ГОСТ Р ИСО/МЭК 29100—2013
обязательства, ограничения и (или) формирование мер и средств контроля и управления, которые
адаптированы организацией к удовлетворению требований к мерам защиты приватности,
являющимся важными для обработки ПИИ. Внешние политики приватности предоставляются
внешним поставщикам организации с уведомлениями о практиках организации приватности, а также о
другой важной информации, как например, идентификационные данные и официальный адрес
оператора ПИИ. точки контакта, откуда обладатели ПИИ могли бы получать дополнительную
информацию и т. д. В контексте такой структуры термин «политика приватности» используется для
ссылки на внутреннюю политику приватности организации. На внешнюю политику приватности
ссылаются как на уведомления.
4.7 Меры и средства контроля и управления приватностью
Организации должны идентифицировать и реализовывать меры и средства контроля и
управления приватностью, чтобы соответствовать требованиям к мерам защиты приватности,
определенным оценкой риска обеспечения приватности и процессом обработки. Кроме того,
идентифицированные и реализованные меры и средства контроля и управления приватностью
должны быть документально оформлены как часть оценки риска обеспечения приватности
организации. Определенные виды обработки ПИИ. возможно, потребуют применения специальных
мер и средств контроля и управления, потребность в которых станет очевидной, как только
намеченные действия будут тщательно проанализированы. Оценка риска приватности может оказать
помощь организациям в идентификации специфических рисков нарушений приватности, включающих
рассматриваемую обработку.
Организация должна приложить усилия, чтобы разработать собственные меры и средства
контроля и управления приватностью как часть общего подхода «обеспечения приватности при
проектировании», т. в. соблюдение приватности должно приниматься в расчет на стадии
проектирования систем, обрабатывающих ПИИ, а не сдвигаться на последующий этап.
Поскольку затрагиваются меры и средства контроля и управления информационной
безопасностью, важно отметить, что не вся обработка ПИИ требует одного и того же уровня или типа
защиты. Организации должны различать операции по обработке ПИИ в соответствии с их
специфическими рисками, чтобы помочь определению того, какие меры и средства контроля и
управления информационной безопасностью в каких случаях являются соответствующими.
Менеджмент риска может рассматриваться как основной метод этого процесса, а идентификация мер и
средств контроля и управления приватностью также должна являться неотъемлемой частью
структуры менеджмента информационной безопасности организации.
5 Принципы обеспечения приватности ИСО/МЭК 29100
5.1 Общий обзор принципов обеспечения приватности
Описанные в данномстандартепринципыобеспеченияприватности выведены из
существующих принципов, разработанных рядом государств, стран и международных организаций.
Эта структура направлена на реализацию принципов приватности в системах ИКТ и на разработку
систем менеджмента приватности, которые должны быть реализованы в рамках систем ИКТ
организации. Эти принципы приватности должны использоваться для руководства проектированием,
разработкой и реализацией политик приватности и мер и средств контроля и управления
приватностью. Кроме того, они могут быть использованы в качестве основы при мониторинге и
измерении эффективности, а также сравнительного анализа и аудита аспектов программы
менеджмента приватности в организации.
Несмотря на различия в социальных, культурных, правовых и экономических факторах, которые
могут ограничивать применение этих принципов в одном и том же контексте, рекомендуется
применение любых принципов, изложенных в настоящем стандарте. Любые исключения из этих
принципов должны быть ограничены.
Основу настоящего стандарта формируют следующие принципы обеспечения приватности,
приведенные в таблице 3.
12