ISO 27701 Clausule 5.7: Een gids voor prestatie-evaluatie
Een essentieel onderdeel van het werken met een waterdichte reeks privacybeschermingsmaatregelen is het erkennen van de noodzaak om de naleving door de organisatie voortdurend te monitoren, beoordelen en verbeteren.
PII-gerelateerde doelstellingen en wettelijke/regelgevende vereisten.
ISO 27701 Control 5.7 bevat een duidelijke reeks richtlijnen die organisaties informeren over hoe ze hun eigen prestaties kunnen beoordelen, en net zo belangrijk, hoe ze betekenisvolle veranderingen kunnen doorvoeren, zodat privacybescherming voorop blijft staan in hun bredere informatiebeveiligingsbeleid.
Wat wordt er behandeld in ISO 27701, clausule 5.7
ISO 27701 Clausule 5.7 bevat drie subclausules die betrekking hebben op de drie belangrijkste onderdelen van de evaluatie van privacybescherming: monitoring, auditie en beoordeling.
Elke subclausule is gekoppeld aan een bijbehorende set informatiebeveiligingsrichtlijnen uit ISO 27001:
- ISO 27701 5.7.1 – Monitoring, meting, analyse en evaluatie (referenties ISO 27001 Controle 9.1)
- ISO 27701 5.7.2 – Interne audit (referenties ISO 27001 Controle 9.2)
- ISO 27701 5.7.3 – Managementbeoordeling (referenties ISO 27001 Controle 9.3)
In artikel 5.7 ontbreken aanvullende richtlijnen voor het toepassen van richtlijnen voor prestatie-evaluatie binnen de context van een PIM, en het bevat ook geen richtlijnen binnen de reikwijdte van GDPR.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
ISO 27701 Clausule 5.7.1 – Monitoring, meting, analyse en evaluatie
Referenties ISO 27001 Controle 9.1
Organisaties moeten voortdurend monitoren en evalueren hoe ze presteren vanuit het oogpunt van privacybescherming, en hoe efficiënt hun PIMS is binnen de reikwijdte van de door hen gestelde doelstellingen.
Daarbij moeten organisaties het volgende vaststellen:
- Precies welke gebieden van hun activiteiten monitoring vereisen;
- Hoe ze de monitoring gaan uitvoeren, en de mechanismen die ze gaan gebruiken om de verkregen gegevens te analyseren;
- Wanneer monitoringactiviteiten moeten worden uitgevoerd;
- Welke medewerkers gaan betrokken worden bij de monitoringactiviteiten;
- De periode waarin de resultaten moeten worden geanalyseerd, na eventuele monitoringactiviteiten.
Net als bij alle andere activiteiten op het gebied van privacybescherming en PII moet een grondig overzicht van alle monitoringactiviteiten worden bijgehouden in de vorm van officiële documentatie.
ISO 27701 Clausule 5.7.2 – Interne audit
Referenties ISO 27001 Controle 9.2
Organisaties moeten zich bewust zijn van hun verantwoordelijkheid ten aanzien van hun eigen gegevens en processen, door met passende tussenpozen geplande audits uit te voeren.
Audits moeten het volgende vaststellen:
- Of het PIMS in lijn is met de privacybeschermingseisen van de organisatie en relevante ISO-normen;
- Dat PIMS correct is geïmplementeerd en adequaat wordt onderhouden.
Om deze doelstellingen te bereiken moeten organisaties:
- Plan, creëer en onderhoud een auditprogramma dat rekening houdt met verschillende belangrijke details:
- Auditfrequentie;
- Controlemethode;
- Interne rollen en verantwoordelijkheden;
- Pre-implementatie- en planningsvereisten;
- Rapportage van auditgegevens.
- Bepaal de reikwijdte van elke individuele audit.
- Versterk de behoefte aan onpartijdigheid en een objectieve benadering van data-analyse, samen met degene die is gekozen om de audit uit te voeren, of dit nu intern of extern personeel is.
- Zorg ervoor dat de auditresultaten de juiste interne kanalen bereiken (senior management enz.), zodat er zinvolle acties kunnen worden ondernomen om het informatiebeveiligingsbeheersysteem van de organisatie te verbeteren, mocht dat nodig zijn.
- Houd een grondig overzicht bij van alle auditactiviteiten in de vorm van gedocumenteerde informatie.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
ISO 27701 Clausule 5.7.3 – Managementbeoordeling
Referenties ISO 27001 Controle 9.3
Het senior management speelt een sleutelrol bij het waarborgen van de levensvatbaarheid en effectiviteit van elk privacybeleid of PIMS-implementatie.
Bij het beoordelen van de naleving door de organisatie van PII-gerelateerde controles, beleid en procedures moet het management het volgende omvatten:
- Eventuele resterende acties uit de vorige beoordeling.
- Alle wijzigingen in de bedrijfsvoering van de organisatie die mogelijk van invloed zijn op de privacybescherming of de verwerking en/of opslag van PII.
- Feedback van alle relevante bronnen over privacybescherming, inclusief opvallende trends in:
- Niet-naleving en corrigerende maatregelen;
- Alle gegevens verkregen uit monitoringactiviteiten;
- De resultaten van recente audits;
- Hoe de organisatie voldoet aan de gestelde doelstellingen op het gebied van privacybescherming.
- Feedback van relevant personeel (intern of extern).
- De resultaten van eventuele risicobeoordelingen op het gebied van privacybescherming, en hoe deze zullen worden aangepakt via een speciaal risicobehandelingsplan.
- Hoe de organisatie haar privacybeschermingsactiviteiten wil ontwikkelen en verbeteren, inclusief eventuele wijzigingen die moeten worden aangebracht.
Alle beoordelingen moeten grondig worden gedocumenteerd voor toekomstige analyse en om de continuïteit van de ene beoordeling naar de volgende te garanderen.
Ondersteunende controles van ISO 27001 en AVG
| ISO 27701-clausule-identificatie | ISO 27701 Clausulenaam | ISO 27001-vereiste | Bijbehorende AVG-artikelen |
|---|---|---|---|
| 5.7.1 | Monitoring, meting, analyse en evaluatie |
9.1 – Monitoring, meting, analyse en evaluatie voor ISO 27001 |
Geen |
| 5.7.2 | Interne audit |
9.2 – Interne audit voor ISO 27001 |
Geen |
| 5.7.3 | Managementbeoordeling |
9.3 – Managementbeoordeling voor ISO 27001 |
Geen |
Hoe ISMS.online helpt
Het ISMS.online-platform heeft ingebouwde begeleiding bij elke stap, gecombineerd met onze 'Adopt, Adapt, Add'-implementatieaanpak, zodat de inspanning die nodig is om ISO 27701 te bereiken aanzienlijk wordt verminderd.
U profiteert ook van een reeks krachtige tijdbesparende functies.
Ontdek de voordelen van ISMS.online door een demo boeken.
