Hvad kræver kontrol A.3.29?
Principper for udvikling af sikre systemer relateret til behandling af personoplysninger skal etableres, dokumenteres, vedligeholdes og anvendes i alle aktiviteter inden for udvikling af informationssystemer.
Denne kontrol ligger inden for Delte sikkerhedskontroller bilag (A.3) og går ud over individuelle udviklingsprojekter og kræver organisationsomspændende tekniske principper, der styrer al systemudvikling. A.3.27 Sikker udviklingslivscyklus dækker udviklingslivscyklussen og A.3.28 Applikationssikkerhed Dækker krav til applikationssikkerhed, mens A.3.29 fokuserer på det arkitektoniske fundament: designmønstrene, sikkerhedsprincipperne og de privatlivsbevidste tekniske standarder, der præger ethvert system, der bygges eller modificeres i organisationen.
Hvad står der i implementeringsvejledningen i bilag B?
Bilag B (afsnit B.3.29) indeholder følgende vejledning:
- Privatliv gennem design og privatliv som standard — Systemer eller komponenter relateret til behandling af personoplysninger bør designes i overensstemmelse med principperne om indbygget databeskyttelse og databeskyttelse som standard.
- Forudse og facilitere kontroller — Systemarkitekturen bør forudse og fremme implementeringen af relevante kontroller beskrevet i B.1 (for PII-controllere) og B.2 (for PII-processorer)
- Minimer behandling af personoplysninger — Indsamling og behandling af personoplysninger i disse systemer bør begrænses til, hvad der er nødvendigt for de identificerede formål med behandlingen.
- Design til sletning — For eksempel bør en organisation, der behandler personoplysninger, sikre, at den bortskaffer disse personoplysninger efter en bestemt periode. Systemet, der behandler disse personoplysninger, bør være designet på en måde, der letter dette krav om sletning.
- Se også A.3.30: Outsourcet udvikling for relaterede krav
- Se også A.3.31: Testoplysninger for relaterede krav
Eksemplet med sletning er særligt lærerigt: Hvis et system ikke er designet til at understøtte datasletning fra starten, kan det være ekstremt dyrt og teknisk komplekst at eftermontere denne funktion senere. Det samme princip gælder for dataminimering, samtykkehåndtering, dataportabilitet og alle andre privatlivskrav.
Hvordan relaterer dette sig til GDPR?
Kontrol A.3.29 knyttes til følgende GDPR artikel:
- Artikel 25 (1) — Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, hvilket kræver implementering af passende tekniske og organisatoriske foranstaltninger, der er udformet til effektivt at implementere databeskyttelsesprincipper og integrere nødvendige sikkerhedsforanstaltninger i behandlingen
A.3.29 giver en praktisk ramme for at opfylde artikel 25's krav om, at databeskyttelse skal overvejes på arkitekturniveau, ikke kun på applikationsniveau.
Hvad har ændret sig fra ISO 27701:2019?
For en trinvis fremgangsmåde, se Overgangen fra 2019 til 2025.
I 2019-udgaven var dette krav dækket af klausul 6.11.2.5 (principper for sikre systemtekniske løsninger). 2025-udgaven bevarer kernekravene som A.3.29, hvor implementeringsvejledningen i B.3.29 giver en klarere forbindelse til principperne for databeskyttelse gennem design og de specifikke kontroller for dataansvarlige og databehandlere, som systemarkitekturen bør forudse. Se Bilag F korrespondancetabel for den fulde kortlægning.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Hvilken dokumentation forventer revisorer?
Ved vurdering af overholdelse af A.3.29 vil revisorer typisk se efter:
- Dokumenterede ingeniørprincipper — Et sæt dokumenterede principper for sikker systemudvikling, der omhandler PII-beskyttelse, herunder dataminimering, formålsbegrænsning, lagringsbegrænsning og sikkerhed som standard
- Arkitekturgennemgangsrapporter — Dokumentation for, at systemarkitekturer gennemgås i forhold til de dokumenterede principper, før udviklingen fortsætter
- Privatlivsbevidste designmønstre — Dokumenterede designmønstre eller referencearkitekturer, som udviklingsteams bruger som skabeloner, inklusive krav til PII-beskyttelse
- Design til datalivscyklus — Dokumentation for, at systemerne er designet til at understøtte hele PII-datalivscyklussen, herunder indsamling, behandling, opbevaring, sletning og den registreredes rettigheder
- Vedligeholdelse af principper — Optegnelser, der viser, at tekniske principper gennemgås og opdateres med jævne mellemrum eller som reaktion på ændringer i privatlivskrav
Hvad er de relaterede kontroller?
| kontrol | Relationship |
|---|---|
| A.3.27 Sikker udviklingslivscyklus | Udviklingsprocesser bør implementere de tekniske principper |
| A.3.28 Krav til applikationssikkerhed | Applikationskravene skal være i overensstemmelse med de arkitektoniske principper |
| A.1.2.6 Vurdering af indvirkning på privatlivets fred | PIA'er identificerer privatlivsrisici, som tekniske principper bør adressere |
| A.1.4.5 Mål for minimering af personoplysninger | Systemarkitekturen bør som standard håndhæve dataminimering |
| A.1.4.6 Afidentifikation og sletning | Systemer skal være arkitektonisk i stand til at understøtte sletningskrav |
Hvem gælder denne kontrol for?
A.3.29 er en delt kontrol Det gælder både for PII-ansvarlige og PII-behandlere. Enhver organisation, der udvikler informationssystemer til PII-behandling, skal etablere og vedligeholde tekniske principper. Kontrollen kræver, at disse principper anvendes på "enhver informationssystemudviklingsaktivitet", hvilket betyder, at de ikke er valgfrie retningslinjer, men obligatoriske standarder for alt udviklingsarbejde.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Hvorfor vælge ISMS.online for overholdelse af sikker systemarkitektur?
ISMS.online giver praktiske værktøjer til at administrere dine sikre tekniske principper:
- Principregister — Dokumentér og vedligehold dine sikre tekniske principper i et centralt, versionsbaseret register, som udviklingsteams kan bruge til at referere til
- Arbejdsgange for arkitekturgennemgang — Opret gennemgangsarbejdsgange, der kræver, at systemdesign vurderes i forhold til dine tekniske principper, før udviklingen påbegyndes
- DPIA-integration — Forbind konsekvensanalyser for privatlivets fred med beslutninger om systemarkitektur, og sørg for at privatlivsrisici, der er identificeret i konsekvensanalysen for databeskyttelse, tages hånd om i designet
- Overholdelseskortlægning — Kortlæg dine ingeniørprincipper til ISO 27701-kontroller, GDPR Artikel 25 og andre krav i privatlivsrammen
- Gennemgå planlægning — Planlæg periodiske gennemgange af dine tekniske principper med automatiserede påmindelser og versionskontrol
Ofte Stillede Spørgsmål
Hvad er forskellen mellem A.3.27 Sikker udviklingslivscyklus og A.3.29?
A.3.27 Sikker udviklingslivscyklus dækker den sikre udviklingslivscyklus – den proces og de procedurer, som udviklingsteams følger. A.3.29 dækker de tekniske principper – de arkitektoniske standarder og designmønstre, der styrer, hvordan systemer skal se ud. Tænk på A.3.27 Sikker udviklingslivscyklus som "hvordan vi bygger" og A.3.29 som "hvad vi bygger hen imod". Begge arbejder sammen: udviklingsprocesser (A.3.27 Sikker udviklingslivscyklus) bør håndhæve anvendelsen af ingeniørprincipper (A.3.29).
Hvad er eksempler på sikre tekniske principper for personoplysninger?
Eksempler inkluderer: indsamling af kun de PII-felter, der kræves til det angivne formål; kryptering af PII i hvile og under transit som standard; design af databaseskemaer til at understøtte detaljeret sletning af individuelle poster; implementering af samtykkehåndtering på datalaget, ikke kun på brugergrænsefladelaget; logføring af alle PII-adgangshændelser; brug rollebaseret adgangskontrol til at begrænse PII-adgang til autoriseret personale; design af API'er til kun at returnere den minimale PII, der er nødvendig for hver use case; og indbyggning af automatisering af dataopbevaring i systemet fra lanceringen.
Hvor ofte skal ingeniørprincipper gennemgås?
Ingeniørprincipper bør gennemgås mindst én gang årligt, og når der er væsentlige ændringer i privatlivslovgivningen, organisationens behandling af personoplysninger, teknologistakken eller trusselsbilledet. Gennemgangen bør vurdere, om principperne forbliver aktuelle, effektive og i overensstemmelse med organisationens privatlivsforpligtelser. Eventuelle opdateringer bør kommunikeres til udviklingsteams og afspejles i tjeklister til arkitekturgennemgang.
SaaS-platforme kan finde skræddersyet vejledning i vores vejledning til SaaS-platforme.
