Cláusula 27701 de la norma ISO 5.7: Guía para la evaluación del desempeño
Parte integrante de operar con un conjunto hermético de controles de protección de la privacidad es reconocer la necesidad de monitorear, evaluar y mejorar continuamente el cumplimiento organizacional con
Objetivos relacionados con la PII y requisitos legales/reglamentarios.
ISO 27701 Control 5.7 establece un conjunto claro de directrices que informan a las organizaciones sobre cómo evaluar su propio desempeño y, lo que es igualmente importante, cómo implementar cambios significativos para que la protección de la privacidad permanezca a la vanguardia de su política más amplia de seguridad de la información.
Qué se cubre en la cláusula 27701 de la norma ISO 5.7
La cláusula 27701 de ISO 5.7 contiene tres subcláusulas que tratan de las tres partes constituyentes principales de la evaluación de la protección de la privacidad: monitoreo, audición y revisión.
Cada subcláusula es vinculado a un conjunto adjunto de pautas de seguridad de la información de ISO 27001:
- ISO 27701 5.7.1 – Monitoreo, medición, análisis y evaluación (Referencias ISO 27001 Control 9.1)
- ISO 27701 5.7.2 – Auditoría interna (Referencias ISO 27001 Control 9.2)
- ISO 27701 5.7.3 – Revisión por la dirección (Referencias ISO 27001 Control 9.3)
La cláusula 5.7 carece de orientación adicional sobre cómo aplicar las directrices de evaluación del desempeño en el contexto de un PIM, ni incluye ninguna orientación dentro del alcance de GDPR.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
ISO 27701 Cláusula 5.7.1 – Monitoreo, Medición, Análisis y Evaluación
Referencias ISO 27001 Control 9.1
Las organizaciones necesitan monitorear y evaluar constantemente cómo se desempeñan desde el punto de vista de la protección de la privacidad y qué tan eficiente es su PIMS dentro del alcance de sus objetivos declarados.
Para ello, las organizaciones deben establecer:
- Precisamente qué áreas de su operación requieren seguimiento;
- Cómo van a realizar dicho seguimiento, y los mecanismos que van a utilizar para analizar los datos obtenidos;
- Cuándo se van a realizar actividades de seguimiento;
- Qué miembros del personal participarán en las actividades de seguimiento;
- El período de tiempo en el que se analizarán los resultados, tras cualquier actividad de seguimiento.
Al igual que con todas las demás actividades relacionadas con la protección de la privacidad y la PII, es necesario mantener un registro exhaustivo de todas las actividades de monitoreo en forma de documentación oficial.
ISO 27701 Cláusula 5.7.2 – Auditoría Interna
Referencias ISO 27001 Control 9.2
Las organizaciones deben ser conscientes de su responsabilidad con sus propios datos y procesos, mediante la realización de auditorías planificadas a intervalos adecuados.
Las auditorías deben establecer:
- Si el PIMS está alineado con los requisitos de protección de la privacidad de la organización y los estándares ISO relevantes;
- Que el PIMS se haya implementado correctamente y se mantenga adecuadamente.
Para lograr estos objetivos, las organizaciones deben:
- Planificar, crear y mantener un programa de auditoría que tenga en cuenta varios detalles clave:
- Frecuencia de auditoría;
- Método de auditoría;
- Funciones y responsabilidades internas;
- Requisitos previos a la implementación y planificación;
- Elaboración de informes de datos de auditoría.
- Establecer el alcance de cada auditoría individual.
- Reforzar la necesidad de imparcialidad y un enfoque objetivo en el análisis de datos, con quien haya sido elegido para realizar la auditoría, ya sea personal interno o externo.
- Asegúrese de que los resultados de la auditoría lleguen a los canales internos correctos (alta dirección, etc.), de modo que se puedan tomar acciones significativas para mejorar el sistema de gestión de seguridad de la información de la organización, en caso de que surja la necesidad.
- Mantenga un registro exhaustivo de todas las actividades de auditoría en forma de información documentada.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
ISO 27701 Cláusula 5.7.3 – Revisión de la gestión
Referencias ISO 27001 Control 9.3
La alta dirección desempeña un papel clave a la hora de garantizar la viabilidad y eficacia de cualquier política de protección de la privacidad o implementación de PIMS.
Al revisar el cumplimiento organizacional de los controles, políticas y procedimientos relacionados con la PII, la gerencia debe incluir:
- Cualquier acción restante de la revisión anterior.
- Cualquier cambio en la operación de la organización que tenga el potencial de afectar la protección de la privacidad o el procesamiento y/o almacenamiento de PII.
- Comentarios de todas las fuentes relevantes sobre protección de la privacidad, que incluyen tendencias notables en:
- Incumplimiento y acciones correctivas;
- Cualquier dato obtenido de las actividades de seguimiento;
- Los resultados de auditorías recientes;
- Cómo cumple la organización sus objetivos de protección de la privacidad establecidos.
- Comentarios de cualquier personal relevante (interno o externo).
- Los resultados de cualquier evaluación de riesgos de protección de la privacidad y cómo se abordarán mediante un plan de tratamiento de riesgos específico.
- Cómo la organización pretende desarrollar y mejorar su operación de protección de la privacidad, incluido cualquier cambio que deba realizarse.
Todas las revisiones deben documentarse minuciosamente para análisis futuros y para garantizar la continuidad de una revisión a la siguiente.
Controles de soporte de ISO 27001 y GDPR
| Identificador de cláusula ISO 27701 | Nombre de la cláusula ISO 27701 | Requisito ISO 27001 | Artículos relacionados con el RGPD |
|---|---|---|---|
| 5.7.1 | Monitoreo, Medición, Análisis y Evaluación |
9.1 – Monitoreo, Medición, Análisis y Evaluación para ISO 27001 |
Ninguna |
| 5.7.2 | De Auditoría Interna |
9.2 – Auditoría Interna para ISO 27001 |
Ninguna |
| 5.7.3 | Revisión de gestión |
9.3 – Revisión de la gestión para ISO 27001 |
Ninguna |
Cómo ayuda ISMS.online
La plataforma ISMS.online tiene orientación integrada en cada paso combinada con nuestro enfoque de implementación 'Adoptar, Adaptar, Agregar' para que el esfuerzo requerido para lograr ISO 27701 se reduzca sustancialmente.
También se beneficiará de una gama de potentes funciones que le permitirán ahorrar tiempo.
Explore los beneficios con ISMS.online al reservar una demostración.
