וואָס דאַרף קאָנטראָל A.3.8?
דער גאַנצער לעבנס-ציקל פון אידענטיטעטן פֿאַרבונדן מיט PII פּראַסעסינג זאָל ווערן געראטן.
די קאנטראל געפינט זיך אין די געטיילטע זיכערהייט קאנטראלן ( טאבעלע A.3 ) און גילט פאר ביידע PII קאנטראלערס און PII פראסעסארס. עס פארברייטערט די סטאנדארט ISO 27001 אידענטיטעט פארוואלטונג רעקווייערמענטס צו ספעציפיש אדרעסירן סיסטעמען וואס פראצעסירן פערזענליכע דאטן, אנערקענענדיק אז קאמפראמיטירטע אידענטיטעטן זענען איינער פון די מערסטע פארשפרייטע וועגן צו פריוואטקייט בריטשעס.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.3.8) גיט דעטאַלירטע אנווייזונגען וועגן אידענטיטעט לעבן-ציקל פאַרוואַלטונג פֿאַר PII פּראַסעסינג סיסטעמען:
- קאָמפּראָמיטירטע קרעדענצן — אַדרעסירן סיטואַציעס וואו באַניצער אַקסעס קאָנטראָל איז קאָמפּראָמיטירט, אַזאַ ווי קאָרופּציע אָדער קאָמפּראָמיס פון פּאַסווערדז. האָבן פּראָצעדורן אין פּלאַץ צו דעטעקטירן און רעאַגירן צו קרעדענשאַל קאָמפּראָמיס געשווינד.
- דעאַקטיוויירטע/אויסגעגאַנגענע אידענטיטעטן — נישט ווידער ארויסגעבן דעאַקטיוויזירטע אָדער אויסגעלאָפֿענע באַניצער אידענטיטעטן פֿאַר PII פּראַסעסינג סיסטעמען. דאָס באַוואָרנט די אָרנטלעכקייט פון אָדיט טריילס און פאַרהיט אידענטיטעט צעמישונג.
- שערד פֿאַראַנטוואָרטלעכקייט — וואו קאסטומערס (למשל אין א SaaS קאנטעקסט) זענען פאראנטווארטלעך פאר געוויסע אספעקטן פון באניצער אידענטיפיקאציע פארוואלטונג, זאל דאס קלאר דאקומענטירט ווערן אין סערוויס אפמאכן.
- יוריסדיקציע-ספּעציפֿישע טשעקס — געוויסע יוריסדיקציעס פארלאנגען טשעקס פאר נישט גענוצטע קרעדענשעלס מיט א ספעציפישע אָפטקייט. אידענטיפיצירן און מקיים זיין אלע אזעלכע רעקווייערמענץ וואס זענען נוגע צו אייער ארגאניזאציע.
- זע אויך A.3.9: צוטריט רעכטן פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.3.23: זיכערע אויטענטיפֿיקאַציע פֿאַר פֿאַרבונדענע באַדערפֿנישן
די אנווייזונגען דעקן דעם גאנצן לעבנסציקל: שאפן, צושטעלן, מאדיפיצירן, סוספענדירן, דעאקטיווירן און אויסמעקן פון אידענטיטעטן. יעדע שטאפל זאל ווערן דאקומענטירט און קאנטראלירט.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.3.8 פּאַסט צו GDPR אַרטיקל 5(1)(f) (פּרינציפּ פֿון אינטעגריטעט און קאָנפֿידענציאַליטעט). שטאַרקע אידענטיטעט־פֿאַרוואַלטונג איז אַ הויפּט טעכנישע און אָרגאַניזאַציאָנעלע מאָסנאַם אונטער אַרטיקל 32 (זיכערהייט פֿון פּראָצעסירונג). קאָמפּראָמיטירטע אָדער שלעכט פֿאַרוואַלטעטע אידענטיטעטן קענען פֿירן צו אומאָטעריזירטן צוטריט צו פּערזענלעכע דאַטן, וואָס איז סײַ אַ זיכערהייט־אינצידענט און סײַ אַ פּאָטענציעלע דאַטן־בריטש וואָס פֿאָדערט אַ מעלדונג אונטער אַרטיקלען 33 און 34.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
אלס א געטיילטע זיכערהייט קאנטראל, שטיצט A.3.8 דעם ברייטערן ISO 29100 פריימווערק. אידענטיטעט מענעדזשמענט איז א דירעקטע אימפלעמענטאציע פון דעם אינפארמאציע זיכערהייט פרינציפ, וואס זיכערט אז נאר בארעכטיגטע יחידים קענען צוקומען צו PII און אז זייער צוטריט קען ווערן נאכגעפאלגט, איבערגעקוקט און אפגערופן איבערן גאנצן אידענטיטעט לעבנסציקל.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.3.8, וועלן אוידיטארן טיפיש זוכן:
- אידענטיטעט לעבן-ציקל פּראָצעדורן — דאקומענטירטע פּראָצעדורן וואָס דעקן די שאַפונג, מאָדיפיקאַציע, סאַספּענשאַן און דעאַקטיוואַציע פון באַניצער אידענטיטעטן פֿאַר PII פּראַסעסינג סיסטעמען
- פּראָצעס פֿון צוטרעטן/אויפֿציען/פֿאַרלאָזן — באווייזן אז אידענטיטעט ענדערונגען ווערן אויסגערופן דורך HR געשעענישן (נײַע אָנפֿאַנגער, ראָלע ענדערונגען, אָפּפֿאָרן) און ווערן באַלדיק אַקציע געטאָן
- קיין ווידער-ניצן פון דעאַקטיוויזירטע אידענטיטעטן — באווייזן אז דעאקטיוויזירטע אדער אויסגעלאפענע באניצער אידענטיפיקאציעס זענען נישט ווידער ארויסגעגעבן געווארן צו נייע באניצער אין PII פראצעסינג סיסטעמען
- נישט גענוצטע קרעדענשאַל באריכטן — באווייזן פון פעריאדישע איבערבליקן צו אידענטיפיצירן און דעאקטיוויזירן שלאפנדיקע אקאונטס, מיט דאקומענטירטע אָפטקייט און רעזולטאַטן
- קאָמפּראָמיס ענטפער — פּראָצעדורן און באַווײַזן פֿון רעאַקציע צו קרעדענשאַל קאָמפּראָמיס געשעענישן (פּאַראָל ריסעטס, קאָנטאָ לאַקאַוטס, אויספֿאָרשונג רעקאָרדס)
- סערוויס אַגרימאַנץ — וואו קאסטומערס פירן זייערע אייגענע באניצער אידענטיפיקאציעס, אפמאכן וואס קלאר דעפינירן אחריותן
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.3.4 ראָלעס און פֿאַראַנטוואָרטלעכקייטן | דעפינירטע ראָלעס באַשטימען וואָס צוטריט יעדע אידענטיטעט זאָל האָבן |
| A.3.5 קלאַסיפֿיקאַציע פֿון אינפֿאָרמאַציע | צוטריט צו העכער-קלאַסיפיצירטע פּערזענלעך אינפארמאציע אינפֿאָרמאַציע זאָל זיין באַגרענעצט צו צוגעפאסט בארעכטיגטע אידענטיטעטן |
| א.3.3 פּאַלאַסיז פֿאַר אינפֿאָרמאַציע זיכערהייט | אידענטיטעט פאַרוואַלטונג פּראָצעדורן זאָלן ימפּלאַמענטירן די אַקסעס קאָנטראָל רעקווירעמענץ דעפינירט אין זיכערהייט פּאָליטיק |
| A.3.7 אינפֿאָרמאַציע איבערפֿירונג | אידענטיטעטן געניצט צו צוטריטן טראַנספער סיסטעמען מוזן זיין געראטן דורך די זעלבע לעבן-ציקל קאָנטראָלס. |
| A.3.12 רעאַקציע צו זיכערהייט אינצידענטן | אידענטיטעט קאָמפּראָמיס וואָס פירט צו נישט-אָטעריזירטן צוטריט קען אַרויסרופן בריטש מעלדונג פליכטן |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג באדעקט געווארן אונטער קלאָז 6.6.2.1 (באַניצער רעגיסטראַציע און דערעגיסטראַציע). די 2025 ווערסיע פארברייטערט דעם פארנעם צו אויסדריקליך דעקן דעם גאנצן אידענטיטעט לעבנסציקל, נישט נאר רעגיסטראַציע און דערעגיסטראַציע. די אנווייזונגען שליסן איצט איין ספעציפישע פארארדענונגען פאר קאמפראמיטירטע קרעדענשאַלז, נישט-ווידערניצן פון דעאַקטיוויזירטע אידענטיטעטן, און יוריסדיקציע-ספעציפישע קרעדענשאַל קאָנטראָל רעקווייערמענץ. זעט די אַנעקס F קארעספאנדענץ טאַבעלע פאר די פולע מאַפּינג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
פארוואס קלייַבן ISMS.online פֿאַר אידענטיטעט פאַרוואַלטונג גאַווערנאַנס?
ISMS.online העלפט אייך פירן דעם אידענטיטעט לעבנסציקל פאר PII פראצעסירונג סיסטעמען:
- צוטריט קאָנטראָל רעגיסטרירן — דאָקומענטירן ווער האט צוטריט צו וועלכע PII פּראַסעסינג סיסטעמען, מיט ראָלע-באַזירטע צוטריט לעוועלס לינגקט צו דעפינירטע פֿאַראַנטוואָרטלעכקייטן
- צוגענג/מוווער/פארלאז וואָרקפלאָוז — אויסלעזן אידענטיטעט פראוויזשאנינג, מאדיפיקאציע און דעאקטיוואציע אויפגאבן פון HR געשעענישן, מיט געטראַקטע קאַמפּלישאַן און האַסקאָמע
- פּעריִאָדישע צוטריט איבערבליקן — פּלאַנירן און טראַקן צוטריט באריכטן פֿאַר PII פּראַסעסינג סיסטעמען, מיט איינגעבויטע דערמאָנונגען און אַן אויডিץ שפּור פון באריכטן רעזולטאַטן
- אינצידענט ענטפער — לאָגירן קרעדענשאַל קאָמפּראָמיס געשעענישן און טראַקן די ענטפער ביז לייזונג, אַרייַנגערעכנט באַווייַזן פון רעמעדיאַטיאָן אַקשאַנז גענומען
- סאַפּלייער צוטריט גאַווערנאַנס — וואו דריטע פּאַרטייען אדער קאַסטאַמערז פאַרוואַלטן זייערע אייגענע אידענטיטעטן, דאָקומענטירן דעם מאָדעל פֿאַר געטיילטע פֿאַראַנטוואָרטלעכקייט און מאָניטאָרירן די העסקעם
- קאָמפּליאַנסע ריפּאָרטינג — שאַפֿן באַריכטן וועגן אידענטיטעט גאַווערנאַנס סטאַטוס, אַרייַנגערעכנט שלאָפֿנדיקע אַקאַונץ, פֿאַרשפּעטיקטע איבערבליקן און אָפֿן אַקסעס ענדערונג ריקוועסץ
FAQs
פארוואס זאָלן דעאַקטיוויזירטע באַניצער אידענטיטעטן נישט ווידער ארויסגעגעבן ווערן?
ווידער ארויסגעבן א דעאקטיוויזירטע באניצער אידענטיפיקאציע צו א נייעם מענטש שאפט אומקלארקייט אין די אוידיט טרעילס. אויב א סיסטעם לאגט אקציעס לויט באניצער אידענטיפיקאציע, ווערט עס אוממעגלעך צו אונטערשיידן צווישן די אקציעס גענומען דורך די ארגינעלע און שפעטערע האלטערס פון יענעם אידענטיפיקאציע. פאר PII פראצעסינג סיסטעמען, וואו אוידיט טרעילס זענען קריטיש פארן דעמאנסטרירן קאמפלייענס און אויספארשן אינצידענטן, איז די אומקלארקייט נישט אקצעפטירבאר. שטענדיג שאפט נייע, אייגנארטיגע באניצער אידענטיפיקאציעס פאר נייע באניצער.
ווי אָפט זאָלן מיר קאָנטראָלירן פֿאַר נישט גענוצטע קרעדענצן?
מינדעסטנס, איבערקוקן נישט גענוצטע קרעדענשעלס יעדן קווארטאל. געוויסע יוריסדיקציעס אדער אינדוסטריע רעגולאציעס קענען פארלאנגען מער אפטע קאנטראלן. אויטאמאטישע געצייג קענען אנצייכענען אקאונטס וואס זענען נישט גענוצט געווארן אין א באשטימטן צייט (למשל 90 טעג), און דאס ערלויבט אייער מאנשאפט צו אויספארשן און דעאקטיווירן שלאפע אקאונטס שנעל. קאמבינירט אויטאמאטישע דעטעקציע מיט א מאנועלן איבערבליק פראצעס צו כאפן אקאונטס וואס זענען מעגליך פארפעלט געווארן.
וואָס זאָלן מיר טאָן ווען קרעדענצן ווערן קאָמפּראָמיטירט?
גלייך איבערשטעלן אדער אפשטעלן די קאמפראמיטירטע קרעדענשעלס און אויספארשן דעם פארנעם פון דער קאמפראמיזאציע. באשטימען צי עפעס פערזענליכע אינפארמאציע איז געווארן צוטריטלעך אדער אויסגעכאפט. אויב א פערזענליכע דאטן בריטש איז פארגעקומען, אפשאצן די נויטווענדיקייט פאר נאטיפיקאציע אונטער די אנwendיקע געזעצגעבונג (למשל GDPR ארטיקלען 33 און 34). דאקומענטירן דעם אינצידענט, די רעאקציע אקציעס וואס זענען גענומען געווארן און די רעזולטאטן. איבערקוקן די וואָרצל אורזאך און איינפירן מיטלען צו פארמיידן איבערחזרונג, ווי דורכפירן מולטי-פאקטאר אויטענטיפיקאציע אדער פארשטארקן פאסווארט פאליסיס.
דאָקומענטירט דעם קאָנטראָל אין אייער סטעיטמענט פון אַפּליקאַביליטי מיט אייער ימפּלעמענטאַציע באַגרינדונג.
זעט אונדזער אנווייזונג וועגן באווייזן פארלאנגען פאר וואס אוידיטארן ערווארטן.
