brak zgodności z ISO 27701

Brak zgodności z ISO 27701 to niespełnienie międzynarodowego standardu zarządzania prywatnością danych.

Co oznacza brak zgodności z ISO/IEC 27701

Brak zgodności z ISO/IEC 27701 oznacza, że organizacja nie spełnia wymagań dotyczących systemu zarządzania informacjami o prywatności, określanego skrótem PIMS (Privacy Information Management System). Norma ISO/IEC 27701:2019 rozszerza wymagania systemu zarządzania bezpieczeństwem informacji z ISO/IEC 27001 oraz wytyczne dotyczące zabezpieczeń z ISO/IEC 27002 o elementy związane z przetwarzaniem informacji umożliwiających identyfikację osób. Nie jest to pojedynczy błąd programu ani komunikat wyświetlany przez system operacyjny, lecz stwierdzenie, że procesy, dokumentacja, role lub zabezpieczenia organizacji nie tworzą kompletnego i możliwego do wykazania systemu zarządzania prywatnością.

Norma rozróżnia między innymi organizację działającą jako administrator informacji umożliwiających identyfikację osób oraz organizację działającą jako podmiot przetwarzający takie informacje. W praktyce brak zgodności może dotyczyć niewłaściwego określenia tych ról, niepełnej ewidencji procesów przetwarzania, braku oceny ryzyka dla prywatności albo niewystarczającego nadzoru nad dostawcami usług IT. Sama obecność szyfrowania, zapory sieciowej lub programu antywirusowego nie potwierdza zgodności z ISO/IEC 27701, ponieważ norma ocenia również sposób zarządzania, odpowiedzialności i ciągłego doskonalenia procesów.

Elementy systemu PIMS podlegające sprawdzeniu

Ocena zgodności z ISO/IEC 27701 obejmuje ustalenie zakresu systemu zarządzania, określenie stron zainteresowanych, zdefiniowanie polityk oraz przypisanie odpowiedzialności za przetwarzanie informacji. Organizacja powinna umieć wskazać, jakie rodzaje informacji są przetwarzane, w jakich systemach występują, kto ma do nich dostęp, z jakich powodów są wykorzystywane oraz komu mogą być przekazywane. Istotna jest także kontrola zmian: wdrożenie nowej aplikacji, migracja danych, zmiana dostawcy chmury lub integracja z zewnętrznym systemem powinny być ocenione pod kątem wpływu na prywatność i bezpieczeństwo.

Weryfikowane są również mechanizmy zarządzania dostępem, obsługi incydentów, retencji informacji, usuwania danych, tworzenia kopii zapasowych i monitorowania działań użytkowników. Dokumentacja powinna wskazywać, w jaki sposób organizacja obsługuje żądania dotyczące informacji o osobach, jak prowadzi rejestry oraz jak ocenia podmioty zewnętrzne przetwarzające dane w jej imieniu. W przypadku procesora ważne jest udokumentowanie instrukcji otrzymanych od administratora, zakresu upoważnienia i procedur zgłaszania zdarzeń. Kontrole techniczne muszą odpowiadać rzeczywistym przepływom danych, a nie tylko opisowi zamieszczonemu w polityce.

Typowe symptomy i skutki niezgodności

Typowym symptomem braku zgodności jest rozbieżność między dokumentacją a konfiguracją systemów. Przykładowo polityka może przewidywać ograniczony dostęp do repozytorium, podczas gdy uprawnienia grupowe pozwalają na odczyt większej liczbie kont. Innym przykładem jest przechowywanie kopii danych przez czas nieokreślony, mimo że procedura przewiduje termin usunięcia. Niezgodność może też wystąpić wtedy, gdy organizacja nie potrafi odtworzyć historii zmian uprawnień, nie testuje odtwarzania kopii zapasowych albo nie ma dowodu, że dostawca usług został oceniony przed rozpoczęciem przetwarzania informacji.

Skutkiem niezgodności jest przede wszystkim brak wiarygodnych dowodów, że ryzyko dla prywatności jest systematycznie identyfikowane i ograniczane. Podczas audytu może zostać wykazana niezgodność formalna, niezgodność operacyjna albo luka w skuteczności kontroli. Wykrycie problemu powinno prowadzić do analizy przyczyny, określenia zakresu, wdrożenia działania korygującego i sprawdzenia jego skuteczności. Samo uzupełnienie dokumentu bez zmiany konfiguracji, procedury lub odpowiedzialności nie usuwa problemu. Rzetelna ocena wymaga porównania zapisów z działaniem systemów, logami, listami uprawnień, umowami i wynikami testów.

Weryfikacja środowiska komputerowego i dokumentacji

W środowisku laptopów i komputerów PC kontrola związana z ISO/IEC 27701 może obejmować sprawdzenie, czy urządzenia firmowe są objęte właściwymi zasadami dostępu, szyfrowania dysków, aktualizacji i obsługi nośników wymiennych. Znaczenie mają także konta użytkowników, blokada ekranu, sposób przechowywania plików tymczasowych oraz procedura postępowania z urządzeniem przekazywanym do naprawy. Serwisant powinien ograniczać dostęp do zawartości dysku do zakresu koniecznego dla diagnozy, a czynności wykonywane na urządzeniu powinny być możliwe do wyjaśnienia i odtworzenia. W razie kopiowania plików na nośnik roboczy należy określić cel, zakres, zabezpieczenie oraz moment usunięcia kopii.

Weryfikacja techniczna nie zastępuje audytu systemu zarządzania, ale pozwala wykryć miejsca, w których praktyka odbiega od przyjętych zasad. Przydatne są protokoły przyjęcia sprzętu, ewidencja wykonanych czynności, potwierdzenie zwrotu nośników oraz sprawdzenie, czy po zakończeniu pracy usunięto pliki diagnostyczne i konta serwisowe. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego przy pracach serwisowych wymagających dostępu do plików ważne jest jasne określenie zakresu czynności oraz przekazanie urządzenia w stanie, który nie pozostawia niepotrzebnych kopii roboczych.