וואָס דאַרף קאָנטראָל A.3.20?
סטאָרידזש מעדיע מיט PII זאָל ווערן געראטן דורך זייער לעבן ציקל פון אַקוואַזישאַן, נוצן, טראַנספּאָרטאַציע און באַזייַטיקונג אין לויט מיט דער אָרגאַניזאַציע'ס קלאַסיפיקאַציע סכעמע און האַנדלינג רעקווירעמענץ.
די קאנטראל געפינט זיך אינעם "געטיילטע זיכערהייט קאנטראלן" אנעקס (A.3) און באהאנדלט דעם גאנצן לעבנס-ציקל פון יעדן פיזישן אדער ארויסנעמבאַרן מעדיע וואָס האלט PII. אנדערש ווי ריין דיגיטאַלע זיכערהייט קאנטראלן, פאָקוסירט A.3.20 אויף די באַמערקבאַרע ריזיקעס פון מעדיע וואָס ווערט פארלוירן, גע'גנב'עט, אפגענומען אדער נישט ריכטיק באַזייטיגט אויף יעדן שטאַפּל פון זיין רייזע דורך דער אָרגאַניזאַציע.
וואָס זאָגט די אַנעקס ב' אימפּלעמענטאַציע גיידליינז?
אַנעקס ב (סעקציע ב.3.20) גיט ברייטע אנווייזונגען וואָס דעקן עטלעכע שליסל געביטן:
- דאָקומענטירן אַלע באַניץ פון אַרויסנעמבאַרע מעדיע — די אָרגאַניזאַציע זאָל דאָקומענטירן יעדע נוצן פון אַרויסנעמבאַרע מעדיע אָדער דעוויסעס פֿאַר די סטאָרידזש פון פּערזענלעך אינפארמאציע, שאַפֿן אַן אָדיטאַבאַל רעקאָרד פון וואָס מעדיע עקזיסטירט און וווּ עס ווערט גענוצט.
- ענקריפטירן וואו מעגלעך — אַרויסנעמבאַרע פיזישע מעדיע אָדער דעוויסעס געניצט פֿאַר סטאָרינג PII זאָל ערלויבן ענקריפּשאַן. נישט-ענקריפּטעד מעדיע זאָל נאָר געניצט ווערן ווען עס איז נישט אַוווידאַבאַל, מיט קאָמפּענסירנדיקע קאָנטראָלן ווי טאַמפּער-עווידענט פּאַקאַדזשינג צו פֿאַרמינדערן ריסקס.
- זיכערע באַזייַטיקונג פּראָצעדורן — וואו אַרויסנעמבאַרע מעדיע וואָס כּולל פּערזענלעך אינפארמאציע (PII) ווערט אַוועקגעוואָרפן, מוזן זיכערע באַזייַטיקונג פּראָצעדורן ווערן דאָקומענטירט און ימפּלעמענטירט צו ענשור אַז פריער געהיטענע PII איז נישט צוטריטלעך.
- קאָנטראָלן פֿאַר פֿיזישע מעדיע איבערפֿירונג — א סיסטעם זאָל רעקאָרדירן אַרײַנקומענדיקע און אַרויסגייענדיקע פֿיזישע מעדיע וואָס אַנטהאַלטן פּערזענלעך אינפֿאָרמאַציע, אַרײַנגערעכנט מעדיע טיפּ, באַרעכטיקטער שיקער, באַרעכטיקטע באַקומער, דאַטע און צײַט, און באַנד פֿון מעדיע
- ענקריפּשאַן אין דורכפאָר — וואו מעגלעך, זאָלן נאָך מיטלען ווי ענקריפּשאַן זיכער מאַכן אַז דאַטן קענען נאָר צוטריט ווערן ביים ציל-פונקט, נישט אין טראַנזיט.
- דערלויבעניש איידער איר פארלאזט די לאקאלן — פיזישע מעדיע וואָס אַנטהאַלטן פּערזענלעך אינפארמאציע (PII) מוזן דורכגיין אַן אויטאָריזאַציע פּראָצעדור איידער זיי פֿאַרלאָזן די אָרגאַניזאַציע'ס פּרעמיסעס, און זיכער מאַכן אַז PII איז נישט צוטריטלעך פֿאַר קיינעם אַחוץ אויטאָריזירטע פּערסאָנעל.
די אנווייזונגען שטעלן דעם טראָפּ אויף אַז אַרויסנעמבאַרע מעדיע וואָס מען נעמט אַרויס פֿון דער אָרגאַניזאַציעס פֿיזישע פּרעמיסעס איז באַזונדערס פֿאַרלעצלעך צו פֿאַרלוסט, שאָדן און אומפּאַסיקן צוטריט. פֿאַרשליסלונג פֿון אַרויסנעמבאַרע מעדיע לייגט צו אַ קריטישן שיכט פֿון שוץ וואָס רעדוצירט ביידע זיכערהייט און פּריוואַטקייט ריזיקעס אויב די מעדיע ווערט קאָמפּראָמיטירט.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.3.20 מאַפּט זיך צו די פאלגענדע GDPR אַרטיקלען:
- אַרטיקל 5(1)(f) — דער פּרינציפּ פֿון אָרנטלעכקייט און קאָנפֿידענציאַליטעט, וואָס פֿאָדערט צוגעפּאַסטע זיכערהייט, אַרײַנגערעכנט שוץ קעגן נישט-אָטעריזירטע באַאַרבעטונג און אַקסאַדענטאַלן פֿאַרלוסט
- אַרטיקל קסנומקס (קסנומקס) (אַ) — די פארלאנג צו דורכפירן צוגעפאסטע טעכנישע און ארגאניזאציאנעלע מיטלען, אריינגערעכנט די פסעוודאניםיזאציע און ענקריפּשאַן פון פערזענלעכע דאטן
די GDPR 'ס עקספּליציטע דערמאָנונג פון ענקריפּשאַן אין אַרטיקל 32(1)(אַ) שטימט גלייך מיט A.3.20'ס באַטאָנונג אויף ענקריפּשאַן פון אַרויסנעמבאַרע מעדיע וואו מעגלעך.
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג געווען פארשפרייט איבער קלאָזן 6.5.3.1 (פאַרוואַלטונג פון אַרויסנעמבאַרע מעדיע), 6.5.3.2 (באַזייַטיקונג פון מעדיע), 6.5.3.3 (פיזישע מעדיע אַריבערפירן) און 6.8.2.5. די 2025 אויסגאבע קאָנסאָלידירט אַלע די אין איין קאָנטראָל A.3.20, וואָס גיט אַ מער קאָוכירענט לעבן-ציקל מיינונג פון סטאָרידזש מעדיע פאַרוואַלטונג. זעט די אַנעקס F קאָרעספּאָנדענץ טיש פֿאַר די פולע מאַפּינג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.3.20, וועלן אוידיטארן טיפיש זוכן:
- מעדיע אינווענטאר — א רעגיסטער פון אלע ארויסנעמבאַרע און פּאָרטאַטיווע סטאָרידזש מעדיע געניצט פֿאַר פּערזענלעך אינפארמאציע (PII), אַרייַנגערעכנט מעדיע טיפּ, באַזיצער, קלאַסיפיקאַציע מדרגה און גשמיות אָרט.
- ענקריפּשאַן פּאָליטיק און באַווייַזן — א פאליסי וואס פארלאנגט ענקריפּשאַן פאר ארויסנעמבאַרע מעדיע וואס אנטהאלטן PII, מיט באווייז אז ענקריפּשאַן איז דורכגעפירט (למשל BitLocker, האַרדווער-ענקריפּטעד USB דרייווז)
- אַריבערפירן קלאָץ — רעקאָרדס פון פיזישע מעדיע טראַנספערס וואָס ווייַזן שיקער, באַקומער, אויטאָריזאַציע, דאַטע און מעדיע טיפּ
- באַזייַטיקונג רעקאָרדס — סערטיפיקאַטן פון צעשטערונג אָדער זיכערע באַזייַטיקונג לאָגס פֿאַר מעדיע וואָס איז געוואָרן דעקאָמישאַנד
- אויטאָריזאַציע פּראָצעדורן — א דאקומענטירטער פראצעס פארן באשטעטיגן די באזייטיגונג פון PII-אנטהאלטנדיקע מעדיע פון ארגאניזאציאנעלע פּרעמיסעס.
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.3.5 קלאַסיפֿיקאַציע פֿון אינפֿאָרמאַציע | מעדיע האַנדלינג רעקווייערמענץ ווערן באַשטימט דורך די קלאַסיפיקאַציע פון די PII וואָס עס כּולל. |
| A.3.6 באַצייכענונג פון אינפֿאָרמאַציע | סטאָרידזש מעדיע זאָל זיין לייבאַלד לויט זייער קלאַסיפיקאַציע מדרגה |
| A.3.21 זיכערע באַזייַטיקונג אָדער ווידער-ניצן | באַזייַטיקונג פון ויסריכט וואָס כּולל סטאָרידזש מעדיע מוז נאָכפאָלגן זיכערע פּראָצעדורן |
| A.3.26 נוצן פון קריפּטאָגראַפי | ענקריפּשאַן רעקווייערמענץ פֿאַר מעדיע ווערן גאַווערנד דורך די קריפּטאָגראַפי פּאָליטיק |
| A.3.7 אינפֿאָרמאַציע איבערפֿירונג | פיזישע מעדיע איבערפירן איז איין פאָרעם פון אינפֿאָרמאַציע איבערפירן באדעקט דורך A.3.7 אינפֿאָרמאַציע איבערפֿירונג |
אויף וועמען גילט די קאנטראל?
A.3.20 איז א געטיילטע קאנטראל וואס גילט פאר ביידע PII קאנטראלערס און PII פראסעסארן. יעדע ארגאניזאציע וואס ניצט פיזישע אדער ארויסנעמבאַרע סטאָרידזש מעדיע פאר PII מוז פירן יענע מעדיע איבער איר גאנצן לעבן ציקל. דאס איז ספעציעל באַטייַטיק פאר ארגאניזאציעס וואס טראַנספערירן PII דורך ארויסנעמבאַרע מעדיע צווישן זייטלעך, צו דריטע פּאַרטיעס אדער צו קליענטן.
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
פארוואס קלייַבן ISMS.online פֿאַר סטאָרידזש מעדיע פאַרוואַלטונג?
ISMS.online גיט פּראַקטישע מכשירים פֿאַר פאַרוואַלטן סטאָרידזש מעדיע וואָס כּולל פּערזענלעך אינפֿאָרמאַציע (PII):
- אַסעט רעגיסטער — פירן א צענטראלן אינווענטאר פון אלע סטאָרידזש מעדיע, פארבונדן מיט קלאַסיפיקאַציע לעוועלס, אייגענטימער און פיזישע לאָקאַציעס, מיט לעבן-ציקל טראַקינג פון אַקוויזיציע ביז באַזייַטיקונג
- איבערפירן וואָרקפלאָוז — לאָגירן און אויטאָריזירן פיזישע מעדיע טראַנספערס מיט האַסקאָמע וואָרקפלאָוז, ענשורינג אַז יעדער באַוועגונג איז רעקאָרדעד און אָדיטאַבאַל
- באַזייַטיקונג טראַקינג — רעקאָרדירן זיכערע באַזייַטיקונג געשעענישן מיט סערטיפיקאַטן פון צעשטערונג, לינגקט גלייך צו די אַסעט רעגיסטער פֿאַר פולשטענדיקע שפּוראַביליטי
- פּאָליטיק פאַרוואַלטונג — פאַרעפֿנטלעכן און פֿאַרשפּרייטן סטאָרידזש מעדיע פּאָליטיקס מיט באַשטעטיקונג טראַקינג, אַזוי איר קענט ווייַזן אַז שטאַב פֿאַרשטייט די רעקווירעמענץ
- אוידיט באווייז פּאַקס — שאַפֿן פֿאַר-געבויטע באַווײַז פּאַקעטן פֿאַר A.3.20 וואָס ברענגען צוזאַמען אײַער מעדיע אינווענטאַר, טראַנספֿער לאָגס, באַזײַטיקונג רעקאָרדס און פּאָליטיק דערקענטענישן
FAQs
וואָס ציילט זיך ווי סטאָרידזש מעדיע אונטער דעם קאָנטראָל?
סטאָרידזש מעדיע נעמט אַרײַן יעדע פיזישע דעווײַס וואָס קען אויפֿהיטן דאַטן: USB פֿלעש דרייווס, עקסטערנע האַרט דרייווס, SD קאַרדס, אָפּטישע דיסקס (CDs, DVDs, Blu-ray), מאַגנעטישע טייפּס, סאָליד-סטעיט דרייווס און אפילו פּאַפּירענע רעקאָרדס. די קאָנטראָל דעקט ביידע אַרויסנעמבאַרע מעדיע און מעדיע וואָס איז אײַנגעבויט אין טראָגבאַרע עקוויפּמענט ווי לאַפּטאַפּס. אויב די מעדיע קען אויפֿהיטן PII און קען פֿאַרלאָזן די אָרגאַניזאַציעס פּרעמיסעס, פֿאַלט עס אַרײַן אין דעם ראַם פֿון A.3.20.
איז ענקריפּשאַן פארלאנגט פֿאַר אַלע אַרויסנעמבאַרע מעדיע?
די אנווייזונגען זאגן אז ענקריפּשאַן זאָל גענוצט ווערן וואו נאָר מעגלעך. נישט-ענקריפּטירטע מעדיע זאָל נאָר גענוצט ווערן וואו עס איז נישט מעגלעך, און קאָמפּענסירנדיקע קאָנטראָלן מוזן זיין אין פּלאַץ. אין פּראַקטיק, מאָדערנע האַרדווער-ענקריפּטירטע USB דרייווז און פול-דיסק ענקריפּשאַן מכשירים מאַכן ענקריפּשאַן מעגלעך אין כּמעט אַלע סצענאַרן. אוידיטאָרן וועלן דערוואַרטן אַ קלאָרע באַרעכטיקונג פֿאַר יעדן פאַל וואו ענקריפּשאַן ווערט נישט גענוצט.
ווי זאָלן אָרגאַניזאַציעס האַנדלען מיט וואָלקן סטאָרידזש אונטער דעם קאָנטראָל?
A.3.20 פאָקוסירט ספּעציפֿיש אויף פֿיזישע און אַרויסנעמבאַרע סטאָרידזש מעדיע אַנשטאָט וואָלקן סטאָרידזש. וואָלקן סטאָרידזש ווערט אַדרעסירט דורך אַנדערע קאָנטראָלן אַרייַנגערעכנט A.3.10 סאַפּלייער אַגרימאַנץ (סאַפּלייער אַגרימאַנץ) און A.3.7 אינפֿאָרמאַציע אַריבערפירן (אינפֿאָרמאַציע אַריבערפירן). אָבער, אויב דאַטן ווערט דאַונלאָודיד פֿון וואָלקן סטאָרידזש אויף אַרויסנעמבאַרע מעדיע, פֿאַלט יענע מעדיע גלייך אין דעם ראַם פֿון A.3.20 און מוז ווערן געראטן אַקאָרדינגלי.
רעקאָרדירט דעם קאָנטראָל אין אייער סטעיטמענט פון אַפּליקאַביליטי מיט אייער ימפּלעמענטאַציע צוגאַנג.
זעט אונדזער אנווייזונג וועגן באווייזן פארלאנגען פאר וואס אוידיטארן ערווארטן.
