Beskyttelse af PII: Bedste praksis fra ISO 27002 Control 5.34
Personligt identificerbare oplysninger (PII) er ethvert stykke information, der bekræfter en persons identitet.
En persons PII kan omfatte deres:
- Adresse
- National Insurance Number eller CPR-nummer
- Kørekort
- Finansielle oplysninger, herunder bankkonti
- Medicinske journaler
PII udgør en central del af en organisations datastyringsstrategi og indebærer en række unikke regulatoriske, lovgivningsmæssige og kontraktmæssige risici.
Kontrol 5.34 omhandler PII på tre forskellige måder:
- Bevarelse
- Privatliv
- Beskyttelse
Formål med kontrol 5.34
Kontrol 5.34 er en forebyggende kontrol at fastholder risiko ved at skabe retningslinjer og procedurer, der opfylder en organisations lovmæssige, lovbestemte, regulatoriske og kontraktmæssige krav i forbindelse med opbevaring, Beskyttelse af personlige oplysninger og beskyttelse af PII i alle dens former.
Kontrolattributter 5.34
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #Informationsbeskyttelse | #Beskyttelse |
| #Integritet | #Beskytte | #Juridisk og overholdelse | ||
| #Tilgængelighed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 5.34
Kontrol 5.34 nævner eksplicit en organisations delegerede Privacy Officer (eller tilsvarende organisatorisk) som den person, der skal føre tilsyn med PII-overholdelse.
Generel vejledning om kontrol 5.34
Organisationer bør behandle PII som en emnespecifik forretningsfunktion og udvikle politikker, der er unikke for deres organisation, og de kategorier af PII, der er mest almindelige for deres daglige drift.
Først og fremmest bør organisationen udarbejde, udvikle og implementere en række politikker, der tager sigte på bevarelse, privatliv og beskyttelse af PII, og sikre, at disse kommunikeres til og bruges af alle medarbejdere, der behandler PII - ikke kun dem, der er forpligtet til at håndtere det som en del af deres jobroller.
PII skal administreres på en struktureret, klar og kortfattet måde. For at opnå dette spørger Control 5.34 organisationer til at udarbejde politikker, der tager højde for individuelle roller, ansvar og datakontrol i hele deres organisation.
Den nemmeste og mest effektive måde at opnå dette på er at anvende en top-down tilgang med en Privacy Officer, hvis job det er at vejlede medarbejdere og tredjepartsorganisationer om emnet PII og rådgive den øverste ledelse vedr. hvordan man forbliver i overensstemmelse med organisationens forpligtelser.
Udover lovgivningsmæssige, lovgivningsmæssige og kontraktmæssige retningslinjer, en organisationen bør også gennemføre tekniske og operationelle foranstaltninger der beskæftiger sig med den praktiske håndtering af PII, som den er lagret af og strømmer gennem virksomheden.
Supplerende vejledning
PII-lovgivningen varierer fra land til land, selv inden for territorier, der indeholder decentrale administrationer eller ikke-føderale regeringer.
Organisationer bør auditere deres PII-behandlingskrav og overveje eventuelle grænseoverskridende implikationer, der stammer fra indsamling, behandling eller distribution af PII inden for separate jurisdiktioner.
Mens ISO 27002: 2022 ikke tilbyder nogen yderligere vejledning om, hvordan man opnår dette, går en række ISO-dokumenter mere i detaljer om sagen, herunder:
- ISO/IEC 29100 (beskyttelse af PII inden for IKT-systemer)
- ISO/IEC 27701 (styringssystemer til beskyttelse af personlige oplysninger)
- ISO/IEC 27018 (PII inden for offentlig cloud-infrastruktur)
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-5.34 erstatter 27002:2013-18.1.4 (Privatliv og beskyttelse af personligt identificerbare oplysninger).
27002:2022-5.34 er næsten en kopi af sin forgænger fra 2013, med to bemærkelsesværdige undtagelser.
- 27002:2022-5.34 beder organisationer om at overveje en emnespecifik politik, når de formulerer og implementerer PII-politikker og -procedurer.
- 27002:2022-5.34 lægger mere vægt på bevarelse af PII (som angivet i kontroltitlen) sammen med standard retningslinjer for privatliv og beskyttelse.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Vores cloud-baserede platform giver dig en robust ramme af informationssikkerhedskontroller, så du kan tjekliste din ISMS-proces, mens du går at sikre, at den lever op til kravene til ISO 27k. Brugt rigtigt, ismer. online kan hjælpe dig med at opnå certificering med et minimum af tid og ressourcer.
Kontakt i dag for book en demo.
