Чек-лист по внедрению ISO 27701

Понимание расширения конфиденциальности ISO 27701

Организации, которые уже прошли сертификацию по стандарту ISO 27001, имеют прочный фундамент в области информационной безопасности. Однако защита данных от хакеров — это лишь половина дела; вы также должны защищать права на неприкосновенность частной жизни тех лиц, чьими данными вы располагаете. Именно здесь на помощь приходит стандарт ISO 27701. ISO 27701 является расширением стандартов ISO 27001 и ISO 27002 в области защиты персональных данных. Он предоставляет основу для создания Системы управления персональной информацией (СУПИ).

Поскольку это расширение, вы не можете получить сертификат ISO 27701 независимо; аудит должен проводиться одновременно с сертификацией ISO 27001 или после нее. Стандарт требует, чтобы вы сопоставили вашу существующую Систему управления информационной безопасностью (СУИБ) с требованиями конфиденциальности.

Критически важным первым шагом в любом чек-листе по внедрению ISO 27701 является определение роли вашей организации. Стандарт устанавливает конкретные, раздельные требования в зависимости от того, являетесь ли вы Оператором персональных данных (ПДн) (вы решаете, почему и как обрабатываются данные) или Обработчиком ПДн (вы обрабатываете данные по поручению кого-то другого). Многие современные организации выступают в обеих ролях, что означает необходимость внедрения мер контроля как из Раздела 7, так и из Раздела 8 стандарта.

Этап первый Контекст область применения и картирование данных

Основа вашей СУПИ начинается с Раздела 5.1, который требует обновления контекста вашей организации. В то время как контекст вашей СУИБ был сосредоточен на киберугрозах и непрерывности бизнеса, контекст СУПИ должен включать глобальное законодательство о конфиденциальности, такое как GDPR, CCPA или другие региональные законы о защите данных.

Затем вы должны официально расширить область применения вашей системы менеджмента (Раздел 5.2), включив в нее обработку ПДн. Чтобы сделать это эффективно, вы должны точно понимать, какими данными вы располагаете. Картирование данных, пожалуй, является самой трудоемкой частью чек-листа по внедрению ISO 27701.

Чек-лист по картированию данных

• Определите все категории ПДн, собираемые вашей организацией.
• Задокументируйте источник ПДн и правовое основание для их сбора.
• Составьте схему потоков ПДн через ваши внутренние системы и внешних поставщиков.
• Выявите трансграничную передачу данных и механизмы ее защиты.

Типичный вопрос аудитора: "Как вы гарантируете, что область применения вашей СУПИ точно отражает все отделы и системы, обрабатывающие ПДн?" Убедитесь, что в вашем заявлении об области применения прямо упоминается конфиденциальность и оно согласовано с обновленным реестром данных. Частым несоответствием является обнаружение теневой ИТ-системы, обрабатывающей ПДн, которая была исключена из области применения СУПИ.

Этап второй Обновление методологии оценки рисков

Раздел 5.4 предписывает обновить процесс оценки рисков для учета рисков конфиденциальности. Это серьезный сдвиг парадигмы для команд безопасности. В стандартной СУИБ риски оцениваются на основе их влияния на организацию (например, финансовые потери, репутационный ущерб). В СУПИ риски должны оцениваться на основе их влияния на субъекта ПДн — человека, чьи данные обрабатываются.

Ваша обновленная методология должна учитывать Конфиденциальность, Целостность, Доступность и Приватность (CIA+P) данных. Вам следует интегрировать Оценку воздействия на конфиденциальность (PIA) в вашу систему управления рисками.

Шаги по оценке рисков конфиденциальности

• Выявите угрозы конфиденциальности субъектов данных (например, избыточный сбор, несанкционированный обмен, хранение данных сверх установленного законом срока).
• Оцените вероятность и потенциальное воздействие этих угроз на людей.
• Выберите соответствующие варианты обработки рисков из Разделов 6, 7 и 8 стандарта ISO 27701.

Аудиторы будут внимательно изучать ваш реестр рисков. Частое несоответствие — предоставление реестра рисков, в котором перечислены только последствия для бизнеса. Если в вашей оценке рисков прямо не упоминается потенциальный вред для субъектов данных (например, кража личных данных, дискриминация или потеря конфиденциальности), вы не пройдете сертификационный аудит.

Этап третий Внедрение мер контроля для оператора ПДн

Если ваша организация определяет цели и средства обработки ПДн, вы являетесь Оператором ПДн. В Разделе 7 стандарта ISO 27701 описаны конкретные меры контроля, которые вы должны внедрить. Операторы несут основную ответственность за обеспечение соблюдения прав субъектов данных и законности обработки.

Ваш чек-лист по внедрению ISO 27701 должен включать надежные механизмы получения согласия и обеспечения прозрачности. Вы должны предоставлять четкие уведомления о конфиденциальности, объясняющие, какие данные собираются, зачем они собираются и кому передаются.

Ключевые меры контроля для Оператора

• Конфиденциальность на этапе проектирования и по умолчанию: Интегрируйте средства защиты конфиденциальности в жизненный цикл разработки новых продуктов и услуг.
• Минимизация данных: Убедитесь, что вы собираете только те ПДн, которые строго необходимы для заявленной цели.
• Права субъектов данных: Внедрите задокументированные процедуры для обработки запросов на доступ к данным, их исправление, удаление и переносимость в установленные законом сроки.
• Хранение данных: Обеспечьте автоматизированные или ручные процессы для безопасного уничтожения ПДн, когда они больше не нужны.

Распространенное несоответствие: наличие письменной политики хранения данных, но фактическое отсутствие удаления старых данных клиентов из устаревших баз данных. Аудиторы попросят предоставить технические доказательства того, что удаление данных действительно происходит.

Продолжение третьего этапа Меры контроля для обработчика ПДн

Если ваша организация обрабатывает ПДн по поручению клиента или партнера, вы являетесь Обработчиком ПДн, и к вам применяется Раздел 8. Обработчики должны гарантировать, что они действуют только на основании задокументированных инструкций Оператора. Вы не можете использовать данные в собственных целях, таких как маркетинг или несанкционированная аналитика.

Управление поставщиками здесь имеет решающее значение. Если вы используете суб-обработчиков (например, провайдеров облачного хостинга, сторонние аналитические инструменты), вы должны передать им те же обязательства по соблюдению конфиденциальности.

Ключевые меры контроля для Обработчика

• Инструкции по обработке: Ведите учет инструкций Оператора и следите за тем, чтобы вся обработка строго им соответствовала.
• Управление суб-обработчиками: Получите письменное разрешение от Оператора перед привлечением любых суб-обработчиков.
• Содействие Оператору: Предоставляйте техническую и организационную поддержку, чтобы помочь Оператору выполнять запросы субъектов данных и расследовать утечки данных.
• Возврат или уничтожение данных: Надежно верните или уничтожьте все ПДн после расторжения договора на обработку.

Аудиторы попросят показать ваши Соглашения об обработке данных (DPA). Типичный вопрос аудитора: "Покажите мне процесс, которому вы следуете, чтобы уведомить Оператора, если вы считаете, что его инструкции по обработке нарушают правила конфиденциальности".

Этап четвертый Документация обучение и Положение о применимости

Расширение вашей СУИБ до СУПИ требует значительного обновления документации. Во-первых, вы должны обновить вашу общую Политику информационной безопасности, включив в нее явные обязательства по соблюдению конфиденциальности и законодательства о ПДн (Раздел 5.2).

Затем вы должны пересмотреть свое Положение о применимости (SoA). Ваше новое SoA должно содержать все меры контроля из Приложения А ISO 27001, а также соответствующие меры контроля СУПИ из Разделов 6, 7 и 8 ISO 27701. Для каждой меры контроля вы должны указать, применима ли она, обоснование ее включения или исключения, а также способ ее реализации.

Чек-лист по документации и обучению

• Обновите План реагирования на инциденты, включив в него конкретные рабочие процессы и строгие сроки уведомления об утечках конфиденциальных данных.
• Пересмотрите кадровые политики, чтобы включить соглашения о конфиденциальности, в которых конкретно упоминаются ПДн.
• Проведите ролевое обучение по вопросам конфиденциальности для всех сотрудников, работающих с ПДн.

Управление этими пересекающимися документами может стать хаотичным. Использование инструмента для создания дорожной карты соответствия или структурированных шаблонов, таких как те, что предоставляет KaliteGO, может помочь вам отслеживать версии документов и гарантировать, что ни один обязательный пункт не будет упущен в процессе внедрения.

Этап пятый Внутренний аудит и подготовка к сертификации

Прежде чем вы сможете пригласить внешний орган по сертификации для оценки вашей СУПИ, вы должны провести комплексный внутренний аудит (Раздел 5.9). Ваши внутренние аудиторы должны быть объективными и в идеале иметь специальную подготовку по правилам конфиденциальности и требованиям ISO 27701. Они должны собирать доказательства как в области безопасности, так и в области конфиденциальности.

После внутреннего аудита высшее руководство должно провести Анализ со стороны руководства (Раздел 5.10). Повестка дня этого анализа должна быть расширена за счет включения показателей, специфичных для СУПИ, таких как объем обработанных запросов субъектов данных, тенденции нарушений конфиденциальности и изменения в глобальном законодательстве о конфиденциальности.

Подготовка к внешнему аудиту

• Убедитесь, что все несоответствия, выявленные в ходе внутреннего аудита, закрыты задокументированными корректирующими действиями.
• Проверьте, что уведомления о конфиденциальности, DPA и журналы согласия легко доступны для аудитора.
• Будьте готовы продемонстрировать, как конфиденциальность интегрирована в вашу повседневную деятельность, а не просто прописана в политиках.

Во время первого этапа аудита (Stage 1) аудитор проверит структуру и документацию вашей СУПИ. На втором этапе (Stage 2) он проведет интервью с персоналом и проверит операционную эффективность ваших мер контроля. Следуя этому чек-листу по внедрению ISO 27701, вы создадите устойчивую систему, которая органично объединяет конфиденциальность и безопасность, обеспечивая плавный путь к сертификации.