ISO 27018:2020 begrijpen

ISO 27018 is de praktijkcode voor de bescherming van persoonlijk identificeerbare informatie (PII) in openbare clouds. We gaan onderzoeken wat het betekent voor zowel aanbieders als klanten.

Wat is ISO 27018?

ISO/IEC 27018 is de internationale norm voor het beschermen van persoonlijke informatie in cloudopslag. De term voor de persoonlijke gegevens die eronder vallen is Persoonlijk identificeerbare informatie of PII. ISO 27018 is een praktijkcode voor aanbieders van openbare clouddiensten.

ISO 27018 doet twee dingen:

• Geeft verdere nuttige implementatierichtlijnen (in aanvulling op ISO 27002 ) voor de bedieningselementen gepubliceerd in ISO / IEC 27001
• Bevat extra richtlijnen voor PII-beschermingsvereisten voor de publieke cloud

Deze extra controles vallen niet onder ISO 27002.

Wat zijn de doelstellingen van ISO 27018?

ISO 27018 geeft generieke, overeengekomen richtlijnen voor informatiebeveiligingscategorieën. De standaard is gericht op aanbieders van openbare clouddiensten die optreden als PII-verwerkers.

De belangrijkste doelstellingen zijn:

• Help het publiek cloud PII-verwerkers voldoen aan hun verplichtingen, ook wanneer ze een contract hebben om openbare clouddiensten te leveren
• Maak transparantie mogelijk, zodat potentiële klanten van cloudservices veilig toegang hebben beheerde cloudgebaseerde PII-verwerking diensten
• Help cloudservices en gebruikers contractuele overeenkomsten op te stellen voor de verwerking van PII
• Geef klanten van cloudservices een controle en naleving methodologie

Waarom is het beveiligen van persoonlijk identificeerbare informatie belangrijk?

Volgens het Data Breach Report 2020 van IBM Security is bij 80% van alle datalekken sprake van PII. Het beveiligen van PII omvat een reeks maatregelen, waarvan u sommige al kent. Deze omvatten:

• Minimaliseren van het verzamelen en bewaren van gegevens
• Een veilig schema voor gegevensvernietiging hanteren
• Gegevensversleuteling voor zowel opslag als verzending
• Toegang tot gegevens beperken
• Werknemerstraining
• Naleving van relevante regelgeving
• Implementeren van een informatiebeheerstrategie

Het Britse Information Commissioner's Office (ICO) geeft volledige richtlijnen over wat telt als PII. Je kunt het lezen hier.
Een PII-verwerker is elke aanbieder van openbare clouddiensten die persoonsgegevens verwerkt voor hun klanten. Houd er rekening mee dat de oorspronkelijke klant mogelijk de PII-beheerder is, waardoor er afzonderlijke wettelijke verplichtingen voor hem ontstaan. ISO/IEC 27018 dekt geen van deze extra eisen.

Wat is persoonlijk identificeerbare informatie?

Kunt u identificeren wie iemand is op basis van de gegevens die zij u geven? Als dat mogelijk is, is dat persoonlijk identificeerbare informatie. PII is per definitie informatie die kan worden teruggekoppeld om een ​​individu te identificeren. PII kan het volgende omvatten:

• De naam van een persoon
• Hun geboortedatum
• Waar ze wonen
• Hun IP-adres
• bankgegevens
• Medische gegevens
• En nog veel meer

Waarom zou u PII via de cloud verwerken?

Er zijn veel voordelen verbonden aan het verwerken van PII via de cloud. Het gebruik van cloudopslag voor PII verlaagt de operationele kosten in vergelijking met het opslaan van gegevens op locatie. Het maakt informatie ook toegankelijker als u dat bent werken vanop afstand. Maar gegevensopslag in de cloud kan riskant zijn. U moet erop kunnen vertrouwen dat een cloudprovider het beste heeft controles zijn ingesteld om uw informatie veilig te houden. Als u een cloudprovider bent, moet u uw klanten laten zien dat u over uitstekende beveiligingsmaatregelen beschikt.

ISO 27018 classificeert clouddienstverleners als verwerkers wanneer zij de persoonsgegevens van uw organisatie verwerken. Uw organisatie blijft geclassificeerd als de gegevensbeheerder zelfs als een cloudserviceprovider uw gegevens voor u verwerkt. Zowel verwerkers als gegevensbeheerders hebben wettelijke verantwoordelijkheden voor de bescherming van PII.

Wat is de geschiedenis van ISO/IEC 27018:2020?

De De omgeving voor het beheer van informatiebeveiliging evolueert snel. De technische norm ISO/IEC 27001 heeft geen betrekking op PII. Daarom creëerde ISO in 2014 een nieuwe, aanvullende standaard, ISO 27018. De nieuwe standaard komt tegemoet aan de zorgen over bedrijven die persoonlijke gegevens verwerken bij cloudserviceproviders. ISO/IEC 27018:2020 is de derde versie van het document uit 2014.

Wat is er veranderd van ISO/IEC 27018:2019 naar 27018:2020?

ISO/IEC 27018:2020 is de nieuwste versie van ISO 27018. De verschillen tussen ISO 27018:2019 en ISO 27018:2020 zijn hoofdzakelijk van technische aard. Voor alle praktische doeleinden kunt u de versies 2019 en 2020 van ISO 27018 als identiek beschouwen.

Wat is er veranderd van ISO/IEC 27018:2014 naar 27018:2019?

De 2019-versie van ISO 27018 bevatte slechts kleine herzieningen ten opzichte van de 2014-versie. De nieuwe versie van ISO 27018:

• Een algemeen achtergrondgedeelte toegevoegd
• Het werd gedefinieerd als een document en niet als een internationale standaard

Het definiëren van ISO 27018 als een document en niet als een standaard is technisch nauwkeuriger, omdat de overeengekomen standaard voor een Informatiebeveiligingsbeheersysteem (ISMS) isISO27001.

ISO heeft ISO/IEC 27018:2014 ingetrokken.

Wat is de relatie van ISO 27018 met andere normen?

ISO 27018 is een van de ISO 27000-familie van normen voor informatiebeveiligingsbeheer. De ISO 27000-normen bieden een internationaal erkend infosec-framework.

Hoe verhoudt ISO 27018 zich tot ISO 27001?

ISO 27001 beschrijft de technische vereisten voor het opzetten van een ISMS. Naleving van ISO 27001 is de basisnorm voor gegevensbeveiliging. ISO 27018 voegt richtlijnen voor gegevensbescherming van cloudservices toe aan ISO 27001.

In plaats van te kiezen tussen ISO 27001 of 27018, kunt u overwegen deze samen te implementeren. ISO 27001 is het beste raamwerk voor het creëren van een ISMS dat zich richt op risicobeheer. ISO 27018 voegt richtlijnen toe voor het realiseren van robuuste beveiliging in de cloud.

Hoe verhoudt ISO 27018 zich tot ISO 27701?

ISO 27701 heeft betrekking op het beheer van privacy-informatie, waarin vereisten en richtlijnen worden uiteengezet voor de implementatie van een privacy-informatiebeheersysteem (PIMS). De standaard biedt ook richtlijnen voor PII-beheerders en -verwerkers, inclusief implementatieadvies afhankelijk van:

• Jouw locatie
• Eventuele nationale wet- of regelgeving

ISO 27701 komt overeen met ISO 27018 en de EU AVG-wetgeving. Het is een uitbreiding van ISO 27001, de basisnorm voor gegevensbeveiliging.

Hoe verhoudt ISO 27018 zich tot de AVG?

Als uw organisatie in de Europese Unie actief is, moet u hieraan voldoen en er dus rekening mee houden GDPR (Algemene verordening gegevensbescherming). Het is een EU-wet (en VK, post-Brexit) die de verwerking van persoonlijke gegevens regelt. GDPR is niet alleen van toepassing op EU-landen. De wet is ook van toepassing op elke organisatie die goederen of diensten levert aan de EU.

AVG en ISO 27018 hebben enigszins verschillende functies. De AVG bevat voorschriften voor gegevensprivacy en -bescherming. ISO 27018 biedt u een praktisch raamwerk voor het beheren van gegevensbeschermings- en informatiebeveiligingsrisico's. Het implementeren van ISO 27001, in combinatie met 27018, geeft u een solide basis voor naleving van de AVG.

Welke andere richtlijnen zijn een aanvulling op ISO 27018?

ISO 27018 is gekoppeld aan ISO/IEC 29100. ISO 29100 biedt:

• Privacyprincipes voor de publieke cloudomgeving
• Een algemeen raamwerk voor het beschermen van PII binnen een ICT-systeem

ISO 29100 linkt naar ISO 27018 door:

• Helpt u bij het definiëren van PII-privacyvereisten
• Uitleg van de verschillende rollen bij het verwerken van PII

ISO 29100 legt ook de belangrijkste privacyprincipes en terminologie vast.

Wat zijn de voordelen van ISO 27018?

Cyberbeveiliging is een groot probleem voor het ondernemersvertrouwen. Op de huidige mondiale markt is het beschermen van klantgegevens nog nooit zo belangrijk geweest. ISO 27018 creëert een robuust mondiaal compliancekader.

ISO 27018 is vooral nuttig voor klanten van cloudservices. Het ondersteunt audits voor de naleving van interne verantwoordelijkheden. Dit is vooral handig als de gegevensverwerker een externe cloudprovider is.

Andere voordelen van ISO 27018 zijn dat het:

• Vermindert de risico's van datalekken in de cloud en gerelateerde boetes
• Wekt vertrouwen in uw organisatie
  • Klanten en klanten zullen weten dat u dat bent het beschermen van hun persoonlijke gegevens.
• Beschermt uw merkreputatie

Wie kan ISO 27018 implementeren?

Deze standaard is relevant voor veel typen organisaties. Of je nu:

• particuliere, publieke of non-profitsector
• een groot, middelgroot of klein bedrijf

als je PII-gegevens verwerken via cloud computing is ISO 27018 iets voor jou.

Als u PII uitbesteedt aan een ander bedrijf, zal due diligence uitwijzen of zij werken met ISO/IEC 27018. Elke dienstverlener die de cloud of PII gebruikt, moet ISO 27018 overwegen.

De meeste bekende cloudserviceproviders zijn dat wel veiligheid ontwikkelen of hebben ontwikkeld maatregelen om PII te beschermen. Belangrijke spelers in de sector die al een ISO/IEC 27018-conform beleid hebben, zijn onder meer:

• Amazon Web Services
• dropbox
• Google Apps for Work
• IBM Softlayer
• Microsoft Azure

Hoe ga ik aan de slag met ISO 27018?

Er zijn drie gebieden waar u op moet letten als u overweegt ISO 27018 te implementeren:

• Ontdek welke bestaande regelgeving juridisch van toepassing is op uw organisatie
• Vergeet niet eisen op te nemen die van toepassing zijn op uw specifieke branche
• Kijk of de implementatie van ISO 27018 aanleiding kan geven tot extra organisatorische risico’s
• Begrijp hoe het adopteren van ISO 27018 uw bedrijfscultuur en -beleid kan veranderen

Merk op dat deze gebieden ook onder ISO 27001 vallen. ISO 27018 richt zich dieper op PII en cloud computing-diensten.

Wat is een goede ISO 27018-praktijk?

Wanneer u ISO 27018 adopteert, is het een goede gewoonte om te beginnen met het begrijpen van uw uitgangspunt. Het is belangrijk om voort te bouwen op wat er al is. U moet ook eventuele hiaten identificeren die het risico op een datalek in de cloud kunnen vergroten. Een rigoureus zelfevaluatieproces zal deze doelstellingen bereiken.

Nadat u uw startpunt heeft bepaald, investeert u in interne communicatie. Breng uw collega's op de hoogte van geplande wijzigingen en betrek hen bij discussies over waarom deze nodig zijn. Dat zal je helpen:

• Creëer eigenaarschap van medewerkers
• Stimuleer de acceptatie van gegevensbeschermingscontroles en ISO 27018-maatregelen

Kunt u een certificering krijgen voor ISO 27018?

ISO 27018 is een praktijkcode, geen standaard. ISO 27018-certificering is over het algemeen opgenomen in het ISO 27001-auditproces, als het is opgenomen als aanvulling op het ISMS.

Om certificering voor een ISO-norm te verkrijgen, zal een competente auditor een audit uitvoeren. De auditor controleert of de organisatie voldoet aan de ISO-criteria en of er lacunes zijn. Dit staat bekend als een fase 1-audit.

Na de audit heeft de organisatie de tijd om eventuele hiaten aan te pakken in:

• processen
• procedures
• Implementatie

Na enkele weken komt de auditor terug voor de fase 2-audit. Dit is een veel langere en diepgaandere audit dan fase 1. Uw fase 2-audit zorgt ervoor dat het ISMS daadwerkelijk werkt zoals ontworpen en geïmplementeerd.

Na dit bezoek volgt de toekenning van de ISO-certificering, op voorwaarde dat het ISMS aan alle criteria voldoet. De auditor zal de organisatie periodiek (meestal jaarlijks) bezoeken om te bevestigen dat u zich nog steeds aan de regels houdt. Om uw ISO-gecertificeerde status te behouden, moet u uw jaarlijkse onderhoudsaudits doorstaan.

Wat zijn de eisen van ISO/IEC 27018:2020?

ISO/IEC 27018 breidt de richtlijnen voor het implementeren van beveiligingscontroles in ISO/IEC 27002 uit. Deze controles verdelen de verantwoordelijkheden voor gegevensbescherming in:

• Your verantwoordelijkheden als klant van de cloudservice en data verwerkingsverantwoordelijke, ook als u de gegevensopslag uitbesteedt.
• De verantwoordelijkheden van uw cloudserviceprovider als gegevensverwerker

De uitgebreide beveiligingscontroles omvatten:

• Vereisten voor PII-codering tijdens opslag en verzending
• Een veilig verwijderingsschema voor alle niet langer vereiste PII
• Een cloudserviceovereenkomst die definieert waarom PII-verwerking plaatsvindt
• Robuuste garanties van cloudserviceproviders voor informatiebeheer

Je hebt ook een extra set beveiligingscontroles nodig. Deze komen overeen met de privacyprincipes die zijn uiteengezet in het ISO/IEC 29100-privacyframework. Met ISO/IEC 27018 kunnen cloudproviders bewijzen dat ze weten hoe ze de PII van hun klanten moeten beschermen.

Als uw organisatie PII verwerkt, overweeg dan om ISO 27018 naast een ISO 27001 ISMS te implementeren. Als u nog steeds nieuwsgierig bent naar de details van wat er in het rapport staat, vindt u hier de volledige lijst met ISO 27018-clausules: