ISO 27701, clausule 5.4 – Planning

ISO 27701 Clausule 5.4.1.1 – Algemeen

Referenties ISO 27001 Controle 6.1.1

In het algemeen moeten organisaties een risicospecifieke aanpak hanteren bij het plannen van een PIMS die:

1. Werkt aan het bouwen van een PIMS dat een reeks specifieke doelstellingen voor privacybescherming bereikt.
2. Streeft ernaar om eventuele nadelige effecten volledig uit te roeien of te minimaliseren.
3. Streeft naar de voortdurende ontwikkeling en stapsgewijze verbetering van activiteiten op het gebied van PII en privacybescherming.

Bij het opstellen van een plan moeten organisaties:

1. Houd rekening met de specifieke acties die nodig zijn om eventuele risico's aan te pakken en implementeer deze in een PIMS.
2. Evalueer voortdurend hun aanpak.

Relevante ISO 27001-controles

De richtlijnen in ISO 27701 5.4.1.1 zijn nauw verbonden met het vermogen van een organisatie om haar eisen te begrijpen, en de verwachtingen van interne en externe medewerkers en PII-onderwerpen wier gegevens de organisatie bewaart.

• ISO 27001 4.1 – Inzicht in de organisatie en haar context.
• ISO 27001 4.2 – Inzicht in de behoeften en verwachtingen van geïnteresseerde partijen.

ISO 27701 Clausule 5.4.1.2 – Risicobeoordeling van informatiebeveiliging

Referenties ISO 27001 Controle 6.1.2

Organisaties moeten een risicobeoordelingsproces voor privacybescherming in kaart brengen en implementeren dat:

• Omvat risicoacceptatiecriteria voor het uitvoeren van beoordelingen van de privacybescherming.
• Biedt een raamwerk voor de vergelijkbare analyse van alle beoordelingen van privacybescherming.
• Identificeert risico's op het gebied van privacybescherming (en hun eigenaren).
• Houdt rekening met de gevaren en risico's die inherent zijn aan het verlies van 'vertrouwelijkheid, beschikbaarheid en integriteit' van PII.
• Analyseert de risico's op het gebied van privacybescherming naast drie factoren:
• Hun mogelijke gevolgen.
• De waarschijnlijkheid dat ze voorkomen.
• Hun ernst.
• Analyseert en prioriteert alle geïdentificeerde risico's in overeenstemming met hun risiconiveau.

Aanvullende PIMS- en PII-richtlijnen

Organisaties moeten risicobeoordelingsactiviteiten richten die niet alleen betrekking hebben op informatiebeveiliging, maar ook een aanvulling vormen op de implementatie van een PIMS en op de verwerking en opslag van PII.

Organisaties moeten rekening houden met de gevolgen, niet alleen voor het bedrijf zelf, maar ook voor eventuele PII-opdrachtgevers, mocht er zich een probleem voordoen.

Toepasselijke AVG-artikelen

• Artikel 32 – Beveiliging van verwerking
• Toepasselijke secties – (1)(b), (2)

ISO 27701 Clausule 5.4.1.3 – Behandeling van informatiebeveiligingsrisico's

Referenties ISO 27001 Controle 6.1.3

Organisaties moeten een ‘risicobehandelingsproces’ voor privacybescherming/PII opstellen en implementeren dat:

1. een 'risicobehandelingsplan' voor privacybescherming implementeren.
2. identificeert hoe een PIMS individuele risiconiveaus moet behandelen, op basis van een reeks beoordelingsresultaten.
3. benadrukt een reeks controles die nodig zijn om risicobehandeling op het gebied van privacybescherming te implementeren.
4. kruisverwijzingen naar alle controles die zijn geïdentificeerd met de uitgebreide lijst van ISO in Bijlage A van ISO 27001.
5. documenteren en rechtvaardigen van het gebruik van eventuele controles die worden gebruikt in een formele 'Verklaring van Toepasselijkheid'.
6. Vraag goedkeuring aan eventuele risico-eigenaren voordat u een behandelplan voor privacybeschermingsrisico's opstelt, waarin eventuele 'resterende' privacybeschermings- en PII-risico's zijn opgenomen.

Toepasselijke AVG-artikelen

• Artikel 32 – Beveiliging van verwerking
• Toepasselijke secties – (1)(b), (2)

ISO 27701 Clausule 5.4.2 – Informatiebeveiligingsdoelstellingen en planning om deze te bereiken

Referenties ISO 27001 Controle 6.2

Organisatorische doelstellingen voor de bescherming van de privacy moeten:

• Wees afgestemd op ander informatiebeveiligingsbeleid.
• Wees kwantificeerbaar, voor rapportage- en beoordelingsdoeleinden.
• Gegevens uit risicobeoordelingen en risicobehandelingen integreren.
• Beschikbaar worden gesteld aan alle relevante personeelsleden en betrokkenen.
• Worden voortdurend verbeterd en bijgewerkt in overeenstemming met operationele resultaten en gebeurtenissen uit de echte wereld.
• Wees gedocumenteerd.

Gedurende het planningsproces moeten organisaties het volgende vaststellen:

1. Alle middelen die nodig zijn.
2. Wie krijgt het eigenaarschap over de doelstellingen, geheel of gedeeltelijk.
3. Wanneer de gestelde doelstellingen van een organisatie zullen worden bereikt.
4. Hoe gegevens moeten worden geanalyseerd.

Ondersteunende controles van ISO 27001 en AVG

Hoe ISMS.online helpt

U moet een Privacy Information Management System (PIMS) opzetten om aan ISO 27701 te voldoen. Met ons vooraf gebouwde Privacy Information Management System (PIMS) kunt u snel en efficiënt klant-, leveranciers- en werknemersinformatie organiseren en verwerken om aan de ISO 27701-vereisten te voldoen.

Privacybeoordelingen kunnen eenvoudig worden opgezet en uitgevoerd, variërend van gegevensbeschermingseffectbeoordelingen tot regelgevings- of nalevingsgereedheidsbeoordelingen.

Bekijk ons ​​volledige scala aan functies via een demo boeken.