Source: https://www.juridice.ro/647189/distinctia-dintre-notiunile-eveniment-si-incident-de-securitate-utilizate-de-standardul-iso-27001-si-cele-utilizate-de-catre-rgpd-in-special-conceptul-de.html
Timestamp: 2019-12-15 14:27:12+00:00

Document:
JURIDICE » Distincția dintre noțiunile „eveniment” și „incident de securitate” utilizate de standardul ISO 27001 și cele utilizate de către RGPD, în special conceptul de „încălcare a securității datelor cu caracter personal”
⁞ 1.415 online
Citiri: 1.260
Distincția dintre noțiunile „eveniment” și „incident de securitate” utilizate de standardul ISO 27001 și cele utilizate de către RGPD, în special conceptul de „încălcare a securității datelor cu caracter personal”
22.07.2019 | Nicolae-Dragoş PLOEŞTEANU
Nicolae-Dragoş Ploeșteanu
1. Textul de referință:
Secţiunea 2: Securitatea datelor cu caracter personal
Art. 32: Securitatea prelucrării
(1) Având în vedere stadiul actual al dezvoltării, costurile implementării şi natura, domeniul de aplicare, contextul şi scopurile prelucrării, precum şi riscul cu diferite grade de probabilitate şi gravitate pentru drepturile şi libertăţile persoanelor fizice, operatorul şi persoana împuternicită de acesta implementează măsuri tehnice şi organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz:
a) pseudonimizarea şi criptarea datelor cu caracter personal;
b) capacitatea de a asigura confidenţialitatea, integritatea, disponibilitatea şi rezistenţa continue ale sistemelor şi serviciilor de prelucrare;
c) capacitatea de a restabili disponibilitatea datelor cu caracter personal şi accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică;
d) un proces pentru testarea, evaluarea şi aprecierea periodice ale eficacităţii măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării.
(2) La evaluarea nivelului adecvat de securitate, se ţine seama în special de riscurile prezentate de prelucrare, generate în special, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate într-un alt mod.
(3) Aderarea la un cod de conduită aprobat, menţionat la articolul 40, sau la un mecanism de certificare aprobat, menţionat la articolul 42, poate fi utilizată ca element prin care să se demonstreze îndeplinirea cerinţelor prevăzute la alineatul (1) din prezentul articol.
(4) Operatorul şi persoana împuternicită de acesta iau măsuri pentru a asigura faptul că orice persoană fizică care acţionează sub autoritatea operatorului sau a persoanei împuternicite de operator şi care are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului, cu excepţia cazului în care această obligaţie îi revine în temeiul dreptului Uniunii sau al dreptului intern.
Art. 33: Notificarea autorităţii de supraveghere în cazul încălcării securităţii datelor cu caracter personal
(1) În cazul în care are loc o încălcare a securităţii datelor cu caracter personal, operatorul notifică acest lucru autorităţii de supraveghere competente în temeiul articolului 55, fără întârzieri nejustificate şi, dacă este posibil, în termen de cel mult 72 de ore de la data la care a luat cunoştinţă de aceasta, cu excepţia cazului în care este puţin probabil să genereze un risc pentru drepturile şi libertăţile persoanelor fizice. În cazul în care notificarea către autoritatea de supraveghere nu are loc în termen de 72 de ore, aceasta este însoţită de o explicaţie motivată pentru întârziere. (La data de 23 mai 2018 Art. 33, alin. (1) din capitolul IV, secțiunea 2 rectificat de punctul 8 din Rectificare din 23 mai 2018)
(2) Persoana împuternicită de operator înştiinţează operatorul fără întârzieri nejustificate după ce ia cunoştinţă de o încălcare a securităţii datelor cu caracter personal.
(3) Notificarea menţionată la alineatul (1) cel puţin: a) descrie caracterul încălcării securităţii datelor cu caracter personal, inclusiv, acolo unde este posibil, categoriile şi numărul aproximativ al persoanelor vizate în cauză, precum şi categoriile şi numărul aproximativ al înregistrărilor de date cu caracter personal în cauză; b) comunică numele şi datele de contact ale responsabilului cu protecţia datelor sau un alt punct de contact de unde se pot obţine mai multe informaţii; c) descrie consecinţele probabile ale încălcării securităţii datelor cu caracter personal; d) descrie măsurile luate sau propuse spre a fi luate de operator pentru a remedia problema încălcării securităţii datelor cu caracter personal, inclusiv, după caz, măsurile pentru atenuarea eventualelor sale efecte negative.
(4) Atunci când şi în măsura în care nu este posibil să se furnizeze informaţiile în acelaşi timp, acestea pot fi furnizate în mai multe etape, fără întârzieri nejustificate.
(5) Operatorul păstrează documente referitoare la toate cazurile de încălcare a securităţii datelor cu caracter personal, care cuprind o descriere a situaţiei de fapt în care a avut loc încălcarea securităţii datelor cu caracter personal, a efectelor acesteia şi a măsurilor de remediere întreprinse. Această documentaţie permite autorităţii de supraveghere să verifice conformitatea cu prezentul articol.
Art. 34: Informarea persoanei vizate cu privire la încălcarea securităţii datelor cu caracter personal
(1) În cazul în care încălcarea securităţii datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile şi libertăţile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare.
(2) În informarea transmisă persoanei vizate prevăzută la alineatul (1) din prezentul articol se include o descriere într-un limbaj clar şi simplu a caracterului încălcării securităţii datelor cu caracter personal, precum şi cel puţin informaţiile şi măsurile menţionate la articolul 33 alineatul (3) literele (b), (c) şi (d).
(3) Informarea persoanei vizate menţionată la alineatul (1) nu este necesară în cazul în care oricare dintre următoarele condiţii este îndeplinită: a) operatorul a implementat măsuri de protecţie tehnice şi organizatorice adecvate, iar aceste măsuri au fost aplicate în cazul datelor cu caracter personal afectate de încălcarea securităţii datelor cu caracter personal, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea; b) operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat pentru drepturile şi libertăţile persoanelor vizate menţionat la alineatul (1) nu mai este susceptibil să se materializeze; c) ar necesita un efort disproporţionat. În această situaţie, se efectuează în loc o informare publică sau se ia o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.
(4) În cazul în care operatorul nu a comunicat deja încălcarea securităţii datelor cu caracter personal către persoana vizată, autoritatea de supraveghere, după ce a luat în considerare probabilitatea ca încălcarea securităţii datelor cu caracter personal să genereze un risc ridicat, poate să îi solicite acestuia să facă acest lucru sau poate decide că oricare dintre condiţiile menţionate la alineatul (3) sunt îndeplinite.
Orientările WP250rev.01 privind notificarea încălcării securității datelor cu caracter personal în temeiul Regulamentului 2016/679.
2. Scurtă distincție dintre noțiunea de „securitate” încorporată de standardul ISO 27001 și noțiunea de „securitate” încorporată de Regulamentul General privind protecția datelor
Pentru eficiența conformității cu RGPD trebuie să existe prin prisma articolului 32 RGPD măsuri tehnice și organizatorice care să asigure „un nivel corespunzător de securitate asociat acestui risc” la care sunt expuse datele cu caracter personal. Este important de înțeles că ne referim la Riscul încălcării „securității datelor cu caracter personal”, iar nu la riscul încălcării „securității unor sisteme”, chiar dacă există o legătură puternică între cele două noțiuni, ori de câte ori este vorba de prelucrarea unor date cu caracter personal. În practică, se face adesea confuzie între „securitatea sistemelor” și „securitatea datelor cu caracter personal” în special din două motive principale: unul dintre acestea este lipsa de cunoaștere sau cunoașterea greșită a noțiunii de „protecție a datelor cu caracter personal” privită individual sau în corelare cu alte noțiuni precum „protecție a vieții private” sau „protecție a altor drepturi și libertăți”, ceea ce are drept consecință „încrederea” unora că noțiunea de securitate are legătură exclusivă cu un obiect fizic sau cu o activitate de informații indiferent de scop; al doilea motiv este generat de existența unui standard internațional în domeniul securității ISO 27001 denumit Sistemul de management al securității informaționale, astfel că existând de multă vreme în piața organizațiilor și entităților, foarte mulți au considerat că acest standard acoperă securitatea inclusiv aceea la care se referă articolul 32 din RGPD, concluzie de altfel greșită. ISO 27001 are legătură cu toate sistemele care conțin informații indiferent că acestea sunt date cu caracter personal sau nu, astfel că în centrul standardului se găsește dorința autorilor de a proteja informațiile, în timp ce în cazul „securității” la care se referă RGPD în centrul problemei se găsește dorința autorilor de a proteja datele cu caracter personal ale unei persoane fizice, pentru a-i proteja în final drepturile acestei persoane fizice într-o lume extrem de dinamică. Consecințele sociale și uneori, economice, ale acestei confuzii sunt destul de mari, în special pentru că autorii RGPD,= au preferat să încorporeze într-o manieră sui generis standardul ISO 27001 în noțiunea de „conformitate” potrivit RGPD, cu toate că din punct de vedere logic, din perspectiva „securității sistemelor” raportul este invers: ISO 27001 este genul în timp ce standardul de protecție a datelor cu caracter personal este specia; mai mult, din perspectiva materială, adică a sferei de întindere a aplicabilității celor două noțiuni, raportul logic, real, este doar de întrepătrundere, deoarece „securitatea datelor cu caracter personal” se întinde nu doar asupra securității unor sisteme care conțin date cu caracter personal, ci și asupra oricăror prelucrări de date cu caracter personal, realizate prin acțiuni sau inacțiuni, neconforme cu principiile de prelucrare prevăzute de articolul 5 din RGPD. Tocmai din acest motiv în Orientările privind notificarea încălcării securității datelor cu caracter personal în temeiul Regulamentului 2016/679 elaborate de Grupul de Lucru art. 29 se precizează că „Trebuie remarcat faptul că un incident de securitate nu se limitează la modelele de amenințare în care o organizație este atacată dintr-o sursă externă, ci include incidente cauzate de prelucrarea internă care încalcă principiile de securitate.”(nota de subsol 13).
3. Câteva aspecte practice care rezultă din diferențierea dintre standardul ISO 27001 și standardul de protecție a datelor cu caracter personal
RGPD pretinde pentru atingerea scopurilor sale conformitatea operatorilor de date/împuterniciților operatorilor de date cu prevederile sale, inclusiv să adopte măsuri organizatorice și tehnice care să asigure respectarea principiilor sale. Aceasta înseamnă că RGPD are o concepție preventivă (inclusiv, asigurată prin aplicarea de amenzi în caz de nerespectare!). Asemenea măsuri organizatorice și tehnice în cazul securității datelor cu caracter personal sunt amintite juridic în mod distinct sub forma unei obligații stabilite la articolul 32 din RGPD. Corelând articolul 32 RGPD cu Orientările GL 27 nr. 250.01 rev. în materia încălcărilor de securitate, rezultă fără îndoială că noțiunile de „incident de securitate”, „breșă de securitate” sau „încălcare a securității” nu se vor suprapune niciodată cu aceleași sintagme utilizate în standardul ISO 27001. Din acest motiv, sub aspect practic, operatorii de date adoptând măsuri tehnice și organizatorice pentru conformitate cu RGPD trebuie să distingă cât mai clar între noțiunile utilizate, deoarece consecințele absenței unei distincții reprezintă în inter se o „neconformitate” cu RGPD. Spre exemplu, marile companii trebuie să aibă un plan de răspuns la incidente de securitate din perspectiva standardului ISO 27001 și un plan de reacție la incidente de securitate din perspectiva RGPD. O astfel de distincție poate servi mult la ușurarea muncii și rapiditatea reacției ori de câte ori se ivește un incident de securitate din perspectiva ISO 27001, dar acesta nu constituie incident de securitate din perspectiva RGPD și a datelor cu caracter personal.
Cum se poate realiza o astfel de distincție? Din punctul meu de vedere, cheia metodologică pentru realizarea distincției este modalitatea de abordare: atunci când ne referim la „securitate” din punct de vedere al ISO 27001 abordarea problematicii se face din perspectiva suportului concret al informațiilor, independent de forma fizică sau incorporală pe care o are un asemenea suport, în timp ce abordarea aceleiași noțiuni, raportat la RGPD, trebuie realizată dintr-o perspectivă exclusiv juridică. Conceptul de „securitate juridică” este extrem de intens utilizat de instanțele europene și, de departe, eclipsează conceptul de „securitate a sistemelor” din perspectiva ISO 27001: în timp ce acesta din urmă reprezintă o chestiune de management, cel de-al doilea – „securitatea juridică” constituie un fundament al unei democrații. Altfel spus, ISO 27001 reprezintă doar unul dintre mijloace, pe când cel de-al doilea reprezintă un scop în sine.
Vorbind de securitate juridică a dreptului la protecția datelor cu caracter personal, ni se dezvăluie întreaga arie a tuturor riscurilor la adresa libertăților și drepturilor unei persoane fizice, drepturi și libertăți care ar putea fi afectate prin intermediul unei prelucrări de date cu caracter personal într-o manieră injustă. Garanțiile justeței unei asemenea prelucrări au fost stabilite extrem de atent atunci când legiuitorul european a stabilit prin RGPD principiile prelucrării datelor cu caracter personal, principii enunțate la articolul 5.
Una dintre consecințele practice ale acestei distincții constă în aceea că Obligația de notificare a Autorității naționale de supraveghere a prelucrărilor de date cu caracter personal se activează doar în cazul încălcărilor asupra datelor cu caracter personal, iar nu în mod necesar atunci când ne confruntăm cu o încălcare a securității datelor prevăzută în standardul ISO 27001.
O altă consecință practică este că atunci când definim termenii în cadrul politicilor de securitate sau planurilor de reacție la incidente de securitate, nu utilizăm aceleași înțelesuri. Spre exemplu, incidentul de securitate prin prisma ISO 27001 este definit dintr-o perspectivă care exclude voința umană, pe când standardul de protecție a datelor cu caracter personal este centrat complet pe voința umană sau absența acesteia. De aceea, în timp ce ISO 27001 definește Evenimentul din domeniul securității informației drept „Un eveniment din domeniul securității informației indică faptul că în securitatea unui sistem, a unui serviciu sau a unei rețele s-ar putea deschide o breșă sau că această securitate ar putea fi compromisă. Acest gen de eveniment poate indica și faptul că politica de securitate a informației ar putea fi încălcată ori ca o protecție ar putea eșua”, complet diferit este înțelesul termenului „eveniment” din punct de vedere tradițional juridic: categorie de fapte juridice, care se produc independent de voința omului și de care legea leagă anumite efecte juridice. Spre exemplu: nașterea, moartea, inundația, trăsnetul, viitura etc.” Atunci când definim termenii în politica de reacție la încălcarea datelor cu caracter personal, este util să definim din această perspectivă noțiunea de Eveniment, mai ales că această noțiune influențează asupra stabilirii gradului de responsabilitate în ceea ce privește protecția datelor cu caracter personal: este diferită responsabilitatea atunci când datele cu caracter personal sunt încălcate în urma unui eveniment în raport cu aceea a încălcării lor datorită unui aspect care ține de voința unei persoane juridice sau fizice.
Față de cele amintite mai sus, apare din nou o problemă: confuzia dintre noțiunile de eveniment atunci când ne referim la securitatea informației și eveniment privind securitatea datelor cu caracter personal. Această confuzie conduce la o apreciere greșită în legătură cu obligația de notificare a ANSPDCP și, totodată, în legătură cu procesul tehnologic care ar trebui declanșat de operatorul de date/împuternicitul acestuia pentru a investiga dacă ne găsim sau nu în prezența unei încălcări a securității datelor cu caracter personal. Trecând la exemple și concluzii: nu orice eveniment din securitatea sistemelor constituie un incident de securitate a datelor cu caracter personal, astfel că mecanismul de analiză trebuie să evidențieze modul de reacție oricând este vorba de un eveniment din securitatea sistemelor care creează riscuri la adresa datelor cu caracter personal și, totodată, trebuie să evidențieze când evenimentul respectiv constituie un eveniment din punct de vedere juridic și când constituie un rezultat al acțiunii voluntare sau involuntare a unei persoane fizice.
Noțiunea „incident de securitate” și controversele asupra acestei noțiuni.
În accepțiunea ISO 27001, incidentele de securitate se bazează pe evenimente, a căror înțeles nu se stabilește din perspectiva absenței cauzale a voinței umane, astfel că ele trebuie tratate fără nicio distincție. Din perspectiva RGPD, incidentele de securitate generează, pe palierul rolului atribuit de legislația europeană, conformitatea în raport cu obligația notificării Autorității de supraveghere. Acest rol este unul, în special preventiv, iar nu sancționator. Autoritatea poate lămuri operatorul asupra posibilelor riscuri la adresa datelor cu caracter personal sau poate decide măsuri imediate cu privire la tratarea riscurilor. Acesta este unul dintre motivele pentru care nu trebuie confundată noțiunea „incident de securitate” din perspectiva ISO și tehnică27001 cu aceea de „incident de securitate” din perspectiva RGPD. Este motivul pentru care propunem următoarea definiție a incidentelor de securitate la adresa datelor cu caracter personal:
„Incidentele de securitate sunt acele situații în care datele cu caracter personal nu sunt în mod necesar afectate, dar ar putea fi, însă există un potențial ridicat de risc, fie datorită unei acțiuni/inacțiuni umane, voluntare sau involuntare, fie datorită unui eveniment”
Din perspectiva unei atari definiții, nu toate incidentele de securitate din domeniul ISO 27001 trebuie raportate în cadrul planului de răspuns la incidente de securitate pretins de RGPD ca măsură organizatorică, deoarece inter alia ar impieta și îngreuna managementul resurselor umane dintr-o organizație și managementul organizației în sine. Cu toate acestea, planul de răspuns la încălcări ale datelor cu caracter personal trebuie să cuprindă procese și mecanisme de verificare și auditare a unor „evenimente de securitate” în înțelesul ISO 27001 care ar putea fi calificate drept „incidente de securitate a datelor cu caracter personal”. Spre exemplu, o defecțiune tehnică la un terminal informatic conduce la decizia operatorului de date de a înlocui respectivul dispozitiv cu unul nou; terminalul înlocuit ar putea să conțină date cu caracter personal nesalvate niciunde altundeva sau ar putea să nu conțină asemenea date ori să conțină exclusiv date care au fost salvate printr-o politică de back-up. În funcție de asemenea aspecte, „evenimentul de securitate” în înțelesul ISO 27001 poate fi sau nu calificat „incident de securitate” în înțelesul RGPD. Circumstanțele care pot genera o astfel de calificare sunt numeroase, ceea ce este important din punct de vedere practic este să existe un filtru de evaluare a evenimentelor de securitate a informației, filtru care să permită identificarea, preîntâmpinarea ori, după caz, reacția adecvată la posibile incidente de securitate a datelor cu caracter personal, respectiv încălcări ale datelor cu caracter personal. Un asemenea filtru se realizează printr-o comunicare adecvată și chiar procedurată între persoana responsabilă cu securitatea informației din cadrul unui operator și persoana care are atribuții de protecție a datelor cu caracter personal ori, dacă există, responsabilul cu protecția datelor din cadrul operatorului. Întotdeauna este necesar să existe o bună pregătire și specializare a acestora, astfel încât se poată identifica rapid o situație care are potențial de risc ridicat asupra securității datelor cu caracter personal.
Următorul exemplu evidențiază necesitatea comunicării dintre responsabilul cu securitatea informației și responsabilul cu protecția datelor dintr-o organizație.
O persoană rezident într-o circumscripție a unei unități administrativ-teritorială este amendată de poliția locală, iar termenul de plată a amenzii în cuantumul minim expiră într-o zi de luni. Persoana are un cont electronic pe platforma informatică a primăriei de unde poate să achite online amenda respectivă. Luni la ora 20:00 dorește să efectueze plata însă în momentul în care încearcă să acceseze contul online rețeaua nu îi permite să facă acest lucru. Nici un mesaj de informare cu privire la situația rețelei nu există. În acest caz, operatorul de date care administrează rețeaua este unitatea administrativ-teritorială. Aici, datorită unor lucrări neplanificate și neanunțate la platforma electronică, aceasta a devenit indisponibilă din exterior, dar disponibilă din interior. Altfel spus, rezidenții nu au putut accesa platforma până la efectuarea lucrărilor, timp de 24 de ore. Nici un fel de date cu caracter personal nu au fost amenințate, pierdute, deteriorate, modificate sau alterate. Personalul răspunzător cu securitatea platformei trebuie să informeze Responsabilul cu protecția datelor din cadrul unității administrativ-teritoriale cu privire la respectivele lucrări? Este situația descrisă un încălcare a securității datelor cu caracter personal, din moment ce a doua zi, marți, platforma putea fi utilizată fiind complet funcțională și nici un moment nu a existat vreo amenințare asupra confidențialității și securității datelor cu caracter personal?
În opinia mea, respectivul eveniment de securitate a informației nu constituie un incident de securitate în înțelesul ISO 27001, dar constituie incident de securitate și o încălcare a securității datelor cu caracter personal în înțelesul RGPD pentru motivele pe care le voi expune succint în cele ce urmează. De aceea, evenimentul trebuia comunicat Responsabilului cu protecția datelor, iar acesta putea să sugereze anumite măsuri fie pentru eliminarea riscului fie pentru tratarea acestuia. Articolul 32 din RGPD stabilește că măsurile organizatorice și tehnice pentru asigurarea securității datelor cu caracter personal ar trebui să conducă inter alia la „b) capacitatea de a asigura confidenţialitatea, integritatea, disponibilitatea şi rezistenţa continue ale sistemelor şi serviciilor de prelucrare;” Dacă integritatea și confidențialitatea sunt caracteristici mai ușor de înțeles, expresia „disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare” constituie caracteristici mai dificil de evaluat în cazuri concrete precum cel expus mai sus. Calificarea ca fiind incident de securitate a datelor cu caracter personal revenea în special celui cu pregătirea specifică, adică Responsabilului cu protecția datelor, deoarece acesta putea să stabilească posibilele riscuri. Aici riscul s-a împlinit deoarece datorită indisponibilității, chiar temporare a platformei electronice persoana vizată a fost afectată în dreptul său de proprietate, iar a doua zi va plăti suma dublă a cuantumului amenzii deoarece a pierdut termenul de 15 zile în care trebuia efectuată plată, termen care expira în ziua de luni. Cum putea fi tratat acest risc? Prin măsuri simple de informare publică, eventual chiar prin intermediul platformei și aplicației electronice pe care o gestiona operatorul. Sigur că analiza poate continua, inclusiv controversele cu privire la noțiuni precum „disponibilitatea și rezistența continue”, deoarece în exemplul dat, datele cu caracter personal ale rezidenților din cadrul platformei erau disponibile operatorului, doar că nu puteau conturile personale din platforma electronică să fie accesate de rezidenți persoane vizate. Totodată, această indisponibilitate temporară putea să nu afecteze nicio persoană, caz în care nu ne-am fi găsit în prezența niciunei încălcări a datelor cu caracter personal; chiar și așa, concluzia este că afectarea temporară a accesului pe o platformă electronică care permite realizarea unor drepturi și libertăți ale persoanelor vizate care utilizează respectiva platformă, indiferent că sunt sau nu puse în pericol datele cu caracter personal prelucrate, reprezintă un incident de securitate în înțelesul RGPD deoarece prezintă riscuri de încălcare a altor drepturi și libertăți ale persoanelor vizate. Una dintre măsurile cele mai simple de tratare a acestor riscuri este cea a informării anterioare și concomitente cu perioada intervenției asupra platformei astfel încât situația nu trebuie nicidecum notificată autorității naționale de supraveghere.
Conf. univ. dr. Nicolae-Dragoş Ploeșteanu
Aflaţi mai mult despre date cu caracter personal, eveniment, incident de securitate, Nicolae-Dragoș Ploeșteanu, Regulamentul General privind Protecția Datelor, standardul ISO 27001

References: articolul 40
 articolul 42
 articolul 33
 articolul 32
sui generis
 articolul 5
 articolul 32
 articolul 32
 articolul 5
 Articolul 32