ISO/IEC 27018:2019 КОДЕКС ЗА ДОБРА ПРАКТИКА ЗА ЗАЩИТА НА ЛИЧНИ ДАННИ В ОБЩЕСТВЕНИ ОБЛАЦИ, ДЕЙСТВАЩИ КАТО АДМИНИСТРАТОРИ НА ЛИЧНИ ДАННИ

Iso 27018

Какво представлява ISO/IEC 27018

ISO/IEC 27018 е международен стандарт, който предлага насоки за защита на личните данни в обществени облачни среди, където доставчиците на облачни услуги действат като администратори на лични данни. Стандартът е създаден с цел да подпомогне доставчиците на облачни услуги при внедряването на мерки за защита на личната информация (Personally Identifiable Information – PII), като същевременно осигурява съответствие с правните и регулаторни изисквания, като Общия регламент за защита на данните (GDPR).

Основни цели на стандарта

ISO/IEC 27018 има за цел да осигури добра практика за управление на защитата на личните данни в обществени облачни среди. Стандартът се фокусира върху това как доставчиците на облачни услуги могат да защитят личните данни на своите клиенти, като включва специфични насоки и контролни мерки, които трябва да бъдат внедрени.

Основните цели включват:

  • Осигуряване на прозрачност за клиентите относно това как се обработват личните данни.
  • Гарантиране, че личните данни в обществени облаци са защитени срещу злоупотреба, достъп от неоторизирани лица или загуба.
  • Предоставяне на насоки за съответствие с международни и регионални правни и регулаторни изисквания за защита на данните, като GDPR.

Ключови принципи на ISO/IEC 27018

  1. Информираност и съгласие: Личните данни трябва да бъдат обработвани само с информирано съгласие от субекта на данните. Доставчиците на облачни услуги трябва да осигурят, че техните клиенти са наясно каква информация се събира и как ще бъде използвана.
  2. Контрол върху данните: Клиентите на облачните услуги трябва да имат контрол върху своите данни, включително възможността за достъп, коригиране и изтриване на личната информация.
  3. Прозрачност: Доставчиците на обществени облачни услуги трябва да предоставят ясна информация за своите политики за защита на личните данни и мерките, които прилагат, за да гарантират съответствие с изискванията за поверителност.
  4. Сигурност на данните: Трябва да се прилагат подходящи технически и организационни мерки за защита на личните данни от загуба, неоторизиран достъп или изтичане.
  5. Уведомяване за инциденти: В случай на нарушение на сигурността на данните, доставчикът на облачни услуги трябва да информира своите клиенти за инцидента и да предприеме необходимите мерки за неговото отстраняване.

Основни контролни мерки в ISO/IEC 27018

Идентификация и автентикация:

  • Изисквания за защитен достъп до личните данни чрез подходящи методи за идентификация и автентикация на потребителите.

Управление на инциденти:

  • Осигуряване на процеси за откриване, докладване и реагиране при нарушения на сигурността на данните. Включва уведомяване на клиента за инциденти, свързани с личните данни.

Защита на данни в движение:

  • Гарантиране, че личните данни са защитени по време на пренос, като се използват криптиращи технологии или други подходящи методи за защита.

Обработка на данни от трети страни:

  • Осигуряване, че доставчиците на облачни услуги, които възлагат обработката на лични данни на трети страни, изискват от тях да спазват същите стандарти за сигурност и поверителност.

Изтриване на данни:

  • След приключване на договора с клиента, доставчикът на облачни услуги трябва да осигури безопасно изтриване на личните данни, за да предотврати неоторизиран достъп или възстановяване на данните.

Връзка с ISO/IEC 27001 и ISO/IEC 27002

ISO/IEC 27018 е допълнение към стандартите ISO/IEC 27001 и ISO/IEC 27002, които предоставят общи насоки за управление на информационната сигурност. Докато ISO/IEC 27001 обхваща общите изисквания за система за управление на информационната сигурност (ISMS), ISO/IEC 27018 се фокусира върху специфичните изисквания за защита на личните данни в облачни среди.

Значение на ISO/IEC 27018 за организациите

За организациите, които предоставят облачни услуги или използват такива, ISO/IEC 27018 е важен инструмент за осигуряване на съответствие с изискванията за защита на личните данни и изграждане на доверие сред клиентите. Сертифицирането по този стандарт показва на клиентите и регулаторните органи, че организацията спазва най-добрите практики за защита на личните данни в облачните среди.

ISO/IEC 27018 е важен стандарт за всяка организация, която обработва лични данни в обществени облаци. Той предоставя ясни насоки за сигурността на данните, като гарантира, че доставчиците на облачни услуги спазват най-добрите практики за защита на личните данни и съответстват на международните регулаторни изисквания.