آموزش دوره جامع ISO 27701 — سیستم مدیریت اطلاعات حریم خصوصی برای مبتدیان - آخرین آپدیت

سرفصل ها و درس ها

مبانی و محدوده PIMS PIMS Foundations & Scope

• آنچه ISO/IEC 27701 به استانداردهای 27001/27002 اضافه می‌کند What ISO/IEC 27701 Adds to 27001/27002

• مقایسه مسئولیت‌های کنترل‌کننده در برابر پردازش‌کننده Controller vs. Processor Responsibilities

• اصطلاحات کلیدی: PII, PIMS، نقش‌ها و توافق‌نامه‌ها Key Terms: PII, PIMS, Roles, Agreements

• مستندات PIMS و رابط‌های آن با ISMS PIMS Documentation & Interfaces with the ISMS

• نگاشت مقررات (GDPR, HIPAA, LGPD, PDPA و غیره) Regulatory Mapping (GDPR, HIPAA, LGPD, PDPA, etc.)

• تبدیل ISMS به PIMS در یک صفحه “From ISMS to PIMS” in One Page

حاکمیت، نقش‌ها و پاسخگویی Governance, Roles & Accountability

• تعهدات مدیریت و حاکمیت حریم خصوصی Leadership Commitments & Privacy Governance

• نقش‌ها: افسر حریم خصوصی (DPO)، مالکان، متولیان و متخصصان Roles: DPO/Privacy Officer, Owners, Stewards, SMEs

• سیاست‌ها و کدها: حریم خصوصی در طراحی و به‌صورت پیش‌فرض Policies & Codes: Privacy by Design/Default

• پاسخگویی، سلسله‌مراتب ارجاع و حقوق تصمیم‌گیری Accountability, Escalation & Decision Rights

• سوابق فعالیت‌های پردازشی (RoPA) Records of Processing Activities (RoPA)

• مدل ماتریس RACI برای حاکمیت حریم خصوصی Model Privacy Governance RACI

بافت سازمان، ذینفعان و مبانی قانونی Context, Stakeholders & Lawful Bases

• بافت سازمانی و طرف‌های ذینفع Organizational Context & Interested Parties

• مبانی قانونی (رضایت، قرارداد، تعهد قانونی و غیره) Lawful Bases (Consent, Contract, Legal Obligation, etc.)

• مدیریت داده‌های حساس و دسته‌های خاص Special Category/Sensitive Data Handling

• داده‌های کودکان و سناریوهای پرریسک Children’s Data & High-Risk Scenarios

• شفافیت: اطلاعیه‌ها و ارتباطات لایه‌بندی شده Transparency: Notices & Layered Communications

• بررسی درخت تصمیم برای تعیین مبنای قانونی Lawful Basis Decision Tree Walkthrough

چرخه حیات داده‌ها و بهینه‌سازی Data Lifecycle & Minimization

• نگاشت داده‌ها: جمع‌آوری ← استفاده ← اشتراک ← ذخیره ← امحا Data Mapping: Collection → Use → Share → Store → Dispose

• محدودیت هدف و تکنیک‌های بهینه‌سازی داده‌ها Purpose Limitation & Data Minimization Techniques

• زمان‌بندی نگهداری و امحای امن داده‌ها Retention Schedules & Secure Disposal

• مبانی نام مستعارسازی (Pseudonymization) و ناشناس‌سازی Pseudonymization/Anonymization Basics

• ردیابی داده‌ها در سیستم‌های مختلف و کنترل تغییرات Cross-System Lineage & Change Control

• نمونه نقشه داده‌ها و ماتریس نگهداری Sample Data Map & Retention Matrix

ریسک، DPIA و انتقال داده‌ها به کشورهای ثالث Risk, DPIAs & Third-Country Transfers

• شناسایی ریسک‌های حریم خصوصی و معیارهای ارزیابی Privacy Risk Identification & Criteria

• گردش کار DPIA/PIA: محرک‌ها، مراحل و خروجی‌ها DPIA/PIA Workflow: Triggers, Steps, Outputs

• مکانیزم‌های انتقال: SCCs, BCRs، کفایت و الحاقیه‌ها Transfer Mechanisms: SCCs, BCRs, Adequacy, Addenda

• ارزیابی ریسک به سبک Schrems و اقدامات تکمیلی Schrems-style Risk Assessments & Supplementary Measures

• ورودی‌های ارزیابی تامین‌کننده و کنترل‌کننده مشترک Vendor/Joint Controller Assessment Inputs

• نمونه تکمیل شده فرم DPIA برای یک اپلیکیشن جدید DPIA Template Filled for a New App

قراردادها، تامین‌کنندگان و کنترل‌های پردازش‌کننده Contracts, Suppliers & Processor Controls

• توافق‌نامه‌های کنترل‌کننده-پردازش‌کننده (DPA): بندهای ضروری Controller–Processor Agreements (DPAs): Must-Have Clauses

• مدیریت پردازش‌کنندگان فرعی و انتقال الزامات Sub-processor Management & Flow-Down

• بررسی دلیل معقول (Due Diligence)، تضمین و حقوق ممیزی Due Diligence, Assurance & Audit Rights

• توافق‌نامه‌های اشتراک داده و ترتیب‌های کنترل‌کننده مشترک Data Sharing Agreements & Joint Controller Arrangements

• کنترل‌های پذیرش ← نظارت ← خروج تامین‌کننده Onboarding → Monitoring → Offboarding Controls

• چک‌لیست شناسایی نقاط قرمز (هشدار) در DPAها Red-Flag Checklist for DPAs

کنترل‌های امنیتی برای حریم خصوصی Security Controls for Privacy

• اتصال 27701 به کنترل‌های 27002 برای حفاظت از PII Linking 27701 to 27002 Controls for PII Protection

• مدیریت هویت و دسترسی (RBAC/ABAC، حداقل دسترسی، PAM) Identity & Access (RBAC/ABAC, Least Privilege, PAM)

• رمزنگاری و مدیریت کلید برای اطلاعات شخصی (PII) Encryption & Key Management for PII

• ثبت وقایع، نظارت و تله‌متری آگاه به حریم خصوصی Logging, Monitoring & Privacy-Aware Telemetry

• پاسخ به نقض داده‌ها و بازه‌های زمانی اطلاع‌رسانی Data Breach Response & Notification Timelines

• نمای کلی دستورالعمل (Playbook) «نقض داده در ۲۴ ساعت» “Breach in 24 Hours” Playbook Snapshot

حقوق افراد، آموزش و بهبود مستمر Rights, Training & Continuous Improvement

• حقوق افراد: دسترسی، اصلاح، حذف و قابلیت انتقال داده‌ها Data Subject Rights: Access, Rectification, Erasure, Portability

• مدیریت درخواست‌ها: احراز هویت و مدیریت SLA Handling Requests: Identity Proofing & SLA Management

• آگاهی‌رسانی و آموزش‌های نقش‌محور (محصول، HR، مهندسی) Awareness & Role-Based Training (Product, HR, Engineering)

• معیارها و KRIs: حجم درخواست‌ها، زمان ترمیم نقض و ریسک باقی‌مانده Metrics & KRIs: Request Volumes, Breach MTTR, Residual Risk

• ممیزی داخلی، بازبینی مدیریت و نقشه راه بلوغ PIMS Internal Audit, Management Review & PIMS Maturity Roadmap

• نمودار تک صفحه‌ای جریان مدیریت حقوق افراد (DSR) One-Page DSR Handling Flow

مثال‌ها و موارد خاص صنعتی Industry-Specific Examples & Cases

• بهداشت و علوم زیستی: PHI، تحقیقات و مدل‌های رضایت Healthcare & Life Sciences: PHI, Research, Consent Models

• خدمات مالی و فین‌تک: KYC، تحلیل‌های تقلب و پروفایل‌سازی Financial Services & Fintech: KYC, Fraud Analytics, Profiling

• SaaS و AdTech: پردازش فرامرزی، کوکی‌ها و TTD SaaS & AdTech: Cross-Border Processing, Cookies/TTD

• خرده‌فروشی و تجارت الکترونیک: وفاداری، شخصی‌سازی و بهداشت CDP Retail & eCommerce: Loyalty, Personalization, CDP Hygiene

• بخش عمومی و آموزش: سوابق، آزادی اطلاعات (FOI) و داده‌های دانشجویی Public Sector & Education: Records, FOI, Student Data

• منابع انسانی/BPO و مراکز تماس: ضبط تماس و احراز هویت HR/BPO & Contact Centers: Call Recording, Identity Proofing

• صنعتی/IoT و خودرو: تله‌متری، لبه (Edge) و تله‌ماتیک Industrial/IoT & Automotive: Telemetry, Edge, Telematics