ISO/IEC 27701 კონფიდენციალურობის ინფორმაციის მართვა საქართველოში

რას მოიცავს ISO/IEC 27701

ISO/IEC 27701 ადგენს მოთხოვნებს კონფიდენციალურობის ინფორმაციის მართვის სისტემისთვის (PIMS). 2025 წლის გამოცემა, რომელიც 2025 წლის ოქტომბერში გამოქვეყნდა, მართვის სისტემის დამოუკიდებელი სტანდარტია: ორგანიზაციას ახლა შეუძლია ISO/IEC 27701-ით სერტიფიცირება ისე, რომ წინასწარ არ ჰქონდეს ISO/IEC 27001-ის სერტიფიკატი. 2019 წლის გამოცემით გაცემული სერტიფიკატები ძალაში რჩება გარდამავალი პერიოდის განმავლობაში, რომელიც 2028 წლის ოქტომბრამდე გრძელდება.

სტანდარტი შეიცავს კონტროლის ზომებს როგორც პერსონალურ მონაცემთა დამმუშავებლებისთვის, ისე უფლებამოსილი პირებისთვის. ის მოითხოვს, რომ იცოდეთ, რა პერსონალურ მონაცემებს ფლობთ, რა მიზნით ამუშავებთ, ვის გადაეცემა ისინი, რამდენ ხანს ინახავთ და როგორ პასუხობთ მონაცემთა სუბიექტების მოთხოვნებს. კონფიდენციალურობის რისკები ფასდება და იმართება იმავე სიმკაცრით, როგორც ინფორმაციული უსაფრთხოების რისკები.

რატომ იყენებენ მას ქართული ორგანიზაციები

საქართველოს კანონმა „პერსონალურ მონაცემთა დაცვის შესახებ“, რომელიც 2023 წლის ივნისში მიიღეს და 2024 წლის 1 მარტიდან მოქმედებს, ქართული წესები GDPR-ს მნიშვნელოვნად დაუახლოვა. კანონმა სავალდებულო გახადა პერსონალურ მონაცემთა დაცვის ოფიცრის ყოლა ბანკებისთვის, სადაზღვევო კომპანიებისთვის, სამედიცინო დაწესებულებებისთვის და სხვა ჩამოთვლილი ან ფართომასშტაბიანი დამმუშავებლებისთვის, შემოიღო მონაცემთა დაცვაზე ზეგავლენის შეფასება მაღალი რისკის დამუშავებისთვის და მნიშვნელოვანი ინციდენტების შესახებ შეტყობინება 72 საათში. 2026 წლის მარტიდან ზედამხედველობის ფუნქციები, რომლებსაც მანამდე პერსონალურ მონაცემთა დაცვის სამსახური ასრულებდა, საქართველოს სახელმწიფო აუდიტის სამსახურს გადაეცა.

ISO/IEC 27701 კანონს არ ცვლის, მაგრამ გაძლევთ სტრუქტურირებულ გზას, აჩვენოთ, რომ კანონის მოთხოვნები ყოველდღიურ საქმიანობაშია ჩაშენებული. საქართველოში ძირითადად კლიენტების სამ ჯგუფს ვხვდებით:

• ბანკები, მიკროსაფინანსო ორგანიზაციები და სადაზღვევო კომპანიები, რომლებსაც მონაცემთა დაცვის ოფიცერი უნდა ჰყავდეთ და მომხმარებელთა მონაცემების დიდ მოცულობას ამუშავებენ.
• IT, აუთსორსინგისა და BPO კომპანიები თბილისსა და ბათუმში, რომლებიც ევროკავშირის კლიენტებისთვის ამუშავებენ პერსონალურ მონაცემებს და მომწოდებლის დეტალურ კითხვარებს პასუხობენ.
• კლინიკები, ლაბორატორიები, სასტუმროები და ონლაინ მაღაზიები, რომლებიც მომხმარებელთა მგრძნობიარე ან დიდი მოცულობის მონაცემებს ფლობენ.

რას აკეთებს BALTUM

1. ფარგლების განსაზღვრა და ხარვეზების ანალიზი. ვაღწერთ თქვენს დამუშავების საქმიანობებს, თქვენს როლს, როგორც დამმუშავებლის ან უფლებამოსილი პირის, და არსებულ უსაფრთხოების კონტროლის ზომებს, შემდეგ კი ვადარებთ მათ ISO/IEC 27701:2025-სა და საქართველოს კანონს.
2. რეესტრები და რისკების შეფასება. გეხმარებით დამუშავების საქმიანობების რეესტრის, კონფიდენციალურობის რისკების შეფასებისა და მონაცემთა დაცვაზე ზეგავლენის შეფასების შაბლონების მომზადებაში იმ დამუშავებისთვის, რომელსაც ეს სჭირდება.
3. დოკუმენტაცია. კონფიდენციალურობის პოლიტიკა, მონაცემთა სუბიექტის მოთხოვნების განხილვის პროცედურა, შენახვის ვადების განრიგი, ინციდენტების პროცედურა 72-საათიანი შეტყობინების ეტაპით, უფლებამოსილ პირებთან ხელშეკრულებები და საერთაშორისო გადაცემის წესები.
4. ტრენინგი. პრაქტიკული სესიები მონაცემთა დაცვის ოფიცრისთვის, ასევე ადამიანური რესურსების, მომხმარებელთა მომსახურებისა და IT თანამშრომლებისთვის, რომლებიც მოთხოვნებსა და ინციდენტებს განიხილავენ.
5. შიდა აუდიტი და ხელმძღვანელობის მიერ ანალიზი. ვატარებთ შიდა აუდიტს, გეხმარებით აღმოჩენილი შეუსაბამობების აღმოფხვრაში და ვამზადებთ ხელმძღვანელობის მიერ ანალიზის ჩანაწერებს, რომლებსაც აუდიტორი მოითხოვს.
6. აუდიტის მხარდაჭერა. გეხმარებით აკრედიტებული სასერტიფიკაციო ორგანოს შერჩევაში და თქვენთან ვართ პირველ და მეორე ეტაპზე.

ვადები დამოკიდებულია ფარგლებზე, დამუშავების საქმიანობების რაოდენობასა და იმაზე, უკვე გაქვთ თუ არა დანერგილი ISO/IEC 27001-ის სისტემა. რეალისტურ გეგმაზე პირველი შეფასების შემდეგ ვთანხმდებით.

როგორ მიმდინარეობს სერტიფიცირება

სერტიფიცირება დამოუკიდებელი სასერტიფიკაციო ორგანოს მიერ ჩატარებული ორეტაპიანი აუდიტია. პირველი ეტაპი აფასებს დოკუმენტაციასა და მზადყოფნას, მეორე ეტაპი ამოწმებს, რომ სისტემა პრაქტიკაში მუშაობს. სერტიფიკატი სამი წლით მოქმედებს, მეორე და მესამე წელს საზედამხედველო აუდიტებით. აირჩიეთ ორგანო, რომელიც ამ სქემისთვის აკრედიტებულია IAF MLA-ს ხელმომწერი აკრედიტაციის ორგანოს მიერ, და შეამოწმეთ სერტიფიკატი IAF CertSearch-ში. თუ უკვე გაქვთ ISO/IEC 27001, ორი აუდიტის გაერთიანება, როგორც წესი, შესაძლებელია, რაც აუდიტორის დღეებს ზოგავს.

დაკავშირებული სტანდარტები და სტატიები

ISO/IEC 27701 კარგად ავსებს ISO/IEC 27001-ის სისტემას. ევროკავშირის მომხმარებლების მომსახურე კომპანიები მას ხშირად GDPR-თან შესაბამისობის პროგრამასთან აერთიანებენ. საქართველოს კანონისა და სტანდარტის დეტალური შედარებისთვის წაიკითხეთ, როგორ შევუსაბამოთ საქართველოს პერსონალურ მონაცემთა დაცვის კანონი ISO 27701-ს.

ფარგლების განსახილველად გამოგვიგზავნეთ თქვენი ორგანიზაციისა და თქვენ მიერ დამუშავებული პერსონალური მონაცემების მოკლე აღწერა მოთხოვნის ფორმით ან მისამართზე info@baltum.org. გიპასუხებთ შემდეგი ნაბიჯების შეთავაზებით.

ხშირად დასმული კითხვები

გვჭირდება თუ არა ISO/IEC 27001 ISO/IEC 27701-მდე?

აღარ. ISO/IEC 27701:2025-ით სერტიფიცირება დამოუკიდებლად არის შესაძლებელი. ბევრი ორგანიზაცია მაინც აერთიანებს ორივეს, რადგან კონფიდენციალურობის კონტროლის ზომები ეყრდნობა წვდომის, ჟურნალირების, სარეზერვო ასლებისა და მომწოდებლების იმავე კონტროლს, რომელსაც ISO/IEC 27001 მოიცავს.

ადასტურებს თუ არა ISO/IEC 27701-ის სერტიფიკატი საქართველოს კანონთან შესაბამისობას?

არცერთი სერტიფიკატი არ ადასტურებს კანონთან შესაბამისობას. პერსონალურ მონაცემთა დაცვის შესახებ კანონთან შესაბამისობას სახელმწიფო აუდიტის სამსახური აფასებს. სერტიფიცირებული PIMS მყარი მტკიცებულებაა, რომ პერსონალურ მონაცემებს სისტემურად მართავთ, და ამარტივებს მარეგულირებლის შემოწმებებსა და კლიენტების აუდიტებს.

გვაქვს ISO/IEC 27701:2019-ის სერტიფიკატი. რა ხდება ახლა?

ის ძალაში რჩება გარდამავალი პერიოდის განმავლობაში, რომელიც 2028 წლის ოქტომბერში სრულდება. ვაანალიზებთ ხარვეზებს 2025 წლის გამოცემასთან მიმართებით და გეხმარებით გარდამავალი აუდიტის დაგეგმვაში საზედამხედველო ან ხელახალი სერტიფიცირების აუდიტთან ერთად.

სავალდებულოა თუ არა ჩვენი კომპანიისთვის მონაცემთა დაცვის ოფიცერი?

კანონი მონაცემთა დაცვის ოფიცრის ყოლას ავალდებულებს საჯარო დაწესებულებებს, ბანკებს, სადაზღვევო კომპანიებს, მიკროსაფინანსო ორგანიზაციებს, სამედიცინო დაწესებულებებს და რამდენიმე სხვა ჩამოთვლილ სექტორს, ასევე ფართომასშტაბიანი დამუშავების ან სისტემატური მონიტორინგის შემთხვევაში. თქვენს მდგომარეობას ხარვეზების ანალიზისას ვამოწმებთ.