ISO 27701 – Klausul 5.7 – Præstationsevaluering

ISO 27701 klausul 5.7: En vejledning til præstationsevaluering

En del af driften med et vandtæt sæt kontrolelementer til beskyttelse af privatlivets fred er at anerkende behovet for løbende at overvåge, vurdere og forbedre organisatorisk overholdelse af
PII-relaterede mål og lovmæssige/regulatoriske krav.

ISO 27701 Control 5.7 opstiller et klart sæt retningslinjer, der informerer organisationer om, hvordan de vurderer deres egen præstation, og lige så vigtigt, hvordan de gennemfører meningsfulde ændringer, så privatlivsbeskyttelse forbliver på forkant med deres bredere informationssikkerhedspolitik.

Hvad er dækket af ISO 27701 klausul 5.7

ISO 27701 paragraf 5.7 indeholder tre underklausuler, der omhandler de tre hovedkonstituerende dele af privatlivsbeskyttelsesevaluering – overvågning, audition og gennemgang.

Hver underklausul er knyttet til et medfølgende sæt retningslinjer for informationssikkerhed fra ISO 27001:

• ISO 27701 5.7.1 – Overvågning, måling, analyse og evaluering (Referencer ISO 27001 Kontrol 9.1)
• ISO 27701 5.7.2 – Intern revision (Referencer ISO 27001 Kontrol 9.2)
• ISO 27701 5.7.3 – Ledelsesgennemgang (Referencer ISO 27001 Kontrol 9.3)

Klausul 5.7 mangler nogen yderligere vejledning om, hvordan man anvender retningslinjer for præstationsevaluering inden for rammerne af en PIM'er, og den indeholder heller ikke nogen vejledning inden for rammerne af GDPR.

ISO 27701 paragraf 5.7.1 – Overvågning, måling, analyse og evaluering

Referencer ISO 27001 Kontrol 9.1

Organisationer skal konstant overvåge og evaluere, hvordan de klarer sig ud fra et privatlivsbeskyttelsessynspunkt, og hvor effektiv deres PIMS er inden for rammerne af deres erklærede mål.

I den forbindelse skal organisationer etablere:

1. Præcis hvilke områder af deres drift kræver overvågning;
2. Hvordan de vil udføre denne overvågning, og de mekanismer de vil bruge til at analysere alle opnåede data;
3. Når overvågningsaktiviteter skal udføres;
4. Hvilke medarbejdere skal være involveret i overvågningsaktiviteter;
5. Det tidsrum, hvor resultaterne skal analyseres efter eventuelle overvågningsaktiviteter.

Som med alle andre privatlivsbeskyttelse og PII-relaterede aktiviteter skal der føres en grundig fortegnelse over alle overvågningsaktiviteter i form af officiel dokumentation.

ISO 27701 punkt 5.7.2 – Intern revision

Referencer ISO 27001 Kontrol 9.2

Organisationer skal være opmærksomme på deres ansvar over for deres egne data og processer ved at udføre planlagte revisioner med passende intervaller.

Revisioner skal fastslå:

• Om PIMS er i overensstemmelse med organisationens krav til beskyttelse af privatlivets fred og relevante ISO-standarder;
• At PIMS er implementeret korrekt, og at det er tilstrækkeligt vedligeholdt.

For at nå disse mål skal organisationer:

1. Planlæg, opret og vedligehold et revisionsprogram, der tager højde for flere nøgledetaljer:
• Revisionsfrekvens;
• Revisionsmetode;
• Interne roller og ansvar;
• Forud- og planlægningskrav;
• Indberetning af revisionsdata.
2. Fastlæg omfanget af hver enkelt revision.
3. Styrke behovet for upartiskhed og en objektiv tilgang til dataanalyse, med hvem der er blevet valgt til at udføre revisionen, det være sig internt eller eksternt personale.
4. Sikre, at revisionsresultater når de korrekte interne kanaler (ledelse mv.), så der kan tages meningsfulde tiltag for at forbedre organisationens informationssikkerhedsstyringssystem, hvis behovet skulle opstå.
5. Før en grundig registrering af alle revisionsaktiviteter i form af dokumenterede oplysninger.

ISO 27701 paragraf 5.7.3 – Ledelsesgennemgang

Referencer ISO 27001 Kontrol 9.3

Seniorledelsen spiller en nøglerolle i at sikre levedygtigheden og effektiviteten af ​​enhver privatlivsbeskyttelsespolitik eller implementering af PIMS.

Når ledelsen gennemgår organisatorisk overholdelse af PII-relaterede kontroller, politikker og procedurer, bør ledelsen inkludere:

1. Eventuelle handlinger tilbage fra den tidligere anmeldelse.
2. Eventuelle ændringer i organisationens drift, der har potentiale til at påvirke beskyttelsen af ​​privatlivets fred eller behandlingen og/eller opbevaringen af ​​PII.
3. Feedback fra alle relevante kilder om beskyttelse af privatlivets fred, der inkluderer mærkbare tendenser i:
• Manglende overholdelse og korrigerende handlinger;
• Eventuelle data opnået fra overvågningsaktiviteter;
• Resultaterne af de seneste revisioner;
• Hvordan organisationen opfylder sine erklærede privatlivsbeskyttelsesmål.
4. Feedback fra relevant personale (internt eller eksternt).
5. Resultaterne af eventuelle risikovurderinger for beskyttelse af privatlivets fred, og hvordan de vil blive behandlet via en dedikeret risikobehandlingsplan.
6. Hvordan organisationen har til hensigt at udvikle og forbedre sin privatlivsbeskyttelse, herunder eventuelle ændringer, der skal foretages.

Alle anmeldelser bør være grundigt dokumenterede til fremtidig analyse og for at sikre kontinuitet fra den ene anmeldelse til den næste.

Understøttende kontroller fra ISO 27001 og GDPR

Hvordan ISMS.online hjælper

ISMS.online platformen har indbygget vejledning ved hvert trin kombineret med vores 'Adopter, Adapt, Add' implementeringstilgang, så den indsats, der kræves for at opnå ISO 27701, er væsentligt reduceret.

Du vil også drage fordel af en række kraftfulde tidsbesparende funktioner.

Udforsk fordelene med ISMS.online by booking af en demo.