ISO 27701 — şəxsi məlumatların idarə olunmasına yönəlmiş ISO 27001 standartının genişləndirilməsidir (Privacy Information Management System, PIMS). O, təşkilatlara şəxsi məlumatları qorumaqda və GDPR kimi beynəlxalq tənzimləyicilərin, eləcə də Qazaxıstan Respublikasının “Şəxsi məlumatlar və onların qorunması haqqında” qanununun tələblərinə uyğunlaşmaqda kömək etmək üçün hazırlanmışdır. Məlumatların məxfiliyinin pozulmasının ciddi hüquqi və maliyyə nəticələrə səbəb ola biləcəyi şəraitdə, ISO 27701 üzrə sertifikasiya şəxsi məlumatların qorunmasına və onların effektiv idarə olunmasına çalışan şirkətlər üçün zəruri bir tələbə çevrilir.
ISO 27001 və ISO 27701 arasındakı fərqlər
Hər iki standart informasiya təhlükəsizliyi ilə əlaqəli olsa da, onların yönümləri fərqlidir:
- ISO 27001 — informasiya təhlükəsizliyi idarəetmə sistemi (ISMS) üçün tələbləri müəyyən edən standartdır. O, məlumatın növündən asılı olmayaraq ümumilikdə məlumatın məxfiliyinin, bütövlüyünün və əlçatanlığının qorunmasına fokuslanır.
- ISO 27701 — ISO 27001 standartının genişləndirilməsidir və şəxsi məlumatların (PII) idarə olunmasına yönəlib. O, fiziki şəxslərin məlumatlarının qorunması və onların emalı ilə bağlı əlavə tələblər və tövsiyələri, o cümlədən məxfilik aspektlərini əhatə edir.
ISO 27701-in tətbiqi yalnız artıq mövcud olan ISO 27001 sistemi əsasında mümkündür. Bu isə şəxsi məlumatların idarə edilməsini şirkətin ümumi informasiya təhlükəsizliyi sisteminə inteqrasiya etməyə imkan verir.
ISO 27701 GDPR və digər tənzimləyicilərin tələblərinə uyğunluğa necə kömək edir
Son illərdə bütün dünyada, o cümlədən Qazaxıstanda şəxsi məlumatların qorunması ilə bağlı tələblər sərtləşir. Avropada GDPR kimi tənzimləyicilər şirkətlərdən şəxsi məlumatların toplanması, emalı və saxlanması ilə bağlı yüksək səviyyədə şəffaflıq tələb edir. Bu tələblərə uyğun gəlməmək böyük cərimələrə və reputasiya itkisinə səbəb ola bilər.
ISO 27701 şirkətlərə bu tələblərə aşağıdakı yollarla uyğunlaşmağa kömək edir:
- Məlumatların emalında şəffaflıq: Standart məlumat subyektlərinin hansı şəxsi məlumatların toplandığı, necə istifadə edildiyi və harada saxlanıldığı barədə məlumatlandırılması üçün aydın tələblər müəyyən edir.
- Risklərin idarə olunması: ISO 27701 şəxsi məlumatların emalı ilə bağlı risklərin qiymətləndirilməsini və onların minimuma endirilməsi üçün tədbirlərin tətbiqini tələb edir.
- Məlumat subyektlərinin hüquqları: Standart məlumat subyektlərinin hüquqlarının təmin olunması üçün prosesləri tənzimləyir. Bunlara şəxsi məlumatlara çıxış, onların düzəldilməsi və silinməsi hüquqları daxildir.
- Sənədləşdirmə və hesabatlılıq: ISO 27701-in tətbiqi şəxsi məlumatların emalı ilə bağlı bütün proseslərin ətraflı sənədləşdirilməsini tələb edir. Bu isə tənzimləyici tələblərin yerinə yetirilməsini və hesabatların hazırlanmasını asanlaşdırır.
Beləliklə, ISO 27701 üzrə sertifikasiya Qazaxıstanda və digər ölkələrdə fəaliyyət göstərən şirkətlərə tənzimləyici tələblərə uyğun gəlməməkdən irəli gələn cərimələrdən və hüquqi risklərdən qaçmağa kömək edir.
ISO 27701-in tətbiqi: biznes üçün əsas addımlar və üstünlüklər
ISO 27701-in tətbiqi prosesi mürəkkəb görünə bilər, lakin onun strukturlaşdırılmış yanaşması şəxsi məlumatların uğurlu idarə olunmasını təmin edir. Əsas addımlar bunlardır:
- Mövcud proseslərin təhlili: Mövcud informasiya təhlükəsizliyi idarəetmə sisteminin (ISO 27001) qiymətləndirilməsi və ISO 27701 tələblərinə uyğunlaşmaq üçün dəyişiklik tələb edən sahələrin müəyyən edilməsi.
- Məsuliyyətin müəyyən edilməsi: Şəxsi məlumatların idarə olunmasına cavabdeh şəxslərin təyin edilməsi, o cümlədən proses sahibləri və məlumat nəzarətçiləri.
- Risklərin müəyyənləşdirilməsi və qiymətləndirilməsi: Şəxsi məlumatların emalı ilə bağlı risklərin təhlilinin aparılması və onların azaldılması üçün tədbirlərin hazırlanması.
- Məxfilik siyasətinin hazırlanması və tətbiqi: Şəxsi məlumatların emalını tənzimləyən məxfilik siyasətinin və prosedurların yaradılması və ya uyğunlaşdırılması.
- İşçilərin təlimi və məlumatlılığının artırılması: ISO 27701 tələbləri və şəxsi məlumatların idarə olunması üzrə bacarıqlar barədə məlumatlılığı artırmaq üçün əməkdaşlar üçün təlimlərin keçirilməsi.
- Daxili audit və düzəldici tədbirlər: Rəsmi sertifikasiyadan əvvəl uyğunsuzluqların aşkar edilməsi və aradan qaldırılması üçün müntəzəm daxili yoxlamaların aparılması.
ISO 27701-in tətbiqinin biznes üçün üstünlükləri bunlardır:
- Müştəri etibarının artması: ISO 27701 üzrə sertifikasiya müştərilərə və tərəfdaşlara göstərir ki, şirkət onların məlumatlarının qorunmasına və beynəlxalq standartlara riayət olunmasına ciddi yanaşır.
- Risklərin azalması: PIMS-in tətbiqi məlumat sızması risklərini və bununla bağlı sanksiyaları əhəmiyyətli dərəcədə azaltmağa imkan verir.
- Rəqabət üstünlüyü: Qazaxıstanda, eləcə də beynəlxalq səviyyədə ISO 27701 sertifikatına malik şirkətlərin məlumatların qorunmasını vacib meyar hesab edən müştəri və tərəfdaşları cəlb etmək şansı daha yüksəkdir.
- Proseslərin yaxşılaşdırılması: İnformasiya idarəetmə standartları daxili proseslərin optimallaşdırılmasına və şirkətin fəaliyyətinin səmərəliliyinin artırılmasına kömək edir.
Qazaxıstanda rəqəmsal iqtisadiyyatın sürətlə inkişaf etdiyi şəraitdə bu standartlar üzrə sertifikasiya uzunmüddətli uğur və davamlı inkişaf əldə etməyə çalışan hər bir biznes üçün zəruri addıma çevrilir.