20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ...

19
Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017 1 Dipl.-Ök. Stephan Rehfeld Durchfü hrung einer DSFA mit verinice auf Grundlage der ISO 29134:2017 Dipl.-Ök. Stephan Rehfeld 1 DATENSCHUTZ-FOLGENABSCHÄTZUNG

Transcript of 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ...

Page 1: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

1Dipl.-Ök. Stephan Rehfeld

Durchfuhrung einer DSFA mit verinice auf Grundlage

der ISO 29134:2017

Dipl.-Ök. Stephan Rehfeld

1

DATENSCHUTZ-FOLGENABSCHÄTZUNG

Page 2: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

2Dipl.-Ök. Stephan Rehfeld

Prüfung der Pflicht zurDurchführung einer DSFA

Article 29 Data Protection Working Party, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, 4.10.2017

Kriterien für »hohes Risiko« vonArt. 29-Datenschutzgruppe (WP 248)

1. Evaluierung oder Scoring, inklusive Profilbildung und Vorhersagen2. Automa sierte Entscheidungen mit rechtlicher oder ähnlich

beeinträch gender Wirkung3. Systema sche Beobachtung4. Sensible Daten5. In großem Umfang verarbeitete Daten6. Datensätze, die abgeglichen oder kombiniert wurden7. Daten, die verletzliche Datensubjekte betreffen8. Innova ve Nutzung oder Verwendung von technologischen und

organisatorischen Lösungen9. Datenübermi lung in Dri staaten außerhalb der EU10. Datenverarbeitungen, die den Betroffenen davon abhalten, ein

Recht geltend zu machen oder einen Dienst oder Vertrag zu nutzen

Page 3: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

3Dipl.-Ök. Stephan Rehfeld

Systembeschreibung

Bitkom, Risk Assessment & Datenschutz-Folgenabschätzung, 2017

Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen

• Rechtmäßigkeit und Verarbeitung nach Treu und Glauben• Transparenz• Zweckbindung• Datenminimierung• Rich gkeit• Speicherbegrenzung• Integrität und Vertraulichkeit• Verfügbarkeit (Belastbarkeit)• Persönliche Teilhabe und Zugang• Rechenscha spflicht

Page 4: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

4Dipl.-Ök. Stephan Rehfeld

Abhilfemaßnahmen

Bitkom, Risk Assessment & Datenschutz-Folgenabschätzung, 2017

DSFA-Bericht

• Ein Bericht für eine Datenschutz-Folgenabschätzung muss gemäß Ar kel 35 Absatz 7 mindestens die folgenden Angaben enthalten:– eine systema sche Beschreibung der geplanten Verarbeitungsvorgänge

und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berech gten Interessen;

– eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;

– eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und

– die zur Bewäl gung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garan en, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berech gten Interessen der betroffenen Personen und sons ger Betroffener Rechnung getragen wird.

Page 5: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

5Dipl.-Ök. Stephan Rehfeld

DSFA-Bericht mit Konsultation

• Sofern eine Konsulta on der Aufsichtsbehörde notwendig ist, muss ein DSFA-Bericht um die folgenden Angaben ergänzt werden (Ar kel 36 Absatz 3):– gegebenenfalls Angaben zu den jeweiligen Zuständigkeiten des

Verantwortlichen, der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Au ragsverarbeiter, insbesondere bei einer Verarbeitung innerhalb einer Gruppe von Unternehmen;

– die Zwecke und die Mi el der beabsich gten Verarbeitung;– die zum Schutz der Rechte und Freiheiten der betroffenen Personen

gemäß dieser Verordnung vorgesehenen Maßnahmen und Garan en;– gegebenenfalls die Kontaktdaten des Datenschutzbeau ragten;– die Datenschutz-Folgenabschätzung gemäß Ar kel 35 und– alle sons gen von der Aufsichtsbehörde angeforderten Informa onen.

DS-NORMEN DER ISO

10

Page 6: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

6Dipl.-Ök. Stephan Rehfeld

11Fransen, ISO/IEC 29134 Privacy Impact Assessment, 2014

ISO 29134:2017

12

Page 7: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

7Dipl.-Ök. Stephan Rehfeld

13

KURZPAPIER NR. 5DS-FOLGENABSCHÄTZUNG NACH ART. 35 DSGVO

14

Page 8: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

8Dipl.-Ök. Stephan Rehfeld

Kurzpapier Nr. 5DS-Folgenabschätzung nach Art. 35 DSGVO

15

Kurzpapier Nr. 5DS-Folgenabschätzung nach Art. 35 DSGVO

16

Page 9: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

9Dipl.-Ök. Stephan Rehfeld

Kurzpapier Nr. 5DS-Folgenabschätzung nach Art. 35 DSGVO

17

Kurzpapier Nr. 5DS-Folgenabschätzung nach Art. 35 DSGVO

18

Page 10: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

10Dipl.-Ök. Stephan Rehfeld

DATENSCHUTZ-RISIKOANALYSE

19

Berechnung nach CNIL

20

Page 11: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

11Dipl.-Ök. Stephan Rehfeld

Risikoquellen

21

Katalog: Bedrohungen, Schwachstellen etc.

22

Page 12: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

12Dipl.-Ök. Stephan Rehfeld

Verknüpfung der Infos in verinice

23

Erstellung von Szenarien

24

Page 13: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

13Dipl.-Ök. Stephan Rehfeld

Verknüpfung der Szenarien mit Werten

25

… und Verknüpfung mit Verarbeitungen

26

Page 14: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

14Dipl.-Ök. Stephan Rehfeld

Anwendung von Reporten

27

FAZIT

28

Page 15: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

15Dipl.-Ök. Stephan Rehfeld

29

AUSBLICK

30

Page 16: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

16Dipl.-Ök. Stephan Rehfeld

SICHERHEIT IN DER VERABREITUNG

31

Art. 32 Abs. 1 DSGVO

Unter Berücksich gung des Stands der Technik, der Implemen erungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintri swahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Au ragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein: […]

32

Page 17: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

17Dipl.-Ök. Stephan Rehfeld

Art. 32 Abs. 1 DSGVO

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;

b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

33

Art. 32 Abs. 2 DSGVO

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksich gen, die mit der Verarbeitung – insbesondere durch Vernichtung, Verlust oder Veränderung, ob unbeabsich gt oder unrechtmäßig, oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermi elt, gespeichert oder auf andere Weise verarbeitet wurden – verbunden sind.

34

Page 18: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

18Dipl.-Ök. Stephan Rehfeld

Der Gesetzgeber beschreibt im Gesetzestext, was für Informa onssicherheits-Managementsysteme (ISMS) bereits seit Jahren ein völlig normales Vorgehen ist:1. Als Motor des Management-Systems wird der PDCA-Zyklus

eingesetzt.2. Es werden die Phasen des Risiko-Prozesses beschrieben: Risiko-

Assessments (Risiko-Beurteilung, der Erstellung und Umsetzung eines SoA und Risikobehandlungsplanes, interne Audits, Managementbewertung und Ergreifen vonKorrekturmaßnahmenvorgeschrieben.

35

DoUmsetzung des Maßnahmen-

plans

Checkinterne AuditsManagement-

bewertung

ActKorrektur-

maßnahmen

PlanRisiko-

Assessment

Risikoorientierte Informationssicherheit

PDCA und risikobasierter Ansatz

… und Einsatz eines „ISMS“

Page 19: 20180323 ISO 29134 mit verinice...µ Z ( º Z µ v P ] v ^& u ] À ] v ] µ ( ' µ v o P /^K î õ í ï ð W î ì í ó ] o X rP l X ^ Z v Z Z ( o ð µ Z ( º Z µ v P ] v ^& u

Durchführung einer DSFA mit verinice auf Grundlage der ISO 29134:2017

19Dipl.-Ök. Stephan Rehfeld

Datenschutz-RisikomanagementIndividueller Projektplan

• Risikoorientierte Maßnahmenauswahl

• Individueller Projektplan

Leonhardtstr. 230175 HannoverT: 0511 | 364 221-0F: 0511 | 364 221-99

www.scope-and-focus.cominforma [email protected]

Dipl.-Ök. Stephan RehfeldDipl.-Wirt.-Ing. Ulrike Hauser

Hoerneckestr. 19-2128217 BremenT: 0421 | 369 3530-0F: 0421 | 369 3530-99

38