Hur man visar efterlevnad av GDPR artikel 5

Informationsöverföring

ISO 27701 klausul 6.10.2.1 (policyer och förfaranden för informationsöverföring) och EU GDPR artikel 5 (1)(f)

Informationsöverföringsoperationer bör:

• Fokusera på kontroller som förhindrar uppsnappande, obehörig åtkomst, kopiering, modifiering, felvägning, destruktion och förnekande av tjänsten av PII och integritetsrelaterad information (se ISO 27002 Kontroll 8.24).
• Se till att informationen är spårbar.
• Kategorisera en lista med kontakter – dvs ägare, riskägare etc.
• Beskriv ansvar i händelse av en säkerhetsincident.
• Inkludera tydliga och koncisa märkningssystem (se ISO 27002 Kontroll 5.13).
• Säkerställ en tillförlitlig överföringsmöjlighet, inklusive ämnesspecifika policyer för överföring av data (se ISO 27002 Kontroll 5.10).
• Ange riktlinjer för förvaring och kassering, inklusive eventuella region- eller sektorspecifika lagar och riktlinjer.

Elektronisk överföring

När organisationer använder elektroniska överföringsmöjligheter bör de:

1. Försök att upptäcka och skydda mot skadliga program (se ISO 27002 Kontroll 8.7).
2. Fokusera på att skydda tillbehör.
3. Var noga med att skicka information till rätt adress.
4. Mandat för en godkännandeprocess, innan anställda kan överföra information via "externa offentliga tjänster" (t.ex. snabbmeddelanden), och utöva större kontroll över sådana metoder.
5. Undvik att använda SMS-tjänster och faxar om möjligt.

Fysiska överföringar (inklusive lagringsmedia)

Vid överföring av fysiska medier (inklusive pappersdokument) mellan lokaler eller externa platser bör organisationer:

• Beskriv tydliga ansvarsområden för avsändning och mottagande.
• Var noga med att ange rätt adressuppgifter.
• Använd förpackningar som ger skydd mot fysisk skada eller manipulering.
• Arbeta med en lista över auktoriserade kurirer och tredje parts speditörer, inklusive robusta identifieringsstandarder.
• Håll noggranna loggar över alla fysiska överföringar, inklusive mottagarens uppgifter, datum och tider för överföringar och eventuella fysiska skyddsåtgärder.

Verbala överföringar

Att verbalt förmedla känslig information utgör en unik säkerhetsrisk, särskilt när det gäller PII och integritetsskydd.

Organisationer bör påminna anställda om att:

1. Undvik att ha sådana konversationer på en offentlig plats eller på osäkrad intern plats.
2. Undvik att lämna röstmeddelanden som innehåller känslig eller begränsad information.
3. Se till att personen de pratar med är på en lämplig nivå för att ta emot denna information, och informera dem om vad som kommer att sägas innan information avslöjas.
4. Var uppmärksam på sin omgivning och se till att rumskontrollerna följs.

Ytterligare GDPR-överväganden i Storbritannien

• Artikel 5 – (1)(f)

Stöder ISO 27002 kontroller

• ISO 27002 5.13
• ISO 27002 8.7
• ISO 27002 8.24

ISO 27701 klausul 6.10.2.4 (Konfidentialitet eller sekretessavtal) och EU GDPR artikel 5 (1)

Organisationer bör använda sekretessavtal (NDA) och sekretessavtal för att skydda avsiktligt eller oavsiktligt avslöjande av känslig information till obehörig personal.

När organisationer utarbetar, implementerar och upprätthåller sådana avtal bör:

• Erbjud en definition av den information som ska skyddas.
• Ange tydligt den förväntade varaktigheten av avtalet.
• Ange tydligt vilka åtgärder som krävs när ett avtal har sagts upp.
• Eventuellt ansvar som överenskommits av bekräftade undertecknare.
• Äganderätt till information (inklusive IP och affärshemligheter).
• Hur undertecknare får använda informationen.
• Beskriv tydligt organisationens rätt att övervaka konfidentiell information.
• Eventuella konsekvenser som kommer att uppstå av bristande efterlevnad.
• Går regelbundet igenom deras sekretessbehov och anpassar eventuella framtida avtal därefter.

Sekretesslagar varierar från jurisdiktion till jurisdiktion, och organisationer bör ta hänsyn till sina egna juridiska och regulatoriska skyldigheter när de utarbetar NDAs och sekretessavtal (se ISO 27002 kontroller 5.31, 5.32, 5.33 och 5.34).

Stöder ISO 27002 kontroller

• ISO 27002 5.31
• ISO 27002 5.32
• ISO 27002 5.33
• ISO 27002 5.34

Systemförvärvsutveckling och underhåll

ISO 27701 klausul 6.11.1.2 (Securing Application Services on Public Networks) och EU GDPR artikel 5 (1)(f)

Programsäkerhetsprocedurer bör utvecklas tillsammans med bredare integritetsskyddspolicyer, vanligtvis via en strukturerad riskbedömning som tar hänsyn till flera variabler.

Programsäkerhetskrav bör inkludera:

1. Nivåerna av förtroende som är inneboende inom alla nätverksenheter (se ISO 27002 kontroller 5.17, 8.2 och 8.5).
2. Klassificeringen av data som applikationen är konfigurerad att bearbeta (inklusive PII).
3. Eventuella segregationskrav.
4. Skydd mot interna och externa attacker och/eller skadlig användning.
5. Alla rådande juridiska, kontraktuella eller regulatoriska krav.
6. Robust skydd av konfidentiell information.
7. Data som ska skyddas under transport.
8. Eventuella kryptografiska krav.
9. Säkra in- och utgångskontroller.
10. Minimal användning av obegränsade inmatningsfält – särskilt de som har potential att lagra personuppgifter.
11. Hantering av felmeddelanden, inklusive tydlig kommunikation av felkoder.

Transaktionstjänster

Transaktionstjänster som underlättar flödet av integritetsdata mellan organisationen och en tredjepartsorganisation, eller partnerorganisation, bör:

• Upprätta en lämplig nivå av förtroende mellan organisationsidentiteter.
• Inkludera mekanismer som kontrollerar förtroende mellan etablerade identiteter (t.ex. hashing och digitala signaturer).
• Beskriv robusta rutiner som styr vad anställda kan hantera viktiga transaktionsdokument.
• Innehåller dokument- och transaktionshanteringsprocedurer som täcker konfidentialitet, integritet, bevis på avsändning och mottagande av viktiga dokument och transaktioner.
• Inkludera specifik vägledning om hur man håller transaktioner konfidentiella.

Elektroniska beställnings- och betalningsapplikationer

För alla ansökningar som involverar elektronisk beställning och/eller betalning bör organisationer:

• Beskriv strikta krav för skydd av betalnings- och beställningsdata.
• Verifiera betalningsinformationen innan en beställning görs.
• Förvara transaktions- och integritetsrelaterad data säkert på ett sätt som är otillgängligt för allmänheten.
• Använd betrodda myndigheter när du implementerar digitala signaturer, med integritetsskydd i åtanke hela tiden.

Stöder ISO 27002 kontroller

• ISO 27002 5.17
• ISO 27002 8.2
• ISO 27002 8.5

ISO 27701 klausul 6.11.3.1 (Skydd av testdata) och EU GDPR artikel 5 (1)(f)

Organisationer bör noggrant välja testdata för att säkerställa att testaktiviteten är både tillförlitlig och säker. Organisationer bör vara extra uppmärksamma på att se till att PII inte kopieras till utvecklings- och testmiljöerna.

För att skydda driftsdata under testaktiviteter bör organisationer:

1. Använd en homogen uppsättning åtkomstkontrollprocedurer över test- och driftsmiljöer.
2. Se till att auktorisering krävs varje gång driftsdata kopieras till en testmiljö.
3. Logga kopiering och användning av driftsdata.
4. Skydda integritetsinformation genom tekniker som maskering (se ISO 27002 Kontroll 8.11).
5. Ta bort driftsdata från en testmiljö när den inte längre behövs (se ISO 27002 Kontroll 8.10).
6. Lagra testdata på ett säkert sätt och se till att anställda är medvetna om att de endast ska användas för teständamål.

Stöder ISO 27002 kontroller

• ISO 27002 8.10
• ISO 27002 8.11

Leverantörsrelationer

ISO 27701 klausul 6.12.1.2 (Adressering av säkerhet inom leverantörsavtal) och EU GDPR artikel 5 (1)(f)

När man tar itu med säkerhet inom leverantörsrelationer bör organisationer se till att båda parter är medvetna om sina skyldigheter gentemot integritetsinformationssäkerhet och varandra.

När de gör det bör organisationerna:

• Erbjud en tydlig beskrivning som beskriver sekretessinformationen som behöver nås och hur den informationen kommer att nås.
• Klassificera integritetsinformationen som ska nås i enlighet med ett accepterat klassificeringsschema (se ISO 27002 kontroller 5.10, 5.12 och 5.13).
• Ta tillräcklig hänsyn till leverantörens eget klassificeringssystem.
• Kategorisera rättigheter i fyra huvudområden – juridiska, lagstadgade, regulatoriska och avtalsenliga – med en detaljerad beskrivning av skyldigheter per område.
• Se till att varje part är skyldig att införa en serie kontroller som övervakar, bedömer och hanterar risknivåer för integritetsinformationssäkerhet.
• Beskriv behovet av leverantörspersonal att följa en organisations informationssäkerhetsstandarder (se ISO 27002 Kontroll 5.20).
• Underlätta en tydlig förståelse av vad som utgör både acceptabel och oacceptabel användning av sekretessinformation och fysiska och virtuella tillgångar från endera parten.
• Anta auktoriseringskontroller som krävs för att personal på leverantörssidan ska få tillgång till eller se en organisations sekretessinformation.
• Tänk på vad som händer vid avtalsbrott eller eventuellt underlåtenhet att följa individuella bestämmelser.
• Beskriv en incidenthanteringsprocedur, inklusive hur större händelser kommuniceras.
• Se till att personalen får utbildning i säkerhetsmedvetenhet.
• (Om leverantören har tillåtelse att använda underleverantörer) lägg till krav för att säkerställa att underleverantörer är anpassade till samma uppsättning säkerhetsstandarder för sekretessinformation som leverantören.
• Tänk på hur leverantörspersonal kontrolleras innan de interagerar med sekretessinformation.
• Ange behovet av tredjepartsintyg som adresserar leverantörens förmåga att uppfylla organisatoriska säkerhetskrav för integritetsinformation.
• Har avtalsenlig rätt att granska en leverantörs rutiner.
• Kräv att leverantörer levererar rapporter som beskriver effektiviteten i deras egna processer och procedurer.
• Fokusera på att vidta åtgärder för att påverka en snabb och noggrann lösning av eventuella defekter eller konflikter.
• Se till att leverantörer arbetar med en adekvat BUDR-policy för att skydda integriteten och tillgängligheten för PII och integritetsrelaterade tillgångar.
• Kräv en policy för förändringshantering på leverantörssidan som informerar organisationen om alla förändringar som har potential att påverka integritetsskyddet.
• Implementera fysiska säkerhetskontroller som är proportionella mot känsligheten hos de data som lagras och bearbetas.
• (Där data ska överföras) be leverantörer att se till att data och tillgångar är skyddade från förlust, skada eller korruption.
• Ange en lista över åtgärder som ska vidtas av endera parten i händelse av uppsägning.
• Be leverantören att beskriva hur de avser att förstöra integritetsinformation efter uppsägning, eller att uppgifterna inte längre behövs.
• Vidta åtgärder för att säkerställa minimala affärsavbrott under en överlämningsperiod.

Organisationer bör också upprätthålla en register över avtal, som listar alla avtal som hålls med andra organisationer.

Stöder ISO 27002 kontroller

• ISO 27002 5.10
• ISO 27002 5.12
• ISO 27002 5.13
• ISO 27002 5.20

Informationssäkerhet Incidenthantering och efterlevnad

ISO 27701 klausul 6.13.1.1 (Ansvar och förfaranden) och EU GDPR artikel 5 (1)(f)

Roller och ansvar

För att skapa en sammanhållen, välfungerande incidenthanteringspolicy som säkerställer tillgängligheten och integriteten för integritetsinformation under kritiska incidenter, bör organisationer:

• Följ en metod för att rapportera säkerhetshändelser för sekretessinformation.
• Etablera en serie processer som hanterar integritetsinformationssäkerhetsrelaterade incidenter i hela verksamheten, inklusive:
• Administrering.
• Dokumentation.
• Upptäckt.
• Triage.
• Prioritering.
• Analys.
• Kommunikation.
• Utarbeta en incidentresponsprocedur som gör det möjligt för organisationen att bedöma, reagera på och lära av incidenter.
• Se till att incidenter hanteras av utbildad och kompetent personal som drar nytta av pågående arbetsplatsutbildning och certifieringsprogram.

Incident Management

Personal som är involverad i incidenter med integritetsinformationssäkerhet bör förstå:

1. Tiden det borde ta att lösa en incident.
2. Eventuella konsekvenser.
3. Händelsens svårighetsgrad.

När personalen hanterar säkerhetshändelser för integritetsinformation bör personalen:

• Bedöm händelser i enlighet med strikta kriterier som validerar dem som godkända incidenter.
• Kategorisera sekretessinformationssäkerhetshändelser i 5 underämnen:
• Övervakning (se ISO 27002 kontroller 8.15 och 8.16).
• Detektering (se ISO 27002 Kontroll 8.16).
• Klassificering (se ISO 27002 Kontroll 5.25).
• Analys.
• Rapportering (se ISO 27002 Kontroll 6.8).
• När organisationer löser incidenter med integritetsinformationssäkerhet bör de:
• Reagera och eskalera frågor (se ISO 27002 Kontroll 5.26) i enlighet med typen av incident.
• Aktivera krishantering och affärskontinuitetsplaner.
• Påverka en hanterad återhämtning från en incident som mildrar operativa och/eller ekonomiska skador.
• Säkerställ en noggrann kommunikation av incidentrelaterade händelser till all relevant personal.
• Delta i samarbete (se ISO 27002 kontroller 5.5 och 5.6).
• Logga alla incidenthanterade aktiviteter.
• Vara ansvarig för hanteringen av incidentrelaterad bevismaterial (se ISO 27002 Kontroll 5.28).
• Genomför en grundlig orsaksanalys för att minimera risken för att incidenten ska hända igen, inklusive föreslagna ändringar av eventuella processer.

Rapporteringsaktiviteter bör centreras kring fyra nyckelområden:

1. Åtgärder som måste vidtas när en informationssäkerhetshändelse inträffar.
2. Incidentformulär som registrerar information under en incident.
3. End-to-end återkopplingsprocesser till all relevant personal.
4. Incidentrapporter som beskriver vad som har inträffat när en incident har lösts.

Stöder ISO 27002 kontroller

• ISO 27002 5.25
• ISO 27002 5.26
• ISO 27002 5.5
• ISO 27002 5.6
• ISO 27002 6.8
• ISO 27002 8.15
• ISO 27002 8.16

ISO 27701 klausul 6.15.1.1 (Identifiering av tillämplig lagstiftning och kontraktskrav) och EU GDPR artikel 5 (1)(f)

Organisationer bör följa juridiska, lagstadgade, regulatoriska och kontraktuella krav när:

• Utarbeta och/eller ändra säkerhetsrutiner för integritetsinformation.
• Kategorisering av information.
• Inleda riskbedömningar relaterade till aktiviteter för integritetsinformationssäkerhet.
• Skapa leverantörsrelationer, inklusive eventuella avtalsförpliktelser genom hela leveranskedjan.

Lagstiftande och regulatoriska faktorer

Organisationer bör följa procedurer som tillåter dem identifiera, analysera och förstå lagstiftande och reglerande skyldigheter – särskilt de som handlar om integritetsskydd och PII – var de än är verksamma.

Organisationer bör ständigt vara uppmärksamma på sina skyldigheter om integritetsskydd när de ingår nya avtal med tredje part, leverantörer och entreprenörer.

Kryptografi

När organisationer implementerar krypteringsmetoder för att stärka integritetsskyddet och skydda PII bör organisationer:

1. Följ alla lagar som reglerar import och export av hårdvara eller mjukvara som har potential att fylla en kryptografisk funktion.
2. Ge tillgång till krypterad information enligt lagarna i den jurisdiktion de är verksamma inom.
3. Använd tre nyckelelement för kryptering:
• Digitala signaturer.
• Tätningar.
• Digitala certifikat.

Stöder ISO 27002 kontroller

• ISO 27002 5.20

ISO 27701 klausul 6.15.1.3 (Skydd av register) och EU GDPR artikel 5 (2)

Organisationer bör överväga rekordhantering inom fyra nyckelområden:

1. Äkthet.
2. Pålitlighet.
3. Integritet.
4. Användbarhet.

För att upprätthålla ett funktionellt registersystem som skyddar PII och integritetsrelaterad information bör organisationer:

• Publicera riktlinjer som handlar om:
• Lagring.
• Hantering (kedjan of custody).
• Förfogande.
• Förhindra manipulation.
• Ange hur länge varje posttyp ska sparas.
• Följ alla lagar som handlar om journalföring.
• Följ kundernas förväntningar på hur organisationer ska hantera sina register.
• Förstör rekord när de inte längre behövs.
• Klassificera poster baserat på deras säkerhetsrisk, t.ex.
• Bokföring.
• Affärstransaktion.
• Personalregister.
• Legal.
• Se till att de kan hämta uppgifter inom en acceptabel tidsperiod, om de uppmanas att göra det av en tredje part eller en brottsbekämpande myndighet.
• Följ alltid tillverkarens riktlinjer när du lagrar eller hanterar register på elektroniska mediakällor.

Mobila enheter och distansarbete

ISO 27701 klausul 6.3.2.1 (policyer för mobila enheter) och EU GDPR artikel 5 (1)(f)

Organisationer bör implementera ämnesspecifika policyer som behandlar olika kategorier av slutpunktsenheter och mjukvaruversioner för mobila enheter, och hur säkerhetskontroller bör skräddarsys för att förbättra datasäkerheten.

En organisations policy för mobila enheter, procedurer och stödjande säkerhetsåtgärder bör ta hänsyn till:

• De olika kategorierna av data som enheten kan både bearbeta och lagra.
• Hur enheter registreras och identifieras i nätverket.
• Hur enheter kommer att skyddas fysiskt.
• Eventuella begränsningar för applikationer och programvaruinstallationer.
• Fjärrhantering, inklusive uppdateringar och patchar.
• Användaråtkomstkontroller, inklusive RBAC vid behov.
• Kryptering.
• Motåtgärder mot skadlig programvara (hanterade eller ohanterade).
• BUDR.
• Surfrestriktioner.
• Användaranalys (se ISO 27002 Kontroll 8.16).
• Installation, användning och fjärrhantering av flyttbara lagringsenheter eller flyttbara kringutrustning.
• Hur man separerar data på enheten, så att PII partitioneras bort från standardenhetsdata (inklusive användarens personliga data). Detta inkluderar att överväga om det är lämpligt att lagra någon form av organisationsdata på den fysiska enheten, snarare än att använda enheten för att ge onlineåtkomst till den.
• Vad händer när en enhet tappas bort eller blir stulen – det vill säga att ta itu med eventuella juridiska, regulatoriska eller kontraktuella krav, och ta itu med organisationens försäkringsgivare.

Individuellt användaransvar

Alla i organisationen som använder fjärråtkomst måste göras uttryckligen medvetna om alla policyer och procedurer för mobila enheter som gäller dem inom ramen för säker hantering av slutpunktsenheter.

Användare bör instrueras att:

• Stäng alla aktiva arbetssessioner när de inte längre används.
• Implementera fysiska och digitala skyddskontroller, som krävs av policyn.
• Var uppmärksam på deras fysiska omgivning – och de inneboende säkerhetsrisker de innehåller – när du kommer åt säker data med hjälp av enheten.

Ta med din egen enhet (BYOD)

Organisationer som tillåter personal att använda personligt ägda enheter bör också överväga följande säkerhetskontroller:

• Installera programvara på enheten (inklusive mobiltelefoner) som hjälper till att separera affärs- och personuppgifter.
• Genomföra en BYOD-policy som inkluderar:
• Erkännande av organisatoriskt ägande av PII.
• Fysiska och digitala skyddsåtgärder (se ovan).
• Fjärradering av data.
• Alla åtgärder som säkerställer anpassning till PII-lagstiftning och regulatorisk vägledning.
• IP-rättigheter, rörande företagets ägande av allt som har producerats på en personlig enhet.
• Organisatorisk åtkomst till enheten – antingen för integritetsskydd eller för att följa en intern eller extern utredning.
• Licensavtal och programvarulicenser som kan påverkas av användningen av kommersiell programvara på en privatägd enhet.

Trådlösa konfigurationer

När organisationer utarbetar procedurer som handlar om trådlös anslutning på slutpunktsenheter bör organisationer:

• Överväg noga hur sådana enheter bör tillåtas att ansluta till trådlösa nätverk för Internetåtkomst, i syfte att skydda PII.
• Se till att trådlösa anslutningar har tillräcklig kapacitet för att underlätta säkerhetskopiering eller andra ämnesspecifika funktioner.

Stöder ISO 27002 kontroller

• ISO 27002 8.9 – Configuration Management
• ISO 27002 8.16 – Övervakningsaktiviteter

Kapitalförvaltning

ISO 27701 klausul 6.5.2.1 (Klassificering av information) och EU GDPR artikel 5 (1)(f)

Istället för att jämställa all information bör organisationen klassificera information på en ämnesspecifik basis.

Informationsägare bör överväga fyra nyckelfaktorer, när de klassificerar data (särskilt när det gäller PII), som bör granskas regelbundet, eller när sådana faktorer ändras:

1. Smakämnen konfidentialitet av uppgifterna.
2. Smakämnen integritet av uppgifterna.
3. Data tillgänglighet nivåer.
4. Organisationens rättsliga skyldigheter mot PII.

För att ge ett tydligt operativt ramverk bör informationskategorier namnges i enlighet med den inneboende risknivån om det skulle inträffa incidenter som äventyrar någon av ovanstående faktorer.

För att säkerställa plattformsoberoende kompatibilitet bör organisationer göra sina informationskategorier tillgängliga för extern personal som de delar information med, och se till att organisationens eget klassificeringssystem förstås allmänt av alla relevanta parter.

Organisationer bör vara försiktiga med att antingen underklassificera eller, omvänt, överklassificera data. Det förstnämnda kan leda till misstag vid gruppering av PII med mindre känsliga datatyper, medan det förra ofta leder till extra kostnader, större risk för mänskliga fel och bearbetningsavvikelser.

ISO 27701 klausul 6.5.2.2 (märkning av information) och EU GDPR artikel 5 (1)(f)

Etiketter är en viktig del av att säkerställa att organisationens PII-klassificeringspolicy (se ovan) följs, och att data tydligt kan identifieras i linje med dess känslighet (t.ex. att PII märks som skild från mindre konfidentiella datatyper).

PII-märkningsprocedurer bör definiera:

• Alla scenarier där märkning inte krävs (offentligt tillgängliga data).
• Instruktioner om hur personalen ska märka både digitala och fysiska tillgångar och lagringsplatser.
• Beredskapsplaner för alla scenarier där märkning inte är fysiskt möjlig.

ISO ger många möjligheter för organisationer att välja sina egna märkningstekniker, inklusive:

• Mått märkning.
• Elektronisk etiketter i sidhuvuden och sidfötter.
• Tillägg eller ändring av metadata, inklusive sökbara termer och interaktiv funktionalitet med andra informationshanteringsplattformar (t.ex. organisationens PIMS).
• vattenmärkning som ger en tydlig indikation på dataklassificeringen dokument för dokument.
• Frimärke märken på fysiska kopior av information.

ISO 27701 klausul 6.5.3.1 (Hantering av flyttbara media) och EU GDPR artikel 5 (1)(f)

Flyttbart lagringsmedia

När organisationer utvecklar policyer som styr hanteringen av mediatillgångar som är involverade i lagring av PII, bör organisationer:

• Utveckla unika ämnesspecifika policyer baserade på avdelnings- eller jobbbaserade krav.
• Se till att rätt auktorisation söks och beviljas innan personal kan ta bort lagringsmedia från nätverket (inklusive att hålla en korrekt och uppdaterad journal över sådana aktiviteter).
• Förvara media i enlighet med tillverkarens specifikationer, fritt från miljöskador.
• Överväg att använda kryptering som en förutsättning för att få åtkomst, eller där detta inte är möjligt, implementera ytterligare fysiska säkerhetsåtgärder.
• Minimera risken för att PII ska skadas genom att överföra information mellan lagringsmedier efter behov.
• Introducera PII-redundans genom att lagra skyddad information på flera tillgångar samtidigt.
• Tillåt endast användning av lagringsmedia på godkända ingångar (dvs. SD-kort och USB-portar), på en tillgång-för-tillgångsbasis.
• Övervaka noggrant överföringen av PII till lagringsmedia, för alla ändamål.
• Ta hänsyn till de risker som är inneboende med fysisk överföring av lagringsmedia (och genom proxy, PII som finns på det), när du flyttar tillgångar mellan personal eller lokaler (se ISO 27002 Kontroll 5.14).

Återanvändning och kassering

Vid återanvändning, återanvändning eller kassering av lagringsmedia bör robusta procedurer införas för att säkerställa att PII inte påverkas på något sätt, inklusive:

1. Formatera lagringsmediet och se till att all PII tas bort innan återanvändning (se ISO 27002 Kontroll 8.10), inklusive underhåll av adekvat dokumentation av alla sådana aktiviteter.
2. Säker kassering av media som organisationen inte har någon vidare användning för och som har använts för att lagra PII.
3. Om bortskaffande kräver inblandning av en tredje part, bör organisationen se till att de är en lämplig och lämplig partner för att utföra sådana uppgifter, i linje med organisationens ansvar gentemot PII och integritetsskydd.
4. Implementering av procedurer som identifierar vilka lagringsmedier som är tillgängliga för återanvändning eller kan kasseras i enlighet med detta.

Om enheter som har använts för att lagra PII skadas, bör organisationen noggrant överväga om det är lämpligare att förstöra sådana media eller inte, eller skicka det för reparation (fel på sidan av det förstnämnda).

Stöder ISO 27002 kontroller

• ISO 27002 5.14

ISO 27701 klausul 6.5.3.2 (bortskaffande av media) och EU GDPR artikel 5 (1)(f)

Se ISO 27701 klausul 6.5.3.1

Ytterligare PII-relaterad vägledning

Om media ska kasseras den tidigare innehade PII, bör organisationer implementera procedurer som dokumenterar förstörelsen av PII och integritetsrelaterad data, inklusive kategoriska försäkringar om att den inte längre är tillgänglig.

ISO 27701 klausul 6.5.3.3 och EU GDPR 5 (1)(f)

Flyttbart lagringsmedia

När organisationer implementerar policyer som handlar om flyttbara media bör organisationer:

• Utveckla rutiner som adresserar avdelnings- eller jobbbaserade krav.
• Se till att korrekt auktorisering erhålls innan någon media tas bort från företagets nätverk.
• Se till att alla tillverkarens riktlinjer följs strikt när du använder någon form av lagringsenhet.
• Överväg användningen av kryptografisk lagringsteknik.
• Vidta åtgärder för att säkerställa att data inte skadas under någon överföringsprocess.
• Öka redundansen genom att lagra information om flera tillgångar samtidigt.
• Godkänn användningen av lagringsmedia (dvs. SD-kort och USB-portar), på en tillgång-för-tillgångsbasis.
• Förstå och minska riskerna med att flytta media och tillgångar mellan personal och platser (se ISO 27002 Kontroll 5.14).

Organisationer bör föra noggranna register över alla lagringsmedier som används för att behandla känslig information, inklusive:

• Den typ av media som ska skickas (hårddisk, USB, SD-kort etc.).
• Alla auktoriserade avsändare och eventuell intern personal som får ta emot media.
• Datum och tid för överföringen.
• Hur mycket media som ska överföras.

Återanvändning och kassering

Under hela processen att återanvända, återanvända eller kassera lagringsmedia bör organisationer:

• Se till att alla media är korrekt formaterade och att alla sådana aktiviteter är noggrant dokumenterade (se ISO 27002 Kontroll 8.10).
• Se till att, när lagringstillgångar inte längre behövs, bortskaffas de på ett säkert och säkert sätt – inklusive noggrann granskning av eventuella tredje parter som är inblandade i avyttringsaktiviteter, för att säkerställa att organisationen fullgör sina skyldigheter för hanteringen av PII.
• Identifiera vilka media som är lämpliga för återanvändning eller behöver kasseras, särskilt där enheter har skadats eller fysiskt äventyrats på något sätt.

Åtkomstkontroll

ISO 27701 klausul 6.6.2.1 (användarregistrering och avregistrering) och EU GDPR 5 (1)(f)

Användarregistrering styrs av användningen av tilldelade "identiteter". Identiteter ger organisationer ett ramverk för att styra användaråtkomst till PII och integritetsrelaterade tillgångar och material, inom gränserna för ett nätverk.

Organisationen måste följa sex huvudriktlinjer för att säkerställa att identiteter hanteras korrekt, och PII skyddas varhelst den lagras, bearbetas eller nås:

1. Där identiteter tilldelas en människa är det bara den personen som får verifiera sig med och/eller använda den identiteten vid åtkomst till PII.
2. Delade identiteter – flera individer registrerade på samma identitet – bör endast distribueras för att uppfylla en unik uppsättning operativa krav.
3. Icke-mänskliga enheter bör betraktas och hanteras annorlunda än användarbaserade identiteter som har tillgång till PII och integritetsrelaterat material.
4. Identiteter bör tas bort när de inte längre behövs – särskilt de som har tillgång till PII eller integritetsbaserade roller.
5. Organisationer bör hålla sig till regeln "en enhet, en identitet" när de distribuerar identiteter över nätverket.
6. Registreringar bör loggas och registreras genom tydlig dokumentation, inklusive tidsstämplar, åtkomstnivåer och identitetsinformation.

Organisationer som arbetar i partnerskap med externa organisationer (särskilt molnbaserade plattformar) bör förstå de inneboende riskerna som är förknippade med sådan praxis och vidta åtgärder för att säkerställa att PII inte påverkas negativt i processen (se ISO 27002 kontroller 5.19 och 5.17).

Stöder ISO 27002 kontroller

• ISO 27002 5.17
• ISO 27002 5.19

ISO 27701 klausul 6.6.2.2 (Provisioning av användaråtkomst) och EU GDPR 5 (1)(f)

"Åtkomsträttigheter" styr hur tillgång till PII och integritetsrelaterad information både beviljas och återkallas, med samma uppsättning vägledande principer.

Bevilja och återkalla åtkomsträttigheter

Åtkomstprocedurer bör inkludera:

• Tillstånd och auktorisation från ägaren (eller ledningen) av informationen eller tillgången (se ISO 27002 Kontroll 5.9).
• Alla rådande kommersiella, juridiska eller operativa krav.
• Ett erkännande av behovet av att separera uppgifter för att förbättra PII-säkerheten och bygga en mer motståndskraftig integritetsskyddsverksamhet.
• Kontroller för att återkalla åtkomsträttigheter, när åtkomst inte längre krävs (överlämnar etc.).
• Åtgärder för tidsåtkomst för tillfällig personal eller entreprenörer.
• En centraliserad förteckning över åtkomsträttigheter som beviljas både mänskliga och icke-mänskliga enheter.
• Åtgärder för att ändra åtkomsträttigheterna för personal eller tredjepartsentreprenörer som har bytt arbetsroll.

Granska åtkomsträttigheter

Organisationer bör genomföra regelbundna granskningar av åtkomsträttigheter över nätverket, inklusive:

• Bygga in återkallande av åtkomsträttigheter i HR-rutiner för off-boarding (se ISO 27002 kontroller 6.1 och 6.5) och arbetsflöden för rollbyte.
• Begäran om "privilegierade" åtkomsträttigheter.

Change Management och Leavers

Personal som antingen lämnar organisationen (antingen avsiktligt eller som uppsagd anställd), och de som är föremål för en ändringsförfrågan, bör få sina åtkomsträttigheter ändrade baserat på robusta riskhanteringsprocedurer, inklusive:

• Källan till ändringen/uppsägningen, inklusive den bakomliggande orsaken.
• Användarens nuvarande arbetsroll och tillhörande ansvar.
• Den information och tillgångar som för närvarande är tillgängliga – inklusive deras risknivåer och värde för organisationen.

Kompletterande vägledning

Anställningskontrakt och entreprenörs-/tjänstekontrakt bör innehålla en förklaring av vad som händer efter alla försök till obehörig åtkomst (se ISO 27002 kontroller 5.20, 6.2, 6.4, 6.6).

Stöder ISO 27002 kontroller

• ISO 27002 5.9
• ISO 27002 5.20
• ISO 27002 6.2
• ISO 27002 6.4
• ISO 27002 6.6

ISO 27701 klausul 6.6.4.2 (Säker inloggningsprocedurer) och EU GDPR 5 (1)(f)

PII och integritetsrelaterade tillgångar måste lagras i ett nätverk som har en rad autentiseringskontroller, inklusive:

• Multi-factor authentication (MFA).
• Digitala certifikat.
• Smartkort/fobs.
• Biometrisk verifiering.
• Säkra tokens.

För att förhindra och minimera risken för obehörig åtkomst till PII bör organisationer:

1. Förhindra visning av PII på en monitor eller slutpunktsenhet tills en användare har autentiserats.
2. Ge blivande användare en tydlig varning – innan någon inloggningsförsök görs – som beskriver den känsliga karaktären hos den data de är på väg att komma åt.
3. Var försiktig med att ge för mycket hjälp under hela autentiseringsprocessen (dvs. förklara vilken del av ett misslyckat inloggningsförsök som är ogiltigt).
4. Implementera bästa praxis säkerhetsåtgärder, inklusive:
• CAPTCHA-teknik.
• Tvinga lösenordsåterställning och/eller tillfälligt förhindra inloggningar efter flera misslyckade försök.
5. Logga misslyckade inloggningsförsök för vidare analys och/eller spridning till brottsbekämpande myndigheter.
6. Initiera en säkerhetsincident närhelst en större inloggningsavvikelse upptäcks eller organisationen upptäcker en autentiseringsavvikelse som har potential att påverka PII.
7. Relä autentiseringsloggar – som innehåller senaste inloggningsförsök och misslyckad inloggningsinformation – till en separat datakälla.
8. Mata bara ut lösenordsdata som abstrakta symboler), såvida inte användaren har problem med tillgänglighet/syn.
9. Förhindra delning av all autentiseringsdata.
10. Döda vilande inloggningssessioner, särskilt där PII används i fjärrarbetsmiljöer eller på BYOD-tillgångar.
11. Sätt en tidsgräns för autentiserade sessioner, särskilt de som aktivt använder PII.

Fysisk & miljösäkerhet

ISO 27701 klausul 6.8.2.7 (Säker kassering eller återanvändning av utrustning) och EU GDPR 5 (1)(f)

PII och integritetsrelaterad information är särskilt utsatt när behovet uppstår att antingen göra sig av med eller återanvända lagring och bearbetning av tillgångar – antingen internt eller i samarbete med en specialiserad tredjepartsleverantör.

Framför allt måste organisationer se till att alla lagringsmedier som är markerade för bortskaffande, som har innehållit PII, bör fysiskt förstörda, torkas or överskriven (se ISO 27002 Kontroll 7.10 och 8.10).

För att förhindra att PII äventyras på något sätt, när de gör sig av med eller återanvänder tillgångar, bör organisationer:

• Se till att alla etiketter antingen tas bort eller ändras vid behov – särskilt de som indikerar närvaron av PII.
• Ta bort alla fysiska och logiska säkerhetskontroller vid avveckling av anläggningar eller flytt av lokaler i syfte att återanvända dem på en ny plats.

Stöder ISO 27002 kontroller

• ISO 27002 7.10
• ISO 27002 8.10

ISO 27701 klausul 6.8.2.9 (policy för tydligt skrivbord och tydlig skärm) och EU GDPR 5 (1)(f)

PII och integritetsrelaterad information är särskilt utsatt när vårdslös personal och tredjepartsentreprenörer inte följer säkerhetsåtgärder på arbetsplatsen som skyddar mot oavsiktlig eller avsiktlig visning av PII av obehörig personal.

Organisationer bör utarbeta ämnesspecifika policyer för tydliga skrivbord och tydliga skärmar (på en arbetsyta-för-arbetsyta om det behövs) som inkluderar:

• Döljer sig från tillfällig vy, låser in eller lagrar PII och integritetsrelaterad information på ett säkert sätt när sådant datamaterial inte krävs.
• Fysiska låsmekanismer på IKT-tillgångar.
• Digitala åtkomstkontroller – som visningstimeout, lösenordsskyddade skärmsläckare och automatiska utloggningsmöjligheter.
• Säker utskrift och omedelbar dokumentinsamling.
• Säker, låst förvaring av känslig dokumentation och korrekt bortskaffande av sådant material när det inte längre behövs (fragmentering, bortskaffande av tredje part etc.).
• Var uppmärksam på förhandsgranskningar av meddelanden (e-post, SMS, kalenderpåminnelser) som kan ge tillgång till känslig data; närhelst en skärm delas eller visas på en offentlig plats.
• Rensa fysiska displayer (t.ex. whiteboards och anslagstavlor) från känslig information, när det inte längre behövs.

När organisationer kollektivt lämnar lokaler – som vid en kontorsflytt eller liknande flytt – bör jag anstränga mig för att säkerställa att ingen dokumentation lämnas kvar, vare sig i skrivbord och arkivsystem, eller någon som kan ha hamnat på oklara platser.

Operations säkerhet

ISO 27701 klausul 6.9.3.1 (Informationsbackup) och EU GDPR 5 (1)(f)

Organisationer bör utarbeta ämnesspecifika policyer som direkt tar upp hur organisationen backar upp de relevanta områdena i sitt nätverk för att skydda PII och förbättra motståndskraften mot integritetsrelaterade incidenter.

BUDR-förfaranden bör utarbetas för att uppnå det primära målet att säkerställa detta alla affärskritiska data, mjukvara och system kan återställas följande dataförlust, intrång, avbrott i verksamheten och kritiska misslyckanden.

Som en prioritet bör BUDR-planer:

• Beskriv återställningsprocedurer som täcker alla kritiska system och tjänster.
• Kunna producera fungerande kopior av alla system, data eller applikationer som ingår i ett backupjobb.
• Betjäna organisationens kommersiella och operativa krav (se ISO 27002 Kontroll 5.30).
• Lagra säkerhetskopior på en miljöskyddad plats som är fysiskt skild från källdata (se ISO 27002 Kontroll 8.1).
• Testa och utvärdera regelbundet säkerhetskopieringsjobb mot organisationens mandat återställningstider, för att garantera datatillgänglighet.
• Kryptera alla PII-relaterade säkerhetskopieringsdata.
• Dubbelkolla för eventuell dataförlust innan du utför ett säkerhetskopieringsjobb.
• Följ ett rapporteringssystem som uppmärksammar personalen på status för backupjobb.
• Försök att införliva data från molnbaserade plattformar som inte direkt hanteras av organisationen, i interna backupjobb.
• Lagra säkerhetskopior i enlighet med en lämplig PII-lagringspolicy (se ISO 27002 Kontroll 8.10).

Ytterligare Pii-specifik vägledning

Organisationer måste utveckla separata procedurer som enbart handlar om PII (även om de ingår i deras huvudsakliga BUDR-plan).

Regionala avvikelser i PII BUDR-standarder (kontraktuella, juridiska och regulatoriska) bör beaktas när ett nytt jobb skapas, jobb ändras eller ny PII-data läggs till i BUDR-rutinen.

Närhelst behovet uppstår för att återställa PII efter en BUDR-incident, bör organisationer vara mycket noga med att återställa PII till dess ursprungliga tillstånd och granska återställningsaktiviteter för att lösa eventuella problem med den nya datan.

Organisationer bör föra en logg över återställningsaktiviteter, inklusive all personal som är involverad i återställningen, och en beskrivning av PII som har återställts.

Organisationer bör kontrollera med alla lagstiftande eller tillsynsmyndigheter och se till att deras PII-återställningsprocedurer är i linje med vad som förväntas av dem som PII-behandlare och registeransvarig.

Stöder ISO 27002 kontroller

• ISO 27002 5.30
• ISO 27002 8.1
• ISO 27002 8.10

ISO 27701 klausul 6.9.4.1 (Händelseloggning) och EU GDPR 5 (1)(f)

ISO definierar en "händelse" som varje åtgärd som utförs av en digital eller fysisk närvaro/enhet på ett datorsystem.

Händelseloggar bör innehålla:

• Ett användar-ID – Vem eller vilket konto som utförde åtgärderna.
• En registrering av systemaktivitet.
• Tidsstämplar.
• Enhets- och systemidentifierare och platsen för händelsen.
• IP-adressinformation.

Händelsetyper

ISO identifierar 11 händelser/komponenter som kräver loggning (och länkade till samma tidskälla – se ISO 27002 Kontroll 8.17), för att upprätthålla PII-säkerhet och förbättra organisationens integritetsskydd:

1. Systemåtkomstförsök.
2. Dataåtkomstförsök.
3. Resursåtkomstförsök.
4. OS-konfigurationen ändras.
5. Förhöjda privilegier.
6. Verktygsprogram och underhållsanläggningar (se ISO 27002 Kontroll 8.18).
7. Begäran om filåtkomst och vad som hände (radering, migrering etc.).
8. Kritiska avbryter.
9. Aktiviteter kring säkerhet/anti-malware-system.
10. Identitetsadministrationsarbete (t.ex. tillägg och raderingar av användare).
11. Utvalda applikationssessionsaktiviteter.

Loggskydd

Loggar bör skyddas mot obehöriga ändringar eller driftsavvikelser, inklusive:

• Ändringar av meddelandetyp.
• Ta bort eller redigera.
• Överskrivning på grund av lagringsproblem.

Organisationer bör använda följande tekniker för att förbättra loggbaserad säkerhet:

• Kryptografisk hashing.
• Inspelning endast med tillägg.
• Skrivskyddad inspelning.
• Användning av offentliga transparensfiler.

När behov uppstår att tillhandahålla loggar till externa organisationer bör strikta åtgärder vidtas för att skydda PII och integritetsrelaterad information, i enlighet med accepterade datasekretessstandarder (se ISO 27002 Kontroll 5.34 och ytterligare vägledning nedan).

Logganalys

Loggar kommer att behöva analyseras då och då, för att förbättra integritetsskyddet överlag och för att både lösa och förhindra säkerhetsintrång.

När de utför logganalys bör organisationer ta hänsyn till:

• Expertisen hos den personal som utför analysen.
• Smakämnen Typ, kategori och attribut av varje händelsetyp.
• Alla undantag som tillämpas via nätverksregler som härrör från hårdvara och plattformar för säkerhetsprogramvara.
• Onormal nätverkstrafik.
• Specialiserad dataanalys.
• Tillgänglig hotintelligens (antingen internt eller från en betrodd tredjepartskälla).

Loggövervakning

Loggövervakning ger organisationer möjligheten att skydda PII vid källan och främja ett proaktivt förhållningssätt till integritetsskydd.

Organisationer bör:

1. Granska interna och externa försök att komma åt säkra resurser.
2. Analysera DNS-loggar (och dataanvändningsrapporter) för att identifiera trafik till och från skadliga källor.
3. Samla in loggar från fysiska åtkomstpunkter och fysiska perimetersäkerhetsenheter (entrésystem etc.).

Ytterligare PII-relaterad vägledning

ISO kräver att organisationer övervakar loggar som hänför sig till PII genom enkontinuerlig och automatiserad övervaknings- och varningsprocess'. Detta kan kräva en separat uppsättning procedurer som övervakar åtkomst till PII.

Organisationer bör se till att – som en prioritet – loggar ger en tydlig redogörelse för åtkomst till PII, inklusive:

• Vem som fick tillgång till uppgifterna.
• När informationen var tillgänglig.
• Vilken rektors PII nåddes.
• Eventuella ändringar som gjorts.

Organisationer bör bestämmaom, när och hur' PII-logginformation bör göras tillgänglig för kunderna, med alla kriterier fritt tillgängliga för huvudmännen själva och stor noggrannhet vidtas för att säkerställa att PII-huvudmän endast har tillgång till information som rör dem.

Stöder ISO 27002 kontroller

• ISO 27002 5.34
• ISO 27002 8.11
• ISO 27002 8.17
• ISO 27002 8.18

ISO 27701 klausul 6.9.4.2 (Skydd av logginformation) och EU GDPR 5 (1)(f)

Se ISO 27701 klausul 6.9.4.1

Ytterligare PII-relaterad vägledning

Organisationer bör ägna mycket uppmärksamhet åt att se till att loggar som innehåller PII kontrolleras korrekt och dra nytta av säker övervakning.

Automatiska rutiner bör införas som antingen tar bort eller "avidentifierar" loggar, i linje med en publicerad lagringspolicy (se ISO 27002 Kontroll 7.4.7).

Vägledning för PII-kontroller

ISO 27701 klausul 7.2.1 (Identifiera och dokumentera syfte) och EU GDPR 5 (1)(b)

PII-huvudmän måste vara fullt insatta i alla olika anledningar till varför deras PII bearbetas.

Det är organisationens ansvar att förmedla dessa skäl till PII-huvudmän, tillsammans med ett "tydligt uttalande" om varför de behöver behandla sin information.

All dokumentation måste vara tydlig, heltäckande och lätt att förstå av alla PII-huvudmän som läser den – inklusive allt som rör samtycke, såväl som kopior av interna procedurer (se ISO 27701 paragraf 7.2.3, 7.3.2 och 7.2.8).

Stöder ISO 27701 klausuler

• ISO 27701 7.2.3
• ISO 27701 7.3.2
• ISO 27701 7.2.8

ISO 27701 klausul 7.2.2 (Identifiera laglig grund) och EU GDPR 5 (1)(a)

För att bilda en rättslig grund för att behandla PII bör organisationer:

• Sök samtycke från PII-huvudmän.
• Skriv ett avtal.
• Följ olika andra juridiska skyldigheter.
• Skydda de "vitala intressen" för de olika PII-huvudmännen.
• Se till att de uppgifter som utförs är i allmänhetens intresse.
• Bekräfta att PII-behandling är ett legitimt intresse.

För varje punkt som nämns ovan bör organisationer kunna erbjuda dokumenterad bekräftelse

Organisationer måste också ta hänsyn till alla "särskilda kategorier" av PII som hänför sig till deras organisation i deras dataklassificeringssystem (se ISO 27701 klausul 7.2.8) (klassificeringar kan variera från region till region).

Om organisationer upplever några förändringar av deras underliggande orsaker till att behandla PII, bör detta omedelbart återspeglas i deras dokumenterade rättsliga grund.

Stöder ISO 27701 klausuler

• ISO 27701 7.2.8

ISO 27701 klausul 7.2.6 (kontrakt med PII-processorer) och EU GDPR 5 (2)

Organisationer måste ingå skriftliga, bindande avtal med alla externa PII-behandlare som de använder.

Eventuella kontrakt måste säkerställa att PII-behandlaren implementerar all nödvändig information som finns i ISO 27701 bilaga B, med särskild uppmärksamhet på riskbedömningskontroller (ISO 27701 klausul 5.4.1.2) och den övergripande omfattningen av bearbetningsaktiviteterna (se ISO 27701 klausul 6.12 ).

Organisationer måste kunna motivera utelämnandet av alla kontroller som finns i bilaga B, i deras relation till PII-processorn (se ISO 27701 klausul 5.4.1.3).

ISO 27701 klausul 7.2.8 (Records relaterade till bearbetning av PII) och EU GDPR 5 (2)

Organisationer måste upprätthålla en noggrann uppsättning register som stödjer deras handlingar och skyldigheter som PII-behandlare.

Poster (även kallade "lagerlistor") bör ha en delegerad ägare och kan innehålla:

• Operational – den specifika typen av PII-bearbetning som genomförs.
• Motivering – varför PII behandlas.
• Kategoriskt – listor över PII-mottagare, inklusive internationella organisationer.
• Säkerhet – en översikt över hur PII skyddas.
• Integritet – det vill säga en integritetskonsekvensbedömningsrapport.

ISO 27701 klausul 7.3.6 (Åtkomst, korrigering och/eller radering) och EU GDPR 5 (1)(d)

Organisationer bör utarbeta, dokumentera och implementera procedurer som gör det möjligt för PII-huvudmän att komma åt, korrigera och/eller radera sin PII.

Rutinerna bör innefatta mekanismer genom vilka PII-huvudmannen kan utföra ovanstående åtgärd, inklusive hur organisationen ska informera huvudmannen om korrigeringar inte kan göras.

Organisationer bör förbinda sig till en publicerad svarstid för alla begäranden om åtkomst, korrigering eller radering.

Det är mycket viktigt att kommunicera alla sådana förfrågningar till tredje part som har överförts PII (se ISO 27701 klausul 7.3.7).

En PII-rektors förmåga att begära korrigeringar eller raderingar dikteras av den jurisdiktion som organisationen verkar i. Som sådan bör företag hålla sig à jour med alla lagliga eller regulatoriska ändringar som styr deras skyldigheter gentemot PII.

Stöder ISO 27701 klausuler

• ISO 27701 7.3.7

Privacy by Design och Privacy by Default

ISO 27701 klausul 7.4.1 (Limit Collection) och EU GDPR 5 (1)(b) och (1)(c)

Organisationer bör begränsa sin insamling av PII baserat på tre faktorer:

1. Relevans.
2. Proportionalitet.
3. Nödvändighet.

Organisationer bör endast samla in PII – antingen direkt eller indirekt – i enlighet med ovanstående faktorer, och endast för ändamål som är relevanta och nödvändiga för deras angivna syfte.

Som ett begrepp bör "privacy by default" följas – dvs alla valfria funktioner bör inaktiveras som standard.

ISO 27701 klausul 7.4.3 (noggrannhet och kvalitet) och EU GDPR 5 (1)(d)

Organisationer bör vidta åtgärder för att säkerställa att PII är korrekt, fullständig och uppdaterad under hela dess livscykel.

Organisatoriska informationssäkerhetspolicyer och tekniska konfigurationer bör innehålla steg som strävar efter att minimera fel under hela dess PII-bearbetning, inklusive kontroller för hur man reagerar på felaktigheter.

ISO 27701 klausul 7.4.4 (PII-minimeringsmål) och EU GDPR 5 (1)(c) och (1)(e)

Organisationer måste konstruera förfaranden för "dataminimering", inklusive mekanismer som avidentifiering.

Dataminimering bör användas för att säkerställa att insamling och bearbetning av PII är begränsad till det "identifierade syftet" för varje funktion (se ISO 27701, avsnitt 7.2.1).

En stor del av denna process handlar om att dokumentera i vilken utsträckning en PII-principalinformation ska vara direkt hänförlig till dem, och hur minimering ska uppnås via en mängd olika tillgängliga metoder.

Organisationer bör beskriva de specifika tekniker som används för att avidentifiera PII-principer, till exempel:

1. Randomisering.
2. Bullertillägg.
3. Generalisering.
4. Attribut borttagning.

Stöder ISO 27701 klausuler

• ISO 27701 7.2.1

ISO 27701 klausul 7.4.5 (PII-avidentifiering och radering vid slutet av bearbetningen) och EU GDPR 5 (1)(c) och (1)(e)

Organisationer måste antingen fullständigt förstöra alla PII som inte längre uppfyller ett syfte, eller modifiera dem på ett sätt som förhindrar någon form av principiell identifiering.

Så snart organisationen konstaterat att PII inte behöver behandlas någon gång i framtiden, bör informationen raderade or de identifierade, som omständigheterna föreskriver.

ISO 27701 klausul 7.4.6 (Temporary Files) och EU GDPR 5 (1)(c)

Tillfälliga filer skapas av ett antal tekniska skäl, under hela livscykeln för PII-bearbetning och insamling, över många applikationer, system och säkerhetsplattformar.

Organisationer måste se till att dessa filer förstörs inom rimlig tid, i enlighet med en officiell lagringspolicy.

Ett enkelt sätt att identifiera förekomsten av sådana filer är att utföra periodiska kontroller av temporära filer över nätverket. Tillfälliga filer inkluderar ofta:

• Databasuppdateringsfiler.
• Cachad information.
• Filer skapade av applikationer och skräddarsydda mjukvarupaket.

Organisationer bör följa en sk förfarande för sophämtning som tar bort temporära filer när de inte längre behövs.

ISO 27701 klausul 7.4.8 (avfallshantering) och EU GDPR 5 (1)(f)

Organisationer måste ha tydliga policyer och procedurer som styr hur PII kasseras.

Databortskaffande är ett vittomfattande ämne som innehåller en mängd olika variabler, baserat på den nödvändiga bortskaffningstekniken och typen av data som kasseras.

Organisationer måste överväga:

• Vad PII innehåller.
• Eventuell återstående metadata som behöver raderas tillsammans med huvuddata.
• Den typ av lagringsmedia som PII hålls på.

ISO 27701 klausul 7.4.9 (PII Transmission Controls) och EU GDPR 5 (1)(f)

Alla PII som är inställda på att överföras till en tredjepartsorganisation bör göras med största noggrannhet för informationen som skickas, med säkra medel.

Organisationer måste säkerställa att endast auktoriserad personal har tillgång till överföringssystem och gör det på ett sätt som lätt kan granskas med det enda syftet att få informationen dit den behöver gå utan incidenter.

Vägledning för PII-processorer

ISO 27701 klausul 8.2.2 (Organisatoriska syften) och EU GDPR 5 (1)(a) och (1)(b)

Från början bör PII endast behandlas i enlighet med kundens instruktioner.

Kontrakt bör innehålla SLA som hänför sig till ömsesidiga mål, och eventuella tillhörande tidsskalor som de behöver slutföras inom.

Organisationer bör erkänna sin rätt att välja de distinkta metoder som används för att behandla PII, som lagligen uppnår det kunden söker, men utan att behöva få detaljerade tillstånd om hur organisationen går till väga på en teknisk nivå.

ISO 27701 klausul 8.4.1 (Temporary Files) och EU GDPR 5 (1)(c)

Organisationer måste se till att temporära filer förstörs inom en rimlig tid, i enlighet med en officiell lagringspolicy och tydliga raderingsprocedurer.

Ett enkelt sätt att identifiera förekomsten av sådana filer är att utföra periodiska kontroller av temporära filer över nätverket.

Organisationer bör följa en sk förfarande för sophämtning som tar bort temporära filer när de inte längre behövs.

ISO 27701 klausul 8.4.3 (PII-kontroller) och EU GDPR 5 (1)(f)

Närhelst behovet uppstår för att PII ska överföras över ett datanätverk (inklusive en dedikerad länk), måste organisationer vara upptagna med att säkerställa att PII når rätt mottagare i tid.

När PII överförs mellan datanätverk bör organisationer:

• Se till att endast auktoriserade personer kan utföra överföringen.
• Håll dig till publicerade procedurer som styr överföringen av PII från organisationen till en tredje part.
• Behåll alla revisionsdata.
• Inkludera överföringskrav i kundens kontrakt.
• Rådgör med kunden innan någon överföring görs, om det inte finns några skriftliga eller kontraktuella bestämmelser.

Stöder ISO 27701-klausuler och ISO 27002-kontroller

Hur ISMS.online Hjälp

Din kompletta GDPR-lösning.

En förbyggd miljö som sömlöst passar in i ditt ledningssystem låter dig beskriva och demonstrera ditt sätt att skydda europeiska och brittiska kunddata.

Med ISMS.online kan du hoppa direkt in i GDPR-efterlevnad och demonstrera skyddsnivåer som går utöver "rimliga", allt på en säker, alltid-på plats.

I kombination med vår implementeringsmetod 'Adoptera, anpassa, lägg till', erbjuder ISMS.online-plattformen inbyggd vägledning vid varje steg, vilket minskar ansträngningen som krävs för att visa att du följer GDPR. Ett antal kraftfulla tidsbesparande funktioner kommer också att vara tillgängliga för dig.

Ta reda på mer av boka en kort 30 minuters demo.