ISO 27701 – Standarden för hantering av integritetsinformation

Vad är ISO 27701?

I kölvattnet av EU:s allmänna dataskyddsförordning (GDPR), Sydafrikas POPIA, Brasiliens LGPD, Australia Privacy Principles, utarbetas många liknande integritetslagar och förordningar runt om i världen; det har funnits ett växande behov av en uppförandekod, eller standard, för att visa att sekretessdata efterlevs och certifierats. ISO 27701 strävar efter att tillhandahålla ett verkligt internationellt förhållningssätt till integritetsskydd som en komponent i informationssäkerhet.

ISO 27701 utvecklades för att tillhandahålla en standard för datasekretesskontroller, som, i kombination med ett ISMS, gör det möjligt för en organisation att visa effektiv datahantering. Den fastställer parametrarna för en PIMS när det gäller integritetsskydd och behandling av personlig identifierbar information (PII).

ISO 27701 är ett imponerande sätt att visa för konsumenter, externa organisationer och interna intressenter att mekanismer finns på plats för att hålla data säker och följa GDPR och andra integritetslagar.

ISO 27701-standarden, en PIMS-standard (Privacy Information Management System), anger en detaljerad uppsättning operativa checklistor som kan anpassas till en mängd olika regelverk, inklusive GDPR. Företag dokumenterar sina policyer, rutiner, protokoll och aktiviteter i linje med standardens operativa checklistor, med register som sedan granskas av interna och tredjepartsrevisorer, vilket resulterar i detaljerade bevis på överensstämmelse med standarden. ISO 27701 hjälper företag att upprätthålla ett effektivt sekretess- och informationssäkerhetssystem och minska integritetsrisker.

Vilka är standardens byggstenar?

ISO 27701 är en förlängning av ISO/IEC 27001, som är en av de mest använda internationella standarderna för informationssäkerhetshantering. Om din organisation redan är bekant med ISO/IEC 27001 kan det vara relativt enkelt att integrera de nya integritetskontrollerna för PIMS. ISO 27701 är också baserad på andra standarder, som ISO 27002 och ISO 29100. ISO 27701 lägger till ett dataskyddslager till tidigare informationssäkerhetsstandarder. Om du kryssar i rutorna för andra standarder kanske du redan markerar några av rutorna för ISO 27701.

Viktiga punkter att komma ihåg om ISO 27001 och PIMS:

• PIMS tillhandahåller nya kontroller- och processorspecifika kontroller som hjälper organisationer att övervinna utmaningarna med integritet och säkerhet genom att etablera en konvergenspunkt mellan vad som kan vara två olika funktioner.
• Säkerhet är viktigt för integriteten. ISO 22701 PIMS förlitar sig på ISO 27001 för säkerhetshantering. IS0 27701-certifiering är endast tillgänglig som ett tillägg till ISO 27001-certifiering och kan inte erhållas som ett fristående certifikat.

ISO 27701 efterlevnadsutmaningar

Enligt riktlinjerna i GDPR förväntas organisationer att hålla all personlig identifierbar information säker från stöld, förlust och skada.

Ändringar av brittisk lag sedan maj 2018 innebär nu att organisationer måste införa en policy för hantering av HR-data, med förmågan att visa att icke-relevanta personuppgifter raderas på lämpligt sätt. ISO 27701 hjälper organisationer att hantera dessa tre viktiga efterlevnadsutmaningar:

För många regulatoriska krav för att jonglera

Genom att använda ISO 27701 som ett enhetligt system för operativ kontroll av datasekretess tar man bort behovet av att fokusera på flera regler. Som en internationell standard är ISO 27701 utformad för att uppfylla kraven för dataskydd och GDPR, och för att vara tillräckligt flexibel för att anpassas till specifika branschkrav. Detta gör det möjligt för företag att arbeta inom ett enda ramverk för att möta flera regulatoriska krav.

För dyrt att granska förordning för förordning

Interna och externa revisorer använder ISO 27701 för att fastställa regelefterlevnad i en enda revisionscykel. Detta sparar organisationen pengar jämfört med att följa en osammanhängande granskningsprocess för regel för förordning.

Löften om efterlevnad utan bevis är potentiellt riskabla

Det räcker inte för företag att följa bästa praxis datasekretessprocesser; de måste också kunna bevisa efterlevnad av lagar och förordningar. Det innebär att ha en robust, integrerad process för dokumentation. Företag med komplexa processer kan ha flera typer av registeransvariga och databehandlare, molnleverantörer och partnerleverantörer. Oförmåga att bevisa efterlevnad av lagar eller förordningar i någon del av försörjningskedjan kan utsätta verksamheten för finansiella risker och ryktesrisker.

Fördelar med ISO 27701

Demonstrera dataskydd på nästa nivå med ISO 27701

ISO 27701-standarden är ett av sätten att visa att du följer alla lämpliga krav på dataskydd, konfidentialitet och integritetssäkerhet.

Bygg förtroende när du hanterar personlig information

När det kommer till hantering av personuppgifter behöver du ha ett sätt att säkerställa att din organisation gör allt för att informationen hanteras korrekt och i enlighet med lagen. ISO 27701 ger dig den standard som krävs för att bygga förtroende när du hanterar data. Leverantörer, konsumenter och partners kan ha förtroende för dina policyer, procedurer och protokoll när du arbetar efter en internationell standard som ISO 27701.

Integreras med de ledande informationssäkerhetsstandarderna

ISO 27701 integreras med de ledande informationssäkerhetsstandarderna. Detta möjliggör sömlös utveckling och uppdatering av policyer och procedurer över olika standarder, och säker kunskap om att du inte kommer att äventyra din efterlevnad av andra standarder genom att anta ISO 27701-standarder.

Stöder efterlevnad av andra integritetsbestämmelser

ISO 27701 är "industristandarden" för att följa ny dataskyddslagstiftning. Även om ISO 27701 är i linje med principerna för GDPR, tillåter det också organisationer att dokumentera efterlevnad av andra integritetslagar, förordningar, standarder och krav.

Flexibel nog för att tillgodose jurisdiktionsspecifikationer

ISO 27701-standarden har utvecklats för att tillhandahålla standarder för att arbeta med personligt identifierbar information så att du kan uppfylla olika integritetslagar. Om ditt företag är verksamt utanför EU och du vill följa motsvarande territoriumspecifika riktlinjer motsvarande GDPR, kan du ta med dessa jurisdiktionsspecifikationer i ISO 27701.

Ger transparens mellan intressenter

ISO 27701 sätter standarden för hur integritetsdata hanteras. Standarden gör processer transparenta för alla intressenter, vilket skapar förtroende och ömsesidig respekt.

Underlättar effektiva affärsavtal

När företag är engagerade i att arbeta efter samma höga integritetsdatastandarder där är det lättare att göra överenskommelser och att arbeta tillsammans. ISO 27701 skapar förtroende och säkerställer att alla intressenter är på samma sida när de överväger systemintegration och delade affärsprocesser.

ISO 27701 vs ISO 27001 – vad är skillnaderna?

ISO 27701 och ISO 27001 är två standarder som ofta används omväxlande av icke-informationssäkerhetsproffs när de hänvisar till informationssäkerhet.

Både ISO 27001 och ISO 27701 är standarder för IT-säkerhetshantering. Skillnaden mellan de två standarderna är att ISO 27001 fokuserar på gapet mellan riskhantering och säkerhetskontroller medan ISO 27701 är en standard inriktad på att uppfylla integritetsföreskrifter och lagar som GDPR och dataskyddslagen. ISO 27701 fokuserar på risker för integritetsdata.

Hur integreras ISO 27001 och ISO 27701 med varandra?

ISO 27701 är en förlängning av ISO 27001. Det är en av riskhanteringsstandarderna, men den säkerställer att verksamheten följer GDPR och andra relevanta PII-regler. Innan du kan dra nytta av ISO 27701:s säkerhetsfördelar måste du först implementera ISO 27001.

Hur relaterar ISO 27701 till GDPR?

Organisationer måste säkra och säkerställa integriteten hos all känslig information som de behandlar enligt General Data Protection Regulation (GDPR) och UK Data Protection Act 2018 (DPA). Däremot ger varken GDPR eller DPA förtydliganden om de åtgärder som företag måste vidta för att säkerställa datasekretess. Det är här ISO 27701 kommer in. ISO 27701 tillhandahåller kraven och riktlinjerna för en process för bästa praxis för att driva ett integritetsinformationshanteringssystem (PIMS) med effektiv datasäkerhet och sekretessfunktioner.

Hur integreras ISO 27001 och GDPR med varandra?

ISO 27001 är den internationella standarden för bästa praxis för ett ledningssystem för informationssäkerhet (ISMS) som antagits av många länder runt om i världen. Mer än 35 länder har skrivit på för att implementera GDPR. ISO 27701 kan hjälpa till med efterlevnad av GDPR.

Komma igång med ISO 27701

Om du äger ett företag som behandlar personuppgifter måste du förstå hur den nya ISO 27701-standarden gäller dig. Att förstå grunderna i ISO 27701 kan vara en utmaning. Detta gäller särskilt om du är van vid att arbeta efter olika standarder.

Implementering av ISO 27701

Som med de flesta officiella standarder kan ISO 27701 vara lite knepigt att komma runt. ISMS.online hjälper dig genom att tillhandahålla en molnbaserad lösning för att dokumentera överensstämmelse med kraven i ISO 27701.
Genom att implementera ISO 27701 får du en solid ram för efterlevnad av lagar och förordningar, från GDPR-föreskrifterna till skydd på HIPAA-nivå.

Visar god praxis

Att implementera ISO 27701 handlar om att visa "god praxis" för hantering av personlig information. ISO 27701 har blivit en integrerad del av datahanteringsramverket för företag inom många sektorer. Denna viktiga standard är ett skifte från ISO 27001 informationssäkerhet tekniska och tillgångsbetoning till ett mer riskbaserat affärsfokus.

Planera, gör, kontrollera, agera

Plan, Do, Check, Act (PDCA) är en kontinuerlig förbättringscykel som många progressiva företag använder och är en viktig del i implementeringen av ISO 27701. Andra kan använda olika namn för faserna – men huvudidén är densamma: Planera vad som ska göras; gör det bästa du kan med implementering och genomförande av den uppgiften; kontrollera resultaten mot din plan; och när de nödvändiga planändringarna agerar för att förbättra prestandan.

Krav enligt ISO 27701

Kraven för att uppnå ISO/IEC 27701-efterlevnad inkluderar:

• Designa, bygg och implementera ett personligt informationssystem för din organisation.
• Följ ISO 27701-riktlinjerna när du designar och implementerar PIMS.
• PIM:erna bör definiera strikta system och taktiska kontroller för att hantera personligt identifierbar information, inklusive hur denna information erhålls, används, delas och raderas.
• Definiera strikta användarroller och starka lösenord för alla intressenter som behandlar och kontrollerar integritetsdata.

ISO 27701-certifiering kräver att du har ISO 27001-certifiering. Ditt hanteringssystem för personlig information bygger på ditt hanteringssystem för informationssäkerhet (ISMS). Du kan bli certifierad enligt ISO 27701 samtidigt som du gör ISO 27001. Att göra båda samtidigt är normalt enklare, mindre resurskrävande och billigare än att göra dem i serie.

Structure

ISO 27701 är indelat i paragrafer, precis som andra ISO-standarder, med paragraferna 5–8 som beskriver de ytterligare krav och uppdateringar som måste läggas till ISO 27001:

• Klausul 5 beskriver PIMS-kraven för att uppfylla ISO/IEC 27001.
• Klausul 6 beskriver PIMS-riktlinjerna för ISO/IEC 27002.
• Klausul 7 beskriver PIMS-vägledning för PII-styrenheter.
• Klausul 8 i PIMS ger vägledning för PII-processorer.

Följande bilagor ingår också i standarden:

• PIMS-specifika referenskontrollmål och kontroller nämns i bilaga A. (PII-kontrollanter)
• PIMS-specifika referenshanteringsmål och kontroller nämns i bilaga B. (PII-processorer)
• Kartläggning av bilaga C till ISO/IEC 29100
• Mappning till den allmänna dataskyddsförordningen (GDPR) i bilaga D (GDPR).
• Bilaga E till ISO/IEC 27018 och ISO/IEC 29151 Mapping
• Bilaga F Vad är förhållandet mellan ISO/IEC 27701 och ISO/IEC 27001 och ISO/IEC 27002?

Det är dock viktigt att du lär dig alla policyer, procedurer och kontroller på plats och att de följs konsekvent i hela din organisation.

ISO 27701 Implementering

Att implementera ISO/IEC 27701 är ett robust sätt att starta ett hanteringssystem för sekretessinformation inom vilket företag som helst. Många företag väljer att följa ISO 27701 vid sidan av ISO 27001. Detta kan minska kostnaderna och den totala tid och ansträngning som krävs för att uppnå båda standarderna.

Här på ISMS.online tillhandahåller vi molnbaserade lösningar som din organisation kan använda för att dokumentera efterlevnad av ISO 27001 och sedan ISO 27701. Vi tar bort osäkerheten och gissningarna ur processen genom att tillhandahålla ett ramverk för efterlevnad av ISO-standarder.

Vem ska implementera ISO 27701?

ISO 27701 erbjuder en internationell standard för alla organisationer som hanterar sekretessdata. Alla företag som har personlig identifierbar information, oavsett storlek och typ, kan dra nytta av ISO 27701-implementering. ISO 27701 hjälper till att mildra de finansiella och regulatoriska riskerna i samband med dataintrång i integriteten. ISO 27701 är för privata, offentliga företag och till och med statliga myndigheter som behöver ta ett riskbaserat förhållningssätt för att hålla och behandla personlig information.

Vilka roller är involverade i implementeringen av ISO 27701?

Med tanke på omfattningen och omfattningen av ISO 27701-standarden kommer det inte som någon överraskning att olika roller är involverade i implementeringen av standarden. Dessa roller inkluderar vanligtvis:

• Den ledande implementeraren/projektledaren
• Chief Privacy Officer / Data Protection Officer
• Privacy Manager/Data Protection Manager
• Internrevisor
• Extern revisor
• Privacy Analyst- för att ta funktionskrav och konvertera till teknisk implementering
• Databas- och mjukvaruproffs

Efterlevnad kontra certifiering

ISO 27701-efterlevnad och certifiering kan vara förvirrande, eftersom de till nominellt värde verkar betyda samma sak.

ISO 27701-efterlevnad innebär att din organisation har infört de kontroller som behövs för att uppfylla kraven i ISO 27701; en uppsättning bästa praxis för hantering av sekretessinformation. Att följa standarder är viktigt.

Ett ISO 27701-certifikat är det dokument som bekräftar att en viss organisation har gått igenom processerna och dokumenterat allt som krävs för att bli ISO 27701-kompatibel.

Certifiering betyder att du har visat efterlevnad.

Är ISO 27701-certifiering rätt för mig?

Om ditt företag hanterar personligt identifierbar information kan du behöva undersöka ISO 27701-certifieringen. ISO 27701-certifiering gör att du sticker ut jämfört med företag som inte är certifierade.

Dessutom, i händelse av ett dataintrång, har Information Commissioner's Office (ICO) i Storbritannien uttalat att organisationer som implementerar certifiering eller har ett heltäckande system på plats för att hantera sin datasäkerhet kan uppfattas bättre av tillsynsmyndigheter.

ISO 27701 certifieringsprocess

Processen att implementera ISO 27701 är relativt enkel för organisationer som redan har ISO 27001-certifieringar.

ISO 27701-certifieringen kan erhållas i tre steg:

Du måste först anlita ett kvalificerat certifieringsorgan som kommer att genomföra en revision av din organisation.

Efter att du har kommit överens om ett förslag kommer en bedömare att ge din organisation en detaljerad revision. Bedömaren måste göra ett obligatoriskt besök under den första certifieringsrevisionen. De kommer att titta för att se om du har infört ett helt funktionellt hanteringssystem för personlig information.

När bedömaren har genomfört revisionen kommer certifieringsorganet att avgöra om din organisation har uppfyllt kriterierna. Om utfallet är positivt ger de dig ett intyg om att ditt företag följer standardens specifikationer. Certifieringen är giltig under de kommande tre åren, eller tills ditt ISO 27001-certifikat löper ut, beroende på vad som inträffar först.

Om ditt företag inte har ISO 27001-certifiering ännu, måste du ha det först, eller att söka ISO 27001- och ISO 27701-certifieringar samtidigt.

Upprätthålla ISO 27701-certifiering

Att upprätthålla ISO 27701-certifieringen behöver inte vara en skrämmande möjlighet, så länge som den initiala ISO 27701-implementeringen slutfördes korrekt. Men för att hålla din ISO 27701 giltig måste du utföra periodiska övervakningsrevisioner i kombination med din ISO 27001-revision, och sedan en fullständig omvärdering innan certifieringen förnyas.

Det bästa sättet att behålla ISO 27701-certifieringen är att hantera dina system på ett sådant sätt att du kan fortsätta göra ständiga förbättringar. Kontinuerliga förbättringar är den pågående ansträngning som din organisation gör för att förbättra hur den hanterar personligt identifierbar information, identifiera nya risker för efterlevnad och vidta systemiska åtgärder för att åtgärda dem.

Det enklaste sättet till ISO 27701

ISMS.online gör personlig informationshantering enkel genom en fantastisk molnbaserad lösning för att stödja ISO 27701-efterlevnad i din organisation. Utöver detta har vi informationssäkerhetsexperter och resurser tillgängliga för att guida dig genom ISO 27701-ackrediteringsprocessen.

Ramar för ISO 27701

Det kan vara svårt att veta var man ska börja med ISO 27701, speciellt om du aldrig har behövt göra något liknande tidigare. Det är här ISMS.online kommer in. Våra ISO 27701-lösningar tillhandahåller ramverk som gör det möjligt för din organisation att visa överensstämmelse med ISO 27701. Våra informationssäkerhetsexperter kan arbeta med dig för att säkerställa att du utvecklar en logisk implementeringsprocess som är i linje med ramverket för onlinedokumentation .

Verktyg för hantering av försörjningskedjor

På ISMS.online kan vi införliva informationssäkerhetshantering för leveranskedjan i ditt ISMS. Snabba och praktiska prestandamått kan också användas för att övervaka framstegen hos dina leverantörer och andra tredjepartspartnerskap. Använd ISMS.online Clusters för att samla hela leveranskedjan på en plats för tydlighet, insikt och kontroll.

Mycket effektiv projektövervakning och samarbete

Våra ISMS.online-lösningar gör det enkelt för organisationer att uppnå projektövervakning, vilket säkerställer att policyer och procedurer för personuppgiftsansvarig och processor är i linje med ISO-standarden. Vårt onlinesystem säkerställer också att systemimplementatorer har en enda plats för referens och samarbete. Vår Assured Results Method (ARM) gör att du kan vara säker på att du kryssar i alla rutor du behöver för att uppfylla standarden.

Hjälp och stöd att engagera ditt folk

ISO 27701 är inte bara ett ramverk för organisationer att anta; det innebär att anpassa hur människor förstår, samverkar med och interagerar med data. På ISMS.online har vi designat vårt system så att du och din personal kan dra nytta av vårt lättanvända gränssnitt för att dokumentera din ISO-resa. Vi tillhandahåller också videoresurser och tillgång till informationssäkerhetsproffs för att hjälpa dig att integrera standarder i ditt företag.