de leur impact sur la personne concernée par les IIP, c'est-à-dire l'individu dont les données sont traitées.

Votre méthodologie mise à jour doit prendre en compte la Disponibilité, l'Intégrité, la Confidentialité et la Vie Privée (DIC+V) des données. Vous devez intégrer les Analyses d'Impact sur la Protection des Données (AIPD) dans votre cadre de gestion des risques.

Étapes de l'évaluation des risques liés à la vie privée

• Identifiez les menaces pesant sur la vie privée des personnes concernées (par exemple, collecte excessive, partage non autorisé, conservation des données au-delà de la limite légale).
• Évaluez la probabilité et l'impact potentiel de ces menaces sur les individus.
• Sélectionnez les options de traitement des risques appropriées parmi les Articles 6, 7 et 8 de l'ISO 27701.

Les auditeurs examineront de près votre registre des risques. Une non-conformité fréquente consiste à présenter un registre des risques qui ne liste que les impacts commerciaux. Si votre évaluation des risques ne mentionne pas explicitement le préjudice potentiel pour les personnes concernées (comme l'usurpation d'identité, la discrimination ou la perte de confidentialité), vous ne réussirez pas l'audit de certification.

Phase trois contrôles du responsable de traitement

Si votre organisation détermine la finalité et les moyens du traitement des IIP, vous êtes un Responsable de traitement des IIP. L'Article 7 de l'ISO 27701 décrit les contrôles spécifiques que vous devez mettre en œuvre. Les responsables de traitement portent la responsabilité principale de s'assurer que les droits des personnes concernées sont respectés et que le traitement est licite.

Votre check-list de mise en œuvre ISO 27701 doit inclure des mécanismes robustes pour le consentement et la transparence. Vous devez fournir des avis de confidentialité clairs qui expliquent quelles données sont collectées, pourquoi elles le sont et avec qui elles sont partagées.

Contrôles clés du responsable de traitement

• Protection des données dès la conception et par défaut : Intégrez les contrôles de confidentialité dans le cycle de développement des nouveaux produits et services.
• Minimisation des données : Assurez-vous de ne collecter que les IIP strictement nécessaires à votre finalité déclarée.
• Droits des personnes concernées : Mettez en œuvre des procédures documentées pour traiter les demandes d'accès, de rectification, d'effacement et de portabilité des données dans les délais légaux.
• Conservation des données : Appliquez des processus automatisés ou manuels pour détruire de manière sécurisée les IIP lorsqu'elles ne sont plus nécessaires.

Non-conformité courante : Avoir une politique de conservation des données écrite mais ne pas supprimer réellement les anciennes données clients des bases de données existantes. Les auditeurs demanderont des preuves techniques que la suppression des données est activement effectuée.

Phase trois suite contrôles du sous-traitant

Si votre organisation traite des IIP pour le compte d'un client ou d'un partenaire, vous êtes un Sous-traitant d'IIP, et l'Article 8 s'applique à vous. Les sous-traitants doivent s'assurer qu'ils n'agissent que sur les instructions documentées du Responsable de traitement. Vous ne pouvez pas utiliser les données à vos propres fins, telles que le marketing ou des analyses non autorisées.

La gestion des fournisseurs est ici essentielle. Si vous utilisez des sous-traitants ultérieurs (par exemple, des fournisseurs d'hébergement cloud, des outils d'analyse tiers), vous devez leur répercuter les mêmes obligations de confidentialité.

Contrôles clés du sous-traitant

• Instructions de traitement : Conservez des registres des instructions du Responsable de traitement et assurez-vous que tout traitement s'y conforme strictement.
• Gestion des sous-traitants ultérieurs : Obtenez l'autorisation écrite du Responsable de traitement avant d'engager tout sous-traitant ultérieur.
• Assistance au Responsable de traitement : Fournissez un support technique et organisationnel pour aider le Responsable de traitement à répondre aux demandes de droits des personnes concernées et à enquêter sur les violations de données.
• Retour ou destruction des données : Retournez ou détruisez de manière sécurisée toutes les IIP à la résiliation du contrat de traitement.

Les auditeurs demanderont à voir vos Accords de Traitement des Données (DPA). Une question typique de l'auditeur est : "Montrez-moi le processus que vous suivez pour notifier un Responsable de traitement si vous pensez que ses instructions de traitement violent une réglementation sur la confidentialité."

Phase quatre documentation formation et DdA

L'extension de votre SMSI en un SMIP nécessite d'importantes mises à jour documentaires. Tout d'abord, vous devez mettre à jour votre Politique de Sécurité de l'Information globale pour y inclure des engagements explicites en matière de confidentialité et de conformité à la législation sur les IIP (Article 5.2).

Ensuite, vous devez réviser votre Déclaration d'Applicabilité (DdA). Votre nouvelle DdA doit lister tous les contrôles de l'Annexe A de l'ISO 27001, plus les contrôles SMIP pertinents des Articles 6, 7 et 8 de l'ISO 27701. Pour chaque contrôle, vous devez indiquer s'il est applicable, la justification de son inclusion ou de son exclusion, et comment il est mis en œuvre.

Check-list de documentation et de formation

• Mettez à jour le Plan de Réponse aux Incidents pour inclure des flux de travail spécifiques et des délais stricts pour les notifications de violation de confidentialité.
• Révisez les politiques RH pour inclure des accords de confidentialité faisant spécifiquement référence aux IIP.
• Organisez une formation de sensibilisation à la confidentialité basée sur les rôles pour tous les employés qui manipulent des IIP.

La gestion de ces documents qui se chevauchent peut devenir chaotique. L'utilisation d'un outil de feuille de route de conformité ou de modèles structurés, comme ceux fournis par KaliteGO, peut vous aider à suivre les versions des documents et à vous assurer qu'aucune clause obligatoire ne passe entre les mailles du filet au cours de votre parcours de mise en œuvre.

Phase cinq audit interne et préparation

Avant de pouvoir inviter un organisme de certification externe à évaluer votre SMIP, vous devez mener un audit interne complet (Article 5.9). Vos auditeurs internes doivent être objectifs et idéalement avoir une formation spécifique sur les réglementations en matière de confidentialité et les exigences de l'ISO 27701. Ils doivent échantillonner des preuves à la fois dans les domaines de la sécurité et de la confidentialité.

À la suite de l'audit interne, la direction générale doit effectuer une Revue de Direction (Article 5.10). L'ordre du jour de cette revue doit être élargi pour inclure des indicateurs spécifiques au SMIP, tels que le volume de demandes des personnes concernées traitées, les tendances des violations de confidentialité et les changements dans la législation mondiale sur la protection des données.

Préparation à l'audit externe

• Assurez-vous que toutes les non-conformités détectées lors de l'audit interne sont clôturées avec des actions correctives documentées.
• Vérifiez que les avis de confidentialité, les DPA et les registres de consentement sont facilement accessibles pour l'auditeur.
• Soyez prêt à démontrer comment la confidentialité est intégrée dans vos opérations quotidiennes, et pas seulement écrite dans des politiques.

Lors de l'audit de l'Étape 1, l'auditeur examinera le cadre et la documentation de votre SMIP. Lors de l'Étape 2, il interrogera le personnel et testera l'efficacité opérationnelle de vos contrôles. En suivant cette check-list de mise en œuvre ISO 27701, vous construirez un système résilient qui intègre de manière transparente la confidentialité et la sécurité, garantissant un chemin fluide vers la certification.