ISO 27701 – De standaard voor privacy-informatiebeheer

Wat is ISO 27701?

In de nasleep van de Algemene Verordening Gegevensbescherming (AVG) van de EU, de POPIA van Zuid-Afrika, de LGPD van Brazilië, de Australische Privacy Principles en vele vergelijkbare privacywetten en -regelgevingen die over de hele wereld worden opgesteld; er is een groeiende behoefte aan een gedragscode, of standaard, om de naleving en certificering van privacygegevens aan te tonen. ISO 27701 streeft naar een werkelijk internationale benadering van privacybescherming als onderdeel van informatiebeveiliging.

ISO 27701 is ontwikkeld om een ​​standaard te bieden voor gegevensprivacycontroles, die, in combinatie met een ISMS, een organisatie in staat stelt effectief privacygegevensbeheer aan te tonen. Het stelt de parameters vast voor een PIMS op het gebied van privacybescherming en verwerking van persoonlijk identificeerbare informatie (PII).

ISO 27701 is een indrukwekkende manier om aan consumenten, externe organisaties en interne belanghebbenden te demonstreren dat er mechanismen bestaan ​​om gegevens veilig te houden en te voldoen aan de AVG en andere privacywetten.

De ISO 27701-standaard, een PIMS-standaard (Privacy Information Management System), bevat een gedetailleerde reeks operationele checklists die kunnen worden aangepast aan een verscheidenheid aan regelgeving, waaronder de AVG. Bedrijven documenteren hun beleid, procedures, protocollen en activiteiten in overeenstemming met de operationele checklists van de standaard, waarbij de gegevens vervolgens worden gecontroleerd door interne en externe auditors, wat resulteert in gedetailleerd bewijs van naleving van de standaard. ISO 27701 helpt bedrijven een effectief privacy- en informatiebeveiligingssysteem te onderhouden en privacyrisico's te verminderen.

Wat zijn de bouwstenen van de standaard?

ISO 27701 is een uitbreiding van ISO/IEC 27001, een van de meest gebruikte internationale normen voor informatiebeveiligingsbeheer. Als uw organisatie al bekend is met ISO/IEC 27001, kan het integreren van de nieuwe privacycontroles van PIMS relatief eenvoudig zijn. ISO 27701 is ook gebaseerd op andere normen, zoals ISO 27002 en ISO 29100. ISO 27701 voegt een gegevensprivacylaag toe aan eerdere informatiebeveiligingsnormen. Als u de vakjes voor andere normen aanvinkt, vinkt u mogelijk al een aantal vakjes voor ISO 27701 aan.

Belangrijke punten om te onthouden over ISO 27001 en PIMS:

• PIMS biedt nieuwe controller- en processorspecifieke controles die organisaties helpen de uitdagingen van privacy en beveiliging te overwinnen door een convergentiepunt te creëren tussen wat twee verschillende functies zouden kunnen zijn.
• Beveiliging is belangrijk voor de privacy. ISO 22701 PIMS vertrouwt op ISO 27001 voor beveiligingsbeheer. De IS0 27701-certificering is alleen beschikbaar als aanvulling op de ISO 27001-certificering en kan niet als zelfstandig certificaat worden verkregen.

Uitdagingen op het gebied van naleving van ISO 27701

Volgens de richtlijnen van de AVG wordt van organisaties verwacht dat ze alle persoonlijk identificeerbare informatie beschermen tegen diefstal, verlies en schade.

Veranderingen in de Britse wetgeving sinds mei 2018 betekenen nu dat organisaties een beleid voor de verwerking van HR-gegevens moeten invoeren, met de mogelijkheid om aan te tonen dat niet-relevante persoonlijke gegevens op de juiste manier worden verwijderd. ISO 27701 helpt organisaties deze drie belangrijke compliance-uitdagingen aan te pakken:

Te veel wettelijke vereisten om te jongleren

Door ISO 27701 te gebruiken als een uniform systeem voor operationele controle op gegevensprivacy, hoeft u zich niet meer op meerdere regelgeving te concentreren. Als internationale norm is ISO 27701 ontworpen om te voldoen aan de vereisten van gegevensbescherming en AVG, en om flexibel genoeg te zijn om te worden aangepast aan specifieke industriële vereisten. Hierdoor kunnen bedrijven binnen één raamwerk werken en aan meerdere wettelijke vereisten voldoen.

Het is te duur om regel voor regel te controleren

Interne en externe auditors gebruiken ISO 27701 om de naleving van de regelgeving in één enkele auditcyclus vast te stellen. Dit bespaart de organisatie geld vergeleken met het volgen van een onsamenhangend, regel-voor-regel-auditproces.

Beloftes van naleving zonder bewijs zijn potentieel riskant

Het is niet voldoende dat bedrijven de best practices op het gebied van gegevensprivacy volgen; Ook moeten zij de naleving van wet- en regelgeving kunnen aantonen. Dat betekent dat u over een robuust, geïntegreerd proces voor documentatie moet beschikken. Bedrijven met complexe processen kunnen meerdere soorten gegevensbeheerders en gegevensverwerkers, cloudproviders en partnerleveranciers hebben. Als het bedrijf niet in staat is de naleving van wet- en regelgeving in enig deel van de toeleveringsketen te bewijzen, kan dit het bedrijf blootstellen aan financiële risico's en reputatierisico's.

Voordelen van ISO 27701

Demonstreer gegevensbescherming op een hoger niveau met ISO 27701

De ISO 27701-norm is een van de manieren om aan te tonen dat u voldoet aan alle toepasselijke eisen op het gebied van gegevensbescherming, vertrouwelijkheid en privacybeveiliging.

Bouw vertrouwen op bij het beheren van persoonlijke informatie

Als het gaat om de omgang met persoonlijke informatie, moet u ervoor zorgen dat uw organisatie al het mogelijke doet om ervoor te zorgen dat informatie correct en in overeenstemming met de wet wordt verwerkt. ISO 27701 biedt u de norm die nodig is om vertrouwen op te bouwen bij het beheren van gegevens. Leveranciers, consumenten en partners kunnen vertrouwen hebben in uw beleid, procedures en protocollen als u werkt volgens een internationale norm als ISO 27701.

Integreert met de toonaangevende informatiebeveiligingsstandaarden

ISO 27701 kan worden geïntegreerd met de toonaangevende normen voor informatiebeveiliging. Dit maakt een naadloze ontwikkeling en bijwerking van beleid en procedures voor verschillende normen mogelijk, en de zekerheid dat u uw naleving van andere normen niet in gevaar brengt door de ISO 27701-normen over te nemen.

Ondersteunt de naleving van andere privacyregelgeving

ISO 27701 is de ‘industriestandaard’ om te voldoen aan de nieuwe wetgeving inzake gegevensbescherming. Hoewel ISO 27701 aansluit bij de principes van de AVG, stelt het organisaties ook in staat de naleving van andere privacywetten, -voorschriften, -normen en -vereisten te documenteren.

Flexibel genoeg om tegemoet te komen aan specifieke jurisdicties

De ISO 27701-norm is ontwikkeld om normen te bieden voor het werken met persoonlijk identificeerbare informatie, zodat u aan verschillende privacywetten kunt voldoen. Als uw bedrijf buiten de EU opereert en u de gelijkwaardige gebiedsspecifieke richtlijnen wilt volgen die gelijkwaardig zijn aan de AVG, kunt u deze jurisdictiedetails in ISO 27701 opnemen.

Zorgt voor transparantie tussen belanghebbenden

ISO 27701 bepaalt de norm voor de manier waarop privacygegevens worden beheerd. De standaard maakt processen transparant voor alle belanghebbenden, waardoor vertrouwen en wederzijds respect ontstaat.

Faciliteert effectieve zakelijke overeenkomsten

Wanneer bedrijven zich inzetten om daar volgens dezelfde hoge privacydatastandaarden te werken, is het makkelijker om afspraken te maken en samen te werken. ISO 27701 wekt vertrouwen en zorgt ervoor dat alle belanghebbenden op één lijn zitten als het gaat om systeemintegratie en gedeelde bedrijfsprocessen.

ISO 27701 versus ISO 27001 – wat zijn de verschillen?

ISO 27701 en ISO 27001 zijn twee normen die vaak door elkaar worden gebruikt door niet-informatiebeveiligingsprofessionals als ze verwijzen naar informatiebeveiliging.

Zowel de ISO 27001- als de ISO 27701-normen zijn normen voor IT-beveiligingsbeheer. Het verschil tussen de twee normen is dat ISO 27001 zich richt op de kloof tussen risicobeheer en beveiligingscontroles, terwijl ISO 27701 een norm is die is gericht op het voldoen aan privacyregelgeving en -wetten zoals GDPR en de Data Protection Act. ISO 27701 is gericht op de risico's van privacygegevens.

Hoe integreren ISO 27001 en ISO 27701 met elkaar?

ISO 27701 is een uitbreiding van ISO 27001. Het is een van de risicobeheernormen, maar zorgt ervoor dat het bedrijf voldoet aan de AVG en andere relevante PII-regelgeving. Voordat u kunt profiteren van de beveiligingsvoordelen van ISO 27701, moet u eerst ISO 27001 implementeren.

Hoe verhoudt ISO 27701 zich tot de AVG?

Organisaties moeten de integriteit van alle gevoelige gegevens die zij verwerken beveiligen en garanderen op grond van de Algemene Verordening Gegevensbescherming (AVG) en de Britse Data Protection Act 2018 (DPA). Noch de AVG, noch de DPA geven echter duidelijkheid over de acties die bedrijven moeten ondernemen om de privacy van gegevens te waarborgen. Dit is waar ISO 27701 om de hoek komt kijken. ISO 27701 biedt de vereisten en richtlijnen voor een best-practiceproces voor het runnen van een privacy-informatiebeheersysteem (PIMS) met effectieve gegevensbeveiliging en privacymogelijkheden.

Hoe integreren ISO 27001 en AVG met elkaar?

ISO 27001 is de internationale best practice-norm voor een informatiebeveiligingsbeheersysteem (ISMS), dat door veel landen over de hele wereld wordt aangenomen. Meer dan 35 landen hebben zich aangemeld om de AVG te implementeren. ISO 27701 kan helpen bij het voldoen aan de AVG.

Aan de slag met ISO 27701

Als u eigenaar bent van een bedrijf dat persoonlijke gegevens verwerkt, moet u begrijpen hoe de nieuwe ISO 27701-norm op u van toepassing is. Het begrijpen van de basisprincipes van ISO 27701 kan een uitdaging zijn. Dit geldt vooral als u gewend bent om volgens verschillende normen te werken.

ISO 27701 implementeren

Zoals bij de meeste officiële normen kan het lastig zijn om ISO 27701 te begrijpen. ISMS.online helpt u door een cloudgebaseerde oplossing te bieden om de naleving van de eisen van ISO 27701 te documenteren.
Door ISO 27701 te implementeren, krijgt u een solide raamwerk voor de naleving van wet- en regelgeving, van de AVG-regelgeving tot bescherming op HIPAA-niveau.

Goede praktijken aantonen

Bij het implementeren van ISO 27701 gaat het om het demonstreren van 'goede praktijken' voor het beheer van persoonlijke informatie. ISO 27701 is een integraal onderdeel geworden van het datamanagementframework voor bedrijven in veel sectoren. Deze belangrijke norm is een verschuiving van de ISO 27001-nadruk op technische informatiebeveiliging en activa naar een meer op risico gebaseerde zakelijke focus.

Plannen, Doen, Controleren, Handelen

Plan, Do, Check, Act (PDCA) is een continue verbeteringscyclus die veel vooruitstrevende bedrijven gebruiken, en is een essentieel element bij de implementatie van ISO 27701. Anderen gebruiken misschien verschillende namen voor de fasen, maar het kernidee is hetzelfde: Plan wat er moet gebeuren; uw best doen bij de implementatie en uitvoering van die taak; controleer de resultaten aan de hand van uw plan; en wanneer de noodzakelijke planwijzigingen de prestaties verbeteren.

Vereisten van ISO 27701

De vereisten om te voldoen aan ISO/IEC 27701 omvatten:

• Ontwerp, bouw en implementeer een Persoonlijk Informatie Systeem voor uw organisatie.
• Volg de ISO 27701-richtlijnen bij het ontwerpen en implementeren van het PIMS.
• De PIM's moeten strikte systemen en tactische controles definiëren voor het beheer van persoonlijk identificeerbare informatie, inclusief de manier waarop deze informatie wordt verkregen, gebruikt, gedeeld en verwijderd.
• Definieer strikte gebruikersrollen en sterke wachtwoorden voor alle belanghebbenden die privacygegevens verwerken en controleren.

ISO 27701-certificering vereist dat u over een ISO 27001-certificering beschikt. Uw Personal Information Management System bouwt voort op uw Information Security Management System (ISMS). U kunt tegelijkertijd met ISO 27701 gecertificeerd worden voor ISO 27001. Beide tegelijk doen is normaal gesproken eenvoudiger, minder arbeidsintensief en goedkoper dan ze in serie te doen.

Structuur

ISO 27701 is, net als andere ISO-normen, onderverdeeld in clausules, waarbij de clausules 5 tot en met 8 de aanvullende vereisten en updates beschrijven die aan ISO 27001 moeten worden toegevoegd:

• Hoofdstuk 5 schetst de PIMS-vereisten voor naleving van ISO/IEC 27001.
• Hoofdstuk 6 schetst de PIMS-richtlijnen voor ISO/IEC 27002.
• In artikel 7 worden de PIMS-richtlijnen voor PII-controleurs uiteengezet.
• Clausule 8 van de PIMS biedt richtlijnen voor PII-verwerkers.

In de standaard zijn tevens de volgende bijlagen opgenomen:

• PIMS-specifieke referentiecontroledoelen en -controles worden vermeld in bijlage A. (PII-controllers)
• PIMS-specifieke doelstellingen en controles voor referentiebeheer worden vermeld in bijlage B. (PII-verwerkers)
• In kaart brengen van bijlage C bij ISO/IEC 29100
• Toewijzing aan de Algemene Verordening Gegevensbescherming (AVG) in bijlage D (AVG).
• Bijlage E bij ISO/IEC 27018 en ISO/IEC 29151 Mapping
• Bijlage F Wat is de relatie tussen ISO/IEC 27701 en ISO/IEC 27001 en ISO/IEC 27002?

Het is echter belangrijk dat u alle beleidsregels, procedures en controles kent en dat deze consequent worden nageleefd in uw hele organisatie.

ISO 27701 Implementatie

Het implementeren van ISO/IEC 27701 is een robuuste manier om binnen elk bedrijf een privacy-informatiebeheersysteem te starten. Veel bedrijven kiezen ervoor om ISO 27701 naast ISO 27001 na te streven. Dit kan de kosten en de totale tijd en moeite die nodig zijn om beide normen te behalen, verlagen.

Hier bij ISMS.online bieden we cloudgebaseerde oplossingen die uw organisatie kan gebruiken om de naleving van ISO 27001 en vervolgens ISO 27701 te documenteren. We nemen de onzekerheid en het giswerk uit het proces door een raamwerk te bieden voor de naleving van ISO-normen.

Wie moet ISO 27701 implementeren?

ISO 27701 biedt een internationale standaard voor elke organisatie die met privacygegevens omgaat. Elk bedrijf dat persoonlijk identificeerbare informatie bezit, ongeacht de omvang en het type, kan profiteren van de implementatie van ISO 27701. ISO 27701 helpt de financiële en regelgevende risico's die gepaard gaan met inbreuken op de privacygegevens te beperken. ISO 27701 is bedoeld voor particuliere, publieke bedrijven en zelfs overheidsinstanties die een op risico's gebaseerde aanpak moeten hanteren bij het bewaren en verwerken van persoonlijke informatie.

Welke rollen zijn betrokken bij de implementatie van ISO 27701?

Gezien de reikwijdte en de schaal van de ISO 27701-standaard is het geen verrassing dat er bij de implementatie van de standaard verschillende rollen betrokken zijn. Deze rollen omvatten doorgaans:

• De hoofdimplementator/projectmanager
• Chief Privacy Officer / Functionaris Gegevensbescherming
• Privacymanager/Gegevensbeschermingsmanager
• Internal Auditor
• Externe accountant
• Privacy Analist - voor het nemen van functionele eisen en het omzetten naar technische implementatie
• Database- en softwareprofessionals

Compliance versus certificering

Naleving en certificering van ISO 27701 kunnen verwarrend zijn, omdat ze op het eerste gezicht hetzelfde lijken te betekenen.

Naleving van ISO 27701 betekent dat uw organisatie de controles heeft ingevoerd die nodig zijn om aan de eisen van ISO 27701 te voldoen; een reeks best practices voor het beheer van privacy-informatie. Het voldoen aan normen is belangrijk.

Een ISO 27701-certificaat is het document dat bevestigt dat een bepaalde organisatie de processen heeft doorlopen en alles heeft gedocumenteerd wat nodig is om ISO 27701-compliant te worden.

Certificering betekent dat u naleving heeft aangetoond.

Is ISO 27701-certificering geschikt voor mij?

Als uw bedrijf te maken heeft met persoonlijk identificeerbare informatie, moet u mogelijk de ISO 27701-certificering onderzoeken. ISO 27701 certificering zorgt ervoor dat u zich onderscheidt ten opzichte van bedrijven die niet gecertificeerd zijn.

Bovendien heeft de Information Commissioner's Office (ICO) in het Verenigd Koninkrijk in het geval van een datalek verklaard dat organisaties die certificering implementeren of een alomvattend systeem hebben om met hun gegevensbeveiliging om te gaan, door toezichthouders gunstiger kunnen worden beoordeeld.

ISO 27701 Certificatieproces

Het implementatieproces van ISO 27701 is relatief eenvoudig voor organisaties die al over een ISO 27001-certificering beschikken.

De ISO 27701-certificering kan in drie stappen worden behaald:

U moet eerst een gekwalificeerde certificeringsinstantie inschakelen die een audit van uw organisatie uitvoert.

Nadat u overeenstemming heeft bereikt over een voorstel, zal een assessor uw organisatie een uitgebreide audit laten uitvoeren. Tijdens de initiële certificatieaudit moet de assessor een verplicht bezoek afleggen. Ze zullen kijken of u een volledig functioneel systeem voor het beheer van persoonlijke informatie heeft opgezet.

Nadat de assessor de audit heeft afgerond, beslist de certificatie-instelling of uw organisatie aan de criteria voldoet. Als de uitkomst positief is, krijgt u van hen een certificaat waarin staat dat uw bedrijf voldoet aan de specificaties van de norm. De certificering is geldig voor de komende drie jaar, of totdat uw ISO 27001-certificaat verloopt, afhankelijk van wat zich het eerst voordoet.

Als uw bedrijf nog geen ISO 27001-certificering heeft, moet u deze eerst behalen, of tegelijkertijd de ISO 27001- en ISO 27701-certificering nastreven.

Het behouden van de ISO 27701 certificering

Het behouden van de ISO 27701-certificering hoeft geen lastig vooruitzicht te zijn, zolang de initiële ISO 27701-implementatie maar correct is voltooid. Om uw ISO 27701 geldig te houden, moet u echter periodieke surveillance-audits uitvoeren in combinatie met uw ISO 27001-audit, en vervolgens een volledige herbeoordeling uitvoeren voordat de certificering wordt verlengd.

De beste manier om de ISO 27701-certificering te behouden, is door uw systemen zo te beheren dat u voortdurend verbeteringen kunt doorvoeren. Voortdurende verbetering is de voortdurende inspanning die uw organisatie levert om de manier te verbeteren waarop zij omgaat met persoonlijk identificeerbare informatie, het identificeren van opkomende risico's voor de naleving en het nemen van systematische maatregelen om deze te verhelpen.

De eenvoudigste weg naar ISO 27701

ISMS.online maakt het beheer van persoonlijke informatie eenvoudig via een geweldige cloudgebaseerde oplossing ter ondersteuning van ISO 27701-compliance in uw organisatie. Bovendien hebben we informatiebeveiligingsexperts en middelen beschikbaar om u door het ISO 27701-accreditatieproces te begeleiden.

Kaders voor ISO 27701

Het kan lastig zijn om te weten waar je moet beginnen met ISO 27701, vooral als je nog nooit zoiets als dit hebt hoeven doen. Hier komt ISMS.online in beeld. Onze ISO 27701-oplossingen bieden raamwerken waarmee uw organisatie de naleving van ISO 27701 kan aantonen. Onze experts op het gebied van informatiebeveiliging kunnen met u samenwerken om ervoor te zorgen dat u een logisch implementatieproces ontwikkelt dat aansluit bij het online documentatieraamwerk .

Hulpmiddelen voor supply chain management

Bij ISMS.online kunnen we supply chain informatiebeveiligingsbeheer integreren in uw ISMS. Snelle en praktische prestatiestatistieken kunnen ook worden gebruikt om de voortgang van uw leveranciers en andere externe partnerschappen te monitoren. Gebruik ISMS.online Clusters om de hele supply chain op één locatie samen te brengen voor duidelijkheid, inzicht en controle.

Zeer efficiënt projecttoezicht en samenwerking

Onze ISMS.online-oplossingen maken het voor organisaties eenvoudig om projecttoezicht te realiseren, waarbij ervoor wordt gezorgd dat het beleid en de procedures voor de gegevensbeheerder en de verwerker in overeenstemming zijn met de ISO-norm. Ons online systeem zorgt er ook voor dat systeemuitvoerders één centrale plek hebben voor referentie en samenwerking. Met onze Assured Results Method (ARM) kunt u erop vertrouwen dat u alle vakjes aanvinkt die u nodig heeft om aan de norm te voldoen.

Help en ondersteun uw mensen bij het betrekken ervan

ISO 27701 is niet alleen een raamwerk dat organisaties kunnen adopteren; het betekent het aanpassen van de manier waarop mensen data begrijpen, ermee omgaan en ermee omgaan. Bij ISMS.online hebben we ons systeem zo ontworpen dat u en uw personeel kunnen profiteren van onze gebruiksvriendelijke interface voor het documenteren van uw ISO-traject. We bieden ook videobronnen en toegang tot informatiebeveiligingsprofessionals om u te helpen standaarden in uw bedrijf te integreren.