Atténuez les risques de confidentialité pour vos clients et votre organisation !
Table des Matières
cabillotLes risques liés à la confidentialité peuvent exister tout au long du cycle de vie des données. Il est donc important de gérer et de gouverner correctement les données. Un certain nombre d'activités de gestion des risques liés à la confidentialité peuvent être entreprises au cours du cycle de vie des données. La conception d'un cadre de gestion des risques liés à la confidentialité est la première étape pour garantir la validation et la protection des données, la surveillance et le contrôle des données, et le respect de toutes les lois et réglementations applicables.
La plateforme SaaS Continuum GRC ITAM dispose de modules de confidentialité disponibles, tels que :
Organisation internationale de normalisation (ISO/CEI) 27701
Continuum GRC a créé la solution logicielle d'audit IRM GRC classée numéro un pour ISO / IEC 27701 des audits qui vous permettent de vous préparer à une ISO / IEC 27701 réaliser un audit efficace tout en réduisant considérablement les coûts en vue de travailler avec un organisme d’évaluation tiers.
La norme ISO/IEC 27701 spécifie les exigences et fournit des lignes directrices pour l'établissement, la mise en œuvre, la maintenance et l'amélioration continue d'un système de gestion des informations personnelles (PIMS) sous la forme d'une extension de la norme ISO/IEC 27001 et de la norme ISO/IEC 27002 pour la gestion de la confidentialité dans le contexte de l'organisation. La norme ISO/IEC 27701 spécifie les exigences liées au PIMS et fournit des lignes directrices pour les responsables du traitement des informations personnelles et les sous-traitants qui ont la responsabilité et l'obligation de rendre des comptes pour le traitement des informations personnelles. La norme ISO/IEC 27701 s'applique à tous les types et à toutes les tailles d'organisations, y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif, qui sont responsables du traitement des informations personnelles et/ou sous-traitants des informations personnelles et traitent des informations personnelles dans le cadre d'un SMSI.
Les modules comprennent:
- ISO / IEC 27701
Qu'attendez-vous?
Vous n’êtes qu’à une conversation de mettre la puissance de Continuum GRC à votre service.
Contactez-nous en utilisant le formulaire ci-dessous ou en nous appelant au 1-888-896-6207 pour une assistance immédiate.
À propos de la norme
La norme ISO 27701 est une extension des normes ISO 27001 et ISO 27002, axée sur les systèmes de gestion de la confidentialité des informations (SGIP). Elle fournit un cadre pour la gestion des données personnelles et la conformité aux réglementations sur la confidentialité, telles que le RGPD, le CCPA, etc. Vous trouverez ci-dessous un aperçu concis des exigences de conformité de la norme ISO 27701, adapté à des fins de clarté et de concision :
Exigences clés de conformité pour la norme ISO 27701
- Mettre en place un système de gestion des informations de confidentialité (PIMS):
- Étendre un système de gestion de la sécurité de l’information (SMSI) ISO 27001 existant pour inclure des contrôles spécifiques à la confidentialité.
- Définir les rôles et les responsabilités des responsables du traitement et des processeurs de données, en garantissant une responsabilité claire en matière de traitement des données personnelles.
- Développer une politique PIMS qui s’aligne sur les objectifs organisationnels et les réglementations en matière de confidentialité.
- Évaluation et gestion des risques:
- Effectuer une évaluation de l’impact sur la vie privée (EIVP) pour identifier les risques pour les données personnelles.
- Évaluer les risques liés aux activités de traitement des données, y compris les violations de données et le non-respect des lois sur la confidentialité.
- Mettre en œuvre des mesures pour atténuer les risques identifiés, tels que le cryptage ou l’anonymisation.
- Conformité aux lois et réglementations sur la confidentialité:
- Cartographiez les processus PIMS selon les réglementations de confidentialité applicables (par exemple, GDPR, CCPA, HIPAA).
- Assurer la base légale du traitement des données personnelles (par exemple, le consentement, l’intérêt légitime).
- Tenir des registres des activités de traitement (RoPA) pour les responsables du traitement et les sous-traitants.
- Droits des personnes concernées
:
- Établir des processus pour gérer les demandes des personnes concernées, telles que l’accès, la rectification, la suppression ou la portabilité des données.
- Assurer des réponses rapides aux demandes (par exemple, dans les 30 jours conformément au RGPD).
- Fournir une communication claire aux personnes concernées sur leurs droits et sur la manière dont les données sont traitées.
- Protection des données dès la conception et par défaut:
- Intégrer les principes de confidentialité dans la conception, les processus et les services du système.
- Mettre en œuvre des mesures techniques et organisationnelles, telles que la pseudonymisation, pour minimiser la collecte et l’utilisation des données.
- Assurez-vous que seules les données personnelles nécessaires sont traitées à des fins spécifiques.
- Gestion des tiers et des fournisseurs:
- Établir des contrats avec les sous-traitants de données qui incluent des obligations de confidentialité.
- Effectuer des vérifications préalables et des audits pour garantir la conformité des tiers à la norme ISO 27701.
- Surveiller et gérer le partage de données et les transferts de données transfrontaliers.
- Contrôles de sécurité pour les données personnelles:
- Appliquer les contrôles de sécurité ISO 27001/27002 pour protéger les données personnelles (par exemple, contrôles d’accès, cryptage).
- Mettre en œuvre des contrôles supplémentaires spécifiques à la confidentialité à partir des annexes A (pour les responsables du traitement) et B (pour les sous-traitants) de la norme ISO 27701.
- Les exemples incluent la minimisation des données, la transparence et l’élimination sécurisée des données.
- Gestion des incidents et notification des violations:
- Développer des processus pour détecter, signaler et répondre aux violations de données personnelles.
- Informer les autorités compétentes et les personnes concernées dans les délais réglementaires (par exemple, 72 heures pour les violations du RGPD).
- Maintenez un plan de réponse aux incidents et documentez toutes les violations.
- Formation et sensibilisation:
- Formez les employés sur les politiques de confidentialité, les pratiques de protection des données et les exigences de la norme ISO 27701.
- Favoriser une culture de sensibilisation à la confidentialité dans toute l’organisation.
- Suivi, audit et amélioration continue:
- Effectuer des audits internes réguliers pour garantir la conformité du PIMS.
- Surveiller la conformité aux lois sur la confidentialité et aux contrôles ISO 27701.
- Améliorer continuellement le PIMS en fonction des résultats d’audit, des évaluations des risques et des changements réglementaires.
- Documentation et tenue de dossiers:
- Tenir des registres complets des activités de traitement des données, des évaluations des risques et des mesures de conformité.
- Documenter les politiques, les procédures et les preuves de conformité pour les audits et la certification.
- Certification (facultatif):
- Faites appel à un organisme de certification accrédité pour auditer le PIMS en vue de la certification ISO 27701.
- Démontrer la conformité au moyen d’un processus d’audit formel, incluant un examen des contrôles et de la documentation.
Clauses et annexes clés
- Articles 5 à 8:Étendre les exigences de la norme ISO 27001 pour inclure la gestion de la confidentialité, le leadership, la planification et le fonctionnement du PIMS.
- Annexe A (Contrôleurs): 49 contrôles supplémentaires pour les responsables du traitement des données, couvrant les droits des personnes concernées, la transparence et le traitement licite.
- Annexe B (Sous-traitants): 37 contrôles pour les sous-traitants de données, axés sur le traitement sécurisé et les obligations contractuelles.
- Annexe CF:Fournir des mappages vers les normes ISO 27001/27002, GDPR et d'autres cadres de confidentialité pour l'alignement.
Étapes pratiques pour la conformité
- Analyse des écarts:Évaluer les pratiques actuelles par rapport aux exigences de la norme ISO 27701.
- Commandes d'outil: Combler les lacunes par des mesures techniques et organisationnelles.
- Engager les parties prenantes:Impliquer les équipes de direction, informatiques, juridiques et de conformité.
- Examens réguliers: Mettre à jour le PIMS pour refléter les changements dans la réglementation ou les opérations.
- Rechercher une expertise: Consultez des professionnels de la confidentialité ou organismes de certification à titre indicatif.
Qui doit se conformer ?
- Organisations agissant en tant que responsables du traitement ou sous-traitants de données personnelles.
- Les entreprises souhaitant démontrer leur conformité aux réglementations mondiales en matière de confidentialité.
- Les entreprises déjà certifiées ISO 27001 cherchent à étendre leur SMSI à la confidentialité.
Pour obtenir des tarifs détaillés ou de plus amples informations sur la certification, visitez le site Web officiel de l'ISO ou consultez un organisme de certification accrédité.
