ISO/IEC 27701:2019 · Karadağ
Karadağ'da ISO 27701 standardının uygulanması
Karadağ'daki adı: MEST ISO/IEC 27701:2020
ISO/IEC 27701, ISO 27001'i gizlilik yönetimine (PIMS) genişletir. Bir kuruluşun — kişisel veri sorumlusu ya da işleyicisi olarak — gizliliği nasıl koruduğunu ve müşteriler ile düzenleyiciler karşısında hesap verebilirliğini nasıl kanıtladığını tanımlar.
ISO/IEC 27701 nedir?
ISO 27701, GDPR'a bir yanıt olarak ortaya çıktı: kuruluşların kişisel veri işlemede hesap verebilirliği (accountability) kanıtlamak için sertifikalı bir yönteme ihtiyacı vardı. Standart, BGYS'yi özel gizlilik gereksinimleriyle ve veri sorumluları (Ek A) ile veri işleyicileri (Ek B) için ayrı eklerle güçlendirirken, Ek D gereksinimleri doğrudan GDPR maddelerine eşler.
Büyük miktarda kişisel veri işleyen BT şirketleri, ajanslar, çağrı merkezleri, sağlık ve finans kuruluşları için PIMS sertifikası güçlü bir rekabet avantajına dönüşüyor — veri sorumluları giderek yalnızca sertifikalı veri işleyicileri tercih ediyor.
Uygulama aşamaları
Her projede izlediğimiz gerçek aşamalar — hazırlıktan, en sonunda gelen sertifikaya kadar:
PIMS eğitimleri ve iç denetimi
Standart, mevcut bir BGYS'nin üzerine bir yükseltme olarak uygulanır.
Temelin kontrolü: ISO 27001
ISO 27701 tek başına sertifikalandırılmaz. Mevcut BGYS'nin olgunluğunu kontrol ederiz ya da her iki standardın eş zamanlı uygulanmasını planlarız.
Rol: veri sorumlusu ya da işleyicisi
Kişisel veri akışlarını haritalandırır ve her süreç için rolü belirleriz — buna göre standardın hangi eki geçerli olur.
Risk değerlendirmesinin gizliliğe genişletilmesi
Risk metodolojisi, riskli işlemeler için etki değerlendirmeleri (DPIA) dahil olmak üzere kişilerin haklarına yönelik risklerle tamamlanır.
İşleme kayıtları ve hukuki dayanaklar
İşleme faaliyetleri kaydı, hukuki dayanaklar, saklama süreleri ve kişi hakları (erişim, silme, itiraz) için prosedürler.
Kontrol ve dokümantasyon eklentisi
Tasarımla gizlilik, veri işleyicilerle sözleşmeler, uluslararası veri aktarımları ve ihlal bildirimi.
PIMS eğitimleri ve iç denetimi
Kişisel verilerle çalışan personel için hedefli eğitim ve iç denetimin gizlilik gereksinimlerine genişletilmesi.
Sertifikaya giden yol
Sertifikasyon, ISO 27001 denetimiyle birlikte ya da mevcut sertifikanın bir genişlemesi olarak yürütülür.
Her şeyin ön koşulu: sistem uygulanmış ve pratikte hayata geçirilmiştir — standardın tüm gereksinimleri karşılanmış, iç denetim ve yönetim gözden geçirmesi yapılmıştır.
Mevcut ISO 27001 sertifikası ya da her iki standardın eş zamanlı sertifikasyonu.
İşleme kaydının, kişi hakları prosedürlerinin, sözleşmelerin ve rol haritalamasının incelenmesi.
Gizliliğin pratikte nasıl uygulandığı — kişi taleplerinden veri ihlaline tepkiye kadar.
3 yıl geçerlilik, ISO 27001 ile birlikte yıllık kontrollerle sürdürme.
Standardın uygulanmasının faydaları
Bağımsız olarak onaylanmış bir gizlilik sistemi — düzenleyiciler karşısında ve durum tespiti süreçlerinde güçlü bir argüman.
Veri sorumluları giderek daha sık sertifikalı veri işleyicileri talep ediyor; sertifika, tedarikçi kontrollerini kısaltır.
Güvenlik ve gizlilik entegre biçimde yönetilir — dokümantasyon ve denetim tekrarı olmadan.
Gizliliğin sistematik yönetimi, veri ihlali ve yaptırım olasılığını azaltır.
Müşterilerden sık duyduğumuz, açıklayıcı ve tipik bir senaryo — belirli, adı geçen bir müşteriyi temsil etmez.
“ISO/IEC 27001'imiz vardı, ama ‘müşterilerin kişisel verileri nerede ve bunlara kim erişiyor’ sorusuna kimse net bir yanıt veremiyordu. ISO/IEC 27701 bizi kişisel verilerin (PII) işlenmesinin haritasını çıkarmaya, veri sorumlusu ve veri işleyen rollerini ayırmaya ve kontrolleri Ek D aracılığıyla doğrudan GDPR gereklilikleriyle ilişkilendirmeye zorladı.”
— müşterilerimiz arasında yaygın bir senaryo
İlgili standartlarla bağlantı
ISO 27001 zorunlu temeldir — 27701, onun risk değerlendirmesini ve sertifikasyon döngüsünü paylaşır. Ek D, gereksinimleri GDPR'a eşler; NIST Gizlilik Çerçevesi ise Amerikan ortaklarla çalışmada yararlı bir Amerikan karşılığıdır.
Uyguladığımız tüm standartlar için eğitimler veriyoruz — temel anlayıştan iç denetçiliğe kadar.
ISO/IEC 27701 hakkında sık sorulan sorular
ISO 27701'i ISO 27001 olmadan uygulayabilir miyim?
Hayır — 27701 bir genişlemedir ve yalnızca mevcut ya da eş zamanlı kurulan bir BGYS ile sertifikalandırılabilir. Her iki standart tek bir projede uygulanabilir.
ISO 27701, otomatik GDPR uyumu anlamına gelir mi?
Otomatik olarak değil, ancak GDPR gereksinimlerinin büyük çoğunluğunu kapsar ve Ek D, tüzüğün maddelerine doğrudan bir eşleme içerir.
PIMS nedir?
Privacy Information Management System — veri sorumlusu ve veri işleyicisi rollerinde kişisel verilerin korunmasına yönelik gereksinimlerle genişletilmiş bir BGYS.
Uygulama ne kadar sürer?
Mevcut bir ISO 27001 ile genellikle 2 ila 4 ay; standartlar birlikte uygulanıyorsa 6 ila 10 ay. Büyük sistemlerde — 500'den fazla çalışan, birden fazla lokasyon veya birkaç standarttan oluşan entegre sistem — proje gerçekçi olarak bir yılı aşar; bu tür müşterileri de yönetiyoruz.
ISO 27701 uygulaması ne kadara mal olur?
Herkes için geçerli sabit bir fiyat yoktur — maliyet kuruluşun faaliyet alanına, büyüklüğüne ve çalışan sayısına, seçilen standarda ve sistemin mevcut durumuna bağlıdır. Kuruluşunuzun kısa bir tanımını gönderin, size özel bir ön teklifi ücretsiz hazırlayalım.
MEST ISO/IEC 27701 sertifikası ne anlama gelir?
Bir MEST ISO/IEC 27701 sertifikası (ya da ISO/IEC 27701:2019 sertifikası) istendiğinde, sistemi bu standardın tüm gereksinimleriyle uyumlu olan bir kuruluşa bağımsız bir akredite sertifikasyon kuruluşu tarafından verilen belge kastedilir. Standardın Karadağ'daki ulusal baskısı, uluslararası baskıyla aynı içeriği taşır — aynı gereksinimler, aynı maddeler, sadece ulusal bir etiket altında — bu yüzden ihalelerde aynı standart için her iki etiket de karşımıza çıkar.
Etiketler neden farklı ama standart aynı?
Avrupa ve uluslararası standardizasyon sisteminin her üye ülkesi aynı standardı kendi ulusal kataloğuna alır ve ona bir ulusal ön ek ekler — Karadağ'da bu MEST'tir. İçerik, yapı, maddeler ve denetçinin sertifikasyonda kontrol ettiği tüm gereksinimler, belgede hangi etiketin yazdığından bağımsız olarak tamamen aynı kalır. Bu yüzden bir etiketle düzenlenen sertifika diğerini de tam olarak kapsar — iki farklı standarttan değil, iki farklı adı olan tek bir standarttan söz ediyoruz.
Asıl faaliyetimiz standartların uygulanması ve hayata geçirilmesidir: kuruluşunuzu sertifikasyon denetimi sürprizsiz geçecek şekilde hazırlıyoruz; müşteriler tam olarak böyle aradıkları için "ISO/IEC 27701 sertifikasyonu" ve "MEST ISO/IEC 27701 sertifikası" kavramlarını da açıklıyoruz. Sertifikasyon, akreditasyon, IAF ve gözetim denetimlerinin neleri kapsadığını Sertifikasyon / ISO sertifikası sayfasında, ihalelerdeki etiketleri ise İhalelerde ISO Standartları sayfasında okuyabilirsiniz.
Petek gibi birbirine uyan standartlar
Her standart kendi biçimini korur, ama bir araya geldiklerinde boşluk ve çakışma olmadan sağlam, entegre bir yönetim sistemi (EYS) oluştururlar. İlgili standardı açmak için altıgene tıklayın.
Entegre yönetim sistemi hakkında daha fazla bilgi
Entegre yönetim sistemi (EYS), iki veya daha fazla ISO standardını — örneğin ISO/IEC 27701 ile ISO 9001 veya ISO 14001'i — her standardın kendi paralel prosedüründe yaşaması yerine, tek bir ortak dokümantasyon, hedef ve iç denetim çerçevesinde birleştirir.
Tüm modern ISO standartlarının paylaştığı ortak bir yapı (yüksek düzey yapı — HLS). Bu sayede kalite politikası, risk yönetimi, iç denetimler ve yönetim gözden geçirmesi birden fazla standart için ortak olabilir.
Her standart işin bir kısmını tek başına ele alır — kalite, çevre, güvenlik, bilgi. Bir kuruluş birden fazlasını uygularken, ayrı sistemler kısa sürede aynı dokümantasyonu ve aynı denetçileri tekrarlar.
Daha az prosedür tekrarı, daha basit yönetim, süreçler üzerinde daha güçlü gözetim, kaynakların daha verimli kullanımı ve kombine sertifikasyon denetimine daha kolay hazırlık.
ISO/IEC 27701 tek başına ya da entegre bir sistemin parçası olarak uygulanabilir — karar, hedeflediğiniz standart sayısına ve bunları aynı anda mı yoksa kademeli mi uygulayacağınıza bağlıdır.
Kuruluşunuzun hazırlık düzeyini kontrol edin
Birkaç soruyu yanıtlayın ve kuruluşunuzun mevcut hazırlık düzeyine ilişkin yol gösterici bir değerlendirme alın (ISO/IEC 27701).
Bu öz değerlendirme yalnızca yol gösterici bir hazırlık sonucu verir. Sertifikasyon, resmî denetim veya uygunluğun resmî teyidi niteliği taşımaz.
Referanslarımızdan bazıları
Karadağ ve bölgede 400’ü aşkın kuruluş uygulamayı bizimle birlikte tamamladı — bankalardan ve kamu kurumlarından üretime, BT’ye, laboratuvarlara ve konaklamaya kadar.
Bunlar müşterilerimizden sadece bazıları. Hakkımızda daha fazlası →
Ücretsiz danışmanlık talep edin
İşin kapsamını değerlendirip kuruluşunuz için gerçekçi bir plan ve bütçe önereceğiz. Bizi arayın ya da bir talep gönderin — 24 saat içinde yanıtlıyoruz.