ISO 27701: el estándar para la gestión de la información privada

¿Qué es ISO 27701?

A raíz del Reglamento General de Protección de Datos (GDPR) de la UE, la POPIA de Sudáfrica, la LGPD de Brasil, los Principios de Privacidad de Australia y muchas leyes y regulaciones de privacidad similares que se están redactando en todo el mundo; Ha habido una necesidad creciente de un código de conducta, o estándar, para demostrar el cumplimiento y la certificación de los datos de privacidad. ISO 27701 busca proporcionar un enfoque verdaderamente internacional para la protección de la privacidad como componente de la seguridad de la información.

ISO 27701 se desarrolló para proporcionar un estándar para los controles de privacidad de datos que, cuando se combina con un SGSI, permite a una organización demostrar una gestión eficaz de los datos de privacidad. Establece los parámetros para un PIMS en términos de protección de la privacidad y procesamiento de información de identificación personal (PII).

ISO 27701 es una forma impresionante de demostrar a los consumidores, organizaciones externas y partes interesadas internas que existen mecanismos para mantener los datos seguros y cumplir con el RGPD y otras leyes de privacidad.

El estándar ISO 27701, un estándar PIMS (Sistema de gestión de información de privacidad), establece un conjunto detallado de listas de verificación operativas que se pueden adaptar a una variedad de regulaciones, incluido el GDPR. Las empresas documentan sus políticas, procedimientos, protocolos y actividades de acuerdo con las listas de verificación operativas de la norma, y ​​luego los registros son auditados por auditores internos y externos, lo que da como resultado una prueba detallada del cumplimiento de la norma. ISO 27701 ayuda a las empresas a mantener un sistema eficaz de privacidad y seguridad de la información y a reducir los riesgos de privacidad.

¿Cuáles son los componentes básicos del estándar?

ISO 27701 es una extensión de ISO/IEC 27001, que es uno de los estándares internacionales más utilizados para la gestión de seguridad de la información. Si su organización ya está familiarizada con ISO/IEC 27001, integrar los nuevos controles de privacidad de PIMS puede ser relativamente sencillo. ISO 27701 también se basa en otros estándares, como ISO 27002 e ISO 29100. ISO 27701 agrega una capa de privacidad de datos a los estándares de seguridad de la información anteriores. Si está marcando las casillas de otros estándares, es posible que ya esté marcando algunas de las casillas de la norma ISO 27701.

Puntos importantes para recordar sobre ISO 27001 y PIMS:

• PIMS proporciona nuevos controles específicos de controlador y procesador que ayudan a las organizaciones a superar los desafíos de la privacidad y la seguridad al establecer un punto de convergencia entre lo que podrían ser dos funciones diferentes.
• La seguridad es importante para la privacidad. ISO 22701 PIMS se basa en ISO 27001 para la gestión de seguridad. La certificación IS0 27701 solo está disponible como complemento de la certificación ISO 27001 y no se puede obtener como certificado independiente.

Desafíos de cumplimiento de ISO 27701

Según las directrices del RGPD, se espera que las organizaciones mantengan toda la información de identificación personal a salvo de robos, pérdidas y daños.

Los cambios en la ley del Reino Unido desde mayo de 2018 ahora significan que las organizaciones deben implementar una política de manejo de datos de recursos humanos, con la capacidad de demostrar que los datos personales no relevantes se están eliminando de manera adecuada. ISO 27701 ayuda a las organizaciones a abordar estos tres importantes desafíos de cumplimiento:

Demasiados requisitos regulatorios para hacer malabarismos

El uso de ISO 27701 como un sistema unificado de control operativo de privacidad de datos elimina la necesidad de centrarse en múltiples regulaciones. Como estándar internacional, ISO 27701 está diseñado para cumplir con los requisitos de protección de datos y GDPR, y para ser lo suficientemente flexible como para adaptarse a requisitos específicos de la industria. Esto permite a las empresas trabajar dentro de un marco único para cumplir con múltiples requisitos regulatorios.

Demasiado costoso auditar regulación por regulación

Los auditores internos y externos utilizan la norma ISO 27701 para determinar el cumplimiento normativo en un único ciclo de auditoría. Esto le ahorra dinero a la organización en comparación con seguir un proceso de auditoría inconexo norma por norma.

Las promesas de cumplimiento sin pruebas son potencialmente riesgosas

No basta con que las empresas sigan las mejores prácticas en procesos de privacidad de datos; también deben poder demostrar el cumplimiento de las leyes y reglamentos. Eso significa tener un proceso de documentación sólido e integrado. Las empresas con procesos complejos pueden tener múltiples tipos de controladores y procesadores de datos, proveedores de nube y proveedores asociados. La incapacidad de demostrar el cumplimiento de las leyes o regulaciones en cualquier parte de la cadena de suministro podría exponer a la empresa a riesgos financieros y de reputación.

Beneficios de ISO 27701

Demuestre una protección de datos de nivel superior con ISO 27701

La norma ISO 27701 es una de las formas de demostrar que cumple con todos los requisitos de seguridad de privacidad, confidencialidad y protección de datos adecuados.

Genere confianza al administrar información personal

Cuando se trata de manejar información personal, debe tener una forma de garantizar que su organización esté haciendo todo lo posible para garantizar que la información se maneje correctamente y de conformidad con la ley. ISO 27701 le brinda el estándar necesario para generar confianza al administrar datos. Los proveedores, consumidores y socios pueden confiar en sus políticas, procedimientos y protocolos cuando trabaja con un estándar internacional como ISO 27701.

Se integra con los principales estándares de seguridad de la información.

ISO 27701 se integra con los principales estándares de seguridad de la información. Esto permite un desarrollo y una actualización fluidos de políticas y procedimientos en diferentes estándares, y la certeza de que no comprometerá su cumplimiento con otros estándares al adoptar los estándares ISO 27701.

Admite el cumplimiento de otras regulaciones de privacidad

ISO 27701 es el 'estándar de la industria' para cumplir con la nueva legislación de protección de datos. Aunque ISO 27701 se alinea con los principios del RGPD, también permite a las organizaciones documentar el cumplimiento de otras leyes, regulaciones, estándares y requisitos de privacidad.

Lo suficientemente flexible para adaptarse a detalles jurisdiccionales

El estándar ISO 27701 se desarrolló para proporcionar estándares para trabajar con información de identificación personal para que pueda cumplir con diferentes leyes de privacidad. Si su empresa opera fuera de la UE y desea seguir las pautas específicas del territorio equivalente al RGPD, puede incorporar esas características jurisdiccionales específicas a la norma ISO 27701.

Proporciona transparencia entre las partes interesadas.

ISO 27701 establece el estándar sobre cómo se gestionan los datos de privacidad. La norma hace que los procesos sean transparentes para todas las partes interesadas, generando confianza y respeto mutuo.

Facilita acuerdos comerciales efectivos.

Cuando las empresas se comprometen a trabajar con los mismos altos estándares de privacidad de datos, es más fácil llegar a acuerdos y trabajar juntos. ISO 27701 genera confianza y garantiza que todas las partes interesadas estén en sintonía al considerar la integración de sistemas y los procesos comerciales compartidos.

ISO 27701 vs ISO 27001: ¿cuáles son las diferencias?

ISO 27701 e ISO 27001 son dos estándares que los profesionales ajenos a la seguridad de la información suelen utilizar indistintamente cuando se refieren a la seguridad de la información.

Tanto la norma ISO 27001 como la ISO 27701 son normas de gestión de seguridad de TI. La diferencia entre los dos estándares es que ISO 27001 se centra en la brecha entre la gestión de riesgos y los controles de seguridad, mientras que ISO 27701 es un estándar orientado a cumplir con las regulaciones y leyes de privacidad como GDPR y la Ley de Protección de Datos. ISO 27701 se centra en los riesgos de privacidad de los datos.

¿Cómo se integran entre sí ISO 27001 e ISO 27701?

ISO 27701 es una extensión de ISO 27001. Es uno de los estándares de gestión de riesgos, pero garantiza que la empresa cumpla con GDPR y otras regulaciones de PII relevantes. Antes de poder beneficiarse de los beneficios de seguridad de ISO 27701, primero debe implementar ISO 27001.

¿Cómo se relaciona ISO 27701 con el RGPD?

Las organizaciones deben proteger y garantizar la integridad de todos los datos confidenciales que procesan según el Reglamento general de protección de datos (GDPR) y la Ley de protección de datos del Reino Unido de 2018 (DPA). Sin embargo, ni el RGPD ni la DPA aclaran las acciones que las empresas deben tomar para garantizar la privacidad de los datos. Aquí es donde entra en juego la ISO 27701. ISO 27701 proporciona los requisitos y directrices para un proceso de mejores prácticas para ejecutar un sistema de gestión de información de privacidad (PIMS) con capacidades efectivas de seguridad y privacidad de los datos.

¿Cómo se integran ISO 27001 y GDPR entre sí?

ISO 27001 es el estándar internacional de mejores prácticas para un sistema de gestión de seguridad de la información (SGSI) adoptado por muchos países de todo el mundo. Más de 35 países se han suscrito para implementar el RGPD. ISO 27701 puede ayudar con el cumplimiento del RGPD.

Primeros pasos con ISO 27701

Si es propietario de una empresa que procesa datos personales, debe comprender cómo se aplica a usted la nueva norma ISO 27701. Comprender los conceptos básicos de ISO 27701 puede ser un desafío. Esto es especialmente cierto si está acostumbrado a trabajar con estándares diferentes.

Implementación de ISO 27701

Como ocurre con la mayoría de los estándares oficiales, ISO 27701 puede ser un poco complicado de entender. ISMS.online le ayuda proporcionándole una solución basada en la nube para documentar el cumplimiento de los requisitos de ISO 27701.
La implementación de ISO 27701 le brindará un marco sólido para el cumplimiento de las leyes y regulaciones, desde las regulaciones GDPR hasta el nivel de protección HIPAA.

Demostrar buenas prácticas

La implementación de ISO 27701 consiste en demostrar "buenas prácticas" para la gestión de información personal. ISO 27701 se ha convertido en una parte integral del marco de gestión de datos para empresas de muchos sectores. Este importante estándar supone un cambio del énfasis técnico y de activos en seguridad de la información ISO 27001 a un enfoque empresarial más basado en el riesgo.

Planificar, hacer, verificar, actuar

Planificar, hacer, verificar, actuar (PDCA) es un ciclo de mejora continua que utilizan muchas empresas progresistas y es un elemento vital en la implementación de la norma ISO 27701. Otros pueden usar nombres diferentes para las fases, pero la idea clave es la misma: Planificar lo que se debe hacer; hacer el mejor trabajo posible en la implementación y ejecución de esa tarea; verifique los resultados con su plan; y cuando los cambios de plan necesarios actúan para mejorar el desempeño.

Requisitos de la norma ISO 27701

Los requisitos para lograr el cumplimiento de ISO/IEC 27701 incluyen:

• Diseñar, construir e implementar un Sistema de Información Personal para su organización.
• Siga las pautas ISO 27701 al diseñar e implementar el PIMS.
• Los PIM deben definir sistemas estrictos y controles tácticos para gestionar la información de identificación personal, incluido cómo se obtiene, utiliza, comparte y elimina esta información.
• Defina roles de usuario estrictos y contraseñas seguras para todas las partes interesadas que procesan y controlan datos de privacidad.

La certificación ISO 27701 requiere que usted tenga la certificación ISO 27001. Su sistema de gestión de información personal se basa en su sistema de gestión de seguridad de la información (SGSI). Puede obtener la certificación ISO 27701 al mismo tiempo que la ISO 27001. Hacer ambas cosas al mismo tiempo suele ser más fácil, requiere menos recursos y es más económico que hacerlo en serie.

Estructura

ISO 27701 se divide en cláusulas, al igual que otras normas ISO, y las cláusulas 5 a 8 detallan los requisitos y actualizaciones adicionales que se deben agregar a ISO 27001:

• La cláusula 5 describe los requisitos de PIMS para el cumplimiento de ISO/IEC 27001.
• La cláusula 6 describe la guía PIMS para ISO/IEC 27002.
• La cláusula 7 describe la guía PIMS para controladores PII.
• La cláusula 8 del PIMS proporciona orientación para los procesadores de PII.

También se incluyen en la norma los siguientes Anexos:

• Los objetivos y controles de control de referencia específicos de PIMS se mencionan en el Anexo A. (Controladores PII)
• Los objetivos y controles de gestión de referencia específicos de PIMS se mencionan en el Anexo B. (Procesadores de PII)
• Mapeo del Anexo C de ISO/IEC 29100
• Mapeo al Reglamento General de Protección de Datos (GDPR) en el Anexo D (GDPR).
• Anexo E de ISO/IEC 27018 e ISO/IEC 29151 Mapeo
• Apéndice F ¿Cuál es la relación entre ISO/IEC 27701 e ISO/IEC 27001 e ISO/IEC 27002?

Sin embargo, es importante que conozca todas las políticas, procedimientos y controles establecidos y que se sigan de manera consistente en toda su organización.

Implementación de ISO 27701

La implementación de ISO/IEC 27701 es una forma sólida de iniciar un sistema de gestión de información de privacidad dentro de cualquier empresa. Muchas empresas optan por seguir la norma ISO 27701 junto con la ISO 27001. Esto puede reducir los costos y el tiempo y esfuerzo general necesarios para lograr ambas normas.

Aquí en ISMS.online, brindamos soluciones basadas en la nube que su organización puede utilizar para documentar el cumplimiento de ISO 27001 y luego ISO 27701. Eliminamos la incertidumbre y las conjeturas del proceso al proporcionar un marco para el cumplimiento de los estándares ISO.

¿Quién debería implementar la ISO 27701?

ISO 27701 ofrece un estándar internacional para cualquier organización que maneje datos de privacidad. Cualquier empresa que posea información de identificación personal, independientemente de su tamaño y tipo, puede beneficiarse de la implementación de la norma ISO 27701. ISO 27701 ayuda a mitigar los riesgos financieros y regulatorios asociados con las violaciones de la privacidad de los datos. ISO 27701 es para empresas públicas y privadas e incluso agencias gubernamentales que necesitan adoptar un enfoque basado en riesgos para conservar y procesar información personal.

¿Qué roles están involucrados en la implementación de ISO 27701?

Dado el alcance y la escala de la norma ISO 27701, no sorprende que intervengan diferentes roles en la implementación de la norma. Estos roles suelen incluir:

• El implementador principal/gerente de proyecto
• Director de Privacidad / Oficial de Protección de Datos
• Responsable de Privacidad/Responsable de Protección de Datos
• Auditor Interno
• Auditor externo
• Analista de privacidad: para tomar requisitos funcionales y convertirlos en implementación técnica
• Profesionales de bases de datos y software

Cumplimiento versus certificación

El cumplimiento y la certificación ISO 27701 pueden resultar confusos, ya que aparentemente parecen significar lo mismo.

El cumplimiento de la norma ISO 27701 significa que su organización ha implementado los controles necesarios para satisfacer los requisitos de la norma ISO 27701; un conjunto de mejores prácticas para la gestión de la información de privacidad. El cumplimiento de las normas es importante.

Un certificado ISO 27701 es el documento que confirma que una organización en particular ha pasado por los procesos y documentado todo lo necesario para cumplir con ISO 27701.

La certificación significa que ha demostrado cumplimiento.

¿La certificación ISO 27701 es adecuada para mí?

Si su empresa maneja información de identificación personal, es posible que deba buscar la certificación ISO 27701. La certificación ISO 27701 le hará destacar frente a empresas que no están certificadas.

Además, en caso de una violación de datos, la Oficina del Comisionado de Información (ICO) del Reino Unido ha declarado que los reguladores pueden ver más favorablemente a las organizaciones que implementan la certificación o cuentan con un sistema integral para manejar la seguridad de sus datos.

Proceso de certificación ISO 27701

El proceso de implementación de ISO 27701 es relativamente sencillo para las organizaciones que ya cuentan con certificaciones ISO 27001.

La certificación ISO 27701 se puede obtener en tres pasos:

Primero debe contratar a un organismo de certificación calificado que realizará una auditoría de su organización.

Una vez que haya acordado una propuesta, un evaluador le realizará a su organización una auditoría detallada. El evaluador deberá realizar una visita obligatoria durante la auditoría de certificación inicial. Verán si ha implementado un sistema de gestión de información personal completamente funcional.

Una vez que el evaluador haya completado la auditoría, el organismo de certificación decidirá si su organización ha cumplido con los criterios. Si el resultado es positivo, te entregarán un certificado acreditando que tu empresa cumple con las especificaciones de la norma. La certificación es válida durante los próximos tres años o hasta que caduque su certificado ISO 27001, lo que ocurra primero.

Si su empresa aún no tiene la certificación ISO 27001, deberá tenerla primero o buscar las certificaciones ISO 27001 e ISO 27701 al mismo tiempo.

Mantener la certificación ISO 27701

Mantener la certificación ISO 27701 no tiene por qué ser una perspectiva desalentadora, siempre y cuando la implementación inicial de ISO 27701 se haya completado correctamente. Sin embargo, para mantener válida su ISO 27701, debe realizar auditorías de vigilancia periódicas en combinación con su auditoría ISO 27001 y luego una reevaluación completa antes de la renovación de la certificación.

La mejor manera de mantener la certificación ISO 27701 es gestionar sus sistemas de tal manera que pueda seguir realizando mejoras continuas. La mejora continua es el esfuerzo continuo realizado por su organización para mejorar la forma en que maneja la información de identificación personal, identificando riesgos emergentes para el cumplimiento y tomando acciones sistémicas para remediarlos.

La forma más sencilla de ISO 27701

ISMS.online facilita la gestión de información personal a través de una excelente solución basada en la nube para respaldar el cumplimiento de ISO 27701 en su organización. Además de esto, contamos con expertos en seguridad de la información y recursos disponibles para guiarlo a través del proceso de acreditación ISO 27701.

Marcos para ISO 27701

Puede ser difícil saber por dónde empezar con ISO 27701, especialmente si nunca antes has tenido que hacer algo como esto. Aquí es donde entra en juego ISMS.online. Nuestras soluciones ISO 27701 proporcionan marcos que permiten a su organización demostrar el cumplimiento de ISO 27701. Nuestros expertos en seguridad de la información pueden trabajar con usted para garantizar que desarrolle un proceso de implementación lógico que se alinee con el marco de documentación en línea. .

Herramientas de gestión de la cadena de suministro

En ISMS.online podemos incorporar la gestión de seguridad de la información de la cadena de suministro a su SGSI. También se pueden utilizar métricas de rendimiento rápidas y prácticas para monitorear el progreso de sus proveedores y otras asociaciones con terceros. Utilice ISMS.online Clusters para reunir toda la cadena de suministro en una sola ubicación para obtener claridad, conocimiento y control.

Supervisión y colaboración de proyectos altamente eficientes

Nuestras soluciones ISMS.online facilitan a las organizaciones lograr la supervisión de proyectos, garantizando que las políticas y procedimientos del controlador y procesador de datos estén en línea con el estándar ISO. Nuestro sistema en línea también garantiza que los implementadores del sistema tengan un lugar único de referencia y colaboración. Nuestro Método de Resultados Asegurados (ARM) le permite estar seguro de que está cumpliendo todos los requisitos necesarios para cumplir con el estándar.

Ayuda y apoyo para involucrar a tu gente

ISO 27701 no es sólo un marco que deben adoptar las organizaciones; significa adaptar la forma en que las personas entienden, interactúan e interactúan con los datos. En ISMS.online, hemos diseñado nuestro sistema para que usted y su personal puedan aprovechar nuestra interfaz fácil de usar para documentar su viaje ISO. También proporcionamos recursos de video y acceso a profesionales de seguridad de la información para ayudarlo a integrar estándares en su empresa.