ISO 27002:2022 – Kontrol 5.34 – Privatliv og beskyttelse af PII

Beskyttelse af PII: Bedste praksis fra ISO 27002 Control 5.34

Personligt identificerbare oplysninger (PII) er ethvert stykke information, der bekræfter en persons identitet.

En persons PII kan omfatte deres:

• Adresse
• National Insurance Number eller CPR-nummer
• Kørekort
• Finansielle oplysninger, herunder bankkonti
• Medicinske journaler

PII udgør en central del af en organisations datastyringsstrategi og indebærer en række unikke regulatoriske, lovgivningsmæssige og kontraktmæssige risici.

Kontrol 5.34 omhandler PII på tre forskellige måder:

1. Bevarelse
2. Privatliv
3. Beskyttelse

Formål med kontrol 5.34

Kontrol 5.34 er en forebyggende kontrol at fastholder risiko ved at skabe retningslinjer og procedurer, der opfylder en organisations lovmæssige, lovbestemte, regulatoriske og kontraktmæssige krav i forbindelse med opbevaring, Beskyttelse af personlige oplysninger og beskyttelse af PII i alle dens former.

Kontrolattributter 5.34

Ejerskab af kontrol 5.34

Kontrol 5.34 nævner eksplicit en organisations delegerede Privacy Officer (eller tilsvarende organisatorisk) som den person, der skal føre tilsyn med PII-overholdelse.

Generel vejledning om kontrol 5.34

Organisationer bør behandle PII som en emnespecifik forretningsfunktion og udvikle politikker, der er unikke for deres organisation, og de kategorier af PII, der er mest almindelige for deres daglige drift.

Først og fremmest bør organisationen udarbejde, udvikle og implementere en række politikker, der tager sigte på bevarelse, privatliv og beskyttelse af PII, og sikre, at disse kommunikeres til og bruges af alle medarbejdere, der behandler PII - ikke kun dem, der er forpligtet til at håndtere det som en del af deres jobroller.

PII skal administreres på en struktureret, klar og kortfattet måde. For at opnå dette spørger Control 5.34 organisationer til at udarbejde politikker, der tager højde for individuelle roller, ansvar og datakontrol i hele deres organisation.

Den nemmeste og mest effektive måde at opnå dette på er at anvende en top-down tilgang med en Privacy Officer, hvis job det er at vejlede medarbejdere og tredjepartsorganisationer om emnet PII og rådgive den øverste ledelse vedr. hvordan man forbliver i overensstemmelse med organisationens forpligtelser.

Udover lovgivningsmæssige, lovgivningsmæssige og kontraktmæssige retningslinjer, en organisationen bør også gennemføre tekniske og operationelle foranstaltninger der beskæftiger sig med den praktiske håndtering af PII, som den er lagret af og strømmer gennem virksomheden.

Supplerende vejledning

PII-lovgivningen varierer fra land til land, selv inden for territorier, der indeholder decentrale administrationer eller ikke-føderale regeringer.

Organisationer bør auditere deres PII-behandlingskrav og overveje eventuelle grænseoverskridende implikationer, der stammer fra indsamling, behandling eller distribution af PII inden for separate jurisdiktioner.

Mens ISO 27002: 2022 ikke tilbyder nogen yderligere vejledning om, hvordan man opnår dette, går en række ISO-dokumenter mere i detaljer om sagen, herunder:

• ISO/IEC 29100 (beskyttelse af PII inden for IKT-systemer)
• ISO/IEC 27701 (styringssystemer til beskyttelse af personlige oplysninger)
• ISO/IEC 27018 (PII inden for offentlig cloud-infrastruktur)

Ændringer og forskelle fra ISO 27002:2013

27002:2022-5.34 erstatter 27002:2013-18.1.4 (Privatliv og beskyttelse af personligt identificerbare oplysninger).

27002:2022-5.34 er næsten en kopi af sin forgænger fra 2013, med to bemærkelsesværdige undtagelser.

1. 27002:2022-5.34 beder organisationer om at overveje en emnespecifik politik, når de formulerer og implementerer PII-politikker og -procedurer.
2. 27002:2022-5.34 lægger mere vægt på bevarelse af PII (som angivet i kontroltitlen) sammen med standard retningslinjer for privatliv og beskyttelse.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Vores cloud-baserede platform giver dig en robust ramme af informationssikkerhedskontroller, så du kan tjekliste din ISMS-proces, mens du går at sikre, at den lever op til kravene til ISO 27k. Brugt rigtigt, ismer. online kan hjælpe dig med at opnå certificering med et minimum af tid og ressourcer.

Kontakt i dag for book en demo.