ISO 27701 begrijpen: Privacy Informatie Management Systeem (PIMS)

Wat is de geschiedenis van ISO/IEC 27701?

ISO 27001 is de meest populaire beveiligingsstandaard ter wereld, maar vertoont enkele hiaten. Er wordt met name niet beschreven hoe u dit moet instellen Persoonlijk Identificeerbare Informatie (PII) veiligheids maatregelen. De Algemene Verordening Gegevensbescherming (AVG) van de EU heeft het gebrek aan duidelijke PII-richtlijnen van ISO 27001 onder de aandacht gebracht. De AVG vraagt ​​om PII-beveiligingsmaatregelen, maar geeft geen richtlijnen of vereisten voor de implementatie.

Dus begon het werk aan de norm die ISO 27701 zou worden. De nieuwe PII-beheernorm werd voor het eerst ontwikkeld als ISO/IEC 27522. Het technische werk aan ISO 27522 eindigde in 2019, wat leidde tot de publicatie van de nieuwe norm op 6 augustus 2019. Het is een uitbreiding van ISO/IEC 27001. Vóór publicatie werd ISO/IEC 27522 ISO/IEC 27701. Dat komt omdat elke norm die beschrijft hoe een managementsysteem moet worden gecreëerd, moet eindigen op 01.

Introductie van privacy-informatiebeheer

De meeste organisaties moeten informatie bewaren en verwerken over sommige of al hun:

• Klanten
• Werknemers
• Leveranciers
• Andere belanghebbenden

Deze mensen vertrouwen op organisaties die gegevens verzamelen om die informatie privé te houden. Het risico op en de potentiële schade als gevolg van een schending van privacygegevens of persoonlijk identificeerbare informatie (PII) neemt snel toe. Problemen kunnen zijn:

• Boetes tot € 20 miljoen (volgens de AVG-regelgeving van de EU)
• Aanzienlijke merk- en reputatieschade
• Persoonlijke privacykwesties voor eventuele gecompromitteerde personen

Steeds meer organisaties creëren dus privacy-informatiebeheersystemen (of PIMS). Een effectief, ISO 27701-conform of gecertificeerd PIMS heeft veel potentiële voordelen. Het kan:

• Verlicht de nalevingslasten door de beveiliging van privacy-informatie eenvoudig te beheren en mogelijk tegelijkertijd aan meerdere regelgevingsbehoeften te voldoen
• Vergroot het vertrouwen van management, toezichthouders en andere belanghebbenden door transparante, eenvoudig aan te tonen beveiligingsmaatregelen te creëren
• Voldoe snel en eenvoudig aan de privacybehoeften van uw klanten en andere commerciële partners en overtref deze zelfs
• Stel duidelijke voorwaarden voor het delen en genereren van inkomsten met de waardevolle gegevens die uw organisatie heeft verzameld
• Geef een krachtig, merkopbouwend signaal af dat uw organisatie beveiliging zeer serieus neemt

Om de veiligheid te vergroten, kunt u uw PII pseudonimiseren of anonimiseren. De AVG-definities van deze twee manieren om uw persoonlijke gegevens te beheren zijn:

• Om persoonsgegevens te pseudonimiseren, moet u deze verwerken “op een zodanige manier dat de gegevens niet langer aan een specifieke betrokkene kunnen worden toegeschreven zonder het gebruik van aanvullende informatie” (AVG artikel 3)
• Om persoonsgegevens te anonimiseren, moet u ervoor zorgen dat u deze onder geen enkele omstandigheid “op een zodanige wijze verwerkt dat de betrokkene niet (meer) identificeerbaar is” (AVG overweging 26).

Gepseudonimiseerde gegevens kunnen nog steeds onderworpen zijn aan PII regelgeving en eisen. De meeste regelgevingsregimes zullen waarschijnlijk niet van toepassing zijn op geanonimiseerde gegevens.

Het verschil tussen gepseudonimiseerde en geanonimiseerde gegevens kan behoorlijk subtiel en complex zijn. Het kan variëren in verschillende rechtsgebieden. U moet zorgvuldig controleren of u alle relevante voorschriften op uw PII toepast.

Oh, en als je informatie hebt over iemand die (heel helaas) is overleden, dan zal het waarschijnlijk geen PII zijn. Informatie over de overledene wordt over het algemeen niet als persoonlijk geclassificeerd. Gegevens van bedrijven, overheidsinstanties of andere organisaties zijn waarschijnlijk ook geen PII.

Wat is een PIMS?

Een PIMS is een Persoonlijk Informatie Management Systeem. Het combineert:

• duidelijk omschreven en algemeen begrepen beleid en procedures
• effectieve technologie voor privacybeheer
• goed opgeleide mensen

om de persoonlijk identificeerbare informatie (PII) die uw organisatie bewaart en gebruikt te beschermen. Een effectief PIMS zorgt ervoor dat uw organisatie:

• medewerkers
• klanten
• contacten
• andere belanghebbenden
• dat jij bent hun persoonlijke gegevens op een veilige manier beheren en verantwoorde manier.

Uw PIMS helpt u PII op te slaan en te delen, zowel intern als extern. Met de juiste PIMS kunnen mensen de gegevens die u over hen bewaart, ook gemakkelijk bijwerken en corrigeren.

ISO 27701 gecertificeerd worden

Wie kan ISO 27701 implementeren?

Om ISO 27701 te implementeren, uw organisatie nodig heeft tot:

1.   Proces en/of persoonlijk identificeerbare informatie (PII) beheren

2.   Heb een ISO 27001-gecertificeerd managementsysteem voor informatiebeveiliging (ISMS)

Het maakt niet uit wat voor soort of grootte organisatie u bent. De vereisten van ISO 27701 zijn geschikt voor alle soorten en maten organisaties. Dat omvat (maar is niet beperkt tot):

1.   Openbare en particuliere bedrijven

2.   Overheidsinstanties

3.   Organisaties zonder winstoogmerk

Wat heeft u nodig om ISO/IEC 27701:2019 gecertificeerd te worden?

ISO/IEC 27701:2019 is zo nieuw dat er geen geaccrediteerde certificatie-instellingen voor bestaan. Op het moment dat we dit schrijven kun je dus eigenlijk niet de ISO 27701-certificering behalen.<.p>

Wij raden het bereiken van ISO 27001-compliance, zodat u klaar bent wanneer certificering mogelijk wordt. Het lijkt erop dat je vanaf medio 27701 de ISO 2021-certificering kunt behalen.

Om te voldoen aan ISO/IEC 27701:2019 moet u een Personal Information Management System (PIMS) voor uw organisatie ontwerpen, bouwen en implementeren.

Uw nieuwe PIMS zou moeten volgen:

1.   De ISO 27701-norm op alle relevante manieren

2.   Eventuele nationale of internationale regelgeving die op uw organisatie van toepassing is

ISO 27701 gaat ervan uit dat u al voldoet aan ISO 27001 of certificering heeft behaald. Dat betekent het creëren van een informatiebeveiligingsbeheersysteem (ISMS). U kunt uw ISMS vóór of naast uw ISO 27701-implementatie opzetten.

Hoe ISO 27701 zich verhoudt tot andere normen

Hoe verhoudt ISO 27701 zich tot ISO 27001?

ISO 27701 vult een aantal persoonlijk identificeerbare informatielacunes in ISO 27001 op. U kunt het dus naast of na ISO 27001 implementeren.

Op welke andere normen is ISO 27701 gebaseerd?

Naast ISO 27001 is ISO 27701 ook van toepassing op:

• Het privacykader en de principes gedefinieerd in ISO/IEC 29100
• ISO / IEC 27018
• ISO / IEC 29151
• GDPR

Houd er rekening mee dat u ook de plaatselijke regelgeving moet volgen als u ISO 27701 aan een andere norm koppelt.

Hoe verhoudt ISO 27701 zich tot de AVG?

ISO 27701 staat los van de AVG. Maar als u voldoet aan ISO 27701 of gecertificeerd bent, voldoet uw Personal Information Management System aan de AVG.

Hoe verhoudt ISO 27701 zich tot ISO 27552?

ISO 27701 werd voor het eerst ontwikkeld als ISO/IEC 27522. De naam van de norm veranderde vóór de lancering in 27701 in ISO 2019. ISO 27522 werd ISO 27701 omdat elke norm die vertelt hoe je een managementsysteem moet opzetten, moet eindigen op 01.

Wat is de ISO 27000-normenfamilie?

De ISO 27000-familie van normen richt zich op informatiebeveiliging. Elke ISO 27000-standaard heeft een andere nadruk en vereisten op het gebied van infosec. Organisaties van elke omvang of soort kunnen er gebruik van maken.

Belangrijke familieleden zijn onder meer:

• ISO 27000 introduceert de familie en legt basistermen en definities uit
• ISO 27001 vertelt u hoe u een Information Security Management System kunt opzetten
• ISO 27017 en 27018 laten zien hoe u gevoelige gegevens in de cloud kunt beschermen
• ISO 27031 richt zich op onderhoud bedrijfscontinuïteit wanneer uitdagingen of crises toeslaan
• ISO 27701 laat zien hoe u een Personal Information Management System kunt creëren

Belangrijke details van ISO 27701-bijlagen

Wat valt onder bijlage D?

Bijlage D van de ISO 27701-standaard vertelt u hoe u de controles ervan kunt afstemmen op de Algemene Verordening Gegevensbescherming (AVG) van de EU.

Wat valt onder bijlage F?

Bijlage F van de ISO 27701-norm legt uit hoe ISO IEC 27001 kan worden uitgebreid ISO / IEC 27002 om persoonlijk identificeerbare informatie (PII) te beschermen.

Hoe ISMS.online de implementatie van ISO 27701 eenvoudig kan maken

Om het u gemakkelijk te maken, ISMS.online heeft een cloudgebaseerd platform gebouwd. Dit platform voldoet aan de criteria van de ISO-normen en voldoet tevens aan de eisen van ISO 27701. Hiermee kunt u naleving van de ISO 27701-norm creëren en aantonen, waardoor certificering wordt vereenvoudigd.

Met ons cloudgebaseerde platform heeft u op één plek toegang tot al uw ISMS-bronnen. We hebben een intern team van informatiebeveiligingsexperts die u kunnen begeleiden en vragen kunnen beantwoorden om u te helpen op weg naar de implementatie van ISO 27701, zodat u kunt aantonen dat u zich inzet voor best practices op het gebied van informatiebeveiligingsbeheer. Bel ISMS.online op +44 (0)1273 041140 voor meer informatie over hoe wij u kunnen helpen gecertificeerd te worden volgens ISO 27701.