וואָס דאַרף קאָנטראָל A.1.4.9?
די אָרגאַניזאַציע זאָל האָבן דאָקומענטירטע פּאָליטיקס, פּראָצעדורן אָדער מעכאַניזמען פֿאַר דער באַזייַטיקונג פון פּערזענלעך אינפארמאציע.
די קאנטראל זיצט אינעם PII מינימיזאציע ציל (A.1.4) און זיכערט אז ווען PII דערגרייכט דעם סוף פון זיין לעבנסציקל, צי דורך אויסגיין פון דער אויפהאלטונגס-פעריאד (A.1.4.8) , דערפילן דעם פארארבעטונגס-ציל, אדער א פארלאנג פון דעם PII פרינציפאל, ווערט די דאטן פארניכטעט אויף א וועג וואס פארמיידט צוריקקער.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.1.4.9) גיט די פאלגענדע אנווייזונגען:
- זיכער מאַכן אַז די פּערזענלעך אינפארמאציע (PII) קען נישט ווערן צוריקגעכאפט — מעטאָדן פֿאַר באַזייַטיקונג זאָלן גאַראַנטירן אַז מען קען נישט צוריקקריגן, רעקאָנסטרויִרן אָדער צוריקקריגן די פּערזענלעכע אינפארמאציע (PII) נאָך באַזייַטיקונג. פּשוטע אויסמעקן (אַראָפּנעמען אַ טעקע פֿון אַ דירעקטאָרי) איז טיפּיש נישט גענוג, ווײַל די דאַטן קענען בלײַבן אויף דער סטאָרידזש מעדיום.
- אויסקלייבן פּאַסיקע באַזייַטיקונג מעטאָדן — מעטאָדן זאָלן זיין צוגעפּאַסט צום סטאָרידזש מעדיום און אַרייַננעמען: זיכערע אויסמעקן (איבערשרייבן), פיזישע צעשטערונג פון מעדיע (שניידן, דעגאַוסן, פארברענען) און קריפּטאָגראַפֿישע אויסמעקן (פאַרניכטן די ענקריפּשאַן שליסלען פֿאַר ענקריפּטעד דאַטן)
- דאָקומענט פּראָצעדורן פּער מיטל טיפּ — די מעטאָדע פֿאַר באַזײַטיקונג זאָל זײַן דאָקומענטירט פֿאַר יעדן טיפּ סטאָרידזש מעדיום וואָס די אָרגאַניזאַציע ניצט (האַרטע דרייווז, SSDs, USB דעוויסעס, פּאַפּיר רעקאָרדס, וואָלקן סטאָרידזש, באַקאַפּ טייפּס)
- פירן דיספּאָוזאַל רעקאָרדס — האַלטן רעקאָרדס פון וואָס איז אַוועקגעוואָרפן געוואָרן, ווען, דורך וועמען און מיט וועלכע מעטאָדע. די רעקאָרדס דינען ווי אוידיט באַווייַז און אַקאַונטאַביליטי דאָקומענטאַציע.
- זע אויך A.1.4.2: לימיטירן זאַמלונג פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.1.4.3: באַגרענעצן פּראַסעסינג פֿאַר פֿאַרבונדענע באַדערפֿנישן
דער שליסל-פּרינציפּ איז אַז די באַזייַטיקונג מוז זיין וועריפֿיצירבאַר. אַן אוידיטאָר זאָל קענען שפּורן די פּערזענלעך אינפארמאציע (PII) פֿון זײַן אויפֿהאַלטונג-פּלאַן ביז אַ באַזייַטיקונג-רעקאָרד וואָס באַשטעטיקט אַז עס איז זיכער פֿאַרניכטעט געוואָרן.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.1.4.9 פּאַסט צו GDPR אַרטיקל 5(1)(f), דעם פּרינציפּ פֿון אָרנטלעכקייט און קאָנפֿידענציאַליטעט, וואָס פֿאָדערט אַז פּערזענלעכע דאַטן זאָלן ווערן פֿאַראַרבעט אויף אַן אופֿן וואָס גאַראַנטירט אַפּראָפּריאַטע זיכערהייט, אַרייַנגערעכנט שוץ קעגן נישט-אָטעריזירטע אָדער אומלעגאַלע פֿאַראַרבעטונג און קעגן אַקצידענטאַלן פֿאַרלוסט, צעשטערונג אָדער שאָדן. זיכערע באַזייַטיקונג שטיצט דאָס גלייך דורך זיכער מאַכן אַז פּערזענלעכע דאַטן ווערן נישט אַקצידענטאַל אויסגעשטעלט דורך נישט-גענוגיקע צעשטערונג מעטאָדן.
פֿאַר די פולע GDPR-צו-ISO 27701 מאַפּינג, זעט GDPR קאָנפאָרמאַנס גייד.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
די קאָנטראָל שטיצט דעם ISO 29100 פּרינציפּ פון באַניץ, אויפֿהאַלטונג און אַנטפּלעקונג באַגרענעצונג , ספּעציפֿיש די פאָדערונג אַז פּערזענלעך אינטעלעקטואַלע אינפֿאָרמאַציע זאָל זיכער חרובֿ ווערן ווען עס איז מער נישט נויטיק. אָן זיכערע באַזייַטיקונג, זענען אויפֿהאַלטונג באַגרענעצונג קאָנטראָלן נישט פֿולשטענדיק ווייל די דאַטן עקסיסטירן נאָך אַלץ אפילו נאָכדעם וואָס די אויפֿהאַלטונג פּעריאָד איז באַגריפֿן אויסגעלאָפן.
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.1.4.9, וועלן אוידיטארן טיפיש זוכן:
- באַזייַטיקונג פּאָליטיק — א דאקומענטירטע פאליסי וואס באדעקט די ארגאניזאציע'ס צוגאנג צו PII באזייטיגונג, אריינגערעכנט אחריותן, באשטעטיגטע מעטאדן און וועריפיקאציע רעקווייערמענטס
- מיטל-ספּעציפֿישע פּראָצעדורן — דאקומענטירטע באַזייַטיקונג פּראָצעדורן פֿאַר יעדן טיפּ סטאָרידזש מעדיום: עלעקטראָניש (HDD, SSD, וואָלקן), אַרויסנעמבאַר (USB, באַקאַפּ טייפּס), און גשמיות (פּאַפּיר, געדרוקטע דאָקומענטן)
- באַזייַטיקונג רעקאָרדס — א רעגיסטער אדער לאג פון באַזייַטיקונג אַקטיוויטעטן וואָס ווײַזט וואָס איז באַזייַטיקט געוואָרן, ווען, דורך וועמען און מיט וועלכן מעטאָד
- דריט-פּאַרטיי באַזייַטיקונג אַגרימאַנץ — וואו די באַזייַטיקונג ווערט אויסגעסאָורסט (למשל צו אַ שרעדינג פירמע אָדער אַ פירמע פֿאַר באַזייַטיקונג פון אינפֿאָרמאַציע טעכנאָלאָגיע), קאָנטראַקטן וואָס ספּעציפֿיצירן זיכערע באַזייַטיקונג סטאַנדאַרדן און סערטיפיקאַטן פון צעשטערונג.
- וועריפיקאציע באווייזן — רעקאָרדס וואָס באַשטעטיקן אַז די באַזייַטיקונג איז געווען עפֿעקטיוו, אַזאַ ווי סערטיפיקאַטן פון צעשטערונג, אָווועררייט וועראַפאַקיישאַן באַריכטן אָדער באַשטעטיקונג פון וואָלקן פּראַוויידערז
- שטעקן טריינינג — באווייזן אז פערסאנעל וואס איז פארמישט אין די פארניכטונג פארשטייט די פראצעדורן און די וויכטיקייט פון זיכערער פארניכטונג
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.1.4.8 אויפהאלטונג | ריטענשאַן סקעדזשולז דעפינירן ווען די באַזייַטיקונג זאָל זיין טריגערד |
| A.1.4.6 דע-ידענטיפֿיקאַציע און אויסמעקן | אויסמעקן איז איין פאָרעם פון באַזייַטיקונג; דע-ידענטיפיקאַציע איז די אַלטערנאַטיווע |
| A.1.4.7 צייטווייליגע טעקעס | צייטווייליגע טעקעס דאַרפן באַזייַטיקונג אין זייערע דעפינירטע קורצע אויפהאלטונג פּעריאָדן |
| A.1.4.5 PII מינימיזאַציע צילן | באַזייַטיקונג איז דער לעצטער מעקאַניזם אין דעם מינימיזאַציע לעבן-ציקל |
| A.1.4.10 PII טראַנסמיסיע קאָנטראָלס | PII וואָס ווערט איבערגעגעבן צו דריטע פּאַרטייען קען אויך דאַרפֿן באַזײַטיקט ווערן בײַם באַקומער. |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די אפווארף באהאנדלט געווארן אונטער קלאוז 7.4.8 (אפווארף). די 2025 קאנטראל האלט די זעלבע הויפט פארלאנג פאר דאקומענטירטע אפווארף פאליסיס, פראצעדורן אדער מעכאניזמען. די אימפלעמענטאציע גיידליינס לייגט יעצט מער א טראפ אויף די נויטווענדיגקייט פון מיטל-ספעציפישע פראצעדורן און די וויכטיקייט פון אויפהאלטן אפווארף רעקארדס. קריפּטאגראפישע אויסמעקן ווערט אויך מער באוואוסט דערמאנט אלס א אפווארף טעכניק. זעהט די אנעקס F קארעספאנדענץ טאבעלע פאר די פולע מאפע.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
פארוואס קלייַבן ISMS.online פֿאַר פאַרוואַלטן PII באַזייַטיקונג?
ISMS.online העלפט אייך פארמאכן דעם דאטן לעבנסציקל שלייף מיט דאקומענטירטע, וועריפיצירבארע באַזייַטיקונג פּראָצעסן:
- באַזייַטיקונג פּראָצעדור ביבליאָטעק — אויפהאלטן דאקומענטירטע באזייטיגונג פראצעדורן פאר יעדן טיפ סטאָרידזש מעדיום, מיט ווערסיע קאנטראל און באשטעטיגונג וואָרקפלאָוז
- באַזייַטיקונג לאָג — רעקאָרדירן יעדע באַזייַטיקונג אַקציע מיט וואָס איז געווען חרובֿ, די מעטאָד געניצט, ווער עס יז האָט עס דורכגעפירט און ווען, שאַפֿן די אָדיט שפּור וואָס אָדיטאָרס דאַרפן
- דריט-פּאַרטיי פאַרוואַלטונג — פֿאַרפֿאָלגן די באַזייַטיקונג סערוויס פּראַוויידערז, זייערע קאָנטראַקטן, צעשטערונג סערטיפיקאַטן און העסקעם מיט דיין באַזייַטיקונג סטאַנדאַרדס
- רעטענשאַן אינטעגראַציע — אויטאָמאַטיש אַקטיווירן באַזייַטיקונג טאַסקס ווען ריטענשאַן פּיריאַדז יקספּייערז, קאַנעקטינג דיין ריטענשאַן פּלאַן צו די באַזייַטיקונג פּראָצעס
- פֿאַרבינדונג מיט אַסעט רעגיסטער — פֿאַרבינדן באַזייַטיקונג רעקאָרדס צו דיין IT אַסעט רעגיסטער און דאַטן אינווענטאַר אַזוי איר קענט שפּורן פּערזענלעך אינפֿאָרמאַציע פֿון זאַמלונג ביז סערטיפֿיצירטע צעשטערונג
FAQs
איז אויסמעקן א טעקע גענוג צו באזייטיגן אונטער דעם קאנטראל?
בכלל ניין. נאָרמאַלע טעקע אויסמעקן (אריינפירן צו א ריסייקל בין אדער אויסמעקן דעם דירעקטארי איינטראג) נעמט נישט ארויס די דאטן פון די סטאָרידזש מעדיום. די דאטן בלייבן צוריקקריגבאַר מיט פאָרענסישע מכשירים ביז עס ווערט איבערגעשריבן. זיכערע באַזייַטיקונג פארלאנגט איבערשרייבן (פאר האַרט דיסקס), ניצן פאַבריקאַנט זיכער אויסמעקן קאַמאַנדז (פאר ססדס), פיזישע צעשטערונג אדער קריפּטאָגראַפֿישע אויסמעקן. די מעטאָדע זאָל זיין פּראָפּאָרציאָנעל צו דער סענסיטיוויטי פון די פּערזענלעך אינפארמאציע און דעם ריזיקאָ פון צוריקקריגן.
ווי זאָל מען האַנדלען מיט די באַזייַטיקונג פון וואָלקן-געהאַלטן PII?
פֿאַר וואָלקן סטאָרידזש, איז פיזישע צעשטערונג פון מעדיע נישט טיפּיש אַן אָפּציע. אַנשטאָט, זאָל די אָרגאַניזאַציע: נוצן די וואָלקן פּראַוויידער'ס זיכערע דילישאַן APIs; באַשטעטיקן דורך די פּראַוויידער'ס טערמינען אָדער סערטיפיקאַציעס אַז אויסגעמעקטע דאַטן איז נישט צוריקקריגבאַר; באַטראַכטן קריפּטאָגראַפֿישע אויסמעקן (ענקריפּטירן דאַטן מיט אַ יינציק שליסל און דערנאָך זיכער צעשטערן דעם שליסל); און האַלטן באַשטעטיקונג פון די פּראַוויידער אַז דאַטן איז אַוועקגענומען פון אַלע רעפּליקעס און באַקאַפּס. די באַזייַטיקונג פּראָצעדור זאָל זיין דאָקומענטירט אין דיין וואָלקן דאַטן פּראַסעסינג העסקעם.
צי דאַרפֿן די באַזײַטיקונג רעקאָרדס אַליין געהאַלטן ווערן?
יא. די דאטן פון באַזייַטיקונג רעקאָרדס דינען ווי אייער באַווייַז אַז די פּערזענלעך אינפארמאציע (PII) איז זיכער חרובֿ געוואָרן. זיי זאָלן ווערן געהאַלטן פֿאַר אַ גענוגנדיקע צייט צו ווייַזן העסקעם בעת אָדאַץ און צו ענטפֿערן אויף יעדע פֿראַגע פֿון PII פּרינציפּאַלן אָדער רעגולאַטאָרן וועגן וואָס איז געשען מיט זייערע דאַטן. די דאטן פון באַזייַטיקונג רעקאָרדס זאָלן נישט אַנטהאַלטן די PII אַליין, נאָר מעטאַדאַטן וועגן דער באַזייַטיקונג (וואָס קאַטעגאָריע, ווען, ווי, דורך וועמען). אַ טיפּישער אויפֿהאַלטונגס-פּעריאָד פֿאַר באַזייַטיקונג רעקאָרדס איז אויסגעשטעלט צו אייער אָדיט ציקל פּלוס יעדע אָנווענדלעכע באַגרענעצונגס-פּעריאָד.
זעט אונדזער אנווייזונג וועגן באווייזן פארלאנגען פאר די ספעציפישע באווייזן וואס אוידיטארן ערווארטן פאר דאטן קוואליטעט און מינימיזאציע קאנטראלן.
רעקאָרדירט דעם קאָנטראָל אין אייער דערקלערונג פון אָנווענדלעכקייט מיט אייער באַרעכטיקונג פֿאַר זיין אָנווענדלעכקייט.
