Vad kräver kontroll A.3.31?
Testinformation relaterad till behandling av personuppgifter ska väljas, skyddas och hanteras på lämpligt sätt.
Denna kontroll finns inom bilagan om delade säkerhetskontroller (A.3) och åtgärdar en av de vanligaste orsakerna till onödig PII-exponering: kopiering av produktionsdata till test- och utvecklingsmiljöer. Testmiljöer har vanligtvis svagare åtkomstkontroller, bredare åtkomst, mindre övervakning och mer transient infrastruktur än produktionssystem, vilket gör dem till en betydande integritetsrisk om de innehåller verklig PII.
Vad står det i implementeringsriktlinjerna i bilaga B?
Bilaga B (avsnitt B.3.31) ger följande vägledning:
- Föredra syntetisk data — Personuppgifter bör inte användas för teständamål; falska eller syntetiska personuppgifter bör användas istället
- Tillämpa motsvarande kontroller när PII är oundviklig — Om användning av personligt identifierbar information för teständamål inte kan undvikas, bör tekniska och organisatoriska åtgärder motsvarande de som används i produktionsmiljön implementeras för att minimera riskerna.
- Riskbedöm när likvärdiga kontroller inte är genomförbara — Om sådana likvärdiga åtgärder inte är genomförbara bör en riskbedömning göras och användas för att identifiera valet av lämpliga riskreducerande åtgärder.
- Se även A.3.28: Krav på applikationssäkerhet för relaterade krav
- Se även A.3.29: Arkitektur och tekniska principer för säker system för relaterade krav
Vägledningen fastställer en tydlig hierarki: först syntetiska data, sedan produktionsekvivalenta kontroller om verklig personlig information är oundviklig, och sedan riskbedömda begränsningsåtgärder som en sista utväg. Denna gradvisa metod erkänner att vissa testscenarier verkligen kan kräva verkliga data, samtidigt som den tydliggör att detta bör vara undantaget snarare än regeln.
Hur kopplas detta till GDPR?
Kontroll A.3.31 mappas till följande GDPR- artikel:
- Artikel 5(1)(f) — Principen om integritet och sekretess, som kräver lämplig säkerhet för personuppgifter, inklusive skydd mot obehörig behandling
Att använda verkliga personuppgifter i testmiljöer där säkerhetskontrollerna är svagare än produktionsmässiga är ett direkt brott mot artikel 5(1)(f). Tillsynsmyndigheter har vidtagit verkställighetsåtgärder mot organisationer som exponerat personuppgifter genom otillräckligt säkrade testmiljöer.
För den fullständiga mappningen mellan GDPR och ISO 27701, se GDPR-efterlevnadsguiden.
Vad har ändrats från ISO 27701:2019?
För en stegvis metod, se Övergången från 2019 till 2025.
I 2019 års utgåva täcktes detta krav av klausul 6.11.3.1 (skydd av testdata). 2025 års utgåva behåller kärnkraven som A.3.31, och implementeringsvägledningen i B.3.31 ger nu en tydligare trenivåhierarki för hantering av testdata: syntetiska data, likvärdiga kontroller och sedan riskbedömda riskreducerande åtgärder. Se bilaga F:s jämförelsetabell för den fullständiga kartläggningen.
Kom igång enkelt med en personlig produktdemo
En av våra introduktionsspecialister kommer att guida dig genom vår plattform för att hjälpa dig komma igång med självförtroende.
Vilka bevis förväntar sig revisorer?
Vid bedömning av efterlevnaden av A.3.31 letar revisorer vanligtvis efter:
- Policy för testdata — En dokumenterad policy som specificerar att syntetiska eller anonymiserade data måste användas för testning, med en definierad process för exceptionella fall där verklig personligt identifierbar information krävs.
- Syntetisk datakapacitet — Bevis på att organisationen har verktyg eller processer för att generera realistiska men fiktiva testdata
- Säkerhet i testmiljön — Där verklig personligt identifierbar information används vid testning, bevis på att testmiljön har säkerhetskontroller motsvarande produktionssäkerhet (åtkomstkontroller, kryptering, loggning, övervakning)
- Riskbedömningar — Där likvärdiga kontroller inte är genomförbara, dokumenterade riskbedömningar som identifierar riskerna och utvalda riskreducerande kontroller.
- Hantering av testdatalivscykeln — Bevis på att verklig personlig information som använts vid testning tas bort eller förstörs efter att testsyftet är slutfört
Vilka är de relaterade kontrollerna?
| kontroll | Förhållande |
|---|---|
| A.3.27 Säker utvecklingslivscykel | Testdatahantering bör integreras i utvecklingslivscykeln |
| A.3.30 Utveckling på entreprenad | Utkontrakterade utvecklare får inte använda riktiga personuppgifter för testning |
| A.1.4.6 Avidentifiering och radering | Avidentifieringstekniker kan skapa användbar testdata från produktionsdata |
| A.3.9 Åtkomsträttigheter | Åtkomst till testmiljöer som innehåller verklig personligt identifierbar information måste kontrolleras |
| A.3.25 Loggning | Åtkomst till personligt identifierbar information i testmiljöer bör loggas |
Vem gäller denna kontroll?
A.3.31 är en delad kontroll som gäller både för PII-kontrollanter och PII-bearbetare. Alla organisationer som testar system som behandlar PII måste hantera testdata på lämpligt sätt. Detta är särskilt viktigt för SaaS-leverantörer, programvaruföretag och leverantörer av hanterade tjänster där utveckling och testning är löpande aktiviteter snarare än engångsprojekt.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Varför välja ISMS.online för hantering av testdata?
ISMS.online tillhandahåller praktiska verktyg för att hantera testinformation på ett säkert sätt:
- Policyhantering — Publicera policyer för testdata med versionskontroll och spårning av personalbekräftelser
- Riskbedömningar — Genomför riktade riskbedömningar för scenarier där verklig PII i testning är oundviklig, med dokumenterade riskreducerande åtgärder.
- Undantagshantering — Spåra godkända undantag där verklig personligt identifierbar information används för testning, inklusive motivering, godkännande, tillämpade säkerhetsåtgärder och bekräftelse på dataförstöring
- Övervakning av efterlevnad — Övervaka testmiljöns efterlevnad av er testdatapolicy i alla utvecklingsteam
- Bevishantering — Lagra bevis för hantering av testdata, inklusive dokumentation av syntetisk datakapacitet, riskbedömningar och undantagsregister för granskningsberedskap
Vanliga frågor
När är det acceptabelt att använda riktig personligt identifierbar information för testning?
Verklig PII bör endast användas när syntetisk data inte kan replikera testscenariot på ett adekvat sätt. Vanliga motiveringar inkluderar: testning av datamigrering från ett äldre system (där datastrukturen och innehållet måste verifieras), diagnostisering av ett produktionsproblem som inte kan reproduceras med syntetisk data, eller prestandatestning där datavolym och egenskaper måste matcha produktionen. I samtliga fall måste en riskbedömning utföras, motsvarande säkerhetskontroller bör tillämpas och den verkliga PII måste tas bort från testmiljön när testsyftet är slutfört.
Vilka tekniker kan användas för att skapa syntetiska testdata?
Vanliga tekniker inkluderar: datagenereringsverktyg som skapar realistiska men fiktiva poster (namn, adresser, identifierare); datamaskering eller pseudonymisering som ersätter verkliga PII-värden med fiktiva samtidigt som datastrukturen och relationerna bevaras; dataunderuppsättning som tar ett litet urval från produktionsdata och anonymiserar det; och datasyntesverktyg som använder statistiska modeller för att generera data med samma distributionsegenskaper som produktionsdata. Tillvägagångssättet bör bevara datas testvärde samtidigt som integritetsrisken elimineras.
Vilka säkerhetskontroller behövs för testmiljöer med verklig personlig information?
Standarden kräver kontroller motsvarande de i produktionsmiljön. Detta inkluderar vanligtvis: samma åtkomstkontrollmodell med samma autentiseringskrav; kryptering i vila och under överföring; loggning och övervakning av all dataåtkomst; regelbundna åtkomstgranskningar; isolering av säker miljö från offentliga nätverk; och procedurer för dataförstöring när testningen är klar. Många organisationer finner det enklare och mindre riskabelt att investera i syntetisk datakapacitet snarare än att duplicera säkerhetskontroller i produktionen över flera testmiljöer.
Inkludera testdatakontroller i din tillämplighetspolicy.
Se vår guide om krav på revisionsbevis för vad revisorer förväntar sig gällande skydd av testdata.
