ISO 27002:2022 – Contrôle 5.34 – Confidentialité et protection des informations personnelles

Protection des informations personnelles identifiables : meilleures pratiques du contrôle ISO 27002 5.34

Informations personnelles identifiables (PII) est tout élément d'information qui confirme l'identité d'un individu.

Les informations personnelles d'une personne peuvent inclure :

• Adresse
• Numéro d'assurance nationale ou numéro de sécurité sociale
• Permis de conduire
• Informations financières, y compris les comptes bancaires
• Dossiers médicaux

Les informations personnelles constituent un élément clé de la stratégie de gouvernance des données d'une organisation et comportent un certain nombre de risques réglementaires, législatifs et contractuels uniques.

Le contrôle 5.34 traite les informations personnelles de trois manières distinctes :

1. Préservation
2. Politique
3. Protection

Objectif du contrôle 5.34

Le contrôle 5.34 est un contrôle préventif qui maintient le risque en créant des lignes directrices et des procédures qui répondent aux exigences légales, statutaires, réglementaires et contractuelles d'une organisation relatives au storage, confidentialité , protection des informations personnelles sous toutes ses formes.

Attributs du contrôle 5.34

Propriété du contrôle 5.34

Le contrôle 5.34 désigne explicitement le responsable de la confidentialité délégué d'une organisation (ou son équivalent organisationnel) comme la personne qui doit superviser le respect des informations personnelles.

Orientations générales sur le contrôle 5.34

Les organisations doivent traiter les informations personnelles comme une fonction commerciale spécifique à un sujet et développer des politiques propres à leur organisation ainsi que les catégories d'informations personnelles les plus courantes dans leurs opérations quotidiennes.

Avant tout, l'organisation doit rédiger, développer et mettre en œuvre une série de politiques qui répondent à la préservation, à la confidentialité et à la protection des informations personnelles, et garantir que celles-ci sont communiquées et utilisées par tous les employés qui traitent les informations personnelles – et pas seulement ceux qui sont obligés de le faire. y faire face dans le cadre de leur travail.

Les informations personnelles doivent être gérées de manière structurée, claire et concise. Pour y parvenir, Control 5.34 demande les organisations doivent rédiger des politiques qui tiennent compte des rôles et des responsabilités individuels et des contrôles de données dans toute leur organisation.

Le moyen le plus simple et le plus efficace d'y parvenir est d'adopter une approche descendante impliquant un responsable de la protection de la vie privée, dont le travail consiste à fournir des conseils aux employés et aux organisations tierces en matière d'informations personnelles, et à conseiller la haute direction en la matière. comment rester conforme aux obligations de l’organisation.

Aux côtés des orientations réglementaires, législatives et contractuelles, un l'organisation doit également mettre en œuvre des mesures techniques et opérationnelles qui traitent de la gestion pratique des informations personnelles telles qu'elles sont stockées et transitent par l'entreprise.

Conseils supplémentaires

La législation relative aux informations personnelles varie d'un pays à l'autre, même au sein de territoires qui contiennent des administrations décentralisées ou des gouvernements non fédéraux.

Les organisations devraient auditer leurs exigences en matière de traitement des informations personnelles et prendre en compte toutes les implications transfrontalières émanant de la collecte, du traitement ou de la distribution des informations personnelles au sein de juridictions distinctes.

Si l’achat ISO 27002: 2022 n'offre aucune indication supplémentaire sur la manière d'y parvenir, un certain nombre de documents ISO donnent plus de détails sur le sujet, notamment :

• ISO/IEC 29100 (protection des informations personnelles dans les systèmes TIC)
• ISO/IEC 27701 (systèmes de gestion des informations confidentielles)
• ISO/IEC 27018 (PII dans l'infrastructure de cloud public)

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-5.34 remplace 27002:2013-18.1.4 (Confidentialité et protection des informations personnellement identifiables).

27002:2022-5.34 est presque une copie conforme de son prédécesseur de 2013, à deux exceptions notables près.

1. 27002 : 2022-5.34 demande aux organisations d’envisager une politique spécifique à un sujet lors de la formulation et de la mise en œuvre des politiques et procédures PII.
2. 27002:2022-5.34 met davantage l'accent sur le préservation des informations personnelles (comme indiqué dans le titre du contrôle), ainsi que les directives standard en matière de confidentialité et de protection.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Notre plateforme basée sur le cloud vous offre un cadre robuste de contrôles de sécurité des informations afin que vous puissiez vérifiez votre processus ISMS au fur et à mesure pour garantir qu'il répond aux exigences de la norme ISO 27k. Utilisé correctement, ISMS. en ligne peut vous accompagner dans l'obtention de la certification avec le strict minimum de temps et de ressources.

Contactez-nous dès aujourd'hui pour réserver une démo.