Duomenų apsauga pagal standartą: GDPR ir ISO 27701 sinergija

7 min. skaitymo · duomenų apsaugos pareigūnai, teisininkai, atitikties vadovai, CISO, generaliniai direktoriai

Visi straipsniai

Įvadas: nuolatinis įrodinėjimo spaudimas duomenų apsaugoje

Nuo Bendrojo duomenų apsaugos reglamento (GDPR) įsigaliojimo Europos ekonominėje erdvėje galioja griežtas atskaitomybės principas (accountability, GDPR 5 straipsnio 2 dalis): įmonės turi ne tik veikti laikydamosi duomenų apsaugos reikalavimų, bet ir bet kada be spragų tai įrodyti priežiūros institucijoms ir duomenų subjektams.

Praktikoje tai dažnai virsta chaotiškais atskirais sprendimais: duomenų tvarkymo veiklos įrašai pasenusiose lentelėse, nesuderintos duomenų tvarkymo sutartys ir miglotos ištrynimo koncepcijos.

Čia padeda tarptautinis standartas ISO/IEC 27701. Kaip sertifikuojamas ISO 27001 plėtinys jis nutiesia tiltą tarp techninio informacijos saugumo ir teisinės duomenų apsaugos. Jis įtvirtina išsamią Privacy Information Management System (PIMS).

Kas yra ISO/IEC 27701?

ISO 27701 sukurta kaip ISO 27001 priedas. Tai reiškia: pagrindas yra jau veikianti arba tuo pačiu metu diegiama informacijos saugumo vadybos sistema. ISO 27701 šią sistemą papildo specifiniais asmens duomenų (Personally Identifiable Information – PII) apsaugos reikalavimais.

Standartas aiškiai skiria du vaidmenis:

PII valdytojai (controllers): organizacijos, kurios sprendžia dėl duomenų tvarkymo tikslų ir priemonių.
PII tvarkytojai (processors): paslaugų teikėjai (pavyzdžiui, SaaS tiekėjai, duomenų centrai, verslo procesų išorės paslaugų teikėjai), kurie asmens duomenis tvarko trečiųjų šalių vardu.

Abiejų vaidmenų atvejais standartas pateikia pritaikytus kontrolės mechanizmus, gaires ir dokumentavimo standartus.

Kaip ISO 27701 paverčia GDPR reikalavimus veikiančiais procesais

GDPR formuluoja teisinius principus – ISO 27701 juos išverčia į praktikoje tinkamus vadybos procesus:

GDPR principas / reikalavimas	Įgyvendinimas per ISO 27701 (PIMS)
Duomenų apsauga projektuojant ir pagal numatytuosius nustatymus (Privacy by Design & by Default, 25 str.)	Duomenų apsaugos poveikio vertinimų (DPIA) tvirtas įtraukimas į kūrimo ir pirkimų ciklą.
Duomenų subjektų teisės (12–22 str.)	Standartizuoti procesai ir reagavimo terminai susipažinimui, ištaisymui, duomenų perkeliamumui ir ištrynimui („teisė būti pamirštam“).
Duomenų tvarkymas pagal sutartį ir tiekėjų grandinė (28 str.)	Sisteminga subrangovų patikra ir auditas dėl duomenų apsaugos atitikties.
Pranešimo pareiga duomenų saugumo pažeidimo atveju (33 ir 34 str.)	Nustatyti incidentų valdymo procesai pažeidimams aptikti, dokumentuoti ir laiku pranešti per 72 valandas.
Atskaitomybė (5 straipsnio 2 dalis)	Audito pėdsakas be spragų per sertifikuotus procesus ir reguliarias nepriklausomas kontrolės priemones.

Lemiami PIMS verslo pranašumai

Kodėl vis daugiau B2B įmonių investuoja į ISO 27701 sertifikavimą?

Konkurencinis pranašumas tarptautiniuose pardavimuose: ypač ne Europos klientai ir koncernai ieško paslaugų teikėjų, kurie įrodomai valdo europinius duomenų apsaugos standartus. ISO 27701 sertifikatas yra visame pasaulyje suprantamas kokybės ženklas.
Drastiškai mažiau tiekėjų vertinimų: užuot ranka pildžius šimtus individualių saugos ir duomenų apsaugos klausimynų, sertifikuotos įmonės pateikia sertifikato ataskaitą.
Apsauga nuo baudų ir reputacijos žalos: institucijos, įvykus incidentui, atsižvelgia į įrodomas vadybos sistemas ir jas vertina kaip lengvinantį rūpestingo rizikos valdymo įrodymą.
Sklandi sinergija: kas jau sertifikuotas pagal ISO 27001, diegdamas ISO 27701 sutaupo iki 60 proc. pastangų, nes dokumentavimo struktūra ir rizikos modelis yra tapatūs.

Kelias į dvigubą sertifikavimą (ISO 27001 + ISO 27701)

Sertifikavimas pagal ISO 27701 visada vyksta kartu su ISO 27001:

Bendras auditas: abu standartus galima tikrinti viename jungtiniame audite. Taip taupomas laikas, vidaus ištekliai ir audito mokesčiai.
Išplėstas taikytinumo pareiškimas (SoA): taikytinumo pareiškimas papildomas ISO 27701 duomenų apsaugos kontrolės priemonėmis (Annex A ir B).
Dėmesys PII srautams: auditorius išsamiai analizuoja, kaip asmens duomenys renkami, saugomi, perduodami ir neatšaukiamai ištrinami.

Išvada

Duomenų apsauga nėra varginanti teisininkų prievolė, o esminis pasitikėjimo veiksnys B2B versle. Su ISO 27701 teisinį neapibrėžtumą paverčiate patikima, sertifikuota vadybos sistema.

Norite sertifikuoti duomenų apsaugą pagal ISO 27701?
Atraskite mūsų paslaugas, susijusias su ISO 27001 ir ISO 27701, arba paprašykite individualaus audito pasiūlymo mūsų kainų puslapyje.