Wat vereist controle A.3.31?
Testinformatie met betrekking tot de verwerking van persoonsgegevens moet op passende wijze worden geselecteerd, beschermd en beheerd.
Deze controle valt onder de bijlage 'Gedeelde beveiligingscontroles' (A.3) en pakt een van de meest voorkomende oorzaken van onnodige blootstelling van persoonsgegevens aan: het kopiëren van productiedata naar test- en ontwikkelomgevingen. Testomgevingen hebben doorgaans zwakkere toegangscontroles, bredere toegang, minder monitoring en een meer tijdelijke infrastructuur dan productiesystemen, waardoor ze een aanzienlijk privacyrisico vormen als ze daadwerkelijk persoonsgegevens bevatten.
Wat staat er in de implementatierichtlijnen van bijlage B?
Bijlage B (sectie B.3.31) bevat de volgende richtlijnen:
- Synthetische data hebben de voorkeur. — Persoonsgegevens mogen niet voor testdoeleinden worden gebruikt; gebruik in plaats daarvan valse of synthetische persoonsgegevens.
- Pas gelijkwaardige controlemaatregelen toe wanneer persoonsgegevens onvermijdelijk zijn. — Indien het gebruik van persoonsgegevens voor testdoeleinden niet kan worden vermeden, dienen technische en organisatorische maatregelen te worden getroffen die gelijkwaardig zijn aan die welke in de productieomgeving worden gebruikt om de risico's te minimaliseren.
- Risicobeoordeling uitvoeren wanneer gelijkwaardige beheersmaatregelen niet haalbaar zijn — Indien dergelijke gelijkwaardige maatregelen niet haalbaar zijn, dient een risicoanalyse te worden uitgevoerd en gebruikt om de selectie van passende risicobeperkende maatregelen te bepalen.
- Zie ook A.3.28: Beveiligingsvereisten voor applicaties voor gerelateerde vereisten
- Zie ook A.3.29: Principes voor veilige systeemarchitectuur en -engineering voor gerelateerde vereisten
De richtlijnen stellen een duidelijke hiërarchie vast: eerst synthetische data, vervolgens productie-equivalente controles als het gebruik van echte persoonsgegevens onvermijdelijk is, en tot slot risicobeperkende maatregelen als laatste redmiddel. Deze stapsgewijze aanpak erkent dat sommige testscenario's daadwerkelijk echte data vereisen, maar maakt tegelijkertijd duidelijk dat dit de uitzondering en niet de regel moet zijn.
Hoe verhoudt dit zich tot de AVG?
Controle A.3.31 komt overeen met het volgende AVG- artikel:
- Artikel 5(1)(f) — Het beginsel van integriteit en vertrouwelijkheid, dat passende beveiliging van persoonsgegevens vereist, inclusief bescherming tegen ongeoorloofde verwerking.
Het gebruik van echte persoonsgegevens in testomgevingen waar de beveiligingsmaatregelen zwakker zijn dan in de productieomgeving, is een directe schending van artikel 5(1)(f). Toezichthoudende autoriteiten hebben handhavingsmaatregelen genomen tegen organisaties die persoonsgegevens hebben blootgesteld via onvoldoende beveiligde testomgevingen.
Voor een volledig overzicht van de koppeling tussen GDPR en ISO 27701, zie de GDPR-nalevingshandleiding.
Wat is er veranderd ten opzichte van ISO 27701:2019?
Voor een stapsgewijze aanpak, zie de overgang van 2019 naar 2025.
In de editie van 2019 werd aan deze eis voldaan in clausule 6.11.3.1 (bescherming van testgegevens). De editie van 2025 behoudt de kernvereisten als A.3.31, waarbij de implementatierichtlijnen in B.3.31 nu een duidelijkere drieledige hiërarchie voor testgegevensbeheer bieden: synthetische gegevens, equivalente beheersmaatregelen en vervolgens risicobeoordeelde mitigatiemaatregelen. Zie de correspondentietabel in bijlage F voor de volledige mapping.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Welk bewijsmateriaal verwachten auditors?
Bij het beoordelen van de naleving van A.3.31 zullen auditors doorgaans letten op:
- Testgegevensbeleid — Een gedocumenteerd beleid waarin is vastgelegd dat synthetische of geanonimiseerde gegevens moeten worden gebruikt voor testen, met een gedefinieerd proces voor uitzonderlijke gevallen waarin echte persoonsgegevens vereist zijn.
- Mogelijkheid tot het synthetisch genereren van gegevens — Bewijs dat de organisatie beschikt over instrumenten of processen voor het genereren van realistische maar fictieve testgegevens
- Beveiliging van de testomgeving — Indien er daadwerkelijke persoonsgegevens worden gebruikt bij het testen, is bewijs vereist dat de testomgeving beschikt over beveiligingsmaatregelen die gelijkwaardig zijn aan die van de productieomgeving (toegangscontrole, encryptie, logging, monitoring).
- Risicobeoordelingen — Indien gelijkwaardige beheersmaatregelen niet haalbaar zijn, moeten er gedocumenteerde risicobeoordelingen worden opgesteld waarin de risico's en de geselecteerde risicobeperkende maatregelen worden geïdentificeerd.
- Levenscyclusbeheer van testgegevens — Bewijs dat de daadwerkelijke persoonsgegevens die bij het testen zijn gebruikt, worden verwijderd of vernietigd nadat het testdoel is bereikt.
Welke besturingselementen zijn hierbij betrokken?
| Controleer: | Verhouding |
|---|---|
| A.3.27 Veilige ontwikkelingslevenscyclus | Testdatabeheer moet geïntegreerd worden in de ontwikkelingscyclus. |
| A.3.30 Uitbestede ontwikkeling | Externe ontwikkelaars mogen geen echte persoonsgegevens gebruiken voor testdoeleinden. |
| A.1.4.6 De-identificatie en verwijdering | Anonimiseringstechnieken kunnen bruikbare testgegevens genereren uit productiedata. |
| A.3.9 Toegangsrechten | De toegang tot testomgevingen die echte persoonsgegevens bevatten, moet worden gecontroleerd. |
| A.3.25 Logboekregistratie | Toegang tot persoonsgegevens in testomgevingen moet worden geregistreerd. |
Op wie is deze regeling van toepassing?
A.3.31 is een gedeelde controle die van toepassing is op zowel persoonsgegevensbeheerders als persoonsgegevensverwerkers. Elke organisatie die systemen test die persoonsgegevens verwerken, moet testgegevens op de juiste manier beheren. Dit is met name belangrijk voor SaaS-aanbieders, softwarehuizen en managed service providers waar ontwikkeling en testen doorlopende activiteiten zijn in plaats van eenmalige projecten.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Waarom kiezen voor ISMS.online voor het beheer van testgegevens?
ISMS.online biedt praktische hulpmiddelen voor het veilig beheren van testgegevens:
- Beleidsbeheer — Publiceer testdatabeleid met versiebeheer en registratie van medewerkersbevestigingen
- Risicobeoordelingen — Voer gerichte risicobeoordelingen uit voor scenario's waarin het gebruik van echte persoonsgegevens tijdens het testen onvermijdelijk is, met gedocumenteerde risicobeperkende maatregelen.
- Uitzonderingsbeheer — Registreer goedgekeurde uitzonderingen waarbij daadwerkelijke persoonsgegevens worden gebruikt voor testdoeleinden, inclusief onderbouwing, goedkeuring, toegepaste beveiligingsmaatregelen en bevestiging van gegevensvernietiging.
- Nalevingscontrole — Monitor de naleving van uw testdatabeleid in de testomgeving door alle ontwikkelteams.
- Bewijsbeheer — Bewaar bewijsmateriaal voor het beheer van testgegevens, waaronder documentatie over de mogelijkheden van synthetische data, risicobeoordelingen en uitzonderingsregistraties, ter voorbereiding op audits.
Veelgestelde vragen
Wanneer is het acceptabel om echte persoonsgegevens te gebruiken voor testdoeleinden?
Echte persoonsgegevens mogen alleen worden gebruikt wanneer synthetische data het testscenario niet adequaat kunnen nabootsen. Veelvoorkomende redenen hiervoor zijn: het testen van datamigratie vanuit een verouderd systeem (waarbij de datastructuur en -inhoud moeten worden geverifieerd), het diagnosticeren van een productieprobleem dat niet kan worden gereproduceerd met synthetische data, of prestatietesten waarbij het datavolume en de kenmerken moeten overeenkomen met de productieomgeving. In alle gevallen moet een risicoanalyse worden uitgevoerd, moeten gelijkwaardige beveiligingsmaatregelen worden toegepast en moeten de echte persoonsgegevens uit de testomgeving worden verwijderd zodra het testdoel is bereikt.
Welke technieken kunnen worden gebruikt om synthetische testgegevens te creëren?
Veelgebruikte technieken zijn onder andere: tools voor het genereren van data die realistische maar fictieve records creëren (namen, adressen, identificatiegegevens); datamaskering of pseudonimisering waarbij echte persoonsgegevens worden vervangen door fictieve gegevens, terwijl de datastructuur en -relaties behouden blijven; het selecteren van een kleine steekproef uit de productieomgeving en deze anonimiseren; en tools voor datasynthese die statistische modellen gebruiken om data te genereren met dezelfde distributiekenmerken als de productiedata. De gekozen aanpak moet de testwaarde van de data behouden en tegelijkertijd het privacyrisico elimineren.
Welke beveiligingsmaatregelen zijn nodig voor testomgevingen met echte persoonsgegevens?
De standaard vereist beveiligingsmaatregelen die gelijkwaardig zijn aan die in de productieomgeving. Dit omvat doorgaans: hetzelfde toegangscontrolemodel met dezelfde authenticatievereisten; encryptie van data in rust en tijdens transport; logging en monitoring van alle data-toegang; regelmatige toegangscontroles; isolatie van de beveiligde omgeving van openbare netwerken; en procedures voor het vernietigen van data na afloop van de tests. Veel organisaties vinden het eenvoudiger en minder riskant om te investeren in de mogelijkheid om synthetische data te gebruiken in plaats van de beveiligingsmaatregelen van de productieomgeving te dupliceren in meerdere testomgevingen.
Neem testgegevens als controlevariabelen op in uw toepassingsverklaring.
Raadpleeg onze handleiding met vereisten voor auditbewijsmateriaal voor meer informatie over wat auditors verwachten met betrekking tot de bescherming van testgegevens.
