Wdrożenie ISO/IEC 27018

Analiza stanu obecnego

Przeprowadzamy ocenę zgodności obecnych praktyk, umów, dokumentacji i zabezpieczeń z ISO/IEC 27018:2025.

Analiza obejmuje między innymi:

• zakres publicznych usług chmurowych,
• rolę dostawcy jako podmiotu przetwarzającego,
• kategorie danych i osób, których dane dotyczą,
• cele, instrukcje i ograniczenia przetwarzania,
• lokalizacje danych i transfery transgraniczne,
• podwykonawców i dalsze powierzenie przetwarzania,
• zarządzanie dostępem, rejestrowanie i monitorowanie,
• reagowanie na incydenty i naruszenia,
• zwrot, przenoszenie i usuwanie danych,
• informacje i dowody udostępniane klientom.

Rezultatem jest raport przedstawiający zidentyfikowane luki, ich znaczenie oraz rekomendowaną kolejność działań.

Określenie zakresu wdrożenia

Wspieramy organizację w ustaleniu usług, procesów, systemów, lokalizacji i stron objętych wdrożeniem.

Zakres uwzględnia usługi IaaS, PaaS lub SaaS oferowane w modelu chmury publicznej, kategorie danych osobowych, role dostawcy i klienta, podwykonawców, przepływy danych oraz powiązanie z zakresem SZBI lub PIMS.

Inwentaryzacja danych i przepływów

Porządkujemy informacje dotyczące danych osobowych przetwarzanych w ramach usług, ich źródeł, lokalizacji, odbiorców, podwykonawców, okresów przechowywania i sposobu usuwania.

Inwentaryzacja obejmuje również instrukcje klientów, granice odpowiedzialności, procesy wspierające realizację praw osób oraz zależności od innych usług i dostawców.

Ocena ryzyka dla danych osobowych

Wspieramy organizację w identyfikacji i ocenie ryzyka związanego z przetwarzaniem danych osobowych w publicznych usługach chmurowych.

Proces obejmuje:

• identyfikację danych, procesów, systemów i zależności,
• analizę zagrożeń dla poufności, integralności i dostępności,
• ocenę konsekwencji dla osób, których dane dotyczą,
• analizę ryzyka związanego z dostawcami i lokalizacją danych,
• ocenę ryzyka nieuprawnionego wykorzystania lub ujawnienia,
• wybór sposobu postępowania z ryzykiem,
• powiązanie wyników z oceną ryzyka SZBI i PIMS.

Dobór i projekt zabezpieczeń

Dobieramy zabezpieczenia na podstawie roli dostawcy, wyników oceny ryzyka, instrukcji klientów oraz właściwych zobowiązań prawnych, regulacyjnych i umownych.

Projekt obejmuje wytyczne do zabezpieczeń ISO/IEC 27002 oraz rozwiązania odnoszące się bezpośrednio do ochrony danych osobowych w chmurze publicznej. Ustalenia są dokumentowane w powiązaniu z Deklaracją Stosowania SZBI albo w odrębnej macierzy kontroli prywatności.

Opracowanie dokumentacji

Przygotowujemy dokumentację potrzebną do zarządzania ochroną danych osobowych w usługach chmurowych. W zależności od uzgodnionego zakresu obejmuje ona:

• zakres wdrożenia i model odpowiedzialności,
• inwentaryzację danych i przepływów,
• rejestr ryzyka i macierz zgodności,
• wymagania dotyczące instrukcji klientów,
• zasady wykorzystania i ujawniania danych,
• informacje o lokalizacjach i podwykonawcach,
• wymagania dla umów i dalszego powierzenia,
• zarządzanie dostępem, rejestrowanie i monitorowanie,
• obsługę incydentów i naruszeń ochrony danych,
• zwrot, przenoszenie, retencję i usuwanie danych,
• zasady dostarczania klientom informacji i dowodów.

Jeżeli organizacja posiada już dokumentację SZBI, PIMS lub ochrony danych, poddajemy ją przeglądowi i dostosowujemy zamiast tworzyć równoległe rozwiązania.

Wdrożenie zabezpieczeń danych

Wspieramy zespoły prywatności, bezpieczeństwa, chmurowe i operacyjne w przełożeniu przyjętych wymagań na rozwiązania organizacyjne i techniczne.

Wsparcie obejmuje:

• ustanowienie właścicieli działań i terminów,
• wdrożenie obsługi instrukcji i wymagań klientów,
• uporządkowanie tożsamości i dostępów uprzywilejowanych,
• wdrożenie rejestrowania, monitorowania i alertowania,
• ustanowienie zasad separacji danych klientów,
• wdrożenie mechanizmów ochrony danych w transmisji i spoczynku,
• integrację obsługi incydentów i naruszeń,
• wdrożenie nadzoru nad podwykonawcami,
• ustanowienie bezpiecznego zwrotu i usuwania danych,
• określenie sposobu gromadzenia dowodów.

Szkolenia i budowanie kompetencji

Przygotowujemy szkolenia dla kadry zarządzającej, zespołów prywatności i bezpieczeństwa, architektów, administratorów, właścicieli usług, sprzedaży, zakupów oraz osób zarządzających relacjami z klientami i dostawcami.

Szkolenia obejmują rolę podmiotu przetwarzającego, instrukcje klientów, zasady wykorzystania danych, przejrzystość, zarządzanie dostępem, reagowanie na naruszenia, podwykonawców, usuwanie danych oraz gromadzenie dowodów zgodności.

Ocena zgodności z ISO/IEC 27018

Oceniamy zaprojektowanie i funkcjonowanie zabezpieczeń danych osobowych w odniesieniu do zakresu usług, roli dostawcy i wymagań ISO/IEC 27018:2025.

Ocena obejmuje przegląd dokumentacji i umów, rozmowy z właścicielami kontroli, weryfikację konfiguracji i zapisów, analizę dowodów działania zabezpieczeń oraz identyfikację niezgodności i obszarów wymagających doskonalenia.

Integracja z audytem SZBI lub PIMS

Przygotowujemy organizację do wykazania, że ryzyka i zabezpieczenia dotyczące danych osobowych w chmurze zostały właściwie ujęte w SZBI lub PIMS, ocenie ryzyka, planach postępowania i dokumentacji operacyjnej.

Zakres obejmuje powiązanie wymagań z ISO/IEC 27001 lub ISO/IEC 27701, uporządkowanie dowodów oraz przygotowanie właścicieli zabezpieczeń do rozmów z audytorami.

Wsparcie w działaniach korygujących

Wspieramy organizację w analizie ustaleń audytowych, określeniu przyczyn niezgodności, przygotowaniu planu działań korygujących oraz zebraniu dowodów potwierdzających ich skuteczne zakończenie.