Was erfordert die Kontrolle A.3.29?
Grundsätze für die Entwicklung sicherer Systeme im Zusammenhang mit der Verarbeitung personenbezogener Daten müssen festgelegt, dokumentiert, gepflegt und bei allen Aktivitäten zur Entwicklung von Informationssystemen angewendet werden.
Diese Steuerung befindet sich innerhalb der Gemeinsame Sicherheitskontrollen Anhang (A.3) und geht über einzelne Entwicklungsprojekte hinaus, indem er organisationsweite technische Prinzipien fordert, die die gesamte Systementwicklung leiten. A.3.27 Sicherer Entwicklungslebenszyklus umfasst den Entwicklungslebenszyklus und A.3.28 Anwendungssicherheit A.3.29 behandelt die Anforderungen an die Anwendungssicherheit und konzentriert sich auf die architektonische Grundlage: die Entwurfsmuster, Sicherheitsprinzipien und datenschutzbewussten Entwicklungsstandards, die jedes innerhalb der Organisation gebaute oder modifizierte System prägen.
Was besagt der Umsetzungsleitfaden für Anhang B?
Anhang B (Abschnitt B.3.29) enthält folgende Hinweise:
- Datenschutz durch Technikgestaltung und Datenschutz standardmäßig Systeme oder Komponenten, die mit der Verarbeitung personenbezogener Daten zusammenhängen, sollten gemäß den Grundsätzen des Datenschutzes durch Technikgestaltung und des Datenschutzes durch voreingestellte Einstellungen gestaltet werden.
- Kontrollen antizipieren und erleichtern — Die Systemarchitektur sollte die Implementierung der in Abschnitt B.1 (für PII-Controller) und Abschnitt B.2 (für PII-Prozessoren) beschriebenen relevanten Steuerungen antizipieren und erleichtern.
- Minimierung der Verarbeitung personenbezogener Daten Die Erhebung und Verarbeitung personenbezogener Daten in diesen Systemen sollte auf das für die festgelegten Zwecke der Verarbeitung notwendige Maß beschränkt sein.
- Entwurf zur Löschung Eine Organisation, die personenbezogene Daten verarbeitet, sollte beispielsweise sicherstellen, dass diese Daten nach einer bestimmten Frist gelöscht werden. Das System, das diese personenbezogenen Daten verarbeitet, sollte so konzipiert sein, dass diese Löschanforderung erfüllt wird.
- Web Link A.3.30: Ausgelagerte Entwicklung für damit zusammenhängende Anforderungen
- Web Link A.3.31: Testinformationen für damit zusammenhängende Anforderungen
Das Beispiel der Datenlöschung ist besonders aufschlussreich: Wenn ein System nicht von vornherein für die Datenlöschung ausgelegt ist, kann die nachträgliche Nachrüstung dieser Funktion extrem kostspielig und technisch komplex sein. Dasselbe Prinzip gilt für Datenminimierung, Einwilligungsmanagement, Datenportabilität und alle anderen Datenschutzanforderungen.
Wie lässt sich das mit der DSGVO vereinbaren?
Steuerung A.3.29 ist folgenden Elementen zugeordnet Datenschutz Artikel:
- Artikel 25 (1) — Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, der die Umsetzung geeigneter technischer und organisatorischer Maßnahmen erfordert, die darauf abzielen, Datenschutzgrundsätze effektiv umzusetzen und notwendige Schutzmaßnahmen in die Datenverarbeitung zu integrieren.
A.3.29 bietet einen praktischen Rahmen, um der Forderung nach Artikel 25 nachzukommen, dass der Datenschutz auf Architekturebene und nicht nur auf Anwendungsebene berücksichtigt werden muss.
Was hat sich gegenüber ISO 27701:2019 geändert?
Eine schrittweise Anleitung finden Sie unter Übergang von 2019 bis 2025.
In der Ausgabe von 2019 wurde diese Anforderung in Abschnitt 6.11.2.5 (Grundsätze für sichere Systementwicklung) behandelt. Die Ausgabe von 2025 behält die Kernanforderungen als A.3.29 bei, wobei die Implementierungshinweise in B.3.29 einen klareren Bezug zu den Grundsätzen des datenschutzfreundlichen Designs und den spezifischen Kontrollmechanismen für Controller und Prozessoren herstellen, die die Systemarchitektur berücksichtigen sollte. Siehe … Korrespondenztabelle im Anhang F für die vollständige Kartierung.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Welche Nachweise erwarten die Wirtschaftsprüfer?
Bei der Beurteilung der Einhaltung von A.3.29 achten die Prüfer typischerweise auf Folgendes:
- Dokumentierte Ingenieurprinzipien — Eine Reihe dokumentierter Grundsätze für die Entwicklung sicherer Systeme, die den Schutz personenbezogener Daten (PII) gewährleisten, einschließlich Datenminimierung, Zweckbindung, Speicherbegrenzung und standardmäßiger Sicherheit.
- Architekturprüfungsdokumente — Nachweis, dass Systemarchitekturen vor Beginn der Entwicklung anhand der dokumentierten Prinzipien überprüft werden
- Datenschutzbewusste Designmuster — Dokumentierte Entwurfsmuster oder Referenzarchitekturen, die Entwicklungsteams als Vorlagen verwenden und die Anforderungen an den Schutz personenbezogener Daten berücksichtigen.
- Design für den Datenlebenszyklus — Nachweise dafür, dass die Systeme so konzipiert sind, dass sie den gesamten Lebenszyklus personenbezogener Daten unterstützen, einschließlich Erfassung, Verarbeitung, Speicherung, Löschung und Rechte der betroffenen Personen
- Einhaltung der Grundsätze — Aufzeichnungen, die belegen, dass technische Prinzipien regelmäßig oder als Reaktion auf Änderungen der Datenschutzbestimmungen überprüft und aktualisiert werden.
Welche Steuerungselemente gehören dazu?
| Kontrollieren | Beziehung |
|---|---|
| A.3.27 Sicherer Entwicklungslebenszyklus | Entwicklungsprozesse sollten die ingenieurwissenschaftlichen Prinzipien umsetzen. |
| A.3.28 Anforderungen an die Anwendungssicherheit | Die Anwendungsanforderungen sollten mit den Architekturprinzipien übereinstimmen. |
| A.1.2.6 Datenschutzfolgenabschätzung | Datenschutzfolgenabschätzungen (PIA) identifizieren Datenschutzrisiken, die technische Prinzipien berücksichtigen sollten. |
| A.1.4.5 Ziele zur Minimierung personenbezogener Daten | Die Systemarchitektur sollte standardmäßig eine Datenminimierung erzwingen. |
| A.1.4.6 Anonymisierung und Löschung | Die Systeme müssen architektonisch in der Lage sein, Löschanforderungen zu unterstützen. |
Für wen gilt diese Regelung?
A.3.29 ist ein Gemeinsame Kontrolle Dies gilt sowohl für Verantwortliche als auch für Verarbeiter personenbezogener Daten. Jede Organisation, die Informationssysteme zur Verarbeitung personenbezogener Daten entwickelt, muss technische Grundsätze festlegen und einhalten. Die Regelung schreibt vor, dass diese Grundsätze auf alle Aktivitäten der Informationssystementwicklung angewendet werden müssen; es handelt sich also nicht um optionale Richtlinien, sondern um verbindliche Standards für alle Entwicklungsarbeiten.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Warum sollten Sie sich ISMS.online zur Einhaltung der sicheren Systemarchitektur?
ISMS.online bietet praktische Werkzeuge für die Verwaltung Ihrer sicheren Entwicklungsprinzipien:
- Prinzipienregister — Dokumentieren und pflegen Sie Ihre Prinzipien für sicheres Engineering in einem zentralen, versionierten Register, auf das Entwicklungsteams zugreifen können.
- Arbeitsabläufe für die Architekturprüfung — Erstellen Sie Prüfprozesse, die eine Bewertung der Systementwürfe anhand Ihrer technischen Prinzipien vor Beginn der Entwicklung erfordern.
- DPIA-Integration — Verknüpfung von Datenschutz-Folgenabschätzungen mit Systemarchitekturentscheidungen, um sicherzustellen, dass die in der Datenschutz-Folgenabschätzung identifizierten Datenschutzrisiken im Design berücksichtigt werden
- Compliance-Mapping — Ordnen Sie Ihre Konstruktionsprinzipien den ISO 27701-Kontrollen zu, Datenschutz Artikel 25 und andere Anforderungen des Datenschutzrahmens
- Überprüfungsplanung — Planen Sie regelmäßige Überprüfungen Ihrer technischen Prinzipien mit automatisierten Erinnerungen und Versionskontrolle ein.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen A.3.27 Secure Development Life Cycle und A.3.29?
A.3.27 Sicherer Entwicklungslebenszyklus behandelt den sicheren Entwicklungslebenszyklus – die Prozesse und Verfahren, die Entwicklungsteams befolgen. A.3.29 behandelt die technischen Prinzipien – die Architekturstandards und Entwurfsmuster, die die Gestaltung von Systemen vorgeben. A.3.27 Sicherer Entwicklungslebenszyklus als „wie wir bauen“ und A.3.29 als „worauf wir hinarbeiten“. Beide arbeiten zusammen: Entwicklungsprozesse (A.3.27 Sicherer Entwicklungslebenszyklus) sollte die Anwendung ingenieurwissenschaftlicher Prinzipien durchsetzen (A.3.29).
Was sind Beispiele für sichere technische Prinzipien im Umgang mit personenbezogenen Daten?
Beispiele hierfür sind: nur die für den angegebenen Zweck erforderlichen PII-Felder erfassen; PII standardmäßig im Ruhezustand und während der Übertragung verschlüsseln; Datenbankschemata so gestalten, dass sie das granulare Löschen einzelner Datensätze unterstützen; Einwilligungsmanagement auf der Datenebene und nicht nur auf der Benutzeroberfläche implementieren; alle PII-Zugriffsereignisse protokollieren; rollenbasierte Zugriffskontrolle verwenden, um den PII-Zugriff auf autorisiertes Personal zu beschränken; APIs so gestalten, dass sie nur die für jeden Anwendungsfall minimal erforderlichen PII zurückgeben; und die Automatisierung der Datenaufbewahrung von Anfang an in das System integrieren.
Wie oft sollten ingenieurwissenschaftliche Prinzipien überprüft werden?
Die technischen Grundsätze sollten mindestens jährlich und immer dann überprüft werden, wenn sich die Datenschutzgesetzgebung, die Verarbeitung personenbezogener Daten im Unternehmen, die Technologieinfrastruktur oder die Bedrohungslandschaft wesentlich ändern. Die Überprüfung sollte feststellen, ob die Grundsätze weiterhin aktuell, wirksam und mit den Datenschutzverpflichtungen des Unternehmens vereinbar sind. Alle Aktualisierungen sind den Entwicklungsteams mitzuteilen und in die Checklisten für die Architekturprüfung aufzunehmen.
SaaS-Plattformen finden in unserem Angebot maßgeschneiderte Beratung. Leitfaden für SaaS-Plattformen.
