ISO 27701, paragraf 5.4 – Planering

ISO 27701 Klausul 5.4.1.1 – Allmänt

Referenser ISO 27001 Kontroll 6.1.1

Generellt sett måste organisationer anta en riskspecifik strategi för att planera en PIMS som:

1. Arbetar för att bygga ett PIMS som uppnår en uppsättning specifika integritetsskyddsmål.
2. Syftar till att antingen helt utrota eller minimera eventuella negativa effekter.
3. Strävar efter ständig utveckling och stegvis förbättring av PII och integritetsskyddsrelaterade aktiviteter.

När organisationer utarbetar en plan måste de:

1. Var uppmärksam på de specifika åtgärder som behövs för att hantera eventuella risker och implementera dem i ett PIMS.
2. Utvärdera ständigt deras tillvägagångssätt.

Relevanta ISO 27001-kontroller

Vägledningen i ISO 27701 5.4.1.1 är nära kopplad till en organisations förmåga att förstå dess krav och förväntningarna hos intern och extern personal och PII-ämnen vars data organisationen har.

• ISO 27001 4.1 – Förstå organisationen och dess sammanhang.
• ISO 27001 4.2 – Förstå behoven och förväntningarna hos berörda parter.

ISO 27701 Klausul 5.4.1.2 – Informationssäkerhetsriskbedömning

Referenser ISO 27001 Kontroll 6.1.2

Organisationer bör kartlägga och implementera en process för riskbedömning av integritetsskydd som:

• Innehåller riskacceptanskriterier, i syfte att utföra integritetsskyddsbedömningar.
• Tillhandahåller ett ramverk för jämförbar analys av alla integritetsskyddsbedömningar.
• Fastställer integritetsskyddsrisker (och deras ägare).
• Tänker på farorna och riskerna med förlusten av "konfidentialitet, tillgänglighet och integritet" för PII.
• Analyserar integritetsskyddsrisker tillsammans med tre faktorer:
• Deras potentiella konsekvenser.
• Sannolikheten att de inträffar.
• Deras svårighetsgrad.
• Analyserar och prioriterar identifierade risker i enlighet med deras risknivå.

Ytterligare PIMS- och PII-vägledning

Organisationer bör fokusera riskbedömningsaktiviteter som inte bara tar upp informationssäkerhet, utan kompletterar implementeringen av ett PIMS och till bearbetning och lagring av PII.

Organisationer bör tänka på konsekvenserna, inte bara för företaget självt, utan för alla PII-principer, bör och problem uppstå.

Tillämpliga GDPR-artiklar

• Artikel 32 – Säkerhet vid behandling
• Tillämpliga avsnitt – (1)(b), (2)

ISO 27701 Klausul 5.4.1.3 – Informationssäkerhetsriskbehandling

Referenser ISO 27001 Kontroll 6.1.3

Organisationer bör utarbeta och implementera en "riskbehandlingsprocess" för integritetsskydd/PII som:

1. genomföra en "riskbehandlingsplan" för integritetsskydd.
2. identifierar hur en PIMS ska behandla individuella risknivåer, baserat på en uppsättning bedömningsresultat.
3. lyfter fram en rad kontroller som krävs för att implementera behandling av integritetsskyddsrisker.
4. korsreferens alla kontroller identifierade med den omfattande listan som tillhandahålls av ISO i Bilaga A till ISO 27001.
5. dokumentera och motivera användningen av eventuella kontroller som används i en formell "tillämplighetsförklaring".
6. söka godkännande från eventuella riskägare innan du slutför en behandlingsplan för integritetsskyddsrisk som inkluderar eventuella "återstående" integritetsskydd och PII-risker.

Tillämpliga GDPR-artiklar

• Artikel 32 – Säkerhet vid behandling
• Tillämpliga avsnitt – (1)(b), (2)

ISO 27701 klausul 5.4.2 – Informationssäkerhetsmål och planering för att uppnå dem

Referenser ISO 27001 Kontroll 6.2

Organisatoriska integritetsskyddsmål bör:

• Var anpassad till andra informationssäkerhetspolicyer.
• Vara kvantifierbar, för rapporterings- och bedömningsändamål.
• Inkludera data från riskbedömningar och riskbehandlingar.
• Görs tillgänglig för alla relevanta anställda och registrerade.
• Bli ständigt förbättrad och uppdaterad i enlighet med operativa resultat och verkliga händelser.
• Bli dokumenterad.

Under hela planeringsprocessen måste organisationer fastställa följande:

1. Eventuella resurser som kommer att krävas.
2. Vem kommer att få äganderätten till målen, deras helt eller delvis.
3. När en organisations angivna mål kommer att uppnås.
4. Hur eventuell data ska analyseras.

Stödjande kontroller från ISO 27001 och GDPR

Hur ISMS.online hjälper

Du måste skapa ett Privacy Information Management System (PIMS) för att uppfylla ISO 27701. Med vårt förbyggda Privacy Information Management System (PIMS) kan du snabbt och effektivt organisera och hantera kund-, leverantörs- och medarbetares information för att uppfylla ISO 27701-kraven.

Sekretessbedömningar kan ställas in och köras med lätthet, allt från dataskyddskonsekvensbedömningar till reglerings- eller efterlevnadsberedskap.

Se hela vårt utbud av funktioner genom boka en demo.