ISO 27701 er en standard for personvern som gir et omfattende rammeverk for håndtering av behandling av personopplysninger. Standarden har som mål å hjelpe organisasjoner av alle størrelser og typer med å beskytte enkeltpersoners personvernrettigheter og overholde gjeldende personvernforskrifter.

Viktigheten av personvern har økt de siste årene ettersom organisasjoner i økende grad har blitt gransket for måten de samler inn, bruker og lagrer personopplysninger på. ISO 27701-standarden gir en praktisk tilnærming til å håndtere personvernrisikoer og etablere kontroller som oppfyller forventningene til regulatorer, kunder og andre interessenter.

ISO 27701 er en utvidelse av ISO 27001, standarden for styringssystemer for informasjonssikkerhet, som alle er en del av den bredere familien av ISO 27000-standarder for informasjonssikkerhet.

Denne bloggen vil utforske alt du trenger å vite om ISO 27701, fra omfanget og kravene til standarden til crossovers med ISO 27001 og opprettholdelse av samsvar. Enten du er en organisasjon som ønsker å forbedre personvernprogrammet ditt eller en person som ønsker å lære mer om personvern, vil denne bloggen gi informativ innsikt i ISO 27701-verdenen.

Forstå det grunnleggende i ISO 27701: Styrking av personvern og sikkerhet for data

ISO 27701 etablerer et rammeverk for Privacy Information Management System (PIMS) som gjør det mulig for organisasjoner å identifisere, vurdere og administrere personvernrisiko knyttet til deres databehandlingsaktiviteter. Den gir retningslinjer og beste praksis for implementering av personvernkontroller og -tiltak, fremmer åpenhet, ansvarlighet og effektiv styring av personopplysninger.

Standarden omfatter ulike nøkkelkrav, inkludert;

  • Å drive personvern risikovurdering 
  • Implementering av personvernkontroller
  • Definere roller og ansvar
  • Sikre samtykkehåndtering
  • Håndtering av registrerte rettigheter
  • Etablere prosesser for hendelsesrespons og bruddvarsling. 

 

Ved å overholde disse kravene kan organisasjoner effektivt håndtere personvernrisikoer og demonstrere sin forpliktelse til å beskytte personopplysninger.

ISO 27701 og dets forhold til ISO 27001

ISO 27701 og ISO 27001 er nært beslektet, der ISO 27701 fungerer som en utvidelse av rammeverket for informasjonssikkerhetsstyringssystemer som leveres av ISO 27001. Den integrerer personvernkrav i den eksisterende ISMS-strukturen, og sikrer at personvernhensyn ivaretas sammen med informasjonssikkerhet. Ved å kombinere begge standardene kan organisasjoner skape en helhetlig tilnærming som ikke bare ivaretar konfidensialitet, integritet og tilgjengelighet av informasjon, men også enkeltpersoners personvernrettigheter.

ISO 27701 utnytter kontrollene i tillegg A i ISO 27001 og supplerer dem med ytterligere kontroller spesifikt for personvernhåndtering. Denne integrasjonen effektiviserer implementeringsprosessen, slik at organisasjoner kan etablere et robust rammeverk som dekker krav til informasjonssikkerhet og personvern.

Organisasjoner som allerede har implementert ISO 27001 kan bruke ISO 27701 til å utvide sikkerhetsinnsatsen sin til å dekke personvernhåndtering, inkludert behandling av PII (personlig identifiserbar informasjon), noe som kan hjelpe dem med å demonstrere samsvar med personvernlover som GDPR.

Organisasjoner uten ISMS kan implementere ISO 27001 og ISO 27701 sammen som et enkelt implementeringsprosjekt, noe som sparer betydelig tid og kostnader. 

Vi introduserer SPoT – Your Single Point of Truth for ISO 27001 og ISO 27701 

Her hos ISMS.online har vi utviklet et produkt som forenkler etablering, utførelse og sertifisering i henhold til ISO 27001 og ISO 27701 samtidig, SPoT – ditt eneste sannhetspunkt.

Vår menneskevennlige SaaS-plattform kommer forhåndskonfigurert med innhold og verktøysett som kan få brukere over 80 % fullførte mot begge implementeringene rett ut av boksen. 

En kombinert Anvendelseserklæring og veiledning om kartlegging av fellesområdene til begge standardene er inkludert, noe som reduserer dobbeltarbeid og effektiviserer den pågående forvaltningen. Akkurat som sin forgjenger, det enestående ISMS, er SPoT intuitivt utformet, uten nødvendig opplæring, og kommer med et ekspertstøtteteam som er personlig investert i kundesuksess.

Vi brukte SPoT til å oppnå resertifisering til ISO 27001 og førstegangssertifisering til ISO 27701 tidligere i år. Finn ut mer om vår erfaring i bloggen vår.

Få din gratis ISO 27701 veikartkonsultasjon med en av våre GRC-eksperter i dag 

Gratis konsultasjon

ISO 27701 og GDPR: Building a Strong Privacy Foundation

Databeskyttelsesloven (DPA ) fra 2018, den britiske GDPR (General Data Protection Regulation) og EUs GDPR (General Data Protection Regulation) krever at organisasjoner tar tiltak for å sikre personvernet til alle personopplysninger de behandler. Ingen av disse lovene gir imidlertid mye veiledning om hvordan disse tiltakene bør se ut.

ISO 27701 ble utviklet for å hjelpe til med å gi den veiledningen, og har som et resultat blitt en av standardene for å arbeide mot overholdelse av GDPR. Den tilpasser og imøtekommer mange av kravene til GDPR, slik at organisasjoner kan;

 

Og i motsetning til BS 10012 , som kun samsvarer med GDPR, tillater ISO 27701 organisasjoner å bruke standarden til å innlemme et mer omfattende, internasjonalt spekter av lovgivning om databeskyttelse og personvern, inkludert Health Information Portability and Accountability Act (HIPAA) og California Consumer Privacy Act (CCPA) i USA.

ISO 27701 klausuler og vedlegg

ISO 27701 er delt inn i klausuler, akkurat som andre ISO-standarder, med klausuler 5–8 som beskriver tilleggskravene og oppdateringene som må legges til ISO 27001:

Klausul 5: PIMS-spesifikke krav

Denne klausulen tar for seg hver klausul i ISO 27001 og identifiserer hvor tilleggsinnhold er nødvendig. Flertallet av ISO 27001-klausulene forblir uendret, med forbeholdet at ISO 27701 krever at organisasjonen anerkjenner sitt behov for databeskyttelse innenfor sin kontekst, og denne konteksten informerer alle de andre kravene.

Et annet bemerkelsesverdig tillegg påvirker risikovurderingen, som vil måtte vurdere organisasjonens rolle angående PII – enten det er en behandlingsansvarlig eller en databehandler, og hvordan det kan påvirke risikoen for PII. En annen oppføring anerkjenner eksistensen av de nye kontrollsettene og lar organisasjonen forene sine kontroller mot et bredere spekter av kontroller, inkludert de fra ISO 27701.

Klausul 6: PIMS-spesifikk veiledning

Denne delen gir tilleggsinnhold til kontrollveiledningen som er angitt i ISO 27002. Den etablerer et overordnet tillegg om at alle referanser til informasjonssikkerhet skal inkludere personvern.

Kontroller med potensielt betydelig innvirkning på personvern og databeskyttelse gis omfattende ekstra veiledning. Dette inkluderer emner som flyttbare medier, kryptografi og sikker utvikling.

Punkt 7: Ytterligere veiledning for kontrollører

Denne klausulen veileder ISO 27701s vedlegg A-kontroller, som er spesifikke for personvern for PII-kontrollere. Disse kontrollene tar for seg mange kritiske databeskyttelses- og personvernområder som ikke er tatt med i kontrollene gitt i ISO 27001.

Punkt 8: Ytterligere veiledning for prosessorer

Denne klausulen veileder ISO 27701s vedlegg B-kontroller, som er spesifikke for personvern for PII-prosessorer. Disse kontrollene tar for seg mange kritiske databeskyttelses- og personvernområder som ikke er tatt med i kontrollene gitt i ISO 27001.

Følgende vedlegg er også inkludert i standarden:

  • PIMS-spesifikke referansekontrollmål og kontroller er nevnt i vedlegg A. (PII-kontrollere)
  • PIMS-spesifikke referansestyringsmål og kontroller er nevnt i vedlegg B. (PII-prosessorer)
  • Kartlegging av vedlegg C til ISO/IEC 29100
  • Kartlegging til generalen Data Protection Regulation (GDPR) i vedlegg D (GDPR).
  • Vedlegg E til ISO/IEC 27018 og ISO/IEC 29151 kartlegging
  • Vedlegg F Hva er forholdet mellom ISO/IEC 27701 og ISO/IEC 27001 og ISO/IEC 27002?

 

Det er imidlertid viktig å sikre at klausulene, kontrollene og vedleggene fra ISO 27001 også er forstått og oppfylt for at ethvert PIMS-system skal være effektivt og ISO-kompatibelt.

Lås opp kraften til ISO 27701: Fire fordeler for organisasjonen din

Veksthastigheten for digital transformasjon har resultert i at mer sensitiv informasjon lagres og deles på nettet enn noen gang før. Etter hvert som volumet av data vokser, blir det både et lukrativt mål for nettkriminelle og et sentralt anliggende for forbrukere og bedrifter for å sikre at det holdes trygt. 

I samme åndedrag betyr veksten av globale forskrifter, som GDPR, CCPA og HIPAA , at organisasjoner også har et juridisk ansvar for å beskytte kundenes private data. Samlet sett er det en tydelig bevegelse mot et samsvarslandskap der man ikke lenger kan ha informasjonssikkerhet uten databeskyttelse.

Implementering av ISO 27701 gir derfor en rekke fordeler utover bare overholdelse. Ved å omfavne denne standarden, la oss utforske fire viktige fordeler som din organisasjon kan oppnå.

  • Beskyttelse av personopplysninger: ISO 27701 gir et robust rammeverk for å beskytte personopplysninger. Ved å implementere kravene, kan organisasjoner etablere omfattende databeskyttelsespraksis, inkludert risikovurdering og avbøtende strategier, responsplaner for datainnbrudd og krypteringsprotokoller. Overholdelse av ISO 27701 bidrar til å minimere risikoen for datainnbrudd, og sikrer konfidensialitet, integritet og tilgjengelighet av personlig informasjon. Dette beskytter i sin tur enkeltpersoners personvernrettigheter og hjelper organisasjoner med å unngå skade på omdømme og juridiske konsekvenser.
  • Forbedret håndtering av personvern: ISO 27701 går hånd i hånd med effektiv håndtering av personvern. Organisasjoner kan styrke sitt rammeverk for personvernstyring ved å tilpasse seg standardens retningslinjer. ISO 27701 understreker viktigheten av ansvarlighet, åpenhet og individuelle rettigheter. Den oppfordrer organisasjoner til å ta i bruk prinsipper for personvern-for-design, gjennomføre personvernkonsekvensvurderinger og implementere personvernbevisste retningslinjer og prosedyrer. Denne proaktive tilnærmingen sikrer at personvern er innebygd i forretningsprosesser, og hjelper organisasjoner med å navigere i komplekse personvernregler og bygge tillit hos enkeltpersoner.
  • Forbedret tillit og tillit til interessenter: Personvernbrudd eroderer tilliten og tilliten til organisasjoner. Ved å implementere ISO 27701, viser organisasjoner sin forpliktelse til å beskytte personopplysninger og respektere personvernrettigheter. Denne forpliktelsen øker interessentenes tillit og tillit, inkludert kunder, partnere og regulatoriske myndigheter. Når interessenter ser at en organisasjon har tatt konkrete skritt for å overholde internasjonale personvernstandarder, føler de seg trygge på at dataene deres håndteres med forsiktighet og profesjonalitet. Til syvende og sist kan dette føre til sterkere relasjoner, økt kundelojalitet og bedre partnersamarbeid.
  • Konkurransefortrinn i markedet: Organisasjoner som prioriterer personvern får en betydelig fordel i et konkurranselandskap. ISO 27701 måler objektivt organisasjonens forpliktelse til personvern, skaper tillit hos potensielle kunder og hjelper deg å skille deg ut fra konkurrentene. Det blir en verdifull differensieringsfaktor, spesielt når du samarbeider med personvernbevisste kunder eller forretningspartnere. Å demonstrere samsvar med internasjonale standarder kan åpne nye forretningsmuligheter og gi deg et konkurransefortrinn i markedet.

 

Husk at å omfavne ISO 27701 er ikke bare et samsvarskrav, men en mulighet til å bygge et sterkt grunnlag av personvern og tillit for organisasjonens fremtidige suksess.

ISO 27701-sertifisering: Ivaretakelse av personvern og styrking av tillit

Det er viktig å merke seg at selv om overholdelse av ISO 27701 er en betydelig prestasjon, gir sertifisering ytterligere fordeler ved å tilby ekstern validering av personvernsystemet ditt. Det signaliserer til interessenter at organisasjonen din har gjennomgått en uavhengig vurdering og oppfylt standardens strenge krav, noe som gir høyere sikkerhet og troverdighet.

Sertifiseringskrav ISO 27701 

ISO 27701 stiller spesifikke krav for å etablere og vedlikeholde et effektivt styringssystem for personverninformasjon som organisasjoner eksplisitt må demonstrere for å overholde og oppnå sertifisering til standarden. Noen grunnleggende krav inkluderer:

  1. Personvern: Organisasjoner må utvikle og iverksette en omfattende personvernpolicy som er i tråd med prinsippene og målene i ISO 27701.
  2. Risikovurdering og behandling: En systematisk tilnærming til å identifisere personvernrisikoer, evaluere deres innvirkning og implementere passende kontroller er avgjørende. Dette inkluderer å adressere risiko knyttet til innsamling, bruk, lagring og avhending av personopplysninger.
  3. Datasubjektets rettigheter: Organisasjoner må etablere prosesser for å sikre effektiv utøvelse av registrerte rettigheter, inkludert samtykkebehandling, tilgangsforespørsler og dataportabilitet.
  4. Leverandøradministrasjon: Håndtering av personvernrisiko knyttet til tredjepartsleverandører er avgjørende. Organisasjoner må vurdere personvernpraksisen til sine leverandører og etablere kontraktsmessige forpliktelser for å sikre samsvar.
  5. Hendelsesvar og bruddvarsel: En robust responsplan for hendelser bør inkludere prosedyrer for å oppdage, svare på og varsle relevante parter i tilfelle et personvernbrudd.

Unlocking Success: En guide til implementering av ISO 27701

Vi har laget et praktisk veikart på én side, delt inn i fem hovedfokusområder, for å nærme seg og oppnå ISO 27701 i virksomheten din. Det er ikke noe skjema å fylle ut. Last ned PDF-en i dag for en enkel kickstarter på reisen din mot mer effektivt personvern. 

Last ned nå

Vanlige utfordringer med å implementere ISO 27701 og hvordan du kan overvinne dem

Mangel på Executive Buy-In: 

å overvinne mangelen på lederinnkjøp krever en kombinasjon av effektiv kommunikasjon, strategisk innretting og demonstrasjon av verdiforslaget til ISO 27701. Skreddersy din tilnærming til organisasjonens lederes spesifikke bekymringer og prioriteringer, og vær utholdende i å sikre deres støtte.

Vår nylige rapport om informasjonssikkerhet fremhevet de reelle risikoene ved dårlig ledelsesengasjement for infosec-aktiviteter, og fremhevet et gjennomsnitt på 50 % ekstra investering i informasjonssikkerhet etter en cyberhendelse sammenlignet med de som allerede hadde investert på forhånd.

Last ned rapporten

Ressursbegrensninger: 

I det nåværende økonomiske klimaet blir alle bedt om å gjøre mer med mindre, men god infosec driver god forretning og de som kan artikulere fordelene klargjør seg tydelig for suksess;

  1. Bygg en omfattende forretningscase som skisserer kostnadene, fordelene og implementeringsveikartet for ISO 27701.
  2. Fremhev avkastningen på investeringen (ROI) og den langsiktige verdien den kan tilføre organisasjonen.
  3. Ta opp eventuelle potensielle bekymringer eller innvendinger på forhånd og gi løsninger eller avbøtende strategier.

 

Vi har laget en enkel veiledning som hjelper deg med å lage en overbevisende forretningsplan for organisasjonen din – bygg forretningsplanen din i dag

Business Case Builder

Kompleks reguleringslandskap: 

Å ligge i forkant av det komplekse regulatoriske landskapet er avgjørende for organisasjoner, og det er her SaaS-plattformer som ISMS.online kan komme til sin rett ved; 

  • Sentraliserer samsvarsadministrasjon for flere standarder
  • Gir sanntidsoppdateringer om regelverk etter hvert som de endres
  • Automatisering av oppgavearbeidsflyter for å sikre at nye krav flagges med de riktige teamene og ressursene internt

 

Ta byrden med å holde deg oppdatert fra teamet ditt, slik at de kan komme videre med hverdagen.

Navigering i ISO 27701 revisjon og vurdering

En ISO 27701-revisjon evaluerer systematisk en organisasjons personverninformasjonsstyringssystem (PIMS) mot kravene skissert i ISO 27701-standarden. Den tar sikte på å vurdere effektiviteten og tilstrekkeligheten til en organisasjons kontroller, prosesser og retningslinjer angående personvern og håndtering av personlig identifiserbar informasjon (PII). Regelmessige revisjoner sikrer kontinuerlig overholdelse av ISO 27701 og identifiserer forbedringsområder.

Typer revisjoner:

  1. Internrevisjoner: Internrevisjoner utføres av en organisasjons interne team. De gir en mulighet for selvevaluering og hjelper til med å identifisere hull og svakheter i PIMS. Interne revisjoner hjelper organisasjoner med å tilpasse sin praksis til ISO 27701-kravene før de søker ekstern sertifisering.
  2. Eksterne revisjoner: Eksterne revisjoner utføres av uavhengige tredjepartsrevisorer eller sertifiseringsorganer. Disse revisorene evaluerer organisasjonens PIMS opp mot ISO 27701-kravene og gir en objektiv samsvarsvurdering. Eksterne revisjoner er avgjørende for å oppnå ISO 27701-sertifisering, noe som viser en organisasjons forpliktelse til personvernstyring.

Beste praksis for vellykkede revisjoner:

  1. Forbered deg grundig: Før du gjennomgår en ISO 27701-revisjon, er det avgjørende å grundig gjennomgå standardens krav og sikre at alle nødvendige kontroller, prosesser og retningslinjer er på plass. Etabler et robust rammeverk for personvernstyring i samsvar med ISO 27701 for å lette en jevn revisjonsprosess.
  2. Engasjere interessenter: Involver relevante interessenter gjennom hele revisjonsprosessen, inkludert personvernansvarlige, databeskyttelsesansvarlige (DPOer), IT-personell og juridiske rådgivere. Samarbeid sikrer en omfattende forståelse av PIMS og effektiv implementering av ISO 27701-kravene.
  3. Dokumenter alt: Oppretthold detaljert dokumentasjon av organisasjonens personvernbehandlingsprosesser, kontroller og retningslinjer. Dette dokumentet gir bevis på samsvar under revisjonen og letter kontinuerlige forbedringer av PIMS.
  4. Kontinuerlig forbedring: Betrakt etterlevelse av ISO 27701 som en pågående reise i stedet for en engangsprestasjon. Kontinuerlig overvåke, evaluere og forbedre praksisene dine for personvernbehandling for å sikre vedvarende overholdelse av standarden.

 

Under revisjonen vil revisor gjennomgå noen nøkkelområder i PIMS-en din, for eksempel:
  1. Organisasjonens retningslinjer, prosedyrer og prosesser for håndtering av personopplysninger
  2.  Vurder personvernrisikoen og passende kontroller for å vurdere om kontrollene dine er effektive for å redusere identifiserte risikoer.
  3. Vurder personvernet ditt hendelsesadministrasjon. Er din evne til å oppdage, rapportere, undersøke og svare på personvernhendelser tilstrekkelig
  4. Undersøk din tredjeparts personvernbehandling for å sikre at tilstrekkelige kontroller er på plass for å håndtere tredjepartsrisikoer
  5. Sjekk at personvernopplæringsprogrammet ditt gir tilstrekkelig opplæring til ansatte i personvernspørsmål
  6. Se gjennom organisasjonens resultatberegninger for å bekrefte om de oppfyller personvernmålene.

Beherske ISO 27701 samsvar og vedlikehold

Reisen fortsetter når en organisasjon oppnår ISO 27701-samsvar. Vedlikehold er avgjørende for å sikre at personvernpraksis for personvern forblir effektiv og oppdatert. Her er noen nøkkelelementer du bør vurdere for å opprettholde samsvar:

  1. Regelmessige revisjoner: Gjennomfør periodiske interne revisjoner for å vurdere effektiviteten og overholdelse av ISO 27701-kontroller. Dette hjelper til med å identifisere eventuelle hull eller områder for forbedring innenfor PIMS-rammeverket.
  2. Opplæring av ansatte: Utdanne og trene ansatte kontinuerlig i deres roller og ansvar for å opprettholde personvernet. Regelmessige treningsøkter kan forsterke god praksis og øke bevisstheten om nye personverntrusler.
  3. Hendelsesrespons: Etabler robuste hendelsesprosedyrer for å håndtere personvernhendelser eller brudd umiddelbart. Gjennomgå og oppdater disse prosedyrene regelmessig for å samsvare med de nyeste personvernforskriftene og bransjens beste praksis.

 

Organisasjoner må implementere kontinuerlige overvåkings- og evalueringsmekanismer for å sikre fortsatt effektivitet i samsvar med ISO 27701. Her er noen viktige hensyn:

  1. Datakartlegging og inventar: Opprettholde en nøyaktig oversikt over personopplysninger og deres behandlingsaktiviteter. Oppdater denne beholdningen regelmessig for å ta hensyn til eventuelle endringer i dataflyter i organisasjonen.
  2. Personvernkonsekvensvurderinger (PIA): Gjennomfør PIAer regelmessig for å identifisere potensielle personvernrisikoer og vurdere virkningen av nye prosjekter, systemer eller prosesser på databeskyttelse. PIAer hjelper organisasjoner med proaktivt å håndtere personvernproblemer og sikre overholdelse fra begynnelsen.
  3. Key Performance Indicators (KPIer): Definer og overvåk relevante KPIer for å måle effektiviteten til personvernkontroller og identifisere områder for forbedring. Disse KPIene kan inkludere beregninger som responstid på hendelser, gjennomføringsrater for opplæring og antall personvernrelaterte hendelser.

Fremtiden til ISO 27701 og personvern  

Gjennom denne reisen har vi fordypet oss i verden av personvern og utforsket betydningen av ISO 27701 for å hjelpe organisasjoner med å navigere i det komplekse landskapet med beskyttelse av personopplysninger. 

La oss oppsummere hovedpunktene vi har dekket:

  • ISO 27701 er en utvidelse av ISO 27001-standarden som eksplisitt tar for seg personverninformasjon. Det gir et rammeverk for å implementere og vedlikeholde et Privacy Information Management System (PIMS), som gjør det mulig for organisasjoner å håndtere personvernrisikoer og overholde relevante forskrifter effektivt.
  • Implementering av ISO 27701 gir organisasjoner flere fordeler. Det bidrar til å bygge kundenes tillit ved å demonstrere en forpliktelse til å beskytte personlig informasjon. Det forbedrer åpenhet og ansvarlighet i databehandlingspraksis og letter overholdelse av personvernforskrifter som GDPR. ISO 27701 fremmer også en kultur for kontinuerlig forbedring av personvernstyring.
  • ISO 27701 skisserer spesifikke krav for implementering av et PIMS. Disse inkluderer å gjennomføre personvernrisikovurderinger, definere roller og ansvar for å administrere personopplysninger, etablere retningslinjer og prosedyrer, gjennomføre personvernopplæring og implementere kontroller for å håndtere personvernrisiko.

 

Gartner spår at innen 2024 vil 75 % av verdens befolkning få personopplysningene sine dekket av personvernregler. Etter hvert som det regulatoriske og digitale landskapet utvikler seg og nye personvernutfordringer oppstår, er ISO 27701 et verdifullt verktøy for organisasjoner som ønsker å tilpasse seg endrede personvernforskrifter og forbrukernes forventninger. 

Ved å omfavne ISO 27701 og ta i bruk personvernbevisste praksis, kan organisasjoner skape et tryggere og mer pålitelig digitalt miljø og sikre at organisasjonen deres er satt opp for suksess, nå og i fremtiden. 

Din overholdelsessuksesshistorie starter her

Hvis du ønsker å starte reisen mot bedre datavern, kan vi hjelpe.

Vår ISMS-løsning muliggjør en enkel, sikker og bærekraftig tilnærming til personvern og informasjonshåndtering med ISO 27701 og over 100 andre rammeverk. Realiser ditt konkurransefortrinn i dag.

Krev din gratis konsultasjon