GDPR के सुरक्षा अनुच्छेद, मैप किए गए: किसी गोपनीयता कानून का सुरक्षा वाला हिस्सा

GDPR एक गोपनीयता कानून है। इसका अधिकांश हिस्सा इस बारे में है कि आप व्यक्तिगत डेटा को प्रोसेस कर सकते हैं या नहीं, लोगों को इसकी जानकारी कैसे देनी है, और उनके क्या अधिकार हैं। लेकिन कई अनुच्छेद सुरक्षा दायित्व लागू करते हैं, और यही वे जगहें हैं जहाँ सुरक्षा टीमों का इस विनियमन से सामना होता है। ControlMapping केवल वही अनुच्छेद मैप करता है: अखंडता और गोपनीयता (अनुच्छेद 5(1)(f)), उत्तरदायित्व (24), डिज़ाइन द्वारा डेटा संरक्षण (25), प्रोसेसर (28), प्रसंस्करण के रिकॉर्ड (30), प्रसंस्करण की सुरक्षा (32), उल्लंघन की सूचना (33 और 34), प्रभाव आकलन (35) और डेटा संरक्षण अधिकारी (37 से 39)।

ISO 27001 इन्हें कैसे कवर करता है

13 GDPR सुरक्षा से संबंधित लेख में से 12 (92%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 1 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

लगभग हर सुरक्षा-संबंधी GDPR अनुच्छेद ISO 27001 से मैप होता है। एक ISMS आपको जोखिम-आधारित सुरक्षा उपाय (अनुच्छेद 32), घटना प्रबंधन जो उल्लंघन की सूचना का आधार बन सकता है (अनुच्छेद 33 और 34), प्रोसेसरों के लिए आपूर्तिकर्ता नियंत्रण (अनुच्छेद 28) और दस्तावेज़ीकृत उत्तरदायित्व देता है। केवल एक अनुच्छेद का ISO में कोई मैपिंग नहीं है: अनुच्छेद 38, यानी डेटा संरक्षण अधिकारी की स्थिति, जो स्वतंत्रता और रिपोर्टिंग लाइनों से जुड़ी है, और ISO 27001 उसे संबोधित नहीं करता।

अनुच्छेद-दर-अनुच्छेद

GDPR	आवश्यकता	मिलान	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	संपादकीय	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	संपादकीय	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	संपादकीय	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	संपादकीय	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	संपादकीय	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	संपादकीय	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	संपादकीय	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	संपादकीय	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	संपादकीय	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	संपादकीय	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	संपादकीय	A.5.2A.5.4
Art.38	Position of the data protection officer	हमारे डेटा में कोई मैपिंग नहीं	—
Art.39(1)	Tasks of the data protection officer	संपादकीय	A.5.2A.5.4A.6.3Clause 7.3

GDPR में ऐसा क्या जुड़ता है जो ISO 27001 में नहीं है

सुरक्षा अनुच्छेदों के भीतर भी, GDPR कुछ जगहों पर अधिक विशिष्ट है:

• उल्लंघन की सूचना की समय-सीमाएँ। व्यक्तिगत डेटा उल्लंघन की जानकारी होने के 72 घंटे के भीतर पर्यवेक्षी प्राधिकरण को सूचित करें (अनुच्छेद 33), और जब उनके लिए जोखिम उच्च हो, तो प्रभावित लोगों को बिना अनुचित विलंब के सूचित करें (अनुच्छेद 34)। ISO घटना प्रबंधन की अपेक्षा करता है, घड़ी पर आधारित नियामक सूचना की नहीं।
• छद्मनामीकरण और एन्क्रिप्शन अनुच्छेद 32 में विचार किए जाने योग्य उपायों के रूप में नामित हैं।
• डिज़ाइन द्वारा और डिफ़ॉल्ट रूप से डेटा संरक्षण (अनुच्छेद 25) इस बात तक जाता है कि सिस्टम कैसे बनाए और कॉन्फ़िगर किए जाते हैं, केवल उन्हें सुरक्षित करने तक सीमित नहीं।
• प्रभाव आकलन (अनुच्छेद 35) उच्च-जोखिम प्रसंस्करण के लिए एक गोपनीयता आकलन है, जो ISO सुरक्षा जोखिम आकलन से व्यापक है।

दूसरी दिशा

123 ISO 27001 Annex A नियंत्रण और ISMS खंड में से 47 (38%) GDPR में किसी चीज़ से मैप होते हैं, 47 केवल ढीले तौर पर संबंधित हैं और 29 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

GDPR से ISO 27001 की ओर जाएँ तो Annex A का अधिकांश हिस्सा मैप होता है या ढीले तौर पर संबंधित है, लेकिन ISMS क्लॉज़, भौतिक सुरक्षा और कुछ तकनीकी नियंत्रणों का कोई GDPR समकक्ष नहीं है। GDPR न तो प्रबंधन प्रणाली की माँग करता है और न ही तकनीकी नियंत्रण निर्धारित करता है; वह जोखिम के अनुरूप उपायों की माँग करता है और चुनाव आपके हाथ में छोड़ता है।

ओवरलैप का उपयोग कैसे करें

1. अनुच्छेद 32 को अपने ISMS की आवश्यकता मानें: इसे कानूनी और संविदात्मक आवश्यकताओं में सूचीबद्ध करें (ISO A.5.31) और जोखिम आकलन से इसका संदर्भ दें।
2. व्यक्तिगत डेटा उल्लंघनों के लिए घटना प्रक्रिया विस्तारित करें: सूचित करने का निर्णय, 72 घंटे की घड़ी, और हर उल्लंघन का रिकॉर्ड, चाहे सूचित किया गया हो या नहीं (अनुच्छेद 33(5))।
3. प्रोसेसरों के लिए आपूर्तिकर्ता नियंत्रण लागू करें, अनुबंधों में अनुच्छेद 28 की शर्तों के साथ।
4. गोपनीयता के लिए सुरक्षा से आगे देखें: ISO/IEC 27701 ISMS को गोपनीयता प्रबंधन तक विस्तारित करता है।

इस साइट पर हर GDPR लिंक ControlMapping का संपादकीय निर्णय है, क्योंकि कोई आधिकारिक क्रॉसवॉक मौजूद नहीं है। ISO 27001 बनाम GDPR तुलना और GDPR फ़्रेमवर्क पृष्ठ हर मैपिंग को उसके कारण सहित सूचीबद्ध करते हैं, और गैप विश्लेषण उन्हें निर्यात करता है।

प्रश्न

GDPR अनुच्छेद 32 क्या माँगता है?

प्रसंस्करण की सुरक्षा: जोखिम के अनुरूप सुरक्षा स्तर के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय, जिनमें, जहाँ उपयुक्त हो, छद्मनामीकरण और एन्क्रिप्शन, गोपनीयता, अखंडता, उपलब्धता और लचीलापन का निरंतर बने रहना, घटना के बाद समय पर पुनर्स्थापना, और उपायों का नियमित परीक्षण शामिल है।

क्या ISO 27001 आपको GDPR अनुपालक बनाता है?

नहीं। यह सुरक्षा दायित्वों, विशेषकर अनुच्छेद 32, का समर्थन करता है, लेकिन GDPR के लिए वैध आधार, पारदर्शिता, डेटा विषय के अधिकार और बहुत कुछ और भी आवश्यक है, जिसे ISO 27001 कवर नहीं करता।