ISO 27018

Резюме

ISO/IEC 27018:2019 е кодекс за добри практики, насочен конкретно към защитата на лични данни (PII) в публичните облачни услуги. За разлика от общите стандарти за информационна сигурност, той се фокусира върху една специфична роля — тази на доставчик, който обработва лични данни от името на своите клиенти, тоест ролята на „обработващ лични данни" по смисъла на GDPR. Стандартът разширява контролите на ISO/IEC 27002 с изисквания, специфични за PII: съгласие и избор на субектите на данни, законосъобразност и ограничение на целта, минимизация на данните, прозрачност относно подизпълнители и локация на данните, както и зачитане на правата на субектите.

Важно е да се разбира точното място на ISO 27018 в структурата на съответствието. Той не е самостоятелен правен документ и не замества GDPR — регламентът остава законовата рамка, която организацията трябва да спазва при всички обстоятелства. ISO 27018 е доказателство пред трети страни, че организацията прилага систематизирани, одитируеми контроли за защита на личните данни в облачна среда. Той се внедрява като разширение на ISO 27001, а не като изолирана система за управление — по същия начин, по който работи и сходният стандарт ISO 27017 за облачна сигурност. За компании, които предлагат SaaS, PaaS или IaaS услуги и обработват лични данни на своите клиенти, това е конкретен, разпознаваем от одитори и партньори начин да покажат зрялост в третирането на PII.

Бизнес ползи

Внедряването на ISO 27018 носи стойност, която излиза извън рамките на самия сертификат — то структурира начина, по който организацията мисли за личните данни в облачната си инфраструктура, и превръща абстрактните изисквания на GDPR в конкретни, проверими процеси.

• Ускорява процеса на due diligence при B2B продажби — корпоративни клиенти и техните служби по сигурност все по-често изискват доказателство за контрол над PII преди подписване на договор.
• Изяснява разпределението на отговорностите между доставчик на облачна услуга и клиент по отношение на личните данни, което намалява споровете при инциденти.
• Намалява времето, отделяно за попълване на въпросници по сигурност и отговори на одиторски запитвания от страна на клиенти и партньори.
• Подобрява договорната позиция при преговори с корпоративни клиенти в регулирани сектори — финанси, здравеопазване, публичен сектор.
• Създава вътрешна дисциплина около съхранението, изтриването и трансфера на лични данни, която намалява оперативния риск от нарушения.
• Улеснява навлизането на нови пазари, където клиентите очакват международно признат стандарт като предпоставка за партньорство.

На практика сертификатът работи като общ език между техническия екип на доставчика и службата по сигурност на клиента — вместо дълги обяснения „как правим нещата при нас", организацията показва одитиран документ.

Обхват

Обхватът на всеки проект по ISO 27018 се определя от конкретните облачни услуги, инфраструктура и потоци от лични данни на организацията. Стандартът се прилага само там, където компанията действа в ролята на PII processor — тоест обработва лични данни от името на своите клиенти, а не за собствени административни цели.

• Идентификация на всички облачни услуги и системи, през които преминават лични данни на клиенти на организацията.
• Картографиране на подизпълнители (sub-processors) и трети страни, участващи в обработката, включително тяхната географска локация.
• Преглед на съществуващата система за управление на сигурността по ISO 27001, върху която ще се надгради разширението.
• Анализ на договорните отношения с клиенти — какви ангажименти за защита на PII вече са поети и как те се покриват от контролите.
• Оценка на техническите мерки — криптиране, контрол на достъп, логване и мониторинг на достъпа до лични данни.
• Преглед на процесите за уведомяване на клиенти при заявка за достъп от държавен орган или при инцидент, засягащ лични данни.

Обхватът обикновено не включва цялата организация, а конкретните продуктови линии, дата центрове и екипи, пряко ангажирани с обработката на PII в облака. Ясното дефиниране на границите на обхвата в самото начало пести значително време на по-късен етап от проекта.

Методология

Работим по структуриран, поетапен подход, който съчетава анализ на съществуващите практики с целенасочено надграждане до изискванията на стандарта. Всяка фаза има ясен резултат, който служи като база за следващата.

Фаза 1: Диагностика и картографиране на данните. Започваме с преглед на настоящата инфраструктура, договорните ангажименти към клиенти и съществуващите политики за лични данни. Изготвяме карта на потоците от PII — откъде постъпват данните, къде се съхраняват, кой има достъп до тях и към кои подизпълнители се предават. Тази фаза дава реалистична оценка на разстоянието между текущото състояние и изискванията на ISO 27018.

Фаза 2: Анализ на разликите (Gap Analysis). Съпоставяме съществуващите контроли — особено ако организацията вече има ISO 27001 — с допълнителните изисквания на 27018. Резултатът е конкретен списък от липсващи политики, технически мерки и договорни клаузи, приоритизиран по риск и сложност на внедряване.

Фаза 3: Проектиране и внедряване на контролите. На база анализа разработваме или актуализираме политики за съгласие, ограничение на целта, минимизация и съхранение на данни. Паралелно работим с техническия екип по конкретните мерки — криптиране на данни в покой и в движение, управление на достъпа, логване на операции с лични данни и механизми за изтриване при поискване. На тази фаза се уточняват и договорните текстове, които доставчикът предоставя на своите клиенти относно третирането на PII.

Фаза 4: Обучение и тестване. Провеждаме целенасочени обучения за екипите, които реално работят с лични данни — от разработчици до поддръжка на клиенти. Тестваме процесите чрез симулирани сценарии — заявка от субект на данни, инцидент с изтичане, запитване от подизпълнител — за да проверим дали новите процедури работят на практика, а не само на хартия.

Фаза 5: Вътрешен одит и подготовка за сертификация. Провеждаме вътрешен одит, който имитира реалната сертификационна проверка, отстраняваме установените несъответствия и подготвяме организацията и документацията за одита от сертифициращия орган. Придружаваме клиента и по време на самия сертификационен одит, като отговаряме на въпроси от одиторите и координираме комуникацията.

Резултати

От проекта организацията получава не просто сертификат, а работеща система от процеси и документация, която остава след приключване на ангажимента.

• Готовност за сертификационен одит по ISO/IEC 27018:2019 от акредитиран сертифициращ орган.
• Актуализирана карта на потоците от лични данни в облачната инфраструктура, поддържана като жив документ.
• Комплект политики и процедури — за съгласие, минимизация, съхранение, изтриване и трансфер на PII — интегрирани в съществуващата система по ISO 27001.
• Договорни шаблони и клаузи, готови за използване с клиенти относно третирането на лични данни.
• Обучени вътрешни екипи, способни да поддържат и надграждат контролите без постоянна външна намеса.
• По-кратко време за отговор на въпросници по сигурност и одиторски запитвания от корпоративни клиенти.

Резултатът е трайна промяна в начина, по който организацията управлява личните данни на своите клиенти — а не еднократно събитие, обвързано само с датата на сертификационния одит.

Често задавани въпроси

Ние вече сме съобразени с GDPR — защо ни е нужен и ISO 27018?

GDPR е законова рамка с общи принципи, но не предписва конкретна методология за одит и не дава на клиентите ви лесно проверим документ. ISO 27018 превръща общите изисквания на регламента в конкретни, одитирани контроли, специфични за облачна среда, и завършва с независимо издаден сертификат. На практика GDPR отговаря на въпроса „какво е законово задължително", а ISO 27018 отговаря на въпроса „как доказваме пред трети страни, че го правим системно и надеждно". Двата документа работят заедно, не се заместват.

Клиентите ни реално питат ли за такъв сертификат, или е излишен разход?

При продажби към корпоративни клиенти, особено в регулирани сектори като финанси, застраховане и здравеопазване, службите по сигурност все по-често включват въпроси за третирането на лични данни в облака в своите въпросници преди подписване на договор. Наличието на ISO 27018 позволява директен, кратък отговор с приложен сертификат, вместо дълъг процес на индивидуални обяснения и договаряне на допълнителни гаранции за всеки клиент поотделно.

Стандартът приложим ли е само за големи облачни доставчици?

Не. ISO 27018 е приложим за всяка организация, която обработва лични данни от името на клиенти чрез облачна услуга — независимо дали е голяма инфраструктурна платформа, или малък SaaS продукт с няколкостотин потребителя. Определящият фактор е ролята — PII processor в облачен контекст — а не размерът на компанията. Много SaaS стартиращи компании внедряват стандарта именно защото това им отваря врати към корпоративни клиенти, които иначе биха ги отхвърлили на етап due diligence.

Трябва ли първо да имаме ISO 27001, за да внедрим ISO 27018?

На практика да — ISO 27018 е разширение, което добавя PII-специфични контроли към вече съществуваща система за управление на информационната сигурност по ISO 27001. Ако организацията все още няма ISO 27001, обичайният подход е двата стандарта да се внедрят паралелно или ISO 27001 да предхожда съвсем леко ISO 27018 в рамките на един и същ проект. Не препоръчваме внедряване на 27018 като напълно изолирана инициатива, тъй като голяма част от базовите контроли за сигурност вече се покриват от 27001.

Какво точно означава, че сме „PII processor", а не „PII controller"?

Ролята зависи от това кой определя целите и средствата на обработката на данните. Ако вашата компания предоставя облачна услуга и обработва лични данни съгласно инструкциите на своя клиент — например хостван CRM, платформа за фактуриране или инструмент за управление на служители — вие сте processor по отношение на тези данни, а клиентът е controller. ISO 27018 е насочен именно към тази роля. Ако обработвате лични данни за собствени цели, например данни на собствените си служители или маркетингова база от собствени контакти, тази обработка не попада в обхвата на стандарта, дори да минава през същата облачна инфраструктура.

Колко често трябва да подновяваме сертификата и какво е необходимо междувременно?

Сертификацията по ISO 27018 следва тригодишен цикъл, аналогичен на ISO 27001, с провеждане на надзорни одити обичайно веднъж годишно между основните сертификационни цикли. Между одитите организацията трябва да поддържа контролите активни — да актуализира картата на потоците от данни при промени в инфраструктурата или подизпълнителите, да провежда периодични вътрешни прегледи и да документира всякакви инциденти или заявки от субекти на данни. Поддръжката изисква реален ангажимент, но обемът работа е значително по-малък от първоначалното внедряване.

Следващата стъпка

Ако предлагате облачна услуга и обработвате лични данни от името на своите клиенти, въпросът рано или късно ще дойде отвън — от одитор, от служба по сигурност на корпоративен клиент, от партньор при due diligence. По-добре е да сте готови с ясен отговор, отколкото да импровизирате обяснения под натиск на срокове.

Cyberquest познава добре разстоянието между теорията на стандарта и реалната работа с облачна инфраструктура, договори и екипи от разработчици. Можем да направим бърза първоначална оценка на вашата готовност — какво вече покривате чрез съществуващите си практики и къде са конкретните пропуски спрямо ISO 27018 — и на база нея да очертаем реалистичен план и срок за сертификация. Свържете се с нас, за да обсъдим конкретния случай на вашата организация.