נוהל: פרטיות והגנה על מידע זיהוי אישי A18.1.4

מטרת הנוהל היא להבטיח כי הארגון ינקוט בצעדים הדרושים על מנת להגן על פרטיותם של האנשים שנתונים המידע שלהם נמצאים ברשות הארגון, וכי הארגון יימנע מהפרת חוק הגנת הפרטיות.

תחום יישום

הנוהל חל על כל המידע הזיהוי האישי של אנשים אשר נמצאים ברשות הארגון, לרבות נתוני לקוחות, נתוני עובדים, נתוני ספקים, ונתוני צד שלישי.

הגדרות

• מידע זיהוי אישי: כל מידע שניתן להשתמש בו כדי לזהות אדם מסוים, כגון שם, כתובת, מספר טלפון, או מספר זהות.
• פרטיות: הזכות של אדם להישאר אנונימי, ולהגן על המידע האישי שלו מפני חשיפה או שימוש לא מורשה.

אחריות

• ממונה אבטחת מידע יהיה אחראי על פיתוח וניהול הנוהל.
• מנהל המערכות האחראי יהיה אחראי על יישום הנוהל.

תהליך

1. זיהוי מידע זיהוי אישי

הארגון יזהה את כל המידע הזיהוי האישי אשר נמצא ברשותו, לרבות סוג המידע, היקף המידע, וחשיבות המידע.

2. הערכת סיכונים

הארגון יעריך את הסיכונים הקשורים להגנה על המידע הזיהוי האישי, כגון סיכון של הדלפה, או שימוש לא מורשה.

3. פיתוח בקרות

הארגון יפעל לפיתוח בקרות אבטחה אשר יבטיח את ההגנה על המידע הזיהוי האישי.

4. יישום בקרות

הארגון יישם את הבקרות שפותחו, על מנת להבטיח את ההגנה על המידע הזיהוי האישי.

5. בקרה ובקרה

הארגון יבצע בקרה ובקרה על יישום הבקרות, על מנת לוודא כי הם פועלים כראוי.