Was erfordert die Kontrolle A.1.4.10?
Die Organisation unterzieht personenbezogene Daten, die über ein Datenübertragungsnetzwerk übermittelt werden (z. B. an eine andere Organisation gesendet), geeigneten Kontrollen, die sicherstellen sollen, dass die Daten ihr Ziel erreichen.
Diese Steuerung befindet sich innerhalb der Minimierung von PII Ziel (A.1.4) wird formuliert und befasst sich mit der Sicherheit personenbezogener Daten, sobald diese während der Übertragung die direkte Kontrolle der Organisation verlassen. Unabhängig davon, ob personenbezogene Daten an einen Datenverarbeiter gesendet, mit einem Partner geteilt, in einen Cloud-Dienst übertragen oder zwischen internen Systemen ausgetauscht werden, muss die Organisation sicherstellen, dass sie ihr Ziel erreichen und während der Übertragung geschützt sind.
Was besagt der Umsetzungsleitfaden?
Anhang B (Abschnitt B.1.4.10) enthält folgende Hinweise:
- Implementieren Sie die Verschlüsselung personenbezogener Daten während der Übertragung. — Verwenden Sie Verschlüsselung, um personenbezogene Daten während der Übertragung zu schützen und Abfangen oder Mithören zu verhindern. Dies umfasst sowohl externe Übertragungen (an Dritte) als auch interne Übertragungen (zwischen Systemen).
- Überprüfen Sie die Identität und Autorisierung des Empfängers. — Vor der Übermittlung personenbezogener Daten (PII) muss bestätigt werden, dass der Empfänger tatsächlich derjenige ist, für den er sich ausgibt, und dass er berechtigt ist, die Daten zu erhalten.
- Protokollübertragungen — Aufzeichnungen über die Übermittlung personenbezogener Daten führen, einschließlich dessen, was, an wen, wann und über welchen Kanal gesendet wurde
- Berücksichtigen Sie die Sicherheit des Übertragungskanals. — Beurteilen Sie die Sicherheit des Übertragungskanals selbst, einschließlich des Netzwerks, der Protokolle und der beteiligten Vermittler.
- Verwenden Sie sichere Protokolle. — Verwenden Sie branchenübliche Sicherheitsprotokolle wie TLS (für Web und E-Mail), SFTP (für Dateiübertragung), VPN (für Netzwerkverbindungen) und verschlüsselte APIs.
- Web Link A.1.4.2: Begrenzung der Inkassotätigkeit für damit zusammenhängende Anforderungen
- Web Link A.1.4.5: Ziele zur Minimierung personenbezogener Daten für damit zusammenhängende Anforderungen
Die Kontrollmaßnahme ist technologieunabhängig, erwartet aber von Organisationen, dass sie Übertragungsmethoden wählen, die der Sensibilität der personenbezogenen Daten und dem Risiko angemessen sind. Die Übermittlung von Gesundheitsdaten erfordert strengere Kontrollmaßnahmen als die Übermittlung der E-Mail-Adresse eines Geschäftskontakts.
Wie lässt sich das mit der DSGVO vereinbaren?
Steuerung A.1.4.10 ist zugeordnet zu Datenschutz Artikel 5 Absatz 1 Buchstabe f) regelt die Integrität und Vertraulichkeit personenbezogener Daten. Dieser Grundsatz verlangt, dass personenbezogene Daten so verarbeitet werden, dass eine angemessene Sicherheit gewährleistet ist, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor versehentlichem Verlust. Die Übermittlung ist eine Verarbeitungstätigkeit, und die Sicherheit der Daten während der Übertragung ist ein zentrales Element der Datenschutzgrundsätze. DatenschutzSicherheitsanforderungen gemäß Artikel 32.
In welchem Zusammenhang steht dies mit den Datenschutzgrundsätzen der ISO 29100?
Dieses Steuerelement unterstützt die ISO 29100 Prinzip von InformationssicherheitDies erfordert, dass personenbezogene Daten durch geeignete Kontrollmechanismen vor Risiken wie unberechtigtem Zugriff, Zerstörung, Verwendung, Änderung, Offenlegung oder Verlust geschützt werden. Die Übertragung stellt einen der risikoreichsten Momente im Datenlebenszyklus dar, da personenbezogene Daten Bedrohungen auf Netzwerkebene ausgesetzt sind.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Welche Nachweise erwarten die Wirtschaftsprüfer?
Bei der Beurteilung der Einhaltung von A.1.4.10 achten die Prüfer typischerweise auf Folgendes:
- Übertragungssicherheitsrichtlinie — Eine dokumentierte Richtlinie, die die Mindestsicherheitsmaßnahmen für personenbezogene Daten während der Übertragung festlegt, einschließlich genehmigter Protokolle, Verschlüsselungsstandards und Verfahren zur Empfängerverifizierung.
- Verschlüsselungskonfigurationen — Nachweise über TLS/SSL-Konfigurationen für Webdienste, SFTP-Konfigurationen für Dateiübertragungen, VPN-Einstellungen für Netzwerkverbindungen und API-Verschlüsselungsstandards
- Verfahren zur Empfängerverifizierung — Dokumentierte Verfahren zur Überprüfung der Identität und Berechtigung von Empfängern personenbezogener Daten vor der Übermittlung, insbesondere bei neuen Empfängern oder einmaligen Übermittlungen
- Übertragungsprotokolle — Aufzeichnungen von PII-Übertragungen, aus denen hervorgeht, was, an wen und über welchen Kanal gesendet wurde
- Vereinbarungen mit Dritten — Datenverarbeitungsvereinbarungen oder Datenweitergabevereinbarungen mit Empfängern, die Übertragungssicherheitsanforderungen festlegen
- Schwachstellenbewertungen — Ergebnisse von Netzwerk- und Protokollbewertungen, die bestätigen, dass die Übertragungskanäle die Sicherheitsanforderungen erfüllen
Welche Steuerungselemente gehören dazu?
| Kontrollieren | Beziehung |
|---|---|
| A.1.4.4 Genauigkeit und Qualität | Die Datenintegrität während der Übertragung schützt die Genauigkeit personenbezogener Daten. |
| A.1.4.9 Entsorgung | An Dritte übermittelte personenbezogene Daten müssen unter Umständen auch beim Empfänger gelöscht werden. |
| A.1.4.7 Temporäre Dateien | Übertragungsprozesse erstellen häufig temporäre Staging-Dateien, die personenbezogene Daten enthalten. |
| A.1.4.3 Begrenzung der Verarbeitung | Die Übertragung sollte nur für Daten erfolgen, die für den angegebenen Zweck erforderlich sind. |
| A.1.2.2 Zweck ermitteln und dokumentieren | Die Übermittlung sollte nur zur Unterstützung eines dokumentierten Verarbeitungszwecks erfolgen. |
| A.1.2.9 Aufzeichnungen über die Verarbeitung | Die Übermittlungsaktivitäten sollten in den Verarbeitungsaufzeichnungen abgebildet werden, einschließlich der Kategorien der Empfänger. |
Was hat sich gegenüber ISO 27701:2019 geändert?
Eine schrittweise Anleitung finden Sie unter Übergang von 2019 bis 2025.
In der Ausgabe von 2019 wurden die Kontrollen für die Übertragung personenbezogener Daten (PII) in Abschnitt 7.4.9 (PII-Übertragungskontrollen) behandelt. Die Regelung von 2025 behält die gleiche Kernanforderung bei. Die Implementierungshinweise verweisen nun expliziter auf moderne sichere Protokolle und legen größeren Wert auf die Empfängerverifizierung und die Protokollierung der Übertragung. Das überarbeitete Format verdeutlicht zudem den Zusammenhang zwischen Übertragungssicherheit und den umfassenderen Informationssicherheitskontrollen der ISO 27001. Siehe auch Korrespondenztabelle im Anhang F für die vollständige Kartierung.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Warum sollten Sie sich ISMS.online zur Verwaltung von PII-Übertragungskontrollen?
ISMS.online Verbindet Ihre Datenschutz- und Informationssicherheitskontrollen auf einer einzigen Plattform:
- Datenflussabbildung — Visualisieren und dokumentieren Sie jede Übertragung personenbezogener Daten, einschließlich Quelle, Ziel, Kanal, Protokoll und verwendetem Verschlüsselungsstandard.
- Empfängerregister — Führen eines Verzeichnisses der autorisierten Empfänger personenbezogener Daten mit Angabe ihres Verifizierungsstatus, ihrer Datenverarbeitungsvereinbarungen und der genehmigten Übermittlungsmethoden
- Dokumentation der Sicherheitskontrollen — Dokumentenverschlüsselungskonfigurationen, Protokollstandards und Netzwerksicherheitsmaßnahmen mit versionskontrollierten Datensätzen
- ISO 27001-Integration — Verknüpfen Sie die Kontrollen zur Übertragung personenbezogener Daten mit Ihrem umfassenderen Informationssicherheitsmanagementsystem, um sicherzustellen, dass Datenschutz- und Sicherheitskontrollen aufeinander abgestimmt sind.
- Überwachung der Einhaltung von Vorschriften durch Dritte — Überwachung des Compliance-Status der Datenempfänger, einschließlich Vertragsprüfungen, Sicherheitsbewertungen und Meldungen von Vorfällen.
- Auditfähige Nachweise — Exportieren Sie Übertragungsrichtlinien, Konfigurationsdatensätze und Datenflussdiagramme als Teil Ihrer Zertifizierungsnachweise.
Häufig gestellte Fragen
Gilt diese Kontrolle sowohl für interne als auch für externe Datenübertragungen?
Ja. Die Regelung gilt für personenbezogene Daten, die über beliebige Datenübertragungsnetze übertragen werden, einschließlich interner und externer Netzwerke. Auch wenn sich das Risikoprofil unterscheiden kann (externe Übertragungen bergen im Allgemeinen ein höheres Abfangrisiko), sollten interne Übertragungen ebenfalls durch geeignete Verschlüsselung und Zugriffskontrollen geschützt werden, insbesondere wenn personenbezogene Daten Netzwerksegmente überschreiten oder gemeinsam genutzte Infrastrukturen durchlaufen.
Was ist der minimal akzeptable Verschlüsselungsstandard für personenbezogene Daten während der Übertragung?
Der Standard schreibt keine bestimmte Verschlüsselungssuite vor, jedoch empfiehlt die Branche aktuell TLS 1.2 oder höher für Web- und API-Datenverkehr. TLS 1.3 ist vorzuziehen, sofern beide Parteien dies unterstützen. Ältere Protokolle (SSL, TLS 1.0, TLS 1.1) sind veraltet und sollten nicht mehr verwendet werden. Für Dateiübertragungen ist SFTP oder SCP über SSH Standard. Für E-Mails sollte nach Möglichkeit eine TLS-Verschlüsselung zwischen Mailservern erzwungen werden. Die Wahl des Protokolls sollte dokumentiert und mit Ihrer Informationssicherheitsrichtlinie abgestimmt werden.
Wie sollten Organisationen mit personenbezogenen Daten umgehen, die per E-Mail versendet werden?
E-Mails stellen besondere Herausforderungen dar, da Standard-E-Mail-Protokolle keine Ende-zu-Ende-Verschlüsselung gewährleisten. Geeignete Maßnahmen umfassen: die Erzwingung von TLS zwischen Ihrem Mailserver und dem Server des Empfängers (opportunistisches oder erzwungenes TLS); die Verwendung von S/MIME- oder PGP-Verschlüsselung für hochsensible personenbezogene Daten; den Passwortschutz von Anhängen mit personenbezogenen Daten; die Verwendung sicherer Dateifreigabelinks anstelle direkter Anhänge; und die Implementierung von DLP-Regeln (Data Loss Prevention), um die versehentliche Offenlegung personenbezogener Daten per E-Mail zu erkennen und zu verhindern. Die Vorgehensweise sollte der Sensibilität der personenbezogenen Daten angemessen sein.
Unsere Leitfaden zu den Anforderungen an Prüfungsnachweise beschreibt detailliert, was Prüfer von den Sicherheitsvorkehrungen bei der Übertragung erwarten.
Informationen zu den Anforderungen für grenzüberschreitende Übertragungen finden Sie in unserem Leitfaden für grenzüberschreitende Datentransfers.
