Beskyttelse af PII: Bedste praksis fra ISO 27002 Control 5.34
Personligt identificerbare oplysninger (PII) er enhver oplysning, der bekræfter en persons identitet.
En persons PII kan omfatte deres:
- Adresse
- National Insurance Number eller CPR-nummer
- Kørekort
- Finansielle oplysninger, herunder bankkonti
- Medicinske journaler
PII udgør en central del af en organisations datastyringsstrategi og indebærer en række unikke regulatoriske, lovgivningsmæssige og kontraktmæssige risici.
Kontrol 5.34 omhandler PII på tre forskellige måder:
- Bevarelse
- Privatliv
- Beskyttelse
Formål med kontrol 5.34
Kontrol 5.34 er en forebyggende kontrol , der vedligeholder risiko ved at oprette retningslinjer og procedurer, der opfylder en organisations juridiske, lovpligtige, regulatoriske og kontraktlige krav vedrørende opbevaring , privatliv og beskyttelse af personoplysninger i alle dens former.
Kontrolattributter 5.34
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #Informationsbeskyttelse | #Beskyttelse |
| #Integritet | #Beskytte | #Juridisk og overholdelse | ||
| #Tilgængelighed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 5.34
Kontrol 5.34 nævner eksplicit en organisations delegerede Privacy Officer (eller tilsvarende organisatorisk) som den person, der skal føre tilsyn med PII-overholdelse.
Generel vejledning om kontrol 5.34
Organisationer bør behandle PII som en emnespecifik forretningsfunktion og udvikle politikker, der er unikke for deres organisation, og de kategorier af PII, der er mest almindelige for deres daglige drift.
Først og fremmest bør organisationen udarbejde, udvikle og implementere en række politikker, der tager sigte på bevarelse, privatliv og beskyttelse af PII, og sikre, at disse kommunikeres til og bruges af alle medarbejdere, der behandler PII - ikke kun dem, der er forpligtet til at håndtere det som en del af deres jobroller.
Personoplysninger skal håndteres på en struktureret, klar og præcis måde. For at opnå dette beder Control 5.34 organisationer om at udarbejde politikker, der tager højde for individuelle roller, ansvarsområder og datakontroller i hele organisationen.
Den nemmeste og mest effektive måde at opnå dette på er at anvende en top-down tilgang med en Privacy Officer, hvis job det er at vejlede medarbejdere og tredjepartsorganisationer om emnet PII og rådgive den øverste ledelse vedr. hvordan man forbliver i overensstemmelse med organisationens forpligtelser.
Udover lovgivningsmæssige, lovgivningsmæssige og kontraktlige retningslinjer bør en organisation også implementere tekniske og operationelle foranstaltninger , der omhandler den praktiske håndtering af personoplysninger, når de opbevares og flyder gennem virksomheden.
Supplerende vejledning
PII-lovgivningen varierer fra land til land, selv inden for territorier, der indeholder decentrale administrationer eller ikke-føderale regeringer.
Organisationer bør revidere deres krav til behandling af personoplysninger og overveje eventuelle grænseoverskridende konsekvenser, der stammer fra indsamling, behandling eller distribution af personoplysninger inden for separate jurisdiktioner.
Selvom ISO 27002:2022 ikke tilbyder yderligere vejledning i, hvordan dette opnås, går en række ISO-dokumenter mere i detaljer om emnet, herunder:
- ISO/IEC 29100 (beskyttelse af PII inden for IKT-systemer)
- ISO/IEC 27701 (styringssystemer til beskyttelse af personlige oplysninger)
- ISO/IEC 27018 (PII inden for offentlig cloud-infrastruktur)
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-5.34 erstatter 27002:2013-18.1.4 (Privatliv og beskyttelse af personligt identificerbare oplysninger).
27002:2022-5.34 er næsten en kopi af sin forgænger fra 2013, med to bemærkelsesværdige undtagelser.
- 27002:2022-5.34 beder organisationer om at overveje en emnespecifik politik, når de formulerer og implementerer PII-politikker og -procedurer.
- 27002:2022-5.34 lægger mere vægt på bevarelse af PII (som angivet i kontroltitlen) sammen med standard retningslinjer for privatliv og beskyttelse.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Vores cloudbaserede platform giver dig et robust rammeværk af informationssikkerhedskontroller, så du kan tjekke din ISMS-proces undervejs for at sikre, at den opfylder kravene i ISO 27k. Brugt korrekt kan ISMS.online hjælpe dig med at opnå certificering med minimal tid og ressourcer.
Kontakt os i dag for at booke en demo.
