Pasal-pasal keamanan GDPR yang dipetakan: sisi keamanan dari undang-undang privasi

GDPR adalah undang-undang privasi. Sebagian besar isinya mengatur apakah Anda boleh memproses data pribadi, bagaimana Anda memberi tahu orang tentang pemrosesan tersebut, dan hak apa yang mereka miliki. Namun, beberapa pasal membebankan kewajiban keamanan, dan di situlah tim keamanan bersinggungan dengan regulasi ini. ControlMapping hanya memetakan pasal-pasal tersebut: integritas dan kerahasiaan (Pasal 5(1)(f)), akuntabilitas (24), perlindungan data sejak perancangan (25), prosesor (28), catatan pemrosesan (30), keamanan pemrosesan (32), pemberitahuan pelanggaran (33 dan 34), penilaian dampak (35), dan petugas perlindungan data (37 hingga 39).

Bagaimana ISO 27001 mencakupnya

Dari 13 artikel terkait keamanan GDPR, 12 (92%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Hampir setiap pasal GDPR yang terkait keamanan dipetakan ke ISO 27001. ISMS memberi Anda langkah keamanan berbasis risiko (Pasal 32), manajemen insiden yang dapat menjadi dasar pemberitahuan pelanggaran (Pasal 33 dan 34), kontrol pemasok untuk prosesor (Pasal 28), serta tanggung jawab yang terdokumentasi. Satu-satunya pasal tanpa pemetaan ISO adalah Pasal 38, tentang kedudukan petugas perlindungan data, yang menyangkut independensi dan jalur pelaporan yang tidak dibahas ISO 27001.

Pasal demi pasal

GDPR	Persyaratan	Kecocokan	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	Editorial	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	Editorial	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	Editorial	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	Editorial	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	Editorial	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	Editorial	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	Editorial	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	Editorial	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	Editorial	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	Editorial	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	Editorial	A.5.2A.5.4
Art.38	Position of the data protection officer	Tidak ada pemetaan dalam data kami	—
Art.39(1)	Tasks of the data protection officer	Editorial	A.5.2A.5.4A.6.3Clause 7.3

Yang ditambahkan GDPR di luar ISO 27001

Bahkan dalam pasal-pasal keamanan, GDPR lebih spesifik di beberapa bagian:

• Tenggat pemberitahuan pelanggaran. Beritahukan otoritas pengawas dalam waktu 72 jam sejak mengetahui adanya pelanggaran data pribadi (Pasal 33), dan beritahukan orang yang terdampak tanpa penundaan yang tidak semestinya ketika risiko bagi mereka tinggi (Pasal 34). ISO mensyaratkan manajemen insiden, bukan pemberitahuan regulasi yang dibatasi waktu.
• Pseudonimisasi dan enkripsi disebutkan dalam Pasal 32 sebagai langkah yang perlu dipertimbangkan.
• Perlindungan data sejak perancangan dan secara default (Pasal 25) menjangkau cara sistem dibangun dan dikonfigurasi, bukan sekadar diamankan.
• Penilaian dampak (Pasal 35) untuk pemrosesan berisiko tinggi merupakan penilaian privasi, lebih luas daripada penilaian risiko keamanan ISO.

Arah sebaliknya

Dari 123 Kontrol Lampiran A dan klausul SMKI ISO 27001, 47 (38%) dipetakan ke sesuatu dalam GDPR, 47 hanya terkait secara longgar, dan 29 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Dari GDPR ke ISO 27001, sebagian besar Annex A dipetakan atau terkait secara longgar, tetapi klausul ISMS, keamanan fisik, dan beberapa kontrol teknis tidak memiliki padanan di GDPR. GDPR tidak mensyaratkan sistem manajemen atau menentukan kontrol teknis; GDPR mensyaratkan langkah-langkah yang sesuai dengan risiko dan membiarkan Anda memilihnya.

Cara menggunakan irisan ini

1. Perlakukan Pasal 32 sebagai persyaratan ISMS Anda: cantumkan dalam persyaratan hukum dan kontraktual (ISO A.5.31) dan rujuk darinya dalam penilaian risiko.
2. Perluas proses insiden untuk pelanggaran data pribadi: keputusan apakah akan memberi tahu, tenggat 72 jam, dan catatan atas setiap pelanggaran, baik yang diberitahukan maupun tidak (Pasal 33(5)).
3. Gunakan kontrol pemasok untuk prosesor, dengan ketentuan Pasal 28 dalam kontrak.
4. Melampaui keamanan untuk privasi: ISO/IEC 27701 memperluas ISMS menjadi manajemen privasi.

Setiap tautan GDPR di situs ini merupakan penilaian editorial ControlMapping, karena tidak ada crosswalk resmi. Perbandingan ISO 27001 vs GDPR dan halaman kerangka kerja GDPR mencantumkan setiap pemetaan beserta alasannya, dan analisis kesenjangan mengekspornya.

Pertanyaan

Apa yang diwajibkan oleh Pasal 32 GDPR?

Keamanan pemrosesan: langkah teknis dan organisasi yang sesuai untuk tingkat keamanan yang sesuai dengan risiko, termasuk, jika relevan, pseudonimisasi dan enkripsi, kerahasiaan, integritas, ketersediaan dan ketahanan yang berkelanjutan, pemulihan tepat waktu setelah insiden, serta pengujian berkala atas langkah-langkah tersebut.

Apakah ISO 27001 membuat Anda patuh terhadap GDPR?

Tidak. ISO 27001 mendukung kewajiban keamanan, terutama Pasal 32, tetapi GDPR juga mensyaratkan dasar hukum, transparansi, hak subjek data, dan banyak hal lain yang tidak dicakup ISO 27001.