Vad kräver kontroll A.3.7?
Regler, rutiner eller avtal för informationsöverföring relaterade till behandling av personligt identifierbar information ska finnas på plats för alla typer av överföringsanläggningar inom organisationen och mellan organisationen och andra parter.
Denna kontroll finns inom de delade säkerhetskontrollerna ( tabell A.3 ) och gäller både personuppgiftsansvariga och personuppgiftsbehandlare. Den behandlar säkerheten för personuppgiftsskyldiga under överföring och kompletterar de personuppgiftsspecifika överföringskontrollerna i A.1.5 som fokuserar på de juridiska och styrande aspekterna av internationella överföringar.
Vad säger implementeringsriktlinjerna?
Bilaga B (avsnitt B.3.7) ger följande vägledning:
- Säkerställ att regler relaterade till behandling av personuppgifter är tillämpas i hela och utanför systemet i förekommande fall
- Tänk alla överföringsmetoder, inklusive elektroniska överföringar (e-post, fildelning, API:er, molnsynkronisering), fysiska överföringar (bärbara medier, tryckta dokument, bud) och muntlig kommunikation
- Överföringsregler bör specificera de säkerhetskontroller som krävs för varje metod och säkerhetsklassificeringsnivå
- Avtal med externa parter bör definiera ansvar för skydd av personligt identifierbar information under överföring.
- Rutiner bör hantera hanteringen av överföringsfel, avlyssning och förlorad media.
- Se även A.3.20: Lagringsmedia för relaterade krav
- Se även A.3.21: Säker avfallshantering eller återanvändning av utrustning för relaterade krav
Vägledningen betonar att överföringssäkerhet inte är begränsad till kryptering. Den omfattar hela livscykeln för en överföring: auktorisering, paketering, överföring, bekräftelse av mottagande och hantering av undantag.
Hur kopplas detta till GDPR?
Kontroll A.3.7 motsvarar artikel 5(1)(f) i GDPR (integritets- och sekretessprincipen). GDPR kräver att personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet, inklusive skydd mot obehörig eller olaglig behandling och mot oavsiktlig förlust, förstörelse eller skada. Säkra överföringsförfaranden är en central del av denna skyldighet.
Denna kontroll stöder även efterlevnaden av artikel 32 (säkerhet vid behandling), som kräver lämpliga tekniska och organisatoriska åtgärder, inklusive i förekommande fall kryptering av personuppgifter och möjligheten att säkerställa behandlingssystemens fortlöpande sekretess.
Hur relaterar detta till ISO 29100:s integritetsprinciper?
Som en delad säkerhetskontroll stöder A.3.7 det bredare ISO 29100- ramverket. Överföringssäkerhet är en direkt implementering av informationssäkerhetsprincipen, vilket säkerställer att PII skyddas inte bara i vila utan under hela dess förflyttning mellan system, platser och organisationer.
Påbörja din gratis provperiod
Vill du utforska?
Registrera dig för din kostnadsfria provperiod idag och få praktiska tillgångar med alla efterlevnadsfunktioner som ISMS.online har att erbjuda
Vilka bevis förväntar sig revisorer?
Vid bedömning av efterlevnaden av A.3.7 letar revisorer vanligtvis efter:
- Överföringspolicy eller -förfaranden — Dokumenterade regler som täcker alla överföringsmetoder (elektroniska, fysiska, muntliga) med specifika bestämmelser för personligt skydd
- Krypteringsstandarder — Bevis på att personligt identifierbar information krypteras under överföring med hjälp av aktuella standarder (t.ex. TLS 1.2+ för elektroniska överföringar, krypterade behållare för bärbara medier)
- Överlåtelseavtal — Ingångna avtal med externa parter som definierar säkerhetskrav för PII under överföring
- Tekniska kontroller — Konfigurationsbevis för e-postkryptering, säkra filöverföringsplattformar, VPN och API-säkerhet
- Incidenthantering — Förfaranden för att hantera överföringsfel, såsom förlorade bärbara medier eller avlyssnad kommunikation
Vilka är de relaterade kontrollerna?
| kontroll | Förhållande |
|---|---|
| A.3.5 Klassificering av information | Klassificeringsnivåer avgör vilka säkerhetskontroller som krävs för överföring |
| A.3.6 Märkning av information | Etiketter synliggör klassificering och hjälper personalen att tillämpa korrekta förflyttningsprocedurer |
| A.1.5.2 Grund för överföring av personligt skyddsinformation mellan jurisdiktioner | Rättslig överföringsgrund (kontroll av personuppgiftsansvarig) kompletterar säkerhetsåtgärderna i A.3.7 |
| A.1.5.4 Register över överföring av personuppgifter | Överföringsregister bör hänvisa till de säkerhetsåtgärder som tillämpats under överföringen |
| A.3.3 Policyer för informationssäkerhet | Överföringsförfaranden bör vara förankrade i den övergripande säkerhetspolicyn |
Vad har ändrats från ISO 27701:2019?
För en stegvis metod, se Övergången från 2019 till 2025.
I 2019 års utgåva spreds detta krav över klausulerna 6.10.2.1, 6.10.2.2 och 6.10.2.3, och omfattade elektronisk meddelandehantering, policyer och rutiner för informationsöverföring respektive sekretessavtal. 2025 års utgåva konsoliderar dessa till en enda kontroll (A.3.7) med enhetlig vägledning i B.3.7. Detta gör kravet mer sammanhängande och enklare att implementera, samtidigt som det bibehåller samma materiella omfattning. Se bilaga F:s jämförelsetabell för den fullständiga kartläggningen.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Varför välja ISMS.online för att hantera säker informationsöverföring?
ISMS.online tillhandahåller verktygen för att dokumentera, upprätthålla och bevisa dina säkerhetskontroller för överföringar:
- Dokumentation av överföringsförfarandet — Skapa och underhåll överföringsprocedurer för varje metod (e-post, fildelning, fysiska medier) med versionskontroll och arbetsflöden för godkännande
- Leverantörs- och partnerhantering — Lagra överföringsavtal tillsammans med leverantörsprofiler, spåra efterlevnad av överenskomna säkerhetskrav och flagga när avtal behöver förnyas
- Kontrollbevis — Koppla tekniska kontroller (krypteringskonfigurationer, inställningar för säker överföringsplattform) till relevanta policykrav
- Incident management — Logga och spåra överföringsrelaterade incidenter med rotorsaksanalys och korrigerande åtgärder
- Integrerat riskregister — Bedöm överföringsrisker tillsammans med andra informationssäkerhetsrisker, och säkerställ att proportionella kontroller tillämpas baserat på säkerhetsklassificeringsnivå
Vanliga frågor
Gäller denna kontroll endast externa överföringar?
Nej. Kontrollen omfattar uttryckligen överföringar ”inom organisationen och mellan organisationen och andra parter”. Interna överföringar, såsom att flytta personligt identifierbar information mellan avdelningar, system eller platser inom samma organisation, måste också omfattas av överföringsregler. Detta inkluderar intern e-post, fildelning mellan team, datareplikering mellan datacenter och fysisk förflyttning av dokument mellan kontor.
Vilka krypteringsstandarder bör användas för PII under överföring?
Använd som ett minimum TLS 1.2 eller senare för elektroniska överföringar. För e-post, överväg S/MIME eller PGP för känsliga PII. För portabla medier, använd AES-256-kryptering. För API-överföringar, tillämpa HTTPS med ömsesidig TLS där det är möjligt. De specifika standarderna bör vara proportionella mot klassificeringsnivån för den PII som överförs och i linje med gällande bästa praxis i branschen och regulatoriska riktlinjer.
Hur ska vi hantera muntliga överföringar av personligt identifierbar information?
Muntlig kommunikation av PII (t.ex. telefonsamtal, personliga diskussioner) bör omfattas av era överföringsrutiner. Överväg åtgärder som identitetsverifiering innan du avslöjar PII muntligt, undvik diskussion om känslig PII i offentliga utrymmen, använd säkra kommunikationskanaler för känsliga samtal och utbilda personal i lämplig muntlig hantering av personuppgifter.
Dokumentera denna kontroll i ert tillämplighetsförklaring med er implementeringsmotivation.
Se vår guide om krav på revisionsbevis för vad revisorer förväntar sig.
