Oppnå regulatorisk samsvar med ISO 27701

Opprette en ISO 27701-basert PIMS for å oppnå samsvar med personvernregler

Vår ISO 27701-løsning er en forhåndskonfigurert PIMS. Det vil sørge for at personvernarbeidet ditt stemmer overens med og oppfyller behovene til hver del av standarden. Og fordi det er reguleringsagnostisk, kan du kartlegge det på alle reguleringer eller reguleringer du trenger.

Din PIMS vil følge ISO 27701 og hjelpe deg med å oppnå GDPR-overholdelse ved å:

Reagerer på det store bildet

Du vil starte PIMS-utviklingsprosessen ved å forstå konteksten PIMS-en din vil fungere i. Det vil du definere om organisasjonen din er en PII-kontroller, PII-prosessor eller begge deler. Og det vil du sørg for at du er klar av:

• Juridiske faktorer, som personvernlovgivning, forskrifter eller rettslige avgjørelser
• Organisatoriske faktorer, som kontekst, styring, retningslinjer og prosedyrer
• Praktiske faktorer, som eventuelle administrative vedtak og kontraktsmessige krav

Da vil du sørge for at du forstå og ta hensyn til behovene og forventningene til alle med interesse i hvordan du behandler PII. Det kan være en lang liste, inkludert alle fra dine kunder og leverandører til regulatorer og handelsorganer.

Når du har jobbet gjennom alt dette, vil du kunne finne ut PIMS-ene dine. Hvis du utvider din eksisterende ISMS til også å imøtekomme PIMS-krav, kan det hende du må revurdere omfanget av ISMS også. Og hvis du implementerer begge samtidig, vil du sørge for at de fungerer sammen.

Få ditt lederskap om bord

Hele organisasjonen din må forstå og overholde PIMS. For å oppnå det, må du ha toppledelsen fullt ut om bord. ISO 27701 viser deg tilbake til ISO 27001 for veiledning. Hvis du allerede har opprettet et ISO 27001 ISMS, vil det være en kjent prosess.

• Du må sørge for at toppledelsen viser lederskap og forpliktelse til PIMS-en din ved å: Sette klare personvernmål, sørge for at PIMS-en din oppnår dem, tildele ressurser for å opprette og vedlikeholde den, integrere den med bredere organisasjonsprosesser og hjelpe den kontinuerlig. forbedre

De vil også angi dine bredere personvernregler. De burde:

• Støtt og bidra til organisasjonens bredere strategi og formål, sett klare personvernmål eller beskriv hvordan du oppretter dem og ta med en forpliktelse til både å møte dens personvernbehov og kontinuerlig forbedre PIMS-en din

Og selvfølgelig må du dokumentere dem, og sørge for at alle som trenger å forstå dem raskt og enkelt kan få tilgang til dem.

Til slutt må topplederne dine utnevne personene som skal være ansvarlige for og ansvarlig for PIMS-en din. De vil holde den i tråd med standarden og rapportere tilbake om status, fremgang og prestasjoner når og når det er nødvendig.

Blir nøye planlagt

Når du har forstått konteksten du jobber i og har toppledelsen helt bak deg, kan du begynne å planlegge PIMS. Også her sender ISO 27701 deg tilbake til ISO 27001 for veiledning, men den legger til enkelte personvernspesifikke forbedringer.

Du må:

• Vurder risikoene dine PII-ansikter, angi klare retningslinjer og kontroller for å håndtere noen eller alle disse risikoene og begrunn hvorfor du har valgt å ignorere noen av dem
• Dokumenter retningslinjene dine, kontroller og eventuelle avgjørelser om dem på en lett tilgjengelig, les måte, og sørg for at eventuelle oppdateringer er nøyaktige og tidsriktige

Igjen, hvis du allerede har opprettet en ISO 27001-basert ISMS det vil være en veldig kjent prosess. Og hvis du utvikler en PIMS og en ISMS sammen, vil du sannsynligvis kunne slå sammen arbeidsstrømmene dine.

Å ha all den støtten den trenger

Også her er ISO 27001 og ISO 27701 veldig nært forbundet. ISO 27701 ber deg følge ISO 27001s støtteveiledning.

• Du bør sørge for at du har alle ressursene du trenger for å sette opp, implementere, vedlikeholde og kontinuerlig utvikle dine PIMS tilgjengelige når du trenger dem
• Personene som jobber med PIMS-en din bør ha alle kompetanse rollene deres krever – hvis de ikke gjør det, bør du sette opp opplæring eller utdanning for dem
• Du må sørge for at alle som er berørt av PIMS-en din, forstår hvorfor det er så viktig, hva det beskytter og hvordan man overholder det
• Du må dokumentere PIMS-en din (nøyaktig hva det betyr avhenger av organisasjonens størrelse og type), og planlegge hvordan du skal oppdatere dokumentasjonen

Gjennomgår jevnlig evaluering

En uundersøkt PIMS er ikke verdt å ha. Du må være tydelig på hvordan du vil overvåke, måle, analysere og evaluere PIMS-en din for å sikre at den oppnår alt den skal. Standarden henviser deg til ISO 27001 for veiledning om hvordan du gjør det.

Den spesifiserer at du bør gjennomføre regelmessige interne revisjoner og ledelsesgjennomganger. Begge skal skje med planlagte intervaller, og følge strengt dokumenterte prosesser. Du trenger også en klar plan for å svare på avvik og iverksetting av korrigerende tiltak.

Du vil evaluere dine ISO 27701-baserte PIMS og ISO 27001-baserte ISMS på svært like måter. Som alltid, hvis du allerede har en ISO 27001 ISMS, vil du finne hele prosessen veldig kjent.

Stadig utvikling og forbedring

Du vil følge ISO 27001-baserte prosesser for å utvikle og forbedre PIMS. Det betyr at du raskt og effektivt vil reagere på eventuelle avvik. Og du vil dokumentere både selve avvikene og handlingene du tok for å fikse dem.

Du vil også se etter kontinuerlig å forbedre PIMS. Det er et veldig viktig poeng å huske. En PIMS er ikke et sett med dokumenter som – når de først er opprettet – kan bli liggende på en harddisk et sted.

Det er et dynamisk beskyttelsessystem som vil utvikle seg med eventuelle endringer i organisasjonen din og miljøet den jobber i. Så du må sørge for at du tar kontinuerlige skritt for å øke egnetheten, tilstrekkeligheten og effektiviteten til PIMS-en din.