حفاظت از داده مطابق استاندارد: هم‌افزایی GDPR و ISO 27701

مقدمه: فشار همیشگی اثبات در حفاظت از داده

از زمان لازم‌الاجرا شدن مقرره عمومی حفاظت از داده (GDPR)، در فضای اقتصادی اروپا اصل سخت‌گیرانه پاسخگویی (Accountability، ماده 5 بند 2 GDPR) حاکم است: سازمان‌ها نه‌تنها باید مطابق حفاظت از داده عمل کنند، بلکه باید بتوانند این انطباق را در هر زمان، به‌صورت بدون خلأ، در برابر مراجع نظارتی و اشخاص موضوع داده اثبات کنند.

در عمل این الزام اغلب به راه‌حل‌های جزیره‌ای آشفته می‌انجامد: فهرست فعالیت‌های پردازش در جدول‌های قدیمی، قراردادهای پردازش سفارش ناهماهنگ و طرح‌های مبهم حذف داده.

اینجا استاندارد بین‌المللی ISO/IEC 27701 راهگشا است. این استاندارد به‌عنوان گسترش قابل گواهی‌شدن ISO 27001، پلی میان امنیت اطلاعات فنی و حفاظت حقوقی از داده می‌سازد و یک سیستم مدیریت اطلاعات حریم خصوصی (PIMS) فراگیر مستقر می‌کند.

ISO/IEC 27701 چیست؟

ISO 27701 به‌عنوان افزونه ISO 27001 طراحی شده است. معنایش این است: یک سیستم مدیریت امنیت اطلاعات موجود، یا سیستمی که هم‌زمان مستقر می‌شود، شالوده را می‌سازد. ISO 27701 این سیستم را با الزامات خاص حفاظت از داده‌های شخصی (Personally Identifiable Information – PII) تکمیل می‌کند.

استاندارد میان دو نقش تمایز روشن می‌گذارد:

1. کنترل‌کنندگان PII (مسئولان پردازش): سازمان‌هایی که درباره اهداف و ابزارهای پردازش داده تصمیم می‌گیرند.
2. پردازشگران PII (پردازشگران سفارش): ارائه‌دهندگان خدمات (مثلاً عرضه‌کنندگان SaaS، مراکز داده، ارائه‌دهندگان BPO) که داده‌های شخصی را به سفارش ثالث پردازش می‌کنند.

برای هر دو نقش، استاندارد سازوکارهای کنترل، رهنمودها و استانداردهای مستندسازی متناسب فراهم می‌کند.

چگونه ISO 27701 الزامات GDPR را عملیاتی می‌کند

GDPR اصول حقوقی را صورت‌بندی می‌کند و ISO 27701 آن‌ها را به فرایندهای مدیریتی قابل اجرا در عمل ترجمه می‌کند:

مزایای تجاری تعیین‌کننده یک PIMS

چرا سازمان‌های B2B هر روز بیشتر در گواهینامه ISO 27701 سرمایه‌گذاری می‌کنند؟

1. مزیت رقابتی در فروش بین‌المللی: به‌ویژه مشتریان و کنسرن‌های خارج از اروپا به دنبال ارائه‌دهندگانی هستند که استانداردهای اروپایی حفاظت از داده را به‌صورت قابل اثبات در اختیار داشته باشند. گواهینامه ISO 27701 یک نشان کیفیت قابل فهم در سطح جهانی است.
2. کاهش شدید ارزیابی تأمین‌کننده: به‌جای پرکردن دستی صدها پرسش‌نامه فردی امنیت و حفاظت از داده، سازمان‌های گواهی‌شده گزارش گواهینامه خود را ارائه می‌کنند.
3. حفاظت در برابر جریمه‌ها و آسیب شهرت: مراجع، در صورت بروز رخداد، سیستم‌های مدیریت قابل اثبات را به حساب می‌آورند و آن‌ها را به‌عنوان مدرک تخفیف‌دهنده برای مدیریت دقیق ریسک می‌پذیرند.
4. هم‌افزایی بی‌درز: کسی که از پیش طبق ISO 27001 گواهی شده باشد، تا 60 درصد از زحمت پیاده‌سازی ISO 27701 را صرفه‌جویی می‌کند، زیرا ساختار مستندسازی و مدل ریسک یکسان است.

مسیر گواهینامه دوگانه (ISO 27001 + ISO 27701)

گواهینامه مطابق ISO 27701 همیشه در پیوند با ISO 27001 انجام می‌شود:

• ممیزی مشترک: هر دو استاندارد را می‌توان در یک ممیزی ترکیبی واحد بررسی کرد. این کار زمان، منابع داخلی و هزینه‌های ارزیابی را ذخیره می‌کند.
• بیانیه قابلیت کاربرد گسترش‌یافته (SoA): بیانیه قابلیت کاربرد با کنترل‌های حفاظت از داده ISO 27701 (پیوست‌های A و B) گسترش می‌یابد.
• تمرکز بر جریان‌های PII: ممیز به‌تفصیل تحلیل می‌کند که داده‌های شخصی چگونه گردآوری، ذخیره، منتقل و به‌صورت بازگشت‌ناپذیر حذف می‌شوند.

جمع‌بندی

حفاظت از داده یک تکلیف مزاحم فقط برای حقوق‌دانان نیست، بلکه عامل مرکزی اعتماد در کسب‌وکار B2B است. با ISO 27701 عدم قطعیت‌های حقوقی را به یک سیستم مدیریت مستحکم و گواهی‌شده تبدیل می‌کنید.

می‌خواهید حفاظت از داده خود را مطابق ISO 27701 گواهی کنید؟
خدمات ما پیرامون ISO 27001 و ISO 27701 را ببینید یا از طریق صفحه قیمت یک پیشنهاد ممیزی متناسب درخواست کنید.