Ipinapakita ng certification mark na may naitatag na proseso sa privacy management ang isang organisasyon; hindi nito awtomatikong pinatutunayang compliant ang paggamit mo ng data. Alamin ang ugnayan ng ISO/IEC 27701 at 27001, saklaw ng PIMS, at kung paano ito basahin sa pagpili ng tool.
Kapag pumipili ng tool, madalas kang makakita ng hanay ng mga marka sa footer ng website: ISO 27001, ISO 27701, SOC 2. Karamihan ay titingin lang sandali at magpapatuloy dahil hindi malinaw kung ano ang ibig sabihin ng mga ito o kung gaano sila kapaki-pakinabang. Pero kung ilalagay mo sa isang platform ang account data, impormasyon ng customer, at operational configurations, ang mga markang ito ay kabilang sa iilang bagay na puwede mong suriin bago ka pa magbayad.
Karapat-dapat tingnan nang hiwalay ang ISO/IEC 27701. Bahagi ito ng parehong pamilya ng mas kilalang 27001, pero magkaiba ang saklaw ng mga ito. Dito nagsisimula ang maraming maling pagbasa.
Ang 27701 ay pagpapalawak ng 27001 tungo sa privacy
Ang 27001 ay tungkol sa information security: huwag mawala ang data at huwag itong mapunta sa mga taong walang pahintulot, habang nakalista sa 27002 ang mas detalyadong controls. Ang 27701 ay hindi isang hiwalay na framework na nagsisimula sa wala. Nagdaragdag ito ng layer sa umiiral na framework para sa personal information: anong fields ang kinokolekta, para saan ginagamit, gaano katagal itinatago, sino ang may access, at paano tinutugunan ang mga kahilingan ng data subjects.
Itinatakda ng standard ang mga requirement para sa mga organisasyong gumaganap bilang controllers at processors ng personal information, at nagbibigay rin ito ng kaugnay na guidance. Sa pamamahala, nagiging PIMS ito, o Privacy Information Management System: may taong responsable, may nakasulat na depinisyon, at may mga prosesong aktuwal na tumatakbo.
Madalas ding baligtad ang pagkakalarawan sa ugnayan nito sa mga batas gaya ng GDPR. Ang standard ay hindi batas, at hindi inaalis ng certification ang pananagutan sa mga regulator. Gayunman, malinaw na nakaayon ang disenyo ng 27701 sa accountability approach ng GDPR. Ang records ng lawfulness, pagtugon sa data-subject rights, mga limitasyon sa cross-border transfers, at incident-notification paths ay may katumbas na management requirements sa standard. Kaya karaniwang ibig sabihin ng certification na ang mga bahagi ng regulatory accountability na kailangang mapatunayan ng organisasyon ay ginawa nang auditable na araw-araw na proseso.
Hindi puwedeng kunin nang mag-isa ang 27701. Kailangan munang may umiiral na 27001 system bago ito palawakin. Kapag nakita mo ang 27701, karaniwan ding makatwirang ipalagay na naipatupad na ang 27001.
May aktuwal na mekanismong gumagana sa likod ng certification
Ang certification ay hindi simpleng pag-isyu ng papel; ina-audit nito ang isang mekanismong aktuwal na tumatakbo.
Kabilang sa mga praktikal na bahagi ang nakasulat na hangganan ng pagproseso ng personal information: ano ang kinokolekta, para sa anong layunin, gaano katagal itinatago, at sino ang makaka-access, at dapat tumugma rito ang aktuwal na gawain; regular na privacy risk assessments at malinaw na response path kapag may incident; at transparency para malaman ng users kung paano ginagamit ang kanilang data, kasama ang mga paraan para gamitin ang mga karapatan gaya ng access, correction, at deletion. May validity period din ang certification at kailangang regular na i-review. Hindi permanenteng badge ang isang beses na pagpasa.
Sa pang-araw-araw na paggamit, humahantong ang mga mekanismong ito sa tatlong bagay: hindi basta-basta inuugnay o ibinabahagi sa labas ang account data, kontrolado ang access permissions, at may rekord ang abnormal na access.
Ang pagkakaroon ng certification ay hindi nangangahulugang compliant ang paggamit mo
Mas mahalaga ang puntong ito kaysa sa mga nauna at ito rin ang pinakamadaling maling maunawaan.
Pinatutunayan ng certification na may naitatag na management system ang organisasyon. Hindi nito pinatutunayang hindi kailanman magkakaroon ng incident ang produkto. Maaaring ma-compromise ang anumang system, at hindi nababago iyon ng certification. Hindi rin nito pinatutunayang maganda ang features; maaaring ordinaryo pa rin ang functionality ng isang tool kahit certified ito sa 27701.
Mas karaniwang maling akala ang tungkol sa scope. Nakasaad sa certificate kung aling operations, entities, at data-center regions ang sakop. Maaaring isang product line lang ang sakop at hindi lahat ng services. Kung wala sa scope ang bahagi na aktuwal mong ginagamit, wala ring praktikal na saysay sa iyo ang certificate na iyon.
Nasa iyo pa rin ang natitirang responsibilidad. Ang compliant na tool ay hindi awtomatikong gumagawa sa paraan ng paggamit mo na compliant din. Kung saan mo inilalagay ang personal information, para saan mo ito ginagamit, at kung nakuha mo ang kinakailangang authorization ay pananagutan mo pa rin; hindi iyon lilipat sa service provider dahil lamang may certification ito.
Paano basahin ang impormasyong ito kapag pumipili ng tool
Gamitin ito bilang isa sa mga screening threshold, hindi bilang nag-iisang dahilan sa desisyon. Apat na bagay ang pangunahing dapat suriin:
- Scope: aling produkto at rehiyon ang sakop ng certificate, at tugma ba iyon sa bahagi na aktuwal mong gagamitin;
- Validity: kasalukuyan pa bang valid, o nakuha ito ilang taon na ang nakaraan at nag-expire nang hindi na-renew;
- Verifiability: maraming certification ang maaaring tingnan sa public directory ng certification body o standards organization, sa halip na umasa lang sa sinasabi ng website ng vendor;
- Business weight: kung sarili mong operational account data lang ang pinamamahalaan, maaaring mas mababa ang bigat ng privacy certification; kung identity information ng customers ang pinamamahalaan mo para sa kanila, mas mahalaga ito.
Kung naghahambing ka ng ilang magkakatulad na tool, puwede kang maglaan ng hiwalay na column para sa independent privacy at security certifications. Isa ito sa iilang kakayahang hindi basta kayang patunayan ng platform sa sarili nito at kailangang suriin ng third party.
Sa mga scenario gaya ng multi-environment account management, ang paghihiwalay ng data sa bawat environment at malinaw na permission boundaries ay sumusunod sa parehong least-necessary na direksiyon na binibigyang-diin ng privacy management systems. Itinuturing ng PurpleMark ang environment isolation at data isolation bilang pangunahing kakayahan, kaya ganito rin ang direksiyon nito.
Ang scope at validity ng certification ay dapat kumpirmahin gamit ang public information ng certification body.
