Förstå ledarskapsansvar i ISO 27701 Klausul 5.3
Organisatoriskt ledarskap och ledning är ett återkommande tema i alla ISO:s olika standarder för ledningssystem för informationssäkerhet.
Policyer och procedurer är endast effektiva om de både erkänns och följs på ett enhetligt sätt. Ledningen spelar en nyckelroll för att säkerställa detta PII och PIMS-relaterade aktiviteter ges den nivå av respekt och professionalism som motiveras av deras roll i att minimera risker och förbättra informationssäkerheten över hela linjen.
Vad som omfattas av ISO 27701 klausul 5.3
Klausul 5.3 handlar direkt om ledande befattningshavares roll i upprättandet av ett PIMS som uppfyller en organisations externa skyldigheter och PII-krav från grunden, genom tre viktiga verksamhetsområden:
- Ledarskap och engagemang.
- Politik.
- Organisatoriska roller, ansvar och befogenheter.
För att uppnå detta innehåller ISO 27701-5.3 tre underklausuler som referensvägledning från 27001:2013.
Alla dessa klausuler bör ses utifrån prismat att etablera och underhålla en PIMS, PII-säkerhet och integritetsskydd, snarare än att tillämpas brett på informationssäkerhet som ett koncept.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
ISO 27701 Klausul 5.3.1 – Ledarskap och engagemang
Referenser ISO 27001 Kontroll 5.1
ISO 27001:2013-5.1 innehåller 7 huvudvägledningspunkter som ger högsta ledningen hjälp med att visa "ledarskap och engagemang" när de utarbetar en informationssäkerhetspolicy relaterad till PII.
Under hela processen att upprätta ett PIMS bör högsta ledningen:
- Tänk på de operativa målen för ledningssystemet som helhet och se till att PIMS-relaterade aktiviteter är i linje med vad företaget försöker uppnå;
- Se till att organisationens PIMS är inbäddat i företagets uppsättning informationssäkerhetsprocesser;
- Tillhandahålla en tillräcklig mängd resurser för att implementera ett fungerande PIMS – inklusive budgetutrymme och rätt mängd anställda för att implementera och underhålla det;
- Evangelisera fördelarna med en PIMS för all personal inom organisationen – inte bara de som direkt interagerar med den – för att maximera medarbetarnas inflytande och förbättra efterlevnaden;
- Kom överens om en tydlig uppsättning resultat, för att mäta prestandan för ett PIMS och dess inverkan på PII-säkerhet;
- Tillhandahålla ledarskap och stöd till alla anställda som spelar en roll för att förbättra PIMS:s prestanda, och främja en proaktiv attityd för att skydda PII;
- Erbjuda vägledning och stöd till medlemmar i den yngre ledningsgruppen, inom områden av deras jobb som direkt relaterar till PIMS-relaterade aktiviteter och PII-säkerhet.
ISO 27701 Klausul 5.3.2 – Policy
Referenser ISO 27001 Kontroll 5.2
Informationspolicyer är brödet för en organisations bredare integritetsskyddsarbete.
Ledningen använder protokoll och procedurer för att inte bara förbättra informationssäkerhetsriskhanteringen som helhet, utan också som ett verktyg för att mäta personalens prestationer och visa för juridiska och tillsynsmyndigheter att organisationen uppfyller sina skyldigheter gentemot PII.
Informationssäkerhetspolicyer relaterade till integritetsskydd, PII och PIMS bör:
- Förbli relevant och lämplig för organisationens unika kommersiella och resursrelaterade behov;
- Skissera en tydlig uppsättning PII-relaterade mål, eller där detta inte är relevant, hjälper det att skapa ett ramverk för att sätta framtida säkerhets- och integritetsmål (se ISO 27001 klausul 6.2*);
- Var uppmärksam på alla specifika organisatoriska krav relaterade till PII, inklusive de från tredje parts juridiska, rådgivande och reglerande organ;
- Främja ett proaktivt förhållningssätt till den pågående utvärderingen av organisationens PIMS, inklusive och förbättringar som kan göras;
När policyer väl har fastställts bör de göras lätt tillgängliga för all relevant personal som versionskontrollerade dokument och kommuniceras brett i hela organisationen – antingen vid skapandet eller när några ändringar görs som har potential att påverka PII-säkerheten.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
ISO 27701 klausul 5.3.3 – Organisatoriska roller, ansvar och befogenheter
Referenser ISO 27001 Kontroll 5.3
Genom hela sin familj av informationssäkerhetsstandarder hänvisar ISO kontinuerligt till rollbaserade aktiviteter, baserat på en persons jobbtyp och tilldelade ansvar.
ISO 27701-5.3.3 uppmanar organisationer att se till att alla som använder PII, interagerar med en PIMS eller är ansvarig för integritetsskydd har en tydligt definierad roll och förstår exakt vad de är ansvariga för, inklusive ledningens egen roll).
Ledningen bör se till att alla PIMS- och PII-relaterade procedurer överensstämmer med ISO 27001-standarderna och delegera rapporteringsansvar till personal som analyserar prestandan för organisationens PIMS med jämna mellanrum.
Stödjande kontroller från ISO 27001 och GDPR
*Kontroll 6.2 – Informationssäkerhetsmål och planering för att uppnå dem (refereras till ISO 27701 klausul 5.3.2)
| ISO 27701 Klausulidentifierare | ISO 27701 Klausulnamn | ISO 27001-krav | Tillhörande GDPR-artiklar |
|---|---|---|---|
| 5.3.1 | Ledarskap och engagemang |
5.1 – Ledarskap och engagemang för ISO 27001 |
Ingen |
| 5.3.2 | Policys |
5.2 – Informationssäkerhetspolicy för ISO 27001 |
Ingen |
| 5.3.3 | Organisatoriska roller, ansvar och befogenheter |
5.3 – Organisatoriska roller, ansvar och befogenheter för ISO 27001 |
Ingen |
Hur ISMS.online kan hjälpa
Med vår förkonfigurerade PIMS kan du snabbt och enkelt organisera och hantera kund-, leverantörs- och personalinformation för att helt uppfylla ISO 27701.
Vi gör datakartläggning till en enkel uppgift. Det är lätt att spela in och granska allt genom att lägga till din organisations information i vårt förkonfigurerade dynamiska verktyg för registrering av bearbetningsaktivitet.
Du måste visa hur väl du hanterar förfrågningar om datasubjekträttigheter (DRR). Vårt säkra DRR-utrymme håller allt på ett ställe och stödjer det med automatisk rapportering och insikt.
Vi har skapat en inbyggd riskbank och en rad andra praktiska verktyg som hjälper till med varje del av riskbedömningen och hanteringsprocessen.
Ta reda på mer av boka en demo.
