freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

ISO27701个人隐私信息安全管理体系 认证经验
2021-07-13 17:42:57

ISO27701个人隐私信息安全管理体系认证经验分享:

一、关于ISO27701的一些简单说明

1.ISO27701和ISO27001的关系:参与ISO27701认证,不一定要先拿到ISO27001的认证;但这儿涉及到一个认证范围的问题,在先拿到ISO27001的认证后,认证方一般会默认把ISO27001的认证范围当做ISO27701的认证范围,并以此来判断认证费用和参与认证。当然,一般认证老师会在查看认证材料的时候和参与认证的公司沟通,确认认证范围。但是,因为这个时间点离正式开始认证的时间已经比较接近了,如果认证范围出现问题,就会涉及到预算、合同及认证材料等要重新规划编写的问题,还是比较麻烦的。所以要提前沟通好。

2.认证范围:认证范围不一定是现在公司的业务范围;比如电商公司,可以只认证系统的运维管理;认证范围也包括人数(员工数)。认证范围会影响到参与认证所需的费用,认证材料的编写,以及认证方审核内容的多少。(认证范围越大、员工数越多,费用越高;认证范围会影响到此次认证公司所处的角色,比如认证范围是系统的运维管理,公司的角色就是数据处理者,就会影响到认证材料的编写;认证范围越大,认证审核内容就越多。)

3.认证期限:一般认证的有效期是三年,三年后需要重新认证;除了第一年拿到认证证书,后面每年还有审核认证。

二、公司参与ISO27701认证的原因

1.业务需要,部分合作伙伴或者业务竞标需要公司提供ISO27701认证证明;或者ISO27701可以为业务合作加分。

2.公司高层要求,ISO27701可作为公司在个人隐私保护领域做得好的一个证明,以此来宣传;在面对监管时可作为一个证明;通过拿到ISO27701认证来提升公司的个人隐私保护水平。

3.同行竞争,同行都已经拿到ISO27701认证了,而且还做了很好的宣传,既然要竞争,那就也拿一个ISO27701认证吧。

三、认证规划

1.认证方:目前接触过BSI和DNV(国内应该主要就是这两家)。

2.项目立项:提前向认证方咨询清楚费用,规划好预算。认证材料的编写,建议购买咨询公司的服务(BSI和DNV也有咨询公司,也可以购买其它咨询公司的服务),认证所涉及的材料很多,也不好写,而且咨询公司的服务一般是协助拿到认证,咨询公司的帮助对于拿到认证的作用很大。规划好拿证的时间,从正式开始认证,到证书发下来,至少需要一个月时间(当然可以催认证方);正式开始认证前的准备时间,建议至少1到2个月以上,当然这可以依公司的规模和认证范围而变动。

3.认证步骤:确定认证范围->认证材料文件(制度文档)编写完善->DPIA->不合规项整改->其它文件梳理->认证方审阅材料文件->认证培训->现场认证->(不符合项整改)->颁发证书---->第二年、第三年审核认证。预算、合同的相关事情结合公司的实际情况,把握好进度,多和认证方的对接人沟通确认,有不清楚的就问。

四、过程

1.材料文件编写完善

1.1此处所说的材料文件是指参与审核所需的制度文件,包含隐私信息管理手册、隐私信息管理策略、标准适用性声明(SoA)、隐私信息连续性管理规定、隐私保护手册、隐私信息分类分级管理规定、隐私风险评估管理规定、个人信息泄露事件应急响应管理规定、供应商个人信息保护管理规定、隐私影响评估管理规定等。

1.2这些制度文件的发布时间和正式认证开始的时间要大于三个月,这是认证的规定;如果时间不够,咨询公司会告诉你处置方法,此处不做介绍。

1.3材料文件的编写完善,是很重要的一项,建议引起重视,并熟悉这些制度文件。

2.DPIA

2.1DPIA指数据保护影响评估,一般从 数据收集、数据传输、数据处理、数据主体权利、数据访问控制这几个大的角度展开,评估公司目前各系统的实际情况是否符合要求。

2.2此处需要交付的是DPIA的评估结果、数据流图,最好也要有DPIA流程触发判定表;需要审核的系统都需要进行DPIA,数据流图如果能展现在一张图里,当然最好,能够很清晰的展示公司数据的流转关系,也能让数据安全的同事更清晰的了解各应用系统。DPIA的价值还是很大的。

2.3DPIA耗费的时间是比较长的,当然这也和公司同事的配合情况有关系。

3.不合规项整改

3.1对于发现的不合规项,如果能在正式认证开始前整改完成的,就整改;如果整改不完,就针对每一项不合规项列一个整改计划,并进行风险评级。

3.2不合规项的整改计划,也是认证方要审核的文件;风险发现能力,也是认证方要审查的项。

4.其它文件

4.1个人信息清单

4.2资产清单

4.3隐私保护政策

4.4隐私保护培训记录

4.5供应商签署的数据处理协议

4.6个人信息泄露事件应急响应演练

4.7PII主体行权响应记录(如果有的话)

4.8公司收集参考的法律法规清单(包含海外)

4.9体系内审报告

4.10体系持续改进跟踪表

4.11体系内审计划

4.12体系管理评审报告

4.13有效性测量记录

5.认证方审阅材料文件

5.1在正式开始现场审核之前,认证方一般会先远程查看隐私信息管理手册、标准适用性声明这两个文件,然后针对一些疑问点,以及一些问题和隐私合规人员进行沟通;线上审核、查看制度文件。

5.2此次审核称为初审,也是比较正式的,有开始会议、结束会议,在结束会议上,认证老师会列出初步审核出来的不符合项和待确认项。

5.3认证老师会要一份公司的系统清单和职能部门清单,会根据初审的结果和清单,安排接下来的现场审核内容。

5.4认证老师在初审列出来的待确认项尽快确认,这些待确认项,基本都会在现场审核问到。

6.认证培训

6.1现场审核计划表出来后,尽快联系各应用系统的同事和职能部门的人员,协调时间,具体的访谈审核安排是可以调整的。

6.2如果要审核的应用系统或职能部门较多,认证方的审核老师第一年不会全部安排要参与审核。

6.3召集要参与现场审核的同事,进行一个培训,介绍审核过程的注意事项,包括态度积极、不与审核老师起冲突以及一些应对技巧等等。

7.现场认证

7.1现场认证,一般有2到3个认证老师,有可能是1到2个老师在线上进行审核(疫情或其它原因)。

7.2首先还是开始会议,大概半个小时的时间;前两天一般是现场的老师进行文件审核和安全负责人访谈,后面也会进行应用系统审核;线上的老师进行应用系统的审核。

7.3文件审核,审核老师会一个一个查看文件,文件的重点内容,老师会一条一条看,有疑问的地方,会随时问对接的人员。老师会让对接人员一个一个打开文件,翻到老师审核的内容,所以对接人员需要对文件比较熟悉才行。老师针对文件提出的不符合点,在现场认证的那几天尽量改。

7.4对于应用系统的审核,主要是通过访谈的形式,但访谈的过程中,老师会对系统进行查看,核验是不是按照要求做了隐私保护措施。

7.5对于职能部门,比如法务、HR、PR、GR等,主要也是通过访谈的形式审核,但审核过程中会查看一些职能部门的文件记录或应用系统。

7.6如果公司的办公地点是租赁的,老师可能会查看租赁合同(能显示租赁关系的那一页就行)。

7.7审核老师会在审核过程中列出一些不符合项,并在结束会议的时候正式告知。当然,一般在最后一两天,现场审核的老师就会口头告知有没有不符合项。不符合项包含:严重不符合、轻微不符合、观察项。有不符合项并不意味着认证不通过,还有个整改的步骤。

8.不符合项整改

8.1有严重不符合或轻微不符合项,是要进行整改的,并将整改结果在一个月内通过邮件发给审核老师。这个整改并不是指一定要整改完成,也可以是列出整改计划,当然下一年的审核,老师会审核这些整改项。

8.2整改结果的反馈,有标准的填写规范,审核老师一般会把填写的表格发出来,如果没发,可以要一下。

8.3观察项也建议整改,并反馈,虽然审核老师没有强制要求反馈整改结果。

9.颁发认证证书

一般从现场审核完成到反馈整改结果,再到拿到证书,需要花费一个多月的时间,如果想要快点拿到证书,可以催认证方的接口人。

10.第二、三年审核

10.1第二、三年审核一般也是现场审核,审核的内容没有第一年的多,但现场审核的过程基本一样。

10.2如果审核老师不是第一年参与审核的老师,可能审核的内容就会多一点。

五、其它经验

1.千万不要一个人负责ISO27701的整个事情(尤其是才刚入职),会忙到心态爆炸;特别是和审核老师对接,根本忙不过来,建议有几个审核老师,就安排几个同事对接。

2.审核老师一般不喜欢咨询方过多的参与现场审核环节,这个度要把握好;如果公司给了咨询方虚拟职位,就可以全程参与。

3.现场的审核老师一般都是审核组长。老师闲下来的时候,可以跟他聊聊行业、聊聊家常。

4.有不一致的意见,不要过多的和老师争论;即使要争论,也心平气和、语气温和的说话。

5.审核老师的午餐,建议管上。第一天可以请审核老师去稍微好一点的餐厅吃饭。

6.一些公司的敏感文件,可以给老师脱敏展示(一般都会签订保密协议)。

7.在进行DPIA、审核访谈约同事的时候,多花一点精力吧,可能同事比较忙,也可能比较烦安全。

本文作者:, 属于FreeBuf原创奖励计划,未经许可禁止转载

# 数据安全 # 个人信息保护 # 隐私合规 # ISO27701
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦
收入专辑