Protection des informations personnelles identifiables : meilleures pratiques du contrôle ISO 27002 5.34
Informations personnelles identifiables (PII) est tout élément d'information qui confirme l'identité d'un individu.
Les informations personnelles d'une personne peuvent inclure :
- Adresse
- Numéro d'assurance nationale ou numéro de sécurité sociale
- Permis de conduire
- Informations financières, y compris les comptes bancaires
- Dossiers médicaux
Les informations personnelles constituent un élément clé de la stratégie de gouvernance des données d'une organisation et comportent un certain nombre de risques réglementaires, législatifs et contractuels uniques.
Le contrôle 5.34 traite les informations personnelles de trois manières distinctes :
- Préservation
- Politique
- Protection
Objectif du contrôle 5.34
Le contrôle 5.34 est un contrôle préventif qui maintient le risque en créant des lignes directrices et des procédures qui répondent aux exigences légales, statutaires, réglementaires et contractuelles d'une organisation relatives au storage, confidentialité et protection des informations personnelles sous toutes ses formes.
Attributs du contrôle 5.34
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Protection des informations | #Protection |
| #Intégrité | #Protéger | #Juridique et Conformité | ||
| #Disponibilité |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 5.34
Le contrôle 5.34 désigne explicitement le responsable de la confidentialité délégué d'une organisation (ou son équivalent organisationnel) comme la personne qui doit superviser le respect des informations personnelles.
Orientations générales sur le contrôle 5.34
Les organisations doivent traiter les informations personnelles comme une fonction commerciale spécifique à un sujet et développer des politiques propres à leur organisation ainsi que les catégories d'informations personnelles les plus courantes dans leurs opérations quotidiennes.
Avant tout, l'organisation doit rédiger, développer et mettre en œuvre une série de politiques qui répondent à la préservation, à la confidentialité et à la protection des informations personnelles, et garantir que celles-ci sont communiquées et utilisées par tous les employés qui traitent les informations personnelles – et pas seulement ceux qui sont obligés de le faire. y faire face dans le cadre de leur travail.
Les informations personnelles doivent être gérées de manière structurée, claire et concise. Pour y parvenir, Control 5.34 demande les organisations doivent rédiger des politiques qui tiennent compte des rôles et des responsabilités individuels et des contrôles de données dans toute leur organisation.
Le moyen le plus simple et le plus efficace d'y parvenir est d'adopter une approche descendante impliquant un responsable de la protection de la vie privée, dont le travail consiste à fournir des conseils aux employés et aux organisations tierces en matière d'informations personnelles, et à conseiller la haute direction en la matière. comment rester conforme aux obligations de l’organisation.
Aux côtés des orientations réglementaires, législatives et contractuelles, un l'organisation doit également mettre en œuvre des mesures techniques et opérationnelles qui traitent de la gestion pratique des informations personnelles telles qu'elles sont stockées et transitent par l'entreprise.
Conseils supplémentaires
La législation relative aux informations personnelles varie d'un pays à l'autre, même au sein de territoires qui contiennent des administrations décentralisées ou des gouvernements non fédéraux.
Les organisations devraient auditer leurs exigences en matière de traitement des informations personnelles et prendre en compte toutes les implications transfrontalières émanant de la collecte, du traitement ou de la distribution des informations personnelles au sein de juridictions distinctes.
Si l’achat ISO 27002: 2022 n'offre aucune indication supplémentaire sur la manière d'y parvenir, un certain nombre de documents ISO donnent plus de détails sur le sujet, notamment :
- ISO/IEC 29100 (protection des informations personnelles dans les systèmes TIC)
- ISO/IEC 27701 (systèmes de gestion des informations confidentielles)
- ISO/IEC 27018 (PII dans l'infrastructure de cloud public)
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022-5.34 remplace 27002:2013-18.1.4 (Confidentialité et protection des informations personnellement identifiables).
27002:2022-5.34 est presque une copie conforme de son prédécesseur de 2013, à deux exceptions notables près.
- 27002 : 2022-5.34 demande aux organisations d’envisager une politique spécifique à un sujet lors de la formulation et de la mise en œuvre des politiques et procédures PII.
- 27002:2022-5.34 met davantage l'accent sur le préservation des informations personnelles (comme indiqué dans le titre du contrôle), ainsi que les directives standard en matière de confidentialité et de protection.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
Notre plateforme basée sur le cloud vous offre un cadre robuste de contrôles de sécurité des informations afin que vous puissiez vérifiez votre processus ISMS au fur et à mesure pour garantir qu'il répond aux exigences de la norme ISO 27k. Utilisé correctement, ISMS. en ligne peut vous accompagner dans l'obtention de la certification avec le strict minimum de temps et de ressources.
Contactez-nous dès aujourd'hui pour réserver une démo.
