ISO/IEC 27701:2019 · Черногория
Внедрение стандарта ISO 27701 в Черногории
Обозначение в Черногории: MEST ISO/IEC 27701:2020
ISO/IEC 27701 расширяет ISO 27001 на управление конфиденциальностью (PIMS). Определяет, как организация — в роли контролёра или обработчика персональных данных — защищает конфиденциальность и доказывает подотчётность перед клиентами и регуляторами.
Что такое ISO/IEC 27701?
ISO 27701 возник как ответ на GDPR: организациям нужен был сертифицированный способ доказать подотчётность (accountability) в обработке персональных данных. Стандарт надстраивает ISMS специфическими требованиями конфиденциальности и отдельными приложениями для контролёров (Приложение A) и обработчиков (Приложение B), а Приложение D напрямую сопоставляет требования со статьями GDPR.
Для ИТ-компаний, агентств, колл-центров, медицинских и финансовых организаций, обрабатывающих большие объёмы персональных данных, сертификат PIMS становится сильным конкурентным преимуществом — контролёры всё чаще выбирают исключительно сертифицированных обработчиков.
Этапы внедрения
Реальные этапы, через которые мы ведём каждый проект — от подготовки до сертификата, который приходит только в конце:
Обучение и внутренний аудит PIMS
Стандарт внедряется как надстройка над существующей ISMS.
Проверка основы: ISO 27001
ISO 27701 не сертифицируется самостоятельно. Проверяем зрелость существующей ISMS или планируем одновременное внедрение обоих стандартов.
Роль: контролёр или обработчик
Отображаем потоки персональных данных и для каждого процесса определяем роль — от неё зависит, какое приложение стандарта применяется.
Расширение оценки рисков на конфиденциальность
Методология рисков дополняется рисками для прав субъектов, включая оценки воздействия (DPIA) для рискованных обработок.
Учёт обработок и правовые основания
Реестр деятельности по обработке, правовые основания, сроки хранения и процедуры для прав субъектов (доступ, удаление, возражение).
Дополнение контролей и документации
Конфиденциальность по замыслу, договоры с обработчиками, международные передачи данных и уведомление об утечках.
Обучение и внутренний аудит PIMS
Целевое обучение сотрудников, работающих с персональными данными, и расширение внутреннего аудита на требования конфиденциальности.
Путь к сертификату
Сертификация проводится вместе с аудитом ISO 27001 или как расширение существующего сертификата.
Предпосылка всего: система внедрена и применяется на практике — все требования стандарта выполнены, проведён внутренний аудит и анализ со стороны руководства.
Существующий сертификат ISO 27001 или одновременная сертификация обоих стандартов.
Анализ реестра обработок, процедур прав субъектов, договоров и сопоставления ролей.
Как конфиденциальность реализуется на практике — от запросов субъектов до реагирования на утечку данных.
Действие 3 года, поддержание через ежегодные проверки вместе с ISO 27001.
Преимущества внедрения стандарта
Независимо подтверждённая система конфиденциальности — сильный аргумент перед регуляторами и в процессах due diligence.
Контролёры всё чаще требуют сертифицированных обработчиков; сертификат сокращает проверки поставщиков.
Безопасность и конфиденциальность управляются интегрированно — без дублирования документации и аудитов.
Систематическое управление конфиденциальностью снижает вероятность утечек данных и санкций.
Иллюстративный, типичный сценарий, который мы часто слышим от клиентов, — не описывает конкретного, названного клиента.
“У нас был ISO/IEC 27001, но на вопрос «где персональные данные клиентов и кто к ним имеет доступ» никто не мог ответить точно. ISO/IEC 27701 заставил нас описать обработку персональных данных (PII), разделить роли контролёра и обработчика и связать меры напрямую с требованиями GDPR через приложение D.”
— частый сценарий наших клиентов
Связь со смежными стандартами
ISO 27001 — обязательная основа: 27701 разделяет его оценку рисков и цикл сертификации. Приложение D сопоставляет требования с GDPR, а NIST Privacy Framework — американский аналог, полезный для работы с американскими партнёрами.
Проводим обучение по всем стандартам, которые мы внедряем — от базового понимания до внутреннего аудитора.
Часто задаваемые вопросы об ISO/IEC 27701
Можно ли внедрить ISO 27701 без ISO 27001?
Нет — 27701 является расширением и сертифицируется только вместе с существующей или одновременно внедряемой ISMS. Оба стандарта можно внедрить в рамках одного проекта.
Означает ли ISO 27701 автоматическое соответствие GDPR?
Не автоматически, но он покрывает подавляющее большинство требований GDPR, а Приложение D содержит прямое сопоставление со статьями регламента.
Что такое PIMS?
Privacy Information Management System — ISMS, расширенная требованиями защиты персональных данных в ролях контролёра и обработчика.
Сколько длится внедрение?
При существующем ISO 27001 обычно 2–4 месяца; если стандарты внедряются вместе — 6–10 месяцев. Для крупных систем — свыше 500 сотрудников, несколько локаций или интегрированная система из нескольких стандартов — проект реально длится больше года; таких клиентов мы также ведём.
Сколько стоит внедрение ISO 27701?
Фиксированной цены, единой для всех, не существует — стоимость зависит от отрасли организации, её размера и числа сотрудников, выбранного стандарта и текущего состояния системы. Пришлите нам краткое описание вашей организации, и мы бесплатно подготовим ориентировочное предложение, адаптированное под вас.
Сертификат MEST ISO/IEC 27701 — что это значит?
Когда речь идёт о сертификате MEST ISO/IEC 27701 (то есть сертификате ISO/IEC 27701:2019), имеется в виду подтверждение, которое независимый аккредитованный орган по сертификации выдаёт организации, чья система соответствует всем требованиям данного стандарта. Национальная редакция стандарта в Черногории имеет содержание, идентичное международной редакции — те же требования, те же пункты, только под национальным обозначением — поэтому на тендерах встречаются оба обозначения одного и того же стандарта.
Почему обозначения различаются, а стандарт один и тот же?
Каждая страна — член европейской и международной системы стандартизации — включает один и тот же стандарт в собственный национальный каталог и добавляет к нему национальный префикс — в Черногории это MEST. Содержание, структура, пункты и все требования, которые аудитор проверяет при сертификации, остаются полностью идентичными независимо от того, какое обозначение указано в документе. Поэтому сертификат, выданный по одному обозначению, полностью покрывает и другое — речь идёт не о двух стандартах, а об одном и том же, только под двумя названиями.
Наша основная деятельность — внедрение стандартов: мы готовим вашу организацию так, чтобы сертификационный аудит прошёл без сюрпризов, а понятия «сертификация ISO/IEC 27701» и «сертификат MEST ISO/IEC 27701» объясняем потому, что клиенты именно так их и ищут. Что включают в себя сертификация, аккредитация, IAF и надзорные аудиты — читайте на странице Сертификация / Сертификат ISO, а об обозначениях на тендерах — на странице Стандарты ISO на тендерах.
Стандарты, которые складываются в соты
Каждый стандарт сохраняет свою форму, но вместе они образуют единую, прочную интегрированную систему менеджмента (ИСМ) — без пробелов и пересечений. Нажмите на шестиугольник, чтобы открыть этот стандарт.
Подробнее об интегрированной системе менеджмента
Интегрированная система менеджмента (ИСМ) объединяет два или более стандартов ISO — например, ISO/IEC 27701 с ISO 9001 или ISO 14001 — в единую общую систему документации, целей и внутренних проверок, вместо того чтобы каждый стандарт существовал в своей параллельной процедуре.
Единая структура (структура высокого уровня — HLS), которую разделяют все современные стандарты ISO. Благодаря ей политика качества, управление рисками, внутренние аудиты и анализ со стороны руководства могут быть общими сразу для нескольких стандартов.
Каждый стандарт по отдельности решает одну часть бизнеса — качество, окружающую среду, безопасность, информацию. Когда организация внедряет несколько из них, разрозненные системы быстро дублируют одну и ту же документацию и одних и тех же аудиторов.
Меньше дублирования процедур, более простое управление, более сильный контроль над процессами, более эффективное использование ресурсов и более лёгкая подготовка к объединённому сертификационному аудиту.
ISO/IEC 27701 можно внедрить самостоятельно или как часть интегрированной системы — решение зависит от числа стандартов, на которые вы нацелены, и от того, внедряете ли вы их одновременно или постепенно.
Проверьте готовность вашей организации
Ответьте на несколько вопросов и получите ориентировочную оценку текущего уровня готовности вашей организации (ISO/IEC 27701).
Эта самооценка даёт только ориентировочный результат готовности. Она не является сертификацией, официальным аудитом или формальным подтверждением соответствия.
Некоторые из наших референций
Более 400 организаций в Черногории и регионе прошли внедрение вместе с нами — от банков и государственных органов до производства, ИТ, лабораторий и гостиничного бизнеса.
Это лишь часть наших клиентов. Подробнее о нас →
Запросите бесплатную консультацию
Оценим объём работ и предложим реалистичный план и бюджет для вашей организации. Позвоните нам или отправьте запрос — отвечаем в течение 24 часов.