مدیریت اطلاعات حریم خصوصی (ISO/IEC 27701) — صدور گواهی

ISO/IEC 27701 یک افزونه سیستم مدیریت اطلاعات حریم خصوصی (PIMS) است که بر اساس سیستم مدیریت امنیت اطلاعات ISO/IEC 27001 ساخته شده است. این الزامات را برای پردازش داده های شخصی به طور جداگانه برای نقش های کنترل کننده داده و پردازشگر داده تعریف می کند و شامل جداول نگاشت مقالات GDPR است.

• سازمان هایی که داده های شخصی را تحت GDPR یا KVKK پردازش می کنند
• شرکت های فناوری ارائه دهنده خدمات در مقام پردازشگر داده
• گروه هایی که انتقال داده های بین المللی را انجام می دهند
• سازمان هایی که مایلند انطباق با حریم خصوصی را در یک سیستم قابل تایید قرار دهند

اجباری نیست. انطباق قانونی (KVKK، GDPR) خود اجباری است. گواهی ISO/IEC 27701 به طور خودکار انطباق را اثبات نمی کند، اما با ایجاد یک سیستم مدیریت قابل ممیزی به ادعای انطباق شکل مشخصی می دهد. بدون گواهی ISO/IEC 27001 نمی توان آن را به تنهایی دریافت کرد.

• گسترش الزامات ISO/IEC 27001 به زمینه حریم خصوصی
• تفسیری متمرکز بر حریم خصوصی از کنترل‌های ISO/IEC 27002
• الزامات ویژه کنترل کننده داده: شرایط پردازش، تعهدات موضوع داده، حفظ حریم خصوصی با طراحی، اشتراک گذاری و انتقال داده ها
• الزامات ویژه پردازشگر داده: پایبندی به دستورالعمل های مشتری، زیرپردازنده ها، سوابق و پشتیبانی
• موجودی داده های شخصی و سابقه فعالیت های پردازشی
• مدیریت حقوق موضوع داده
• ارزیابی تاثیر حفاظت از داده ها (DPIA)
• نگاشت پیوست های GDPR و سایر چارچوب های حفظ حریم خصوصی

1. 1درخواستحوزه فعالیت، تعداد کارمندان، تعداد سایت ها و محدوده محدوده سازمان تعیین می شود. تعداد روزهای حسابرسی از این اطلاعات محاسبه می شود.
2. 2بررسی سند (مرحله 1)مستندات سیستم مدیریت، تعریف محدوده، ارزیابی ریسک و سوابق ممیزی داخلی/مدیریت بررسی می شود. آمادگی برای ممیزی در محل ارزیابی می شود.
3. 3ممیزی گواهینامه (مرحله 2)در سایت تأیید می شود که سیستم پیاده سازی و مؤثر است. یافته ها به عنوان عدم انطباق یا مشاهده عمده/ جزئی طبقه بندی می شوند.
4. 4بستن موارد عدم انطباقسازمان یک تجزیه و تحلیل ریشه ای و برنامه اقدام اصلاحی ارائه می دهد. تا زمانی که عدم انطباق های عمده بسته نشود، گواهی صادر نمی شود.
5. 5صدور گواهینامهگواهی پس از بررسی توسط یک تصمیم گیرنده مستقل صادر می شود. تیم حسابرسی نمی تواند تصمیم گیری برای صدور گواهینامه بگیرد.
6. 6ممیزی های نظارتیممیزی نظارت حداقل یک بار در سال در طول مدت اعتبار گواهی انجام می شود. اولین نظارت نمی تواند از 12 ماه از آخرین روز مرحله 2 تجاوز کند.
7. 7صدور گواهینامه مجدددر پایان سه سال، کل سیستم دوباره ممیزی می شود. باید قبل از انقضای گواهی تکمیل شود.

گواهینامه های سیستم مدیریت به مدت سه سال معتبر است. حداقل یک ممیزی نظارتی در سال در این دوره انجام می شود. در صورت عدم نظارت، گواهی تعلیق می شود. ممیزی صدور گواهینامه مجدد در پایان سال سوم تکمیل می شود.

• سوابق ثبت تجارت و پروانه بهره برداری
• نمودار سازمانی و تعداد کارکنان سازمان
• لیست سایت ها/شاخه های موجود در محدوده
• کتابچه راهنمای سیستم مدیریت یا مستندات فرآیند
• سوابق ممیزی داخلی و بازنگری مدیریت
• مجوزهای قانونی، مجوزها و اسناد بهره برداری در صورت وجود

قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.

• تعداد کارمندان در محدوده (مستقیماً تعداد روزهای حسابرسی را تعیین می کند)
• تعداد سایت ها و شعبه ها؛ آیا نمونه برداری چند سایتی اعمال می شود
• سطح ریسک فعالیت و پیچیدگی فرآیند
• تعداد استانداردهایی که باید تایید شوند — ممیزی یکپارچه تعداد روزها را کاهش می دهد
• چرخه سه ساله: صدور گواهینامه + دو ممیزی نظارتی

صدور گواهینامه سیستم مدیریت در محدوده ISO/IEC 17021-1 انجام می شود. نهاد صدور گواهینامه توسط یک نهاد تأیید صلاحیت طرف قرارداد شناسایی چندجانبه IAF (IAF MLA) معتبر است. این توافق نامه زنجیره ای از به رسمیت شناختن بین المللی را ایجاد می کند که تضمین می کند سند صادر شده در یک کشور در کشورهای دیگر پذیرفته می شود. EUROLAB دارای اعتبار بین المللی شناخته شده از نهادهای اعتباربخشی اعضای IAF در محدوده ISO/IEC 17021-1 است.

دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.

• ISO/IEC 27001مدیریت امنیت اطلاعات
• ISO/IEC 27017امنیت ابری
• ISO/IEC 27018داده های شخصی در فضای ابری
• ISO/IEC 20000-1مدیریت خدمات فناوری اطلاعات
• ISO 22301تداوم کسب و کار
• ISO/IEC 42001سیستم مدیریت هوش مصنوعی
• ISO 9001سیستم مدیریت کیفیت
• ISO 10002رضایت مشتری و مدیریت شکایات