این گواهی چیست؟
ISO/IEC 27018 یک راهنمای پیاده سازی برای ارائه دهندگانی است که داده های شخصی را در خدمات ابر عمومی پردازش می کنند. تمرکز آن بر ارائه‌دهنده ابر در نقش خود به عنوان یک پردازشگر داده است: به مواردی مانند عدم استفاده از داده‌ها فراتر از دستورات مشتری، افشای زیرپردازنده‌ها، اطلاع‌رسانی به نقض داده‌ها و افشای کشوری که داده‌ها در آن قرار دارند، می‌پردازد.
برای چه کسانی لازم است؟
- ارائه دهندگان خدمات ابر عمومی میزبان داده های شخصی
- شرکت های SaaS داده ها را از طرف مشتری خود پردازش می کنند
- قرارداد ارائه دهندگان خدمات در مقام پردازشگر داده
آیا اجباری است؟
اجباری نیست؛ ممیزی شده به عنوان یک بسط دامنه ISO/IEC 27001. از آنجایی که شامل کنترل‌هایی است که با تعهداتی که GDPR و KVKK بر یک پردازشگر داده تحمیل می‌کنند، همپوشانی دارند، شواهدی را برای رعایت حریم خصوصی ارائه می‌دهد.
دامنه استاندارد
- پردازش نکردن داده های شخصی و استفاده نکردن از آن برای تبلیغات، بدون دستور مشتری
- افشای زیرپردازنده ها و اطلاع رسانی تغییرات
- افشای کشور و محل پردازش داده ها به مشتری
- تعهدات اطلاع رسانی و نگهداری سوابق در صورت نقض داده ها
- ارائه پشتیبانی برای اعمال حقوق موضوع داده
- حذف و بازگشت داده های شخصی و تخریب رسانه ها
- نگهداری سوابق دسترسی و تعهدات پرسنل متمرکز بر حریم خصوصی
فرآیند صدور گواهی
- 1درخواستحوزه فعالیت، تعداد کارمندان، تعداد سایت ها و محدوده محدوده سازمان تعیین می شود. تعداد روزهای حسابرسی از این اطلاعات محاسبه می شود.
- 2بررسی سند (مرحله 1)مستندات سیستم مدیریت، تعریف محدوده، ارزیابی ریسک و سوابق ممیزی داخلی/مدیریت بررسی می شود. آمادگی برای ممیزی در محل ارزیابی می شود.
- 3ممیزی گواهینامه (مرحله 2)در سایت تأیید می شود که سیستم پیاده سازی و مؤثر است. یافته ها به عنوان عدم انطباق یا مشاهده عمده/ جزئی طبقه بندی می شوند.
- 4بستن موارد عدم انطباقسازمان یک تجزیه و تحلیل ریشه ای و برنامه اقدام اصلاحی ارائه می دهد. تا زمانی که عدم انطباق های عمده بسته نشود، گواهی صادر نمی شود.
- 5صدور گواهینامهگواهی پس از بررسی توسط یک تصمیم گیرنده مستقل صادر می شود. تیم حسابرسی نمی تواند تصمیم گیری برای صدور گواهینامه بگیرد.
- 6ممیزی های نظارتیممیزی نظارت حداقل یک بار در سال در طول مدت اعتبار گواهی انجام می شود. اولین نظارت نمی تواند از 12 ماه از آخرین روز مرحله 2 تجاوز کند.
- 7صدور گواهینامه مجدددر پایان سه سال، کل سیستم دوباره ممیزی می شود. باید قبل از انقضای گواهی تکمیل شود.
مدت اعتبار
گواهینامه های سیستم مدیریت به مدت سه سال معتبر است. حداقل یک ممیزی نظارتی در سال در این دوره انجام می شود. در صورت عدم نظارت، گواهی تعلیق می شود. ممیزی صدور گواهینامه مجدد در پایان سال سوم تکمیل می شود.
مدارک لازم
- سوابق ثبت تجارت و پروانه بهره برداری
- نمودار سازمانی و تعداد کارکنان سازمان
- لیست سایت ها/شاخه های موجود در محدوده
- کتابچه راهنمای سیستم مدیریت یا مستندات فرآیند
- سوابق ممیزی داخلی و بازنگری مدیریت
- مجوزهای قانونی، مجوزها و اسناد بهره برداری در صورت وجود
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد کارمندان در محدوده (مستقیماً تعداد روزهای حسابرسی را تعیین می کند)
- تعداد سایت ها و شعبه ها؛ آیا نمونه برداری چند سایتی اعمال می شود
- سطح ریسک فعالیت و پیچیدگی فرآیند
- تعداد استانداردهایی که باید تایید شوند — ممیزی یکپارچه تعداد روزها را کاهش می دهد
- چرخه سه ساله: صدور گواهینامه + دو ممیزی نظارتی
اعتباربخشی
صدور گواهینامه سیستم مدیریت در محدوده ISO/IEC 17021-1 انجام می شود. نهاد صدور گواهینامه توسط یک نهاد تأیید صلاحیت طرف قرارداد شناسایی چندجانبه IAF (IAF MLA) معتبر است. این توافق نامه زنجیره ای از به رسمیت شناختن بین المللی را ایجاد می کند که تضمین می کند سند صادر شده در یک کشور در کشورهای دیگر پذیرفته می شود. EUROLAB دارای اعتبار بین المللی شناخته شده از نهادهای اعتباربخشی اعضای IAF در محدوده ISO/IEC 17021-1 است.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
تفاوت بین ISO/IEC 27018 و ISO/IEC 27701 چیست؟
27018 راهنمایی است که فقط بر نقش پردازشگر داده در سرویس ابری عمومی متمرکز شده است. 27701 یک برنامه افزودنی جامع مدیریت حریم خصوصی است که بر اساس ISO/IEC 27001 ساخته شده است که هر دو نقش کنترل کننده داده و پردازشگر داده را با هم نشان می دهد.