Datenschutz Management System (DSMS): Datenschutz Management System (DSMS):

Revisionstaugliche AuditRevisionstaugliche Audit--Kontrollen, Kontrollen, Standards und Vorgehensweise bei einem Standards und Vorgehensweise bei einem DSMSDSMS--AuditAudit

Reto Grubenmann, KPMG AG

Datenschutz-Forum vom 2. September 2008Hotel Bären / Hotel Bristol, in Bern

Reto Grubenmann, KPMG AG

Datenschutz-Forum vom 2. September 2008Hotel Bären / Hotel Bristol, in Bern

Information Risk Management

© 2007 KPMG AG/SA/Ltd, a subsidiary of KPMG Holding Ltd, a Swiss corporation and a member firm of the KPMG network of independent member firms affiliated

with KPMG International, a Swiss cooperative. All rights reserved. Printed in Switzerland.

2

AgendaAgenda

Überblick für die Grundlagen eines DatenschutzkontrollÜberblick für die Grundlagen eines Datenschutzkontroll--

RahmenwerkesRahmenwerkes

Relevante Standards, Normen und RichtlinienRelevante Standards, Normen und Richtlinien

Anforderungen an das DatenAnforderungen an das Daten--SchutzSchutz--ManagementManagement--

System (DSMS)System (DSMS)

DatenschutzDatenschutz--Zertifizierung und GütesiegelZertifizierung und Gütesiegel

Instrumente zur Qualitätskontrolle des DatenschutzesInstrumente zur Qualitätskontrolle des Datenschutzes

Audit VorgehenAudit Vorgehen

Datenschutzkonzept mit den relevanten KontrollzielenDatenschutzkonzept mit den relevanten Kontrollzielen

Allgemeines zum AuditAllgemeines zum Audit

Kontrollziele für Compliance Grundsätze (Data Protection File)Kontrollziele für Compliance Grundsätze (Data Protection File)

Kontrollziele für die Governance (Data Protection File)Kontrollziele für die Governance (Data Protection File)

3

Überblick für die Grundlagen eines

Datenschutzkontroll-Rahmenwerkes

Überblick für die Grundlagen eines

Datenschutzkontroll-Rahmenwerkes

UnternehmensverantwortlichkeitVerantwortlichkeit / Rolle für Daten-

eigner für Personaldaten definieren.

Gebot der Zweckbindung

Verhältnismässigkeitsprinzip

Zustimmung der betroffenen Person

Behandlung des Auskunftsrechts

Richtigkeit der Daten

Datensicherheit

Beschaffung der Daten sind

zweckgebunden.Es werden nur Daten verarbeitet, die

für die Erfüllung der Daten not-

wendig sind.Zustimmung der betroffenen Person.

Bestimmungen für Auskunftsge-

suche von Personaldaten.Prozesse und Mechanismen für

die Aktualität der Daten.Integrität und Zugriffsschutz auf

Personaldaten.

Bewusstseinsförderung und Train-

ing der Datenschutzverantwortlichen

Datenübermittlung in Drittstaaten

Datenbearbeitung durch Dritte

Schulung und Bewusstsein

Gesetzliche und vertragliche

Geheimhaltungspflicht

Datenschutzbestimmungen im Dritt-

staat ist zu berücksichtigen

4

Wie Informationssicherheit &

Datenschutz zusammenhängen

Wie Informationssicherheit &

Datenschutz zusammenhängen

DatenschutzDatenschutz

PersonendatenV

ert

rau

lich

keit

Inte

gri

tät

Ve

rfü

gb

ark

eit

andere

Daten

Tra

nsp

are

nz

Zw

eckg

eb

un

de

nh

eit

Ve

rhä

ltn

ism

ässig

ke

it

Ric

htig

ke

it

InformationsInformations--

sicherheitsicherheit

Re

ch

tmä

ssig

ke

it

Ve

rbin

dlic

hke

it

Au

the

ntizitä

t

5

Relevante Standards, Normen und RichtlinienRelevante Standards, Normen und Richtlinien

DSGDSG (SR 235.1)(SR 235.1)DatenschutzgesetzDatenschutzgesetz

VDSG VDSG (SR 235.11)(SR 235.11)Ausführungsverordnung zum Bundesgesetz über den DatenschutzAusführungsverordnung zum Bundesgesetz über den Datenschutz

VDSZ VDSZ (SR 235.13) (SR 235.13) AnhangAnhang zu den Richtlinien über diezu den Richtlinien über die

ZertifizierungsverordnungZertifizierungsverordnung Mindestanforderung eines DSMSMindestanforderung eines DSMS

ISO 27001: 2005ISO 27001: 2005 (Anhang: A.7xx, A.10.xx, A.11xx, A.12xx, A.14xx, A.15xx)(Anhang: A.7xx, A.10.xx, A.11xx, A.12xx, A.14xx, A.15xx)

Information Security Management System: Information Security Management System: RequirementsRequirements

CWA 15499CWA 15499--11Personal Data Personal Data ProtectionProtection Audit Framework (EU Audit Framework (EU DirectiveDirective EC)EC)

Part I: Part I: BaselineBaseline FrameworkFramework

CWA 15499CWA 15499--22Personal Data Personal Data ProtectionProtection Audit Framework (EU Audit Framework (EU DirectiveDirective EC)EC)

Part II: Checklists, Part II: Checklists, questionnairesquestionnaires andand templatestemplates forfor usersusers ofof thethe frameworkframework

6

Anforderungen an das Datenschutz-

Management-System (DSMS)

Anforderungen an das Datenschutz-

Management-System (DSMS)

Das DSMS und deren Kontrollen dient der EinführungDas DSMS und deren Kontrollen dient der Einführung

eines Prozessansatzes zur Entwicklung, Umsetzung,eines Prozessansatzes zur Entwicklung, Umsetzung,

Durchführung, Überwachung, Aufrechterhaltung und derDurchführung, Überwachung, Aufrechterhaltung und der

kontinuierlichen Verbesserung eines organisationsbekontinuierlichen Verbesserung eines organisationsbe--

zogenen Management Systems im Bereich Datenschutz.zogenen Management Systems im Bereich Datenschutz.

Festlegung und Verwaltung des DSMSFestlegung und Verwaltung des DSMS

DokumentationsanforderungenDokumentationsanforderungen

Verantwortung des Managements / der DirektionVerantwortung des Managements / der Direktion

Interne DSMSInterne DSMS--AuditsAudits

Managementbewertung des DSMSManagementbewertung des DSMS

Kontinuierliche DSMSKontinuierliche DSMS--VerbesserungVerbesserung

7

Überblick der Zertifizierungsstandards(in Zusammenhang des Datenschutzes)

Überblick der Zertifizierungsstandards(in Zusammenhang des Datenschutzes)

ISO 14001

Umwelt -Management

ISO 27001 (BS 7799 -2)

Information Security Management System (ISMS)

Reco

rds M

an

ag

em

en

t/

ISO 9001

OrganisationISO 14001

Umwelt - Management

ISO 27001Information Security Management System (ISMS)

ISO 20000-1/-2IT Service Management (ITSM)

ISO

15489

- 1

SR

943.0

32.1

Sch

weiz

er

Vo

rsch

rift

en

für

dig

itale

Sig

natu

ren

ET

SI

TS

101.4

56

Eu

rop

äis

ch

eV

ors

ch

rift

en

für

dig

itale

Sig

natu

ren

AN

SI

X9.7

9

Am

eri

kan

isch

eV

ors

ch

rif

-

ten

fü

rd

igit

ale

Sig

natu

ren

ISO

15489

- 1

SR

943.0

32.1

Sc

hw

eiz

er

Vo

rsc

hri

fte

nfü

r d

igit

ale

Sig

na

ture

n

ET

SI

TS

101.4

56

AN

SI

X9.7

9

Eu

rop

äis

ch

e V

ors

ch

rift

en

für

dig

ita

le S

ign

atu

ren

Am

eri

ka

nis

ch

e V

ors

ch

rift

.fü

r d

igit

ale

Sig

na

ture

n

Rec

ord

s M

an

ag

em

en

t/A

rch

ivie

run

g

DSG / VDSG / VDSZDaten Schutz Management System (DSMS)

8

Datenschutz Management System (DSMS)

Zertifizierung und Gütesiegel

Datenschutz Management System (DSMS)

Zertifizierung und Gütesiegel

DSG: SR 235.1 / 2006(Art. 7: Datensicherheit)

VDSZ: SR 235.11(Art. 8-12, 20-23: techn. & org. Massnahmen)

VDSZ: 235.13 (in Entwurf vorliegend)

(Normskizze: Zertifizierungsverordnung)

Richtlinie: Anforderungen an die

Produkte und Systeme ?

ISO 15408:1999 part2:

Common Criteria

ISO 27001:2005 „ISMS“

Zertifizierungs-

Anforderungen

ISO 17799: 2005

Code of Practice

Datenschutz Themen

Richtlinie: Anforderungen an DSMS

(Organisation und Verfahren)

CH-Leitfaden zur Umsetzung

& Zertifizierung

vom Datenschutz

Informationssicherheit

EDÖB (Eidg. Datenschutz

und Öffentlichkeitsbeauftragter)

Anhang

9

Ablauf ZertifizierungsverfahrenAblauf Zertifizierungsverfahren

Antragssteller (Unternehmung mit einem DSMS)

Prüfstelle

Management System

Prüf-/ und Teil-Auditberichte

Zertifizierungs-Antrag

Zertifizierungs-Begutachtungs-

bericht

Zertifizierungsstelle

KPMG Klynveld Peat Marwick Goerdeler SA

SCESm 071

2 3 41

Prüfbericht

Prüfbegleitung

ISO / IEC 17021

akkreditiert

10

Datenschutz-Managementsystem (DSMS)Datenschutz-Managementsystem (DSMS)

Ziel: Ziel:

Nachhaltige Verankerung des Datenschutzes in der OrganisationNachhaltige Verankerung des Datenschutzes in der Organisation

Datenschutz Managementsystem (DSMS):Datenschutz Managementsystem (DSMS):

Plan Plan –– Do Do –– Check Check –– ActAct

Prozesse zur Einhaltung der DS GrundsätzeProzesse zur Einhaltung der DS Grundsätze

Anforderungen aus DSG / VDSG abgeleitetAnforderungen aus DSG / VDSG abgeleitet

Ausgestaltung des DSMS abhängig von:Ausgestaltung des DSMS abhängig von:

Zweck und Umfang der DatenbearbeitungZweck und Umfang der Datenbearbeitung

Mittel zur DatenbearbeitungMittel zur Datenbearbeitung

Grösse und Struktur der OrganisationGrösse und Struktur der Organisation

Zertifizierung des DSMS:Zertifizierung des DSMS:

Verordnung über die Datenschutzzertifizierung (VDSZ)Verordnung über die Datenschutzzertifizierung (VDSZ)

Zertifizierung des DSMS entbindet die Organisation von RegistrierZertifizierung des DSMS entbindet die Organisation von Registrier--

ungspflichtungspflicht

11

Datenschutz-Managementsystem (DSMS)

Plan – Do – Check – Act (PDCA Modell)

Datenschutz-Managementsystem (DSMS)

Plan – Do – Check – Act (PDCA Modell)

Management Verantwortung

Management Review

Kontinuierliche

Verbesserung

Interne Audits,

BerichtswesenGe

se

tzli

ch

e A

nfo

rde

run

ge

n

Org

an

isie

rte

r D

ate

ns

ch

utz

DSMS

einrichten

DSMS

betreiben

DSMS

überwachen

DSMS

verbessern

P

D

C

A

12

Information Governance RahmenwerkInformation Governance Rahmenwerk

Datenverarbeitungs-

und IT-Betriebsprozesse

Bra

nchen

-

regula

tionen

OR

(IKS

, …)

DS

G

EID

I-V / G

ebüV

Informations-

sicherheit

Managementsystem

Datenschutz

Management-

system

Regulatorische

Anforderungen

Inte

rnatio

nale

Regula

tionen

Ziele / Vorgaben zu Datenschutz & Informationssicherheit

IT-Systeme

Risiko-

Management

…

13

Risiko Assessment Ansatz (Gemäss Dokument CWA 15499-1)

Risiko Assessment Ansatz (Gemäss Dokument CWA 15499-1)

Business

Impact

Analyse

(BIA)

Rechtliche

Aspekte

Personendaten-

Schutzpolitik

Personendaten

Schutzziele

Risiko

Analyse

Messungen

Restrisiken

Liste der

Gefahren

Zweckbindung

Umfeld /

Umgebung

Datengebrauch

Technologie

Verwundbarkeiten

Liste der

Assets

Informations-

Sicherheitspolitik

Rahmenwerk für

Pe

rso

ne

nd

ate

n

Ris

iko

An

aly

se

definieren

definieren

priorisieren

definieren

14

Risiko Analyse für das DSMS(Gemäss Dokument CWA 15499-1)

Risiko Analyse für das DSMS(Gemäss Dokument CWA 15499-1)

Audit:

Schutzobjekt

Audit:Schutzobjekt

ein oder mehrere

Datenschutzziele

Audit

Schutzobjekt:

ein oder mehrere

Gefahren welche

die Schutzziele

kompromittieren

könnten !

Liste der

AssetsDatenschutz

Ziele

Liste der

Gefahren

• Personendokumente

• Vertrauliche Kunden-

daten

• Dokumententypen

• IT-Systeme

• Räume mit vertrau-

lichen Daten

• Safes

• Schutz-/Zugangs-

Vorrichtungen

• Richtlinien / Vorgaben

• Politik / Direktiven

• Prozeduren

• Schutzsystem-Einstell-

ungen

• Vertraulichkeit auf

Basis einer Chiffrierung

• Autorisations-Profile

• Minimierungspotenzial

• Gefahrenpotenzial

• Verwundbarkeits-

Wahrscheinlichkeit

• Kritikalität der Ge-

fahren

• Schadensausmass

• Auswirkungen auf

die Unternehmung

• Reputationsschäden

definieren beurteilen

15

Audit VorgehensweiseAudit Vorgehensweise

Audit

PlanungDokumentations-

Audit

Implementations-

Audit

Berichtswesen

Risiko

Matrizen

• Desk-Analyse / Sichten der Dokumente

Compliance mit rechtlichen Grundsätzen

Compliance mit Governance

• Interviews mit „Key-People“,

• Überprüfung der automatisierten

Kontrollen

• Auditbericht bezüglich den effektiven,

implementierten Kontrollen im DSMS

• Feststellungen,

• Risikoeinstufung,

• Empfehlungen zu Nicht-Konformitäten

Compliance mit rechtlichen Grundsätzen

Compliance mit Governance

16

Definition des GeltungsbereichesDefinition des Geltungsbereiches für ein DSMS Audit:für ein DSMS Audit:

Ist die Ist die AbgrenzungAbgrenzung und das und das ZielZiel für den Auditor geklärt?für den Auditor geklärt?

Wurden die Aspekte: Wurden die Aspekte: Rechtsmässigkeit, Verhältnismässigkeit (Treu Rechtsmässigkeit, Verhältnismässigkeit (Treu

und Glauben), Zweckbindung, Richtigkeit, Vertraulichkeit, Integrität, und Glauben), Zweckbindung, Richtigkeit, Vertraulichkeit, Integrität,

Verfügbarkeit, AuditierbarkeitVerfügbarkeit, Auditierbarkeit im im AuditzielAuditziel klar adressiert?klar adressiert?

Welche Welche ThemenThemen und und PrinzipienPrinzipien will man in der will man in der

Unternehmung in Bezug auf den Datenschutz klären?Unternehmung in Bezug auf den Datenschutz klären?

Welches Welches ErfahrungsErfahrungs--Profil ist für den AuditorProfil ist für den Auditor zu zu

definieren?definieren?

Sind die Sind die KonditionenKonditionen und und LimitationenLimitationen des Audits des Audits

bekannt?bekannt?Form und RisikoForm und Risiko--Darstellung für das Senior ManagementDarstellung für das Senior Management

DurchführungsDurchführungs--Frequenz des AuditberichtesFrequenz des Auditberichtes

Budget und ZeitrahmenBudget und Zeitrahmen

Datenschutzkonzept mit den relevanten

Kontrollzielen (Gemäss Dokument CWA 15499-1)

Datenschutzkonzept mit den relevanten

Kontrollzielen (Gemäss Dokument CWA 15499-1)

17

Kontroll-Rahmenwerk: Allgemein(Checkliste für ein Datenschutz Audit)

Kontroll-Rahmenwerk: Allgemein(Checkliste für ein Datenschutz Audit)

„Data Protection Profil“ erstellen (Dokumentenlenkung):„Data Protection Profil“ erstellen (Dokumentenlenkung):

Kollektion / Liste aller relevanten „Data Protection“ DokumenteKollektion / Liste aller relevanten „Data Protection“ Dokumente

Diese ProfilDiese Profil--Dokumente beschreiben das DSMSDokumente beschreiben das DSMS

Die Organisation ist zu involvieren:Die Organisation ist zu involvieren:

Vorbereitungsphase: Audit Planung, Ausführung von Stichproben, Vorbereitungsphase: Audit Planung, Ausführung von Stichproben,

Interviews mit Personen und Gruppen Interviews mit Personen und Gruppen

Berichtsphase: Besprechung der Ausführung von FollowBerichtsphase: Besprechung der Ausführung von Follow--up Aktionen / up Aktionen /

VerbesserungslösungenVerbesserungslösungen

Informieren über den Audit innerhalb der Organisation: Informieren über den Audit innerhalb der Organisation:

Transparenz und Vertrautheit sind wichtig für das Identifizieren von Transparenz und Vertrautheit sind wichtig für das Identifizieren von

VerbesserungsVerbesserungs--PotentialePotentiale

Verfügbarkeit der „KeyVerfügbarkeit der „Key--People“ sicherstellenPeople“ sicherstellen

Keine Sanktionen und Konsequenzen bei negativen Feststellung Keine Sanktionen und Konsequenzen bei negativen Feststellung

aussprechenaussprechen

18

ZusammenfassungZusammenfassung

Der Der Aufbau Aufbau und somit auch der und somit auch der AuditAudit eines Datenschutz eines Datenschutz

Managementsystem (DSMS) kann heute mit Hilfe von Managementsystem (DSMS) kann heute mit Hilfe von

bestimmten bestimmten Schweizer sowie Europäischen Richtlinien Schweizer sowie Europäischen Richtlinien

und und StandardisierungenStandardisierungen ausgeführt werden.ausgeführt werden.

Die Standards bzw. Die Standards bzw. CEN Workshop AgreementCEN Workshop Agreement

CWA 15499CWA 15499--1 / 1 / --2 2 können für einen DSMSkönnen für einen DSMS--Audit und für Audit und für

die einzusetzenden Checklisten zusätzlich zu den die einzusetzenden Checklisten zusätzlich zu den

Schweizer Regulationen sinnvoll genutzt werden.Schweizer Regulationen sinnvoll genutzt werden.

Die Die Zertifizierung eines DSMSZertifizierung eines DSMS wird in Zukunft möglich wird in Zukunft möglich

werden. Zur Zeit wird vom EDÖB ein Entwurf für die werden. Zur Zeit wird vom EDÖB ein Entwurf für die

Anforderungen der DSMS Zertifizierung ausgearbeitet.Anforderungen der DSMS Zertifizierung ausgearbeitet.

19

Reto GrubenmannReto Grubenmann

DirektorDirektor

Leiter der ZertifizierungsstelleLeiter der Zertifizierungsstelle

KPMG AGKPMG AG

Badenerstrasse 172Badenerstrasse 172

PostfachPostfach

8026 Zürich8026 Zürich

TelefonTelefon +41 44+41 44 249 25 39249 25 39

NatelNatel +41 79+41 79 372 04 21372 04 21

FaxFax +41 44+41 44 249 30 17249 30 17

retogrubenmann@kpmg.comretogrubenmann@kpmg.com

KontaktKontakt

© 2007 KPMG AG/SA/Ltd, a subsidiary of KPMG Holding Ltd, a Swiss corporation and a member firm of the KPMG network of independent member firms affiliated

with KPMG International, a Swiss cooperative. All rights reserved. Printed in Switzerland.