וואָס דאַרף קאָנטראָל A.3.31?
טעסט אינפֿאָרמאַציע שייך צו PII פּראַסעסינג זאָל זיין צונעמען אויסגעקליבן, פּראָטעקטעד און געראטן.
די קאנטראל געפינט זיך אינעם "געטיילטע זיכערהייט קאנטראלן" אנעקס (A.3) און אדרעסירט איינע פון די מערסטע פארשפרייטע סיבות פון אומנייטיקע PII אויסשטעלונג: קאפירן פראדוקציע דאטן אין טעסט און אנטוויקלונג סביבות. טעסט סביבות האבן טיפיש שוואכערע צוטריט קאנטראלן, ברייטערע צוטריט, ווייניגער מאניטארינג און מער צייטווייליגע אינפראסטרוקטור ווי פראדוקציע סיסטעמען, מאכנדיג זיי א באדייטנדיקע פריוואטקייט ריזיקע אויב זיי אנטהאלטן עכטע PII.
וואָס זאָגט די אַנעקס ב' אימפּלעמענטאַציע גיידליינז?
אַנעקס ב (סעקציע ב.3.31) גיט די פאלגענדע אנווייזונגען:
- בעסער סינטעטישע דאטן — פּערזענלעכע אינפארמאציע (PII) זאָל נישט געניצט ווערן פֿאַר טעסטינג צוועקן; פאַלשע אָדער סינטעטישע PII זאָל געניצט ווערן אַנשטאָט
- צולייגן עקוויוואַלענטע קאָנטראָלס ווען פּערזענלעך אינפארמאציע איז נישט צו פארמיידן — וואו מען קען נישט אויסמיידן די נוצֿונג פֿון פּערזענלעך אינפארמאַציע (PII) פֿאַר טעסטינג צוועקן, זאָלן טעכנישע און אָרגאַניזאַציאָנעלע מיטלען וואָס זענען גלייך צו די וואָס ווערן גענוצט אין דער פּראָדוקציע סביבה ווערן איינגעפֿירט כּדי צו מינימיזירן די ריזיקעס.
- ריזיקע אפשאצן ווען עקוויוואַלענטע קאָנטראָלן זענען נישט מעגלעך — וואו אזעלכע עקוויוואַלענטע מיטלען זענען נישט מעגלעך, זאָל מען דורכפירן אַ ריזיקאָ-אָפּשאַצונג און נוצן עס צו ידענטיפיצירן די אויסוואַל פון פּאַסיקע מיטיגירנדיקע קאָנטראָלן.
- זע אויך A.3.28: אַפּליקאַציע זיכערהייט רעקווייערמענץ פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.3.29: זיכערע סיסטעם אַרכיטעקטור און אינזשעניריע פּרינציפּן פֿאַר פֿאַרבונדענע באַדערפֿנישן
די אנווייזונגען שטעלן פעסט א קלארע כייעראַרכיע: סינטעטישע דאַטן ערשט, דערנאָך פּראָדוקציע-עקוויוואַלענטע קאָנטראָלן אויב עכטע פּערזענלעך אינפארמאציע איז נישט צו פארמיידן, און דערנאָך ריזיקאָ-אָפּגעשאַצטע מיטלען ווי אַ לעצטע מיטל. די גראַדויִרטע צוגאַנג אנערקענט אַז עטלעכע טעסט סצענאַרן קענען טאַקע דאַרפן עכטע דאַטן, בשעת זי מאַכט קלאָר אַז דאָס זאָל זיין די אויסנאַם אלא ווי די הערשן.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.3.31 מאַפּט זיך צום פאלגנדן GDPR אַרטיקל:
- אַרטיקל 5(1)(f) — דער פּרינציפּ פֿון אָרנטלעכקייט און קאָנפֿידענציאַליטעט, וואָס פֿאָדערט אַ פּאַסיקע זיכערהייט פֿון פּערזענלעכע דאַטן, אַרײַנגערעכנט שוץ קעגן נישט-אָטעריזירטער פֿאַראַרבעטונג
ניצן עכטע פערזענלעכע אינפארמאציע (PII) אין טעסט סביבות וואו זיכערהייט קאנטראלן זענען שוואכער ווי פראדוקציע איז א דירעקטע פארלעצונג פון ארטיקל 5(1)(f). אויפזיכט אויטאריטעטן האבן גענומען דורכפירונג אקציע קעגן ארגאניזאציעס וואס האבן אויסגעשטעלט פערזענלעכע דאטן דורך נישט גענוג זיכערע טעסט סביבות.
פֿאַר די פולע GDPR-צו-ISO 27701 מאַפּינג, זעט GDPR קאָנפאָרמאַנס גייד.
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג באדעקט געווארן דורך קלאָז 6.11.3.1 (שוץ פון טעסט דאטן). די 2025 אויסגאבע האלט די קערן פארלאנגען ווי A.3.31 מיט די אימפלעמענטאציע אנווייזונגען אין B.3.31 וואס צושטעלן יעצט א קלארערע דריי-שטאפליגע כייעראַרכיע פאר טעסט דאטן פארוואלטונג: סינטעטישע דאטן, עקוויוואַלענטע קאנטראלן, און דערנאך ריזיקע-אפגעשאצטע מיטיגאציעס. זעט די אנעקס F קארעספאנדענץ טאבעלע פאר די פולע מאַפּינג.
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.3.31, וועלן אוידיטארן טיפיש זוכן:
- טעסט דאַטן פּאָליטיק — א דאקומענטירטע פאליסי וואס ספעציפיצירט אז סינטעטישע אדער אנאנימיזירטע דאטן מוזן גענוצט ווערן פאר טעסטן, מיט א דעפינירטן פראצעס פאר אויסנאמליכע פעלער וואו עכטע פערזענליכע אינפארמאציע איז פארלאנגט.
- סינטעטישע דאַטן קייפּאַביליטי — באַווײַזן אַז די אָרגאַניזאַציע האָט מכשירים אָדער פּראָצעסן צו שאַפֿן רעאַליסטישע אָבער אויסגעטראַכטע טעסט דאַטן
- זיכערהייט פון טעסט סביבה — וואו עכטע PII ווערט גענוצט אין טעסטינג, באווייז אז די טעסט סביבה האט זיכערהייט קאנטראלן עקוויוואלענט צו פראדוקציע (צוטריט קאנטראלן, ענקריפּשאַן, לאָגינג, מאָניטאָרינג)
- ריזיקירן אַסעסמאַנץ — וואו גלייכגעוויכטיקע קאנטראלן זענען נישט מעגלעך, דאקומענטירטע ריזיקע אפשאצונגען וואס אידענטיפיצירן די ריזיקעס און אויסגעקליבענע פארמינדערנדיקע קאנטראלן
- טעסט דאַטן לעבן-ציקל פאַרוואַלטונג — באווייזן אז עכטע פערזענלעכע אינפארמאציע (PII) גענוצט אין טעסטינג ווערט אוועקגענומען אדער פארניכטעט נאכדעם וואס דער טעסטינג צוועק איז פארענדיגט
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.3.27 זיכערער אנטוויקלונג לעבנסציקל | טעסט דאַטן פאַרוואַלטונג זאָל זיין עמבעדיד אין די אַנטוויקלונג לעבן ציקל |
| A.3.30 אויסגעסאָורסטע אַנטוויקלונג | אויסגעסאָורסטע דעוועלאָפּערס טאָרן נישט נוצן עכטע פּערזענלעך אינפֿאָרמאַציע (PII) פֿאַר טעסטינג. |
| A.1.4.6 דע-ידענטיפֿיקאַציע און אויסמעקן | דע-ידענטיפֿיקאַציע טעקניקס קענען שאַפֿן נוציקע טעסט דאַטן פֿון פּראָדוקציע דאַטן |
| A.3.9 צוטריט רעכטן | צוטריט צו טעסט סביבות וואָס אַנטהאַלטן עכטע פּערזענלעך אינפארמאציע מוזן זיין קאָנטראָלירט |
| A.3.25 לאָגינג | צוטריט צו PII אין טעסט סביבות זאָל זיין לאָגד |
אויף וועמען גילט די קאנטראל?
A.3.31 איז א געטיילטע קאנטראל וואס גילט פאר ביידע PII קאנטראלערס און PII פראסעסארן. יעדע ארגאניזאציע וואס טעסט סיסטעמען וואס פראצעסירן PII מוז פארוואלטן טעסט דאטן ריכטיג. דאס איז ספעציעל וויכטיג פאר SaaS פראוויידערס, ווייכווארג הייזער און פארוואלטעטע סערוויס פראוויידערס וואו אנטוויקלונג און טעסטן זענען אנגייענדע אקטיוויטעטן אנשטאט איין-מאל פראיעקטן.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
פארוואס קלייַבן ISMS.online פֿאַר טעסט דאַטן פאַרוואַלטונג?
ISMS.online גיט פּראַקטישע מכשירים פֿאַר זיכער פאַרוואַלטן טעסט אינפֿאָרמאַציע:
- פּאָליטיק פאַרוואַלטונג — פאַרעפֿנטלעכן טעסט דאַטן פּאָליטיקס מיט ווערסיע קאָנטראָל און שטעקן דערקענטעניש טראַקינג
- ריזיקירן אַסעסמאַנץ — דורכפירן צילגעריכטעטע ריזיקע אפשאצונגען פאר סצענארן וואו עכטע PII אין טעסטן איז אומפארמיידלעך, מיט דאקומענטירטע פארמינדערנדיקע קאנטראלן.
- ויסנעם פאַרוואַלטונג — נאכפאלגן באשטעטיגטע אויסנעמען וואו עכטע PII ווערט גענוצט פאר טעסטן, אריינגערעכנט בארעכטיקונג, באשטעטיגונג, זיכערהייט מיטלען אנגעווענדט און באשטעטיקונג פון דאטן פארניכטונג
- העסקעם מאָניטאָרינג — מאָניטאָרירן די קאָנפאָרמאַטי פון דיין טעסט דאַטן פּאָליטיק אין אַלע אַנטוויקלונג טימז
- באַווייז פאַרוואַלטונג — אויפֿהיטן טעסט דאַטן פאַרוואַלטונג באַווייַזן אַרייַנגערעכנט סינטעטיש דאַטן קייפּאַבילאַטי דאָקומענטאַציע, ריזיקירן אַסעסמאַנץ און אויסנאַם רעקאָרדס פֿאַר אָדיט גרייטקייט
FAQs
ווען איז עס פּאַסיק צו נוצן עכטע פּערזענלעך אינפארמאציע (PII) פֿאַר טעסטינג?
עכטע PII זאָל נאָר גענוצט ווערן ווען סינטעטישע דאַטן קענען נישט גענוג נאָכמאַכן דעם טעסט סצענאַר. געוויינטלעכע באַרעכטיקונגען אַרייַננעמען: טעסטן דאַטן מיגראַציע פון אַ לעגאַסי סיסטעם (וואו די דאַטן סטרוקטור און אינהאַלט מוזן וועראַפייד ווערן), דיאַגנאָזירן אַ פּראָדוקציע פּראָבלעם וואָס קען נישט רעפּראָדוצירט ווערן מיט סינטעטישע דאַטן, אָדער פאָרשטעלונג טעסטינג וואו דאַטן באַנד און קעראַקטעריסטיקס מוזן גלייַכן פּראָדוקציע. אין אַלע פאלן, אַ ריזיקירן אַסעסמאַנט מוז דורכגעפירט ווערן, עקוויוואַלענט זיכערהייט קאָנטראָלס זאָלן געווענדט ווערן, און די עכטע PII מוז אַוועקגענומען ווערן פון דער טעסט סביבה אַמאָל דער טעסט ציל איז געענדיקט.
וואָסערע טעכניקן קען מען נוצן צו שאַפֿן סינטעטישע טעסט דאַטן?
געוויינטלעכע טעכניקן שליסן איין: דאטן דזשענעריישאַן מכשירים וואָס שאַפֿן רעאַליסטישע אָבער פיקטיווע רעקאָרדס (נעמען, אַדרעסן, אידענטיפיצירער); דאטן מאַסקינג אָדער פּסעוודאָניזאַציע וואָס פאַרבייט פאַקטישע PII ווערטן מיט פיקטיווע ווערטן בשעת פּראַזערווינג דאַטן סטרוקטור און באַציאונגען; דאַטן סאַבסעטטינג וואָס נעמט אַ קליין מוסטער פון פּראָדוקציע און אַנאָנימייזיז עס; און דאַטן סינטעז מכשירים וואָס נוצן סטאַטיסטישע מאָדעלס צו דזשענערירן דאַטן מיט די זעלבע פאַרשפּרייטונג קעראַקטעריסטיקס ווי פּראָדוקציע דאַטן. דער צוגאַנג זאָל פּראַזערווירן די טעסטינג ווערט פון די דאַטן בשעת עלימינירן די פּריוואַטקייט ריזיקירן.
וואָסערע זיכערהייט קאָנטראָלן זענען נויטיק פֿאַר טעסט סביבות מיט עכטע פּערזענלעך אינפארמאציע (PII)?
דער סטאַנדאַרט פארלאנגט קאָנטראָלן וואָס זענען גלייך צו די אין דער פּראָדוקציע סביבה. דאָס נעמט טיפּיש אַרײַן: דער זעלביקער אַקסעס קאָנטראָל מאָדעל מיט די זעלבע אויטענטיפֿיקאַציע רעקווייערמענץ; ענקריפּשאַן אין רו און אין טראַנזיט; לאָגינג און מאָניטאָרינג פון אַלע דאַטן אַקסעס; רעגולער אַקסעס איבערבליקן; זיכער סביבה אפגעזונדערטקייט פון עפנטלעכע נעטוואָרקס; און דאַטן צעשטערונג פּראָצעדורן ווען טעסטינג איז פֿאַרענדיקט. פילע אָרגאַניזאַציעס געפֿינען עס פּשוטער און ווייניקער ריזיקאַליש צו ינוועסטירן אין סינטעטישע דאַטן קייפּאַבילאַטי אלא ווי דופּליקירן פּראָדוקציע זיכערהייט קאָנטראָלן אַריבער קייפל טעסט סביבות.
אַרייננעמען טעסט דאַטן קאָנטראָלס אין אייער סטעיטמענט פון אַפּליקאַביליטי.
זעט אונדזער אנווייזונג וועגן רעקווייערמענץ פאר אוידיט פאר וואס אוידיטארן ערווארטן וועגן טעסט דאטן שוץ.
