Personligt identificerbare oplysninger (PII) er ethvert stykke information, der bekræfter en persons identitet.
En persons PII kan omfatte deres:
PII udgør en central del af en organisations datastyringsstrategi og indebærer en række unikke regulatoriske, lovgivningsmæssige og kontraktmæssige risici.
Kontrol 5.34 omhandler PII på tre forskellige måder:
Kontrol 5.34 er en forebyggende kontrol at fastholder risiko ved at skabe retningslinjer og procedurer, der opfylder en organisations lovmæssige, lovbestemte, regulatoriske og kontraktmæssige krav i forbindelse med opbevaring, Beskyttelse af personlige oplysninger , beskyttelse af PII i alle dens former.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed #Integritet #Tilgængelighed | #Identificere #Beskytte | #Informationsbeskyttelse #Juridisk og overholdelse | #Beskyttelse |
Vi er omkostningseffektive og hurtige
Kontrol 5.34 nævner eksplicit en organisations delegerede Privacy Officer (eller tilsvarende organisatorisk) som den person, der skal føre tilsyn med PII-overholdelse.
Organisationer bør behandle PII som en emnespecifik forretningsfunktion og udvikle politikker, der er unikke for deres organisation, og de kategorier af PII, der er mest almindelige for deres daglige drift.
Først og fremmest bør organisationen udarbejde, udvikle og implementere en række politikker, der tager sigte på bevarelse, privatliv og beskyttelse af PII, og sikre, at disse kommunikeres til og bruges af alle medarbejdere, der behandler PII - ikke kun dem, der er forpligtet til at håndtere det som en del af deres jobroller.
PII skal administreres på en struktureret, klar og kortfattet måde. For at opnå dette spørger Control 5.34 organisationer til at udarbejde politikker, der tager højde for individuelle roller, ansvar og datakontrol i hele deres organisation.
Den nemmeste og mest effektive måde at opnå dette på er at anvende en top-down tilgang med en Privacy Officer, hvis job det er at vejlede medarbejdere og tredjepartsorganisationer om emnet PII og rådgive den øverste ledelse vedr. hvordan man forbliver i overensstemmelse med organisationens forpligtelser.
Udover lovgivningsmæssige, lovgivningsmæssige og kontraktmæssige retningslinjer, en organisationen bør også gennemføre tekniske og operationelle foranstaltninger der beskæftiger sig med den praktiske håndtering af PII, som den er lagret af og strømmer gennem virksomheden.
Det hjælper med at drive vores adfærd på en positiv måde, der virker for os
& vores kultur.
PII-lovgivningen varierer fra land til land, selv inden for territorier, der indeholder decentrale administrationer eller ikke-føderale regeringer.
Organisationer bør auditere deres PII-behandlingskrav og overveje eventuelle grænseoverskridende implikationer, der stammer fra indsamling, behandling eller distribution af PII inden for separate jurisdiktioner.
Mens ISO 27002: 2022 ikke tilbyder nogen yderligere vejledning om, hvordan man opnår dette, går en række ISO-dokumenter mere i detaljer om sagen, herunder:
27002:2022-5.34 erstatter 27002:2013-18.1.4 (Privatliv og beskyttelse af personligt identificerbare oplysninger).
27002:2022-5.34 er næsten en kopi af sin forgænger fra 2013, med to bemærkelsesværdige undtagelser.
Vores cloud-baserede platform giver dig en robust ramme af informationssikkerhedskontroller, så du kan tjekliste din ISMS-proces, mens du går at sikre, at den lever op til kravene til ISO 27k. Brugt rigtigt, ismer. online kan hjælpe dig med at opnå certificering med et minimum af tid og ressourcer.
Kontakt i dag for book en demo.
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
