ISO 27701

Резюме

ISO/IEC 27701 е разширение на ISO/IEC 27001 — стандарт за система за управление на поверителността на информацията (СУПИ), който добавя към вече познатата рамка на СУСИ конкретни изисквания за обработка на лични данни. Стандартът не съществува самостоятелно: той е надграждаща структура, изградена върху основата на ISO 27001, и предполага, че организацията вече има внедрена система за управление на сигурността на информацията или изгражда такава паралелно. За компании, които вече са преминали през сертификация по ISO 27001, ISO 27701 е логичното следващо ниво — превръща инвестицията в информационна сигурност в конкретен, одитируем механизъм за съответствие с Общия регламент за защита на данните.

Разликата между „имаме политика за GDPR" и „имаме сертифицирана СУПИ" е съществена. Политиката е документ, който декларира намерения. Системата за управление е работещ процес — с определени роли, вътрешни одити, регистри на обработването, оценки на риска за правата на субектите на данни и механизъм за непрекъснато подобрение, който трета независима страна може да провери и сертифицира. За организации, които обработват лични данни в мащаб — независимо дали като администратори, обработващи данни или и двете едновременно — тази разлика има директно значение пред регулатори, партньори и клиенти.

В настоящия документ разглеждаме какво носи ISO 27701 на практика, какво точно влиза в обхвата на внедряването, как протича самият проект и какви резултати може да очаква организацията в края му.

Бизнес ползи

Внедряването на ISO 27701 не е самоцелно упражнение по документация. То решава конкретни бизнес проблеми, които възникват естествено при работа с лични данни в среда с нарастващ регулаторен натиск и все по-взискателни договорни партньори.

• Демонстрируемо съответствие с GDPR — вместо да обяснявате словесно как обработвате лични данни, показвате сертифицирана система с одитна следа, която покрива основните изисквания на регламента: законово основание за обработка, ограничение на целите, права на субектите на данни, защита на данните по подразбиране и по дизайн.
• Ясно разграничени роли и отговорности — стандартът задължава организацията да определи изрично дали действа като администратор, обработващ лични данни, или и двете — и да структурира процесите си съответно, което премахва двусмислието при договаряне с партньори и подизпълнители.
• По-силна позиция в тръжни процедури и договаряне — все повече възложители, особено в публичния сектор, финансите и здравеопазването, изискват доказателство за зряла система за управление на поверителността като предварително условие за партньорство.
• Намален риск от санкции и репутационни щети — систематизираните оценки на въздействието и процесите за реакция при инциденти намаляват вероятността от пропуски, които водят до глоби или загуба на доверие.
• По-ефективна реакция при заявки от субекти на данни — вместо ad hoc обработка на всяко искане за достъп, изтриване или преносимост на данни, организацията разполага с дефиниран и повторяем процес.
• Оптимизация на съществуващи инвестиции в ISO 27001 — голяма част от контролите, документацията и културата на управление на риска вече присъстват; ISO 27701 ги разширява, вместо да изисква паралелна, дублираща структура.
• Международна съпоставимост — сертификатът е разпознаваем извън България и Европейския съюз, което улеснява работата с чуждестранни партньори и клонове.

Тези ползи се проявяват най-силно при организации, за които личните данни са централен елемент от бизнес модела — доставчици на софтуер като услуга, обработващи данни от името на трети страни, компании в сектора на здравеопазването, финансови институции и всеки бизнес с голям обем клиентски данни.

Обхват

Обхватът на внедряването на ISO 27701 се дефинира в тясна връзка с вече установения обхват на ISO 27001, тъй като СУПИ функционира като разширение на СУСИ, а не като отделна система. Първата съществена стъпка е определяне на ролята на организацията — администратор, обработващ лични данни, или и двете — тъй като стандартът предвижда отделни анекси с контроли за всяка от тези роли.

• Определяне на ролята и приложимите контроли — анализ дали организацията действа като администратор на лични данни (PII controller), обработващ лични данни (PII processor), или изпълнява и двете функции спрямо различни категории данни и процеси.
• Инвентаризация на процесите за обработка на лични данни — картографиране на всички процеси, системи и трети страни, участващи в събирането, съхранението, предаването и изтриването на лични данни.
• Регистри на дейностите по обработване — изграждане и поддръжка на регистри съгласно чл. 30 от GDPR, интегрирани в документацията на СУПИ.
• Оценки на въздействието върху защитата на данните (DPIA) — методология и практическо провеждане на оценки за процеси с висок риск за правата и свободите на физическите лица.
• Процеси за упражняване на права на субектите на данни — достъп, коригиране, изтриване, ограничаване на обработването, преносимост и възражение.
• Управление на трети страни и обработващи лични данни — договорни клаузи, надзор и оценка на подизпълнители, обработващи лични данни от името на организацията.
• Политики за задържане и изтриване на данни — определяне на срокове за съхранение и механизми за сигурно унищожаване след изтичане на целта на обработката.
• Механизъм за уведомяване при нарушения на сигурността на личните данни — процедури, съгласувани със сроковете и изискванията на GDPR за уведомяване на надзорния орган и засегнатите лица.
• Интеграция с вече съществуващата документация по ISO 27001 — политика по сигурност, оценка на риска, вътрешни одити и управленски преглед, разширени с елементите на поверителността.

Обхватът се формализира в декларация за приложимост (Statement of Applicability), която посочва точно кои контроли от анексите на стандарта се прилагат и защо — документ, който по-късно е основа за сертификационния одит.

Методология

Внедряването на ISO 27701 следва структуриран, фазиран подход, който отчита както изискванията на стандарта, така и реалното състояние на организацията — най-вече дали вече има внедрена или сертифицирана ISO 27001 система.

Фаза 1: Оценка на текущото състояние и определяне на ролята. Започваме с анализ на съществуващата документация по ISO 27001 (ако има такава), картографиране на процесите, свързани с лични данни, и точно определяне дали организацията действа като администратор, обработващ данни, или и двете. На този етап се прави и предварителна оценка на разликата между текущото състояние и изискванията на стандарта — т.нар. gap анализ.

Фаза 2: Проектиране на СУПИ и разширяване на съществуващата документация. Разработват се или се актуализират политики, процедури и регистри — включително регистър на дейностите по обработване, методология за DPIA, процедури за упражняване на права на субектите на данни и договорни рамки с обработващи лични данни. Работата се извършва като разширение на съществуващата документация по ISO 27001, а не като паралелна система, за да се избегне дублиране и противоречия.

Фаза 3: Внедряване на контролите и обучение на персонала. Новите процеси се въвеждат в оперативната практика — от техническите екипи, работещи с данни, до звената, отговорни за договаряне с партньори и подизпълнители. Провеждат се обучения, съобразени с ролите на служителите, тъй като голяма част от рисковете за поверителността произтичат от човешки фактор, а не от технически пропуски.

Фаза 4: Вътрешен одит и управленски преглед. Преди сертификационния одит се провежда вътрешен одит, който проверява дали внедрените контроли работят на практика, а не само на хартия. Резултатите се представят на ръководството за управленски преглед, който е задължителен елемент от цикъла на непрекъснато подобрение, изискван от стандарта.

Фаза 5: Съдействие при сертификационен одит и последващо поддържане. Придружаваме организацията през одита на избран сертифициращ орган, като подготвяме отговорните лица и документацията за интервюта и проверки на място. След сертификацията предоставяме подкрепа за поддържане на системата — периодични прегледи, актуализация при промени в обработваните данни и подготовка за надзорни одити.

Продължителността на целия проект зависи основно от зрелостта на съществуващата ISO 27001 система — организации с вече внедрена и добре функционираща СУСИ преминават през процеса значително по-бързо от тези, които изграждат двете системи едновременно.

Резултати

В края на внедряването организацията разполага не просто със сертификат, а с работеща система, която променя начина, по който личните данни се управляват ежедневно.

• Сертифицирана система за управление на поверителността на информацията, интегрирана в съществуващата ISO 27001 структура, без дублиране на документация или процеси.
• Ясно документирани роли и отговорности спрямо личните данни — вътрешно за екипите и външно пред партньори, клиенти и надзорни органи.
• Функциониращ регистър на дейностите по обработване, поддържан и актуализиран като част от текущата оперативна практика, а не еднократен документ.
• Методология и практика за оценка на въздействието върху защитата на данните, приложима при въвеждане на нови продукти, услуги или технологии.
• Дефинирани и тествани процеси за реакция на заявки от субекти на данни в рамките на регулаторните срокове.
• Договорна рамка и механизъм за надзор над обработващи лични данни и подизпълнители, намаляващи риска от отговорност по веригата.
• По-висока готовност за реакция при инциденти, свързани с лични данни, включително уведомителни процедури, съобразени със сроковете на GDPR.
• По-силна конкурентна позиция при участие в тръжни процедури и договаряне с партньори, изискващи доказателство за зрялост в управлението на поверителността.

Тези резултати са трайни само при условие, че системата се поддържа активно — ISO 27701, подобно на ISO 27001, изисква цикъл на непрекъснато подобрение, а не еднократно внедряване с последващо забравяне.

Често задавани въпроси

Трябва ли първо да имаме ISO 27001, за да внедрим ISO 27701?

ISO 27701 не може да бъде внедрен самостоятелно — стандартът е структуриран като набор от допълнителни изисквания и контроли към ISO 27001, а не като отделна система. На практика това означава две възможности: организацията вече има внедрена или сертифицирана ISO 27001 система, върху която надграждаме, или изгражда двете системи паралелно в рамките на един проект. Второто е напълно осъществимо и често по-ефективно от гледна точка на време и ресурси, тъй като значителна част от документацията и процесите се разработват едновременно, вместо на два отделни етапа.

С какво ISO 27701 е по-различен от това просто да имаме политика за GDPR и вътрешни процедури?

Политика за GDPR декларира намерения и правила, но сама по себе си не гарантира, че тези правила се спазват на практика, нито предоставя механизъм за проверка от трета страна. ISO 27701 изисква работеща система — с регистри, оценки на риска, вътрешни одити, управленски прегледи и цикъл на непрекъснато подобрение, — която подлежи на сертификационен одит от независим орган. Разликата е между твърдение за съответствие и доказуемо, одитирано съответствие, което има различна тежест пред регулатори, партньори и застрахователи.

Как разбираме дали сме администратор, обработващ лични данни, или и двете?

Ролята зависи от това кой определя целите и средствата за обработка на конкретен набор от лични данни. Ако вашата организация решава защо и как се обработват данните на своите клиенти или служители, тя действа като администратор. Ако обработва данни от името и по указание на друга организация — например като доставчик на софтуер, който съхранява данни на клиентите на своя клиент, — действа като обработващ лични данни. Много организации изпълняват и двете роли едновременно спрямо различни категории данни, което изисква прилагане на съответните анекси от стандарта поотделно за всеки случай. Тази оценка е една от първите стъпки в проекта, тъй като определя кои контроли са приложими.

Какво представлява DPIA и защо ни е нужна методология за нея, а не само еднократна оценка?

Оценката на въздействието върху защитата на данните (DPIA) е анализ на риска за правата и свободите на физическите лица, който GDPR изисква преди въвеждане на процеси с потенциално висок риск — например мащабно профилиране, обработка на специални категории данни или ново наблюдение. Еднократна оценка, направена за конкретен проект, не е достатъчна, защото организациите непрекъснато въвеждат нови системи, доставчици и функционалности. ISO 27701 изисква институционализирана методология, която се прилага последователно при всяка нова инициатива, а не само когато някой се сети да я поиска.

Колко време отнема сертификацията и от какво зависи?

Продължителността зависи основно от зрелостта на съществуващата ISO 27001 система и от сложността на процесите за обработка на лични данни. Организация с вече стабилна и работеща СУСИ преминава през внедряването на ISO 27701 сравнително бързо, тъй като голяма част от управленската рамка вече съществува. Организация, която изгражда и двете системи едновременно, се нуждае от повече време за проектиране на документацията и внедряване на контролите, преди да е готова за вътрешен одит и последваща сертификация. Точен график се определя след първоначалната оценка на текущото състояние.

Какво се случва след сертификацията — приключва ли проектът дотук?

Не. Сертификацията отбелязва началото на цикъл на поддържане и непрекъснато подобрение, а не край на процеса. Системата изисква периодични вътрешни одити, управленски прегледи, актуализация при промени в обработваните данни или нови регулаторни изисквания, и подготовка за надзорни одити от сертифициращия орган, които обичайно се провеждат ежегодно в рамките на тригодишния цикъл на сертификата. Организациите, които третират тази фаза сериозно, извличат реалната стойност от инвестицията — тези, които спират активността веднага след одита, рискуват системата да остарее и да не отговаря на изискванията при следващата проверка.

Следващата стъпка

Ако вашата организация вече работи по ISO 27001 или обработва лични данни в мащаб, който изисква нещо повече от политика на хартия, следващата логична стъпка е конкретна оценка на текущото ви състояние спрямо изискванията на ISO 27701. Тази оценка показва ясно къде стоите — кои процеси вече покриват изискванията на стандарта, къде има реални пропуски и какъв обем работа е необходим, за да стигнете до сертификация.

Cyberquest придружава организации през целия път — от първоначалния анализ на ролята ви като администратор или обработващ лични данни, през изграждането на документацията и контролите, до успешното преминаване на сертификационния одит и поддържането на системата след това. Свържете се с нас, за да обсъдим конкретното състояние на вашата организация и реалистичен план за постигане на сертификация.