Przykłady stron zainteresowanych w ISO/IEC  27001

Przykłady stron zainteresowanych w ISO/IEC 27001 i wymagania dotyczące zgodności

Przykłady stron zainteresowanych w ISO/IEC  27001 i wymagania dotyczące zgodności

Punkt 4.2 normy ISO/IEC 27001 jest zatytułowany „Zrozumienie potrzeb i oczekiwań zainteresowanych stron”.

Czym jest „zainteresowana strona”? Standard nie jest tak przejrzysty w tym zakresie, więc poniżej spróbujemy rozjaśnić ten temat.

 

Co to jest zainteresowana strona?

Zainteresowana strona to zasadniczo interesariusz - osoba lub grupa osób, na które wpływ mają działania Twojej organizacji.

W kontekście ISO/IEC 27001 ich interesy dotyczą twojego ISMS (systemu zarządzania bezpieczeństwem informacji) i twojej zdolności do zapobiegania naruszeniom danych.

 

Przykłady zainteresowanych stron

Zainteresowane strony mogą obejmować dowolne z poniższych:

  • Pracownicy, ponieważ są to osoby, które przestrzegają praktyk opisanych w SZBI.
  • Akcjonariusze, ponieważ skuteczne bezpieczeństwo informacji wpływa na sukces finansowy organizacji.
  • Organy regulacyjne i rząd, ponieważ tworzą przepisy dotyczące bezpieczeństwa informacji i zapewniają ich przestrzeganie.
  • Dostawcy i partnerzy, ponieważ masz ustalenia umowne dotyczące sposobu ochrony wrażliwych informacji.
  • Klienci, ponieważ korzystają z Twoich usług i udostępniają Ci poufne informacje.

 

Jak zidentyfikować zainteresowane strony

Istnieją dwa sposoby ustalenia, kim są zainteresowane strony. Po pierwsze, możesz zapytać kierowników działów i innych pracowników wyższego szczebla, którzy dobrze znają Twoją organizację, rozumieją zachodzące w niej procesy oraz wiedzą w jaki sposób twoje praktyki bezpieczeństwa informacji wpływają na otoczenie.

 

Alternatywnie możesz zidentyfikować zainteresowane strony, przeglądając swoją dokumentację.

 

Punkt 4.1 normy ISO 27001, „Zrozumienie organizacji i jej kontekstu”, wymaga przedstawienia wewnętrznych i zewnętrznych kwestii, które wpływają na zamierzone wyniki twojego SZBI, co z kolei ukazuje zainteresowane strony.

 

Na przykład częstym problemem jest brak nadzoru nad pracownikami z firm zewnętrznych i dostawcami poruszającymi się po terenie Twojej organizacji lub mającymi dostęp do Twoich systemów informacyjnych.

 

System Zarządzania Bezpieczeństwem Informacji będzie wymagał od Ciebie aby w końcu pochylić się na tym problemem i zdecydować, jak go rozwiązać.

 

W takim przypadku należy pamiętać, że na dostawców wpływa ryzyko bezpieczeństwa związane z outsourcingiem.

 

Potrzeby i oczekiwania zainteresowanych stron

Gdy masz już listę zainteresowanych stron, musisz udokumentować ich potrzeby i oczekiwania, czyli czego oczekują od Twojej organizacji.

 

Na przykład pracownicy chcą jasnych instrukcji dotyczących postępowania z danymi wrażliwymi, dostawcy precyzyjnych i możliwych do spełnienia zapisów w umowie, a media chcą przejrzystości w zakresie incydentów bezpieczeństwa.

 

 

Takie ogólne stwierdzenia są dobrym punktem wyjścia, ale musisz być możliwie jak najbardziej szczegółowy w procesie dokumentacji. Określ, jakie klauzule są konieczne w umowach z dostawcami, w jaki sposób pracownicy powinni chronić dane wrażliwe i tak dalej.

 

Musisz także ustalić, czy potrzeby i oczekiwania zainteresowanych stron leżą w Twoim najlepszym interesie.

 

Cyberprzestępcy również mogą być traktowani jako strony zainteresowane, ponieważ stosowane w organizacji praktyki bezpieczeństwa mają na nich bezpośredni wpływ (im silniejsza jest twoja ochrona, tym trudniejsza jest ich praca). Oczywiście w przypadku cyberprzestępców wasze cele są całkowicie odmienne. Twoim zadaniem jest ochrona informacji a ich celem jest ich zdobycie i wykorzystanie.

 

Z podobną dychotomią (choć nieco subtelniejszą), mamy do czynienia w przypadku relacji z klientami. Zasadniczo chcą oni udostępniać jak najmniej wrażliwych informacji w obawie, że zostaną one naruszone, podczas gdy organizacje chcą zwykle gromadzić jak najwięcej danych.

 

Tylko poprzez ustalenie, czego zainteresowane strony chcą od ciebie, możesz odpowiednio zaplanować i upewnić się, że wszyscy są zadowoleni.

 

Przekonasz się, że kroki, które podejmujesz, aby zaspokoić potrzeby i oczekiwania jednej zainteresowanej strony, często przynoszą korzyść drugiej.

 

Na przykład umowa z dostawcą może również zapewnić spełnienie wymogu regulacyjnego opartego na ogólnych praktykach bezpieczeństwa, satysfakcjonując klientów, którzy chcą wiedzieć, że mogą zaufać organizacji w zakresie ochrony ich danych osobowych.

 

Nie wszystkie zainteresowane strony są równie ważne

Spełnienie potrzeb zainteresowanych stron nie zawsze będzie korzystne dla obu stron. W takich przypadkach musisz nadać priorytet niektórym działaniom.

 

Ustalenie, które i czyje potrzeby są najważniejsze, jest tak proste, jak określenie konsekwencji ich ignorowania.

 

Załóżmy, że ktoś uważa, iż Twoja organizacja powinna być bardziej rygorystyczna w zakresie szyfrowania danych. To, kim jest ta osoba, będzie miało ogromny wpływ na to, czy skorzystasz z jej sugestii.

 

Jeśli takie oczekiwania zostaną wysunięte przez jednego z Twoich cenionych klientów, ich zignorowanie może skutkować jego utratą i sporymi problemami finansowymi dla Twojej organizacji.

 

W tej sytuacji szyfrowanie danych powinno stać się priorytetem i być kluczową kwestią podczas szukania rozwiązań opartych na ocenie ryzyka – czyli procesie, w którym Twój ISMS nabiera kształtu.

 

Skontaktuj się z nami, by uzyskać akredytowany certyfikat ISO/IEC 27001!

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.