ที่ปรึกษา ISO/IEC 27018 การคุ้มครองข้อมูลส่วนบุคคลบนคลาวด์สาธารณะ

For Your Business

ธุรกิจที่เหมาะสมและช่วงเวลาที่ควรเริ่ม

เหมาะกับผู้ให้บริการคลาวด์สาธารณะที่ประมวลผลข้อมูลส่วนบุคคลแทนลูกค้า และฝ่ายบริหารบริษัทที่ต้องประเมินบริการเหล่านี้ ก่อนออกแบบบริการใหม่ ต่อสัญญา หรือเปลี่ยนเส้นทางข้อมูลและผู้ประมวลผลช่วง ให้ยืนยันหน้าที่กับมาตรการ

The Challenge

ปัญหาที่ธุรกิจพบบ่อย

องค์กรเดียวอาจมีบทบาทต่างกันในแต่ละกิจกรรม การใช้คลาวด์ไม่ได้โอนหน้าที่ด้านข้อมูลส่วนบุคคลทั้งหมดให้แพลตฟอร์ม หากคำสั่งประมวลผลหรือวัตถุประสงค์ข้อมูลไม่ชัด ก็ประเมินความเหมาะสมของมาตรการได้ยาก

ควรตกลงล่วงหน้าว่าการคืนและลบข้อมูลเมื่อจบบริการครอบคลุมข้อมูลสำรอง ข้อมูลกับผู้ประมวลผลช่วง และบันทึกต่าง ๆ หรือไม่

Our Approach

แนวทางและข้อกำหนดที่เกี่ยวข้อง

ISO/IEC 27018:2025 ให้แนวทางคุ้มครองข้อมูลส่วนบุคคลสำหรับคลาวด์สาธารณะที่ทำหน้าที่ผู้ประมวลผล โดยสอดคล้องกับ ISO/IEC 27002:2022 ผู้ควบคุมข้อมูลอาจมีหน้าที่ตามกฎหมายเพิ่มเติม จึงกล่าวอ้างว่าสอดคล้องทั้งหมดเพียงเพราะนำแนวทางนี้มาใช้ไม่ได้

หัวข้อต่อไปนี้จัดตามบริบทขององค์กร โดยยืนยันขอบเขตและระดับรายละเอียดของหลักฐานเมื่อเริ่มงาน

หน้าที่ในการประมวลผล

ระบุวัตถุประสงค์ คำสั่ง และหน้าที่ตามสัญญาของข้อมูลแต่ละประเภท แยกบทบาทให้ชัดเจน และกำหนดวิธีดำเนินการเมื่อคำขออยู่นอกขอบเขตที่มอบหมาย

การควบคุมข้อมูลส่วนบุคคล

ตรวจว่าบันทึกการเข้าถึงของบุคลากร การเปิดเผย และการประมวลผลรองรับการตรวจย้อนกลับหรือไม่ มาตรการคุ้มครองต้องตรงกับงานจริง

ความร่วมมือภายนอก

ระบุผู้ประมวลผลช่วง ข้อมูลที่ต้องให้ และวิธีตรวจสอบ ยืนยันวิธีแจ้งและจัดการเมื่อเพิ่มหรือเปลี่ยนผู้ให้บริการ

การยุติการให้บริการ

วางแผนสําหรับการคืนข้อมูล การลบ และหลักฐานที่เกี่ยวข้อง อธิบายเงื่อนไขการเก็บรักษาและข้อจํากัดทางเทคนิคอย่างชัดเจนเพื่อหลีกเลี่ยงข้อผูกมัดที่คลุมเครือต่อการลบทันที

Preparation

บริษัทต้องเตรียมเอกสารอะไรบ้าง?

• ข้อมูลและเส้นทางข้อมูล: สรุปหมวดหมู่ข้อมูลส่วนบุคคล กิจกรรมการประมวลผล และทิศทางการไหลของข้อมูล
• ข้อตกลงประมวลผลข้อมูล: คำสั่งประมวลผล หน้าที่ และเงื่อนไขเก็บรักษา
• การเข้าถึงและการทํางานร่วมกัน: สิทธิ์ ผู้ประมวลผลช่วง และบันทึกมาตรการที่เกี่ยวข้อง
• ขั้นตอนยุติบริการ: วิธีการคืน ลบ และพิสูจน์

ในการหารือเบื้องต้น สามารถให้สารบัญหรือสรุปก่อนได้ หากมีข้อมูลส่วนบุคคล ข้อมูลสัญญาที่เป็นความลับ หรือบันทึกระบบ ควรตกลงสิทธิการเข้าถึง การปกปิดข้อมูล และวิธีเก็บรักษาก่อน

Project Planning

การประเมินเวลาและค่าใช้จ่าย

ประเมินตามจำนวนบริการ เส้นทางข้อมูล ลำดับผู้ประมวลผลช่วง และระดับการตรวจมาตรการ งานสรุปเอกสารกฎหมาย แก้ระบบ และลบข้อมูลแทนต้องตกลงแยก ไม่ถือว่ารวมอยู่ในคำปรึกษาระบบโดยอัตโนมัติ