Kanadalı bir mahremiyet komisyoncusu tarafından tanıtılmasından on dört yıl sonra, Privacy by Design (PbD), tüketici ürünleri ve hizmetlerinin korunması için uluslararası bir gizlilik standardı haline geldi ve bunun mahremiyette önemli bir kilometre taşı olacağı düşünülmektedir.
Uluslararası Standardizasyon Örgütü (ISO), tasarım gereği gizlilik için bir standart olan ISO 31700’ü geliştirdi ve 31 Ocak 2023’te, tüketici malları ve hizmetleri için tüketicinin korunması ve Tasarım Yoluyla Gizliliğe ilişkin ISO 31700-1:2023 ve ISO/TR 31700-2:2023 standartlarını yayınlamıştır. Ancak başlangıçta ISO 31700 bir uyumluluk standardı olmayacağı bilinmelidir.
2009′da tanıtılan Tasarımla Gizlilik, bir kuruluşun veri yönetimi sürecinde gizliliğin dikkate alınmasını gerektiren bir dizi ilkedir. O zamandan beri Uluslararası Gizlilik Komiserleri ve Veri Koruma Yetkilileri Meclisi tarafından kabul edilmiş ve Avrupa Genel Veri Koruma Yönetmeliğine (GDPR) dahil edilmiştir. 2018’de ISO, Tasarımla Gizlilik (PbD)’in standartlarına dahil edilmesini planlamaya başlamak için bir grup oluşturmuştur.
ISO 31700 Nedir?
Özellikle ISO 31700-1, tüketici tarafından işlenen veriler de dahil olmak üzere bir tüketici ürününün yaşam döngüsü boyunca gizliliği korumak için Tasarım Yoluyla Gizlilik için üst düzey gereksinimler sağlar.
Bu bağlamda ISO, ISO 31700-1’in kuruluşların tüketicilere sunabileceği gizlilik güvenceleri ve taahhütleri için özel gereksinimleri içermediğini ve bir kuruluşun gizlilik kontrollerini tasarlamak ve uygulamak için benimseyebileceği belirli metodolojileri veya bu tür kontrolleri çalıştırmak için kullanılabilecek teknoloji belirtmediğini açıklar.
ISO 31700-2, ISO 31700-1’in gerekliliklerinin anlaşılmasına yardımcı olmak için seçilen ilişkili analizlerle açıklayıcı kullanım durumları sağlar. Ayrıca ISO, hedeflenen kitlenin, dijital olarak etkinleştirilen tüketim malları ve hizmetlerinin geliştirilmesi, uygulanması veya işletilmesinde yer alan mühendisler ve uygulayıcıları içerdiğini açıklamıştır. Buna ek olarak tanıtımına göre ISO 31700-2, tüketici gizlilik haklarının ve tercihlerinin, özellikle çevrimiçi perakendecilik kullanım durumları ile ürün geliştirme ve operasyonunun kalbine yerleştirildiği tüketici odaklı bir yaklaşıma dayanmaktadır. Belirli bir ekosistemdeki paydaşlar ve sistemler arasındaki bir dizi olası etkileşim dizisini göstererek bir dizi hedefle ilgili sistem gereksinimlerinin belirlenmesine, açıklığa kavuşturulmasına ve düzenlenmesine yardımcı olacaktır.
ISO 31700-1, Tasarım Yoluyla Gizliliği, gizliliğin ilk tasarım aşamasına ve ürünlerin, süreçlerin veya hizmetlerin tüm yaşam döngüsü boyunca dikkate alındığı ve entegre edildiği, ürünün kullanımdan kaldırılması ve nihai olarak silinmesi dahil olmak üzere kişisel olarak tanımlanabilir bilgilerin işlenmesini içeren tasarım metodolojileri olarak tanımlar.
ISO 31700 Gereksinimleri
Nihai ISO 31700 standardı, tüketicilerin gizlilik haklarını uygulamalarını, ilgili rolleri ve yetkileri atamalarını ve genel rehberlik de dahil olmak üzere 30 gereksinimi detaylandırmaktadır. ISO 31700, gizlilik risk değerlendirmelerinin yürütülmesi, gizlilik denetimleri için gereksinimlerin oluşturulması ve belgelenmesi, gizlilik denetimlerinin nasıl tasarlanacağı, yaşam döngüsü veri yönetimi ve bir veri ihlalinin hafifletilmesi konularında bilgiler paylaşacaktır.
Tasarım Yoluyla Gizliliğe Yönelik 3 Yol Gösterici İlke
Tasarım gereği mahremiyet kavramı ilk olarak 1990’ların sonunda Kanada, Ontario Bilgi ve Gizlilik Komiseri Ann Cavoukian tarafından tanıtıldı. Amaç, mahremiyetin sadece sonradan akla gelen bir düşünce olarak değil, yeni teknolojilerin ve ürünlerin geliştirme süreci boyunca dikkate alınmasını sağlamaktı.
Çerçeve, kuruluşlar ve şirketler tarafından toplanan, depolanan ve paylaşılan artan miktarda kişisel bilginin yanı sıra artan sayıda veri ihlali ve gizlilik ihlaline bir yanıt olarak geliştirilmiştir. Tasarım gereği gizliliğin yol gösterici 3 ilkesi aşağıdaki gibidir:
- Güçlendirme ve şeffaflık: Dijital çağda insanlar kişisel bilgilerini (PII) koruma konusunda daha fazla endişe duymaya başladıkça, şirketlerin PII’yi işleyen yazılım sistemlerinin tasarımı ve işletilmesi söz konusu olduğunda şeffaf ve hesap verebilir olma ihtiyacı artıyor. Bu net gizlilik iddiaları sağlamayı, gizliliği değerlendirmek için sistematik yöntemler kullanmayı ve tüketici gizliliğinin nasıl dikkate alındığı konusunda açık olmayı içerir. Hedef; tüketici güvenini kazanmak, pazar başarısı elde etmek, yasal ve düzenleyici gerekliliklere uymak ve mahremiyet konularına tüketici merkezli bir yaklaşım benimseyerek yeniliği teşvik etmektir.
- Kurumsallaşma ve sorumluluk: Tasarım gereği gizlilik, ekosistem genelinde güçlü gizlilik normlarını kurumsallaştırırken tüketici perspektifine odaklanır. Tüketicinin ürün ile davranışsal etkileşimi ve gizlilik ihtiyaçları, erken dönemde ve yaşam döngüsü süreci boyunca dikkate alınır. Bu şekilde, tüketici mahremiyeti ihtiyaçlarına ilişkin kararlar daha tutarlı ve sistematik olmakla kalmayacak, aynı zamanda diğer paydaşların menfaatlerinin yanı sıra işlevsel bir gereklilik haline gelecektir.
- Ekosistem ve yaşam döngüsü: Bu yöntem, belirli bir kuruluş veya bileşenin kontrolü dışındakiler de dahil olmak üzere tüm ilgili faktörleri dikkate alarak hem mahremiyete hem de tüketicinin korunmasına fayda sağlar. Bu yaklaşım, ister fiziksel ürünler ister hizmet olarak yazılım gibi soyut hizmetler olsun, kişisel bilgileri (PII) kullanan her türlü ürün ve hizmete uygulanabilir. Çerçevenin, konumları veya olgunluk düzeyleri ne olursa olsun, her büyüklükteki ve sektördeki kuruluşun ihtiyaçlarına uyarlanabilir olması amaçlanmaktadır.
Standart, çok çeşitli şirketler, yeni başlayanlar, çok uluslu şirketler, her ölçekten kuruluş tarafından kullanılmak üzere tasarlanmıştır.
Herhangi bir ürünle bu standardı çalıştırabilirsiniz çünkü benimsenmesi kolaydır. Gizliliğin bir kuruluşun operasyonlarının tasarımına proaktif olarak dahil edilmesini ve veri koruma yasalarını tamamlamasını umulmaktadır.
Bir kılavuz olarak Tasarımla Gizlilik, BT sistemleri, sorumlu iş uygulamaları ve fiziksel tasarım ve ağ bağlantılı altyapı için geçerlidir.
ISO, 167 ulusal standart kuruluşundan oluşan bir ağdır. Bilgi güvenliği yönetim sistemleri için ISO 27001 de dahil olmak üzere 24.000’den fazla standart belirler; bu standartlardan bazıları, CFECERT gibi akredite belgelendirme kuruluşları tarafından yapılan bir denetimden geçtikten sonra uyumluluk için sertifikalandırılabilir.
Gizlilik, onu benimseyen işletmeler için bir rekabet avantajı olabilir. Güncellenmiş mahremiyet ve iş modelinden gelişen teknoloji ile ön yargılardan kurtularak Tasarımda Gizlilik ilkesini işletmenizde hayata geçirmeniz sizler için bir fırsat olacaktır. Bu konuda daha fazla bilgi almak için bizlerle irtibata geçebilirsiniz.
