ISO 27701 деген эмне?
ISO/IEC 27701:2019 — Купуялуулук маалыматын башкаруу тутумун (PIMS) түзүү, ишке ашыруу, колдоо жана үзгүлтүксүз жакшыртуу үчүн талаптарды белгилеген жана жетекчилик берген эл аралык стандарт. Ал ISO 27001 жана ISO 27002нин кеңейтүүсү катары иштелип чыкан жана жеке идентификацияланган маалыматты (PII) башкарууну камтыган купуялуулукка тиешелүү контролдорду жана жетекчиликти кошкон.
Стандарт 2019-жылдын августунда, сертификациялануучу купуялуулук башкаруу негизине болгон глобалдык суроо-талап өсүп жатканына түздөн-түз жооп катары жарыяланган.
PIMS: ISMS-иңизге купуялуулук кеңейтүүсү
ISO 27701 өзүнчө иштебейт. Ал учурдагы ISO 27001 сертификацияланган ISMS-тин кеңейтүүсү катары ачык-айкын иштелип чыккан. Бул уюмдар адегенде ISO 27001 менен ишке ашырылышы жана сертификацияланышы керек дегенди билдирет. PIMS ISMS-ти төмөнкүлөр менен кеңейтет:
- Купуялуулукка тиешелүү бөлүктөр. PII иштетүү контекстин, купуялуулук тобокелдигин баалоону жана купуялуулукка тиешелүү лидерлик жоопкерчиликтерин камтыган ISO 27001 4-10 бөлүктөрүнүн кеңейтүүлөрү.
- PII контролёрлору үчүн кошумча контролдор. ISO 27701нин А тиркемеси PII иштетүүнүн максаттарын жана каражаттарын аныктаган уюмдарга (GDPR терминологиясында контролёрлор) тиешелүү контролдорду берет.
- PII иштетүүчүлөр үчүн кошумча контролдор. В тиркемеси контролёрлордун атынан PII иштеткен уюмдарга (GDPR терминологиясында иштетүүчүлөр) контролдорду берет.
- GDPR картага түшүрүү тиркемеси. D тиркемеси ISO 27701 контролдору менен GDPR беренелеринин ортосунда маалыматтык картаны берет.
ISO 27701 GDPR менен кантип дал келет
ISO 27701 менен GDPR ортосундагы байланыш кокустук эмес — ал түздөн-түз болуу үчүн иштелип чыккан. Стандарттын D тиркемеси контролдору менен конкреттүү GDPR беренелеринин ортосунда деталдуу картаны берет. Негизги шайкеш келүүлөргө төмөнкүлөр кирет:
- 5-берене — Принциптер. ISO 27701нин максат чектөө, маалымат минимизациясы жана тактык талаптары GDPRдин негизги иштетүү принциптерин түздөн-түз колдойт.
- 6-берене — Мыйзамдуу негиз. Стандарт уюмдардан ар бир иштетүү аракетинин укуктук негизин документтөөнү жана жазууларды жүргүзүүнү талап кылат.
- 13 жана 14-беренелер — Ачыктык. ISO 27701 ачык-айкын купуялуулук билдирүүлөрүн жана байланыш процедураларын милдеттейт.
- 15-22 беренелер — Маалымат субъектисинин укуктары. Стандарт кирүү суроо-талаптарын, оңдоону, жок кылууну, ташуучулукту жана каршы чыгууну — GDPR маалымат субъектисинин укуктарынын толук спектрин иштетүү процедураларын талап кылат.
- 25-берене — Долбоорлоо боюнча маалыматтарды коргоо. ISO 27701нин тобокелдикке негизделген ыкмасы маалыматтарды коргоону иштетүү аракеттеринин долбоорлоосуна камтыйт.
- 28-берене — Иштетүүчүнүн милдеттенмелери. В тиркемеси иштетүүчүлөр ишке ашырышы керек болгон конкреттүү контролдорду берет.
- 30-берене — Иштетүүнүн жазуулары. Стандарт PII иштетүү аракеттеринин комплекстүү жазууларын талап кылат.
- 32-берене — Иштетүүнүн коопсуздугу. ISO 27001дин коопсуздук контролдоруна курулуу менен, ISO 27701 тиешелүү техникалык жана уюштуруу чаралары PII-ни жашоо циклинин бардык этаптарында коргоорун камсыз кылат.
Сертификациялоо процесси
ISO 27701 сертификациясына жетүү учурдагы ISO 27001 программаңызга курулган структуралаштырылган жолду ээрчийт:
- Боштуктарды анализдөө. Учурдагы ISMS жана купуялуулук практикаларыңызды ISO 27701 талаптарына каршы баалаңыз.
- Чөйрөнү аныктоо. PIMS чөйрөсүн аныктаңыз. Контролёр, иштетүүчү же экөө катары сертификацияланып жатканыңызды аныктаңыз.
- Ишке ашыруу. ISO 27701 талап кылган кошумча контролдорду жайгаштырыңыз.
- Ички аудит. Контролдор ишке ашырылганын, эффективдүү жана тиешелүү документтелгенин текшерүү үчүн PIMS-тин ички аудитин жүргүзүңүз.
- 1-этап аудит. Сертификациялоо органы документтериңизди жана даярдыгыңызды карайт.
- 2-этап аудит. Сертификациялоо органы PIMS ишке ашырууңуздун жана натыйжалуулугуңуздун кылдат баалоосун жүргүзөт.
- Сертификациялоо жана көзөмөл. Ийгиликтүү аяктагандан кийин ISO 27701 сертификатын аласыз. Жылдык көзөмөл аудиттери үзгүлтүксүз шайкештикти камсыз кылат.
Корутунду
ISO 27701 маалымат коопсуздугу менен купуялуулукту башкаруунун ортосундагы боштукту толтуруп, GDPR шайкештигин түздөн-түз колдогон сертификациялануучу негизди берет. ISO 27001ди колдогон уюмдар үчүн ISO 27701ге кеңейтүү логикалык жана эффективдүү кадам — бул купуялуулукту юридикалык милдеттенмеден башкарылган, аудитке ылайыктуу бизнес процесске айландырат.