INFORMACIJOS SAUGUMO SERTIFIKAVIMAS

ISO 27701 – tai standartas, kuriame pateikiamos asmenį identifikuojančios informacijos (PII) valdymo ir tvarkymo gairės. Tai plačiai naudojamo ISO 27001 standarto, skirto informacijos saugumo valdymo sistemoms (ISVS), išplėtimas, padedantis sumažinti atotrūkį tarp privatumo ir saugumo.

Standarto paskirtis – užtikrinti privatumo apsaugos ir PII valdymo organizacijose integraciją. Standarte konkrečiai aptariami Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimai, tačiau į privatumo informacijos valdymo sistemą (PIMS) organizacijos gali įtraukti ir kitus privatumo įstatymus, reglamentus ir reikalavimus.

Įdiegus PIMS pagal ISO 27701 standartą, organizacijoms gali būti lengviau pademonstruoti veiksmingą privatumo duomenų valdymą ir sukurti privatumo apsaugos sistemą.

Patikima PIMS gali duoti daug naudos, įskaitant pasitikėjimo suinteresuotosiomis šalimis stiprinimą, skaidrumo užtikrinimą, vaidmenų ir pareigų išaiškinimą, privatumo taisyklių laikymosi palaikymą ir sudėtingumo mažinimą integruojant su ISO 27001.

ISO 27701 sertifikavimo procesas paprastai apima oficialaus pasiūlymo formos užpildymą, pasirašyto pasiūlymo gavimą ir pasiruošimą auditui.

Po sertifikavimo gausite trejus metus galiojantį sertifikatą, o sertifikavimo įstaiga reguliariai apsilankys, kad užtikrintų, jog jūsų sistema ir toliau atitiktų reikalavimus ir būtų tobulinama.

Bendrasis duomenų apsaugos reglamentas (BDAR) – tai ES teisės aktas, reglamentuojantis visų Europos Sąjungos (ES) ir Europos ekonominės erdvės (EEE) asmenų duomenų apsaugą ir privatumą.

BDAR sertifikavimas – tai procesas, kuriuo siekiama įrodyti, kad organizacija yra įdiegusi procesus ir procedūras, atitinkančias reglamentus.

„Baltum Bureau”, kaip sertifikavimo įstaiga, siūlo savanorišką duomenų apsaugos sertifikavimo schemą, kuri padeda įmonėms laikytis BDAR standartų.

Sistema grindžiama techniniu standartu, kuris leidžia įmonėms įgyvendinti išsamius duomenų apsaugos procesus ir užkirsti kelią galimiems saugumo pažeidimams, užtikrinti klientų privatumą ir apsaugoti svarbiausius duomenų išteklius. Norėdama gauti atitikties BDAR sertifikatą, organizacija turi pasiruošti sertifikavimui: apibrėžti asmens duomenų politiką, sudaryti duomenų tvarkymo veiklos sąrašą, nustatyti duomenų subjekto teisių valdymo procesą, atlikti poveikio duomenų apsaugai vertinimą (DIPA) ir užtikrinti saugų asmens duomenų perdavimą.

Svarbu pažymėti, kad BDAR sertifikavimas nebūtinai reiškia, kad organizacija atitinka BDAR reikalavimus. Sertifikatas tik patvirtina, kad organizacija įgyvendino procesus ir procedūras, kad laikytųsi taisyklių. Sertifikavimo įstaigos yra atsakingos už tinkamą vertinimą, po kurio suteikiamas arba panaikinamas sertifikavimas, tačiau duomenų valdytojas arba duomenų tvarkytojas vis tiek yra atsakingas už reglamento laikymąsi.

Atitikties BDAR reikalavimams sertifikavimas gali suteikti organizacijai keletą privalumų. Pavyzdžiui, sertifikavimas gali padėti organizacijoms atitikti daugelį BDAR reikalavimų ir vis dažniau pripažįstamas kaip geriausia praktika, padedanti įrodyti pažangą siekiant atitikties.

Be to, kad būtų užtikrinta, jog saugumo rizika, grėsmės ir pažeidžiamumai būtų nustatyti, nustatyti prioritetai ir ekonomiškai efektyviai valdomi, organizacijoms taip pat gali būti naudingas ISO/IEC 27001 ir BS 10012 sertifikatas.

Kalifornijos vartotojų privatumo įstatymas (angl. California Consumer Privacy Act, CCPA) – tai 2018 m. Kalifornijos valstijoje (JAV) priimtas privatumo įstatymas, kuriuo siekiama reglamentuoti, kaip įmonės renka, naudoja ir dalijasi Kalifornijos gyventojų asmenine informacija.

CCPA laikomas vienu griežčiausių privatumo įstatymų Jungtinėse Valstijose ir suteikia Kalifornijos gyventojams galimybę kontroliuoti, kaip įmonės tvarko jų asmeninę informaciją. Įmonės dabar privalo atsižvelgti į Kalifornijos gyventojų prašymus susipažinti su jų informacija, ją ištrinti ir atsisakyti dalytis ar parduoti.

CCPA siekiama suteikti naudotojams daugiau galimybių susipažinti su iš jų renkama informacija. Vartotojai dabar gali sužinoti, kaip įmonės elgiasi su šia informacija ir kaip ja dalijasi, ir taip sukurti skaidrumo kultūrą, susijusią su vartotojų duomenimis.

Pagal CCPA vartotojai gali reikalauti, kad įmonės atskleistų jiems surinktą informaciją ir surinktų įrašų šaltinius. Įmonėms, kurioms taikomas CCPA, tenka keletas pareigų, įskaitant atsakymą į vartotojų prašymus pasinaudoti savo teisėmis ir tam tikrų pranešimų, kuriuose paaiškinama jų privatumo praktika, pateikimą vartotojams.

BDAR taikoma daugeliui įmonių, įskaitant duomenų tarpininkus, ir įmonės turės padengti atitikties užtikrinimo išlaidas.

HIPAA sertifikavimas – tai procesas, padedantis organizacijoms atitikti Sveikatos draudimo perkeliamumo ir atskaitomybės akto (HIPAA) reikalavimus.

HIPAA nustatyti elektroninės saugomos sveikatos informacijos (ePHI) ir asmenų privatumo apsaugos standartai. Sveikatos sektoriuje yra įvairių privačių bendrovių, teikiančių HIPAA sertifikavimo paslaugas, ir jos būna įvairių dydžių, formų ir formatų.

Sertifikavimo metu trečioji šalis peržiūri, kaip organizacija laikosi HIPAA saugumo taisyklėje numatytų administracinių, techninių ir fizinių apsaugos priemonių. Be to, yra įvairių HIPAA sertifikatų, įskaitant CHPA, CHPE, CHSE ir CHPSE.

Organizacijoms svarbu pasirinkti tinkamą sertifikavimą, atsižvelgiant į tai, ar jos susiduria su saugoma sveikatos informacija (PHI) ir ar dalyvauja užtikrinant atitiktį.

Mokėjimo kortelių pramonės duomenų saugumo standartas (PCI DSS) – tai saugumo standartų rinkinys, kuriuo siekiama užtikrinti, kad visos įmonės, priimančios, apdorojančios, saugančios ar perduodančios kredito kortelių informaciją, išlaikytų saugią aplinką.

PCI DSS tikslas – apsisaugoti nuo sukčiavimo kredito kortelėmis griežčiau kontroliuojant duomenis ir jų pažeidžiamumą.

Norėdama gauti PCI DSS sertifikatą, įmonė turi atitikti dvylika PCI saugumo tarybos nustatytų reikalavimų. Įmonės atitiktį PCI DSS standartams vertina kvalifikuotas saugumo vertintojas (QSA). PCI saugumo taryba prekybininkams teikia išteklius, pavyzdžiui, kredito kortelių duomenų saugumo standartų dokumentus, PCI reikalavimus atitinkančią programinę ir techninę įrangą bei kvalifikuotus saugumo vertintojus, kad padėtų pasiekti ir išlaikyti PCI DSS atitiktį.

„Cloud Security Alliance” (CSA) yra pirmaujanti organizacija, kurios tikslas – nustatyti ir skatinti geriausią praktiką, kaip užtikrinti saugią debesų kompiuterijos aplinką. CSA siūlo debesijos saugumo žinių sertifikatą (CCSK), kuris plačiai pripažįstamas kaip debesijos saugumo kompetencijos standartas. CSA teikia išteklius, padedančius asmenims pasirengti ir gauti CCSK pažymėjimą, kuris apima tiekėjo neutralų supratimą apie tai, kaip apsaugoti duomenis debesyje.

Dar viena sertifikavimo galimybė IT ir kibernetinio saugumo specialistams, norintiems savo organizacijose taikyti geriausią debesijos saugumo praktiką, yra (ISC) siūlomas debesijos saugumo aljanso CCSP sertifikatas. CCSP įrodo pažangius techninius įgūdžius ir žinias apie duomenų, taikomųjų programų ir infrastruktūros debesijoje projektavimą, valdymą ir saugumą bei suteikia kibernetinio saugumo lyderių bendruomenės paramą.

„Cyber Essentials” – tai sertifikavimo programa, skirta padėti organizacijoms įrodyti, kad jos yra įsipareigojusios užtikrinti kibernetinį saugumą. Sertifikavimas atliekamas savarankiškai, t. y. organizacijos turi atsakyti į sertifikavimo įstaigos, pavyzdžiui, „Baltum Buroo”, pateiktą klausimyną. Įvertinusi atsakymus ir atlikusi išorinį organizacijos IP adresų pažeidžiamumo patikrinimą, sertifikavimo įstaiga nustatys, ar organizacija atitinka sertifikavimo reikalavimus.

„Baltum Buroo” gali pasiūlyti įvairias paslaugas, padedančias pasirengti sertifikavimui ir gauti sertifikatą, įskaitant pragmatiškas konsultacijas kibernetinėje srityje ir paramą sertifikavimo proceso metu.

SOC 2 (System and Organization Controls 2) – tai atitikties standartas, kurį sukūrė Amerikos civilinės metrikacijos auditorių institutas (AICPA), siekdamas apibrėžti klientų duomenų valdymo kriterijus, pagrįstus penkiais patikimumo užtikrinimo principais: saugumo, prieinamumo, apdorojimo vientisumo, konfidencialumo ir privatumo.

SOC 2 sertifikavimas tampa vis svarbesnis, nes vis daugiau įmonių renka ir saugo klientų duomenis, nes pagal jį įmonės laikosi standarto, kuris apsaugo vartotojų duomenis ir užtikrina vartotojų ramybę.

Norint atitikti SOC 2 reikalavimus, reikia su auditoriaus pagalba parengti veiksmų planą ir skirti daug laiko SOC 2 reikalavimus atitinkančių sistemų ir procesų kūrimui. Sukūrus reikalavimus atitinkančius procesus, svarbu jų nuosekliai laikytis, kad būtų išlaikytas SOC 2 sertifikatas.

Svarbu pažymėti, kad SOC 2 ataskaitos yra unikalios kiekvienai organizacijai ir skiriasi nuo PCI DSS, kuriai taikomi labai griežti reikalavimai.

TISAX sertifikavimas – tai labai paklausus informacijos saugumo vertinimo mechanizmas automobilių pramonės įmonėms. „Trusted Information Security Assessment Exchange” (TISAX) – tai Europos automobilių pramonės standartus atitinkantis informacijos saugumo vertinimo katalogas, padedantis įmonėms užtikrinti jų informacinių sistemų saugumą.

TISAX sertifikatas patvirtina, kad įmonės informacijos saugumo valdymo sistema atitinka nustatytus saugumo lygius, ir suteikia galimybę dalytis vertinimo rezultatais tam skirtoje platformoje.

„Baltum Buroo” siūlo TISAX sertifikavimo paslaugas, kurios padės jums įrodyti savo pasirengimą informacijos saugumo valdymo srityje.

„Baltum Buroo” atliekami TISAX vertinimai padeda didinti pasitikėjimą ir bendrą klientų pasitenkinimą, o tai gali palengvinti esamų sutarčių su tiekėjais atnaujinimą.

„TISAX” padeda įmonėms sumažinti jų pastangas apdorojant iš klientų gaunamą jautrią informaciją arba vertinant savo tiekėjų informacijos saugumą. „TISAX” suteikia galimybę įrodyti, kad esate įsipareigoję užtikrinti informacijos saugumą, o tai gali turėti teigiamos įtakos jūsų verslui ir padidinti klientų pasitikėjimą.

„Baltum Buroo” pasaulinis TISAX auditorių tinklas padės jums gauti TISAX sertifikatą ir padidinti jūsų informacinių sistemų saugumą. Jei norite sužinoti daugiau apie mūsų TISAX sertifikavimo paslaugas, nedvejodami kreipkitės į mus.

„CryptoCurrency Certification Consortium” (C4) yra pelno nesiekianti organizacija, teikianti sertifikatus specialistams, kurie teikia su kriptovaliutomis susijusias paslaugas. Organizacija teikia sertifikatus, kuriais įrodomos išsamios įvairių su kriptovaliutomis susijusių sričių žinios, pradedant kriptografijos pagrindais ir baigiant žemo lygio kriptovaliutų kūrimu.

C4 taip pat nustato kriptovaliutų standartus, kuriais siekiama suderinti atvirumą, privatumą, saugumą, patogumą ir decentralizaciją. Organizacija teikia nemokamą ir atvirą pramonės gairių ir geriausios praktikos rinkinį, skirtą kriptovaliutų ir su jomis susijusių sistemų saugumui užtikrinti, naudodama kriptovaliutų saugumo standartą (CCSS).

CCSS rekomenduoja įgyvendinti įvairias saugumo kontrolės priemones, kad būtų apsaugotos kriptovaliutų atsargos. „C4” turi nustatytus sertifikatus, tokius kaip „Self Custody”, „Qualified Service Provider” (QSP) ir „Full System” (FS).

Tobulėjant technologijoms ir internetiniams sandoriams, didėja kriptovaliutų sertifikavimo programų, padedančių specialistams išmokti ir pademonstruoti naujus šios srities įgūdžius, paklausa.