Post on 27-Jul-2018
Datenschutz Management System (DSMS): Datenschutz Management System (DSMS):
Revisionstaugliche AuditRevisionstaugliche Audit--Kontrollen, Kontrollen, Standards und Vorgehensweise bei einem Standards und Vorgehensweise bei einem DSMSDSMS--AuditAudit
Reto Grubenmann, KPMG AG
Datenschutz-Forum vom 2. September 2008Hotel Bären / Hotel Bristol, in Bern
Reto Grubenmann, KPMG AG
Datenschutz-Forum vom 2. September 2008Hotel Bären / Hotel Bristol, in Bern
Information Risk Management
© 2007 KPMG AG/SA/Ltd, a subsidiary of KPMG Holding Ltd, a Swiss corporation and a member firm of the KPMG network of independent member firms affiliated
with KPMG International, a Swiss cooperative. All rights reserved. Printed in Switzerland.
2
AgendaAgenda
Überblick für die Grundlagen eines DatenschutzkontrollÜberblick für die Grundlagen eines Datenschutzkontroll--
RahmenwerkesRahmenwerkes
Relevante Standards, Normen und RichtlinienRelevante Standards, Normen und Richtlinien
Anforderungen an das DatenAnforderungen an das Daten--SchutzSchutz--ManagementManagement--
System (DSMS)System (DSMS)
DatenschutzDatenschutz--Zertifizierung und GütesiegelZertifizierung und Gütesiegel
Instrumente zur Qualitätskontrolle des DatenschutzesInstrumente zur Qualitätskontrolle des Datenschutzes
Audit VorgehenAudit Vorgehen
Datenschutzkonzept mit den relevanten KontrollzielenDatenschutzkonzept mit den relevanten Kontrollzielen
Allgemeines zum AuditAllgemeines zum Audit
Kontrollziele für Compliance Grundsätze (Data Protection File)Kontrollziele für Compliance Grundsätze (Data Protection File)
Kontrollziele für die Governance (Data Protection File)Kontrollziele für die Governance (Data Protection File)
3
Überblick für die Grundlagen eines
Datenschutzkontroll-Rahmenwerkes
Überblick für die Grundlagen eines
Datenschutzkontroll-Rahmenwerkes
UnternehmensverantwortlichkeitVerantwortlichkeit / Rolle für Daten-
eigner für Personaldaten definieren.
Gebot der Zweckbindung
Verhältnismässigkeitsprinzip
Zustimmung der betroffenen Person
Behandlung des Auskunftsrechts
Richtigkeit der Daten
Datensicherheit
Beschaffung der Daten sind
zweckgebunden.Es werden nur Daten verarbeitet, die
für die Erfüllung der Daten not-
wendig sind.Zustimmung der betroffenen Person.
Bestimmungen für Auskunftsge-
suche von Personaldaten.Prozesse und Mechanismen für
die Aktualität der Daten.Integrität und Zugriffsschutz auf
Personaldaten.
Bewusstseinsförderung und Train-
ing der Datenschutzverantwortlichen
Datenübermittlung in Drittstaaten
Datenbearbeitung durch Dritte
Schulung und Bewusstsein
Gesetzliche und vertragliche
Geheimhaltungspflicht
Datenschutzbestimmungen im Dritt-
staat ist zu berücksichtigen
4
Wie Informationssicherheit &
Datenschutz zusammenhängen
Wie Informationssicherheit &
Datenschutz zusammenhängen
DatenschutzDatenschutz
PersonendatenV
ert
rau
lich
keit
Inte
gri
tät
Ve
rfü
gb
ark
eit
andere
Daten
Tra
nsp
are
nz
Zw
eckg
eb
un
de
nh
eit
Ve
rhä
ltn
ism
ässig
ke
it
Ric
htig
ke
it
InformationsInformations--
sicherheitsicherheit
Re
ch
tmä
ssig
ke
it
Ve
rbin
dlic
hke
it
Au
the
ntizitä
t
5
Relevante Standards, Normen und RichtlinienRelevante Standards, Normen und Richtlinien
DSGDSG (SR 235.1)(SR 235.1)DatenschutzgesetzDatenschutzgesetz
VDSG VDSG (SR 235.11)(SR 235.11)Ausführungsverordnung zum Bundesgesetz über den DatenschutzAusführungsverordnung zum Bundesgesetz über den Datenschutz
VDSZ VDSZ (SR 235.13) (SR 235.13) AnhangAnhang zu den Richtlinien über diezu den Richtlinien über die
ZertifizierungsverordnungZertifizierungsverordnung Mindestanforderung eines DSMSMindestanforderung eines DSMS
ISO 27001: 2005ISO 27001: 2005 (Anhang: A.7xx, A.10.xx, A.11xx, A.12xx, A.14xx, A.15xx)(Anhang: A.7xx, A.10.xx, A.11xx, A.12xx, A.14xx, A.15xx)
Information Security Management System: Information Security Management System: RequirementsRequirements
CWA 15499CWA 15499--11Personal Data Personal Data ProtectionProtection Audit Framework (EU Audit Framework (EU DirectiveDirective EC)EC)
Part I: Part I: BaselineBaseline FrameworkFramework
CWA 15499CWA 15499--22Personal Data Personal Data ProtectionProtection Audit Framework (EU Audit Framework (EU DirectiveDirective EC)EC)
Part II: Checklists, Part II: Checklists, questionnairesquestionnaires andand templatestemplates forfor usersusers ofof thethe frameworkframework
6
Anforderungen an das Datenschutz-
Management-System (DSMS)
Anforderungen an das Datenschutz-
Management-System (DSMS)
Das DSMS und deren Kontrollen dient der EinführungDas DSMS und deren Kontrollen dient der Einführung
eines Prozessansatzes zur Entwicklung, Umsetzung,eines Prozessansatzes zur Entwicklung, Umsetzung,
Durchführung, Überwachung, Aufrechterhaltung und derDurchführung, Überwachung, Aufrechterhaltung und der
kontinuierlichen Verbesserung eines organisationsbekontinuierlichen Verbesserung eines organisationsbe--
zogenen Management Systems im Bereich Datenschutz.zogenen Management Systems im Bereich Datenschutz.
Festlegung und Verwaltung des DSMSFestlegung und Verwaltung des DSMS
DokumentationsanforderungenDokumentationsanforderungen
Verantwortung des Managements / der DirektionVerantwortung des Managements / der Direktion
Interne DSMSInterne DSMS--AuditsAudits
Managementbewertung des DSMSManagementbewertung des DSMS
Kontinuierliche DSMSKontinuierliche DSMS--VerbesserungVerbesserung
7
Überblick der Zertifizierungsstandards(in Zusammenhang des Datenschutzes)
Überblick der Zertifizierungsstandards(in Zusammenhang des Datenschutzes)
ISO 14001
Umwelt -Management
ISO 27001 (BS 7799 -2)
Information Security Management System (ISMS)
Reco
rds M
an
ag
em
en
t/
ISO 9001
OrganisationISO 14001
Umwelt - Management
ISO 27001Information Security Management System (ISMS)
ISO 20000-1/-2IT Service Management (ITSM)
ISO
15489
- 1
SR
943.0
32.1
Sch
weiz
er
Vo
rsch
rift
en
für
dig
itale
Sig
natu
ren
ET
SI
TS
101.4
56
Eu
rop
äis
ch
eV
ors
ch
rift
en
für
dig
itale
Sig
natu
ren
AN
SI
X9.7
9
Am
eri
kan
isch
eV
ors
ch
rif
-
ten
fü
rd
igit
ale
Sig
natu
ren
ISO
15489
- 1
SR
943.0
32.1
Sc
hw
eiz
er
Vo
rsc
hri
fte
nfü
r d
igit
ale
Sig
na
ture
n
ET
SI
TS
101.4
56
AN
SI
X9.7
9
Eu
rop
äis
ch
e V
ors
ch
rift
en
für
dig
ita
le S
ign
atu
ren
Am
eri
ka
nis
ch
e V
ors
ch
rift
.fü
r d
igit
ale
Sig
na
ture
n
Rec
ord
s M
an
ag
em
en
t/A
rch
ivie
run
g
DSG / VDSG / VDSZDaten Schutz Management System (DSMS)
8
Datenschutz Management System (DSMS)
Zertifizierung und Gütesiegel
Datenschutz Management System (DSMS)
Zertifizierung und Gütesiegel
DSG: SR 235.1 / 2006(Art. 7: Datensicherheit)
VDSZ: SR 235.11(Art. 8-12, 20-23: techn. & org. Massnahmen)
VDSZ: 235.13 (in Entwurf vorliegend)
(Normskizze: Zertifizierungsverordnung)
Richtlinie: Anforderungen an die
Produkte und Systeme ?
ISO 15408:1999 part2:
Common Criteria
ISO 27001:2005 „ISMS“
Zertifizierungs-
Anforderungen
ISO 17799: 2005
Code of Practice
Datenschutz Themen
Richtlinie: Anforderungen an DSMS
(Organisation und Verfahren)
CH-Leitfaden zur Umsetzung
& Zertifizierung
vom Datenschutz
Informationssicherheit
EDÖB (Eidg. Datenschutz
und Öffentlichkeitsbeauftragter)
Anhang
9
Ablauf ZertifizierungsverfahrenAblauf Zertifizierungsverfahren
Antragssteller (Unternehmung mit einem DSMS)
Prüfstelle
Management System
Prüf-/ und Teil-Auditberichte
Zertifizierungs-Antrag
Zertifizierungs-Begutachtungs-
bericht
Zertifizierungsstelle
KPMG Klynveld Peat Marwick Goerdeler SA
SCESm 071
2 3 41
Prüfbericht
Prüfbegleitung
ISO / IEC 17021
akkreditiert
10
Datenschutz-Managementsystem (DSMS)Datenschutz-Managementsystem (DSMS)
Ziel: Ziel:
Nachhaltige Verankerung des Datenschutzes in der OrganisationNachhaltige Verankerung des Datenschutzes in der Organisation
Datenschutz Managementsystem (DSMS):Datenschutz Managementsystem (DSMS):
Plan Plan –– Do Do –– Check Check –– ActAct
Prozesse zur Einhaltung der DS GrundsätzeProzesse zur Einhaltung der DS Grundsätze
Anforderungen aus DSG / VDSG abgeleitetAnforderungen aus DSG / VDSG abgeleitet
Ausgestaltung des DSMS abhängig von:Ausgestaltung des DSMS abhängig von:
Zweck und Umfang der DatenbearbeitungZweck und Umfang der Datenbearbeitung
Mittel zur DatenbearbeitungMittel zur Datenbearbeitung
Grösse und Struktur der OrganisationGrösse und Struktur der Organisation
Zertifizierung des DSMS:Zertifizierung des DSMS:
Verordnung über die Datenschutzzertifizierung (VDSZ)Verordnung über die Datenschutzzertifizierung (VDSZ)
Zertifizierung des DSMS entbindet die Organisation von RegistrierZertifizierung des DSMS entbindet die Organisation von Registrier--
ungspflichtungspflicht
11
Datenschutz-Managementsystem (DSMS)
Plan – Do – Check – Act (PDCA Modell)
Datenschutz-Managementsystem (DSMS)
Plan – Do – Check – Act (PDCA Modell)
Management Verantwortung
Management Review
Kontinuierliche
Verbesserung
Interne Audits,
BerichtswesenGe
se
tzli
ch
e A
nfo
rde
run
ge
n
Org
an
isie
rte
r D
ate
ns
ch
utz
DSMS
einrichten
DSMS
betreiben
DSMS
überwachen
DSMS
verbessern
P
D
C
A
12
Information Governance RahmenwerkInformation Governance Rahmenwerk
Datenverarbeitungs-
und IT-Betriebsprozesse
Bra
nchen
-
regula
tionen
OR
(IKS
, …)
DS
G
EID
I-V / G
ebüV
Informations-
sicherheit
Managementsystem
Datenschutz
Management-
system
Regulatorische
Anforderungen
Inte
rnatio
nale
Regula
tionen
Ziele / Vorgaben zu Datenschutz & Informationssicherheit
IT-Systeme
Risiko-
Management
…
13
Risiko Assessment Ansatz (Gemäss Dokument CWA 15499-1)
Risiko Assessment Ansatz (Gemäss Dokument CWA 15499-1)
Business
Impact
Analyse
(BIA)
Rechtliche
Aspekte
Personendaten-
Schutzpolitik
Personendaten
Schutzziele
Risiko
Analyse
Messungen
Restrisiken
Liste der
Gefahren
Zweckbindung
Umfeld /
Umgebung
Datengebrauch
Technologie
Verwundbarkeiten
Liste der
Assets
Informations-
Sicherheitspolitik
Rahmenwerk für
Pe
rso
ne
nd
ate
n
Ris
iko
An
aly
se
definieren
definieren
priorisieren
definieren
14
Risiko Analyse für das DSMS(Gemäss Dokument CWA 15499-1)
Risiko Analyse für das DSMS(Gemäss Dokument CWA 15499-1)
Audit:
Schutzobjekt
Audit:Schutzobjekt
ein oder mehrere
Datenschutzziele
Audit
Schutzobjekt:
ein oder mehrere
Gefahren welche
die Schutzziele
kompromittieren
könnten !
Liste der
AssetsDatenschutz
Ziele
Liste der
Gefahren
• Personendokumente
• Vertrauliche Kunden-
daten
• Dokumententypen
• IT-Systeme
• Räume mit vertrau-
lichen Daten
• Safes
• Schutz-/Zugangs-
Vorrichtungen
• Richtlinien / Vorgaben
• Politik / Direktiven
• Prozeduren
• Schutzsystem-Einstell-
ungen
• Vertraulichkeit auf
Basis einer Chiffrierung
• Autorisations-Profile
• Minimierungspotenzial
• Gefahrenpotenzial
• Verwundbarkeits-
Wahrscheinlichkeit
• Kritikalität der Ge-
fahren
• Schadensausmass
• Auswirkungen auf
die Unternehmung
• Reputationsschäden
definieren beurteilen
15
Audit VorgehensweiseAudit Vorgehensweise
Audit
PlanungDokumentations-
Audit
Implementations-
Audit
Berichtswesen
Risiko
Matrizen
• Desk-Analyse / Sichten der Dokumente
Compliance mit rechtlichen Grundsätzen
Compliance mit Governance
• Interviews mit „Key-People“,
• Überprüfung der automatisierten
Kontrollen
• Auditbericht bezüglich den effektiven,
implementierten Kontrollen im DSMS
• Feststellungen,
• Risikoeinstufung,
• Empfehlungen zu Nicht-Konformitäten
Compliance mit rechtlichen Grundsätzen
Compliance mit Governance
16
Definition des GeltungsbereichesDefinition des Geltungsbereiches für ein DSMS Audit:für ein DSMS Audit:
Ist die Ist die AbgrenzungAbgrenzung und das und das ZielZiel für den Auditor geklärt?für den Auditor geklärt?
Wurden die Aspekte: Wurden die Aspekte: Rechtsmässigkeit, Verhältnismässigkeit (Treu Rechtsmässigkeit, Verhältnismässigkeit (Treu
und Glauben), Zweckbindung, Richtigkeit, Vertraulichkeit, Integrität, und Glauben), Zweckbindung, Richtigkeit, Vertraulichkeit, Integrität,
Verfügbarkeit, AuditierbarkeitVerfügbarkeit, Auditierbarkeit im im AuditzielAuditziel klar adressiert?klar adressiert?
Welche Welche ThemenThemen und und PrinzipienPrinzipien will man in der will man in der
Unternehmung in Bezug auf den Datenschutz klären?Unternehmung in Bezug auf den Datenschutz klären?
Welches Welches ErfahrungsErfahrungs--Profil ist für den AuditorProfil ist für den Auditor zu zu
definieren?definieren?
Sind die Sind die KonditionenKonditionen und und LimitationenLimitationen des Audits des Audits
bekannt?bekannt?Form und RisikoForm und Risiko--Darstellung für das Senior ManagementDarstellung für das Senior Management
DurchführungsDurchführungs--Frequenz des AuditberichtesFrequenz des Auditberichtes
Budget und ZeitrahmenBudget und Zeitrahmen
Datenschutzkonzept mit den relevanten
Kontrollzielen (Gemäss Dokument CWA 15499-1)
Datenschutzkonzept mit den relevanten
Kontrollzielen (Gemäss Dokument CWA 15499-1)
17
Kontroll-Rahmenwerk: Allgemein(Checkliste für ein Datenschutz Audit)
Kontroll-Rahmenwerk: Allgemein(Checkliste für ein Datenschutz Audit)
„Data Protection Profil“ erstellen (Dokumentenlenkung):„Data Protection Profil“ erstellen (Dokumentenlenkung):
Kollektion / Liste aller relevanten „Data Protection“ DokumenteKollektion / Liste aller relevanten „Data Protection“ Dokumente
Diese ProfilDiese Profil--Dokumente beschreiben das DSMSDokumente beschreiben das DSMS
Die Organisation ist zu involvieren:Die Organisation ist zu involvieren:
Vorbereitungsphase: Audit Planung, Ausführung von Stichproben, Vorbereitungsphase: Audit Planung, Ausführung von Stichproben,
Interviews mit Personen und Gruppen Interviews mit Personen und Gruppen
Berichtsphase: Besprechung der Ausführung von FollowBerichtsphase: Besprechung der Ausführung von Follow--up Aktionen / up Aktionen /
VerbesserungslösungenVerbesserungslösungen
Informieren über den Audit innerhalb der Organisation: Informieren über den Audit innerhalb der Organisation:
Transparenz und Vertrautheit sind wichtig für das Identifizieren von Transparenz und Vertrautheit sind wichtig für das Identifizieren von
VerbesserungsVerbesserungs--PotentialePotentiale
Verfügbarkeit der „KeyVerfügbarkeit der „Key--People“ sicherstellenPeople“ sicherstellen
Keine Sanktionen und Konsequenzen bei negativen Feststellung Keine Sanktionen und Konsequenzen bei negativen Feststellung
aussprechenaussprechen
18
ZusammenfassungZusammenfassung
Der Der Aufbau Aufbau und somit auch der und somit auch der AuditAudit eines Datenschutz eines Datenschutz
Managementsystem (DSMS) kann heute mit Hilfe von Managementsystem (DSMS) kann heute mit Hilfe von
bestimmten bestimmten Schweizer sowie Europäischen Richtlinien Schweizer sowie Europäischen Richtlinien
und und StandardisierungenStandardisierungen ausgeführt werden.ausgeführt werden.
Die Standards bzw. Die Standards bzw. CEN Workshop AgreementCEN Workshop Agreement
CWA 15499CWA 15499--1 / 1 / --2 2 können für einen DSMSkönnen für einen DSMS--Audit und für Audit und für
die einzusetzenden Checklisten zusätzlich zu den die einzusetzenden Checklisten zusätzlich zu den
Schweizer Regulationen sinnvoll genutzt werden.Schweizer Regulationen sinnvoll genutzt werden.
Die Die Zertifizierung eines DSMSZertifizierung eines DSMS wird in Zukunft möglich wird in Zukunft möglich
werden. Zur Zeit wird vom EDÖB ein Entwurf für die werden. Zur Zeit wird vom EDÖB ein Entwurf für die
Anforderungen der DSMS Zertifizierung ausgearbeitet.Anforderungen der DSMS Zertifizierung ausgearbeitet.
19
Reto GrubenmannReto Grubenmann
DirektorDirektor
Leiter der ZertifizierungsstelleLeiter der Zertifizierungsstelle
KPMG AGKPMG AG
Badenerstrasse 172Badenerstrasse 172
PostfachPostfach
8026 Zürich8026 Zürich
TelefonTelefon +41 44+41 44 249 25 39249 25 39
NatelNatel +41 79+41 79 372 04 21372 04 21
FaxFax +41 44+41 44 249 30 17249 30 17
retogrubenmann@kpmg.comretogrubenmann@kpmg.com
KontaktKontakt
© 2007 KPMG AG/SA/Ltd, a subsidiary of KPMG Holding Ltd, a Swiss corporation and a member firm of the KPMG network of independent member firms affiliated
with KPMG International, a Swiss cooperative. All rights reserved. Printed in Switzerland.