熱線：ISO27701隱私信息管理體系標準PIMS權(quán)威解析
發(fā)布時間：2020-10-28 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
隨著社交媒體APP和物聯(lián)網(wǎng)設(shè)備在生活中的廣泛應(yīng)用，以及全球隱私法律法規(guī)的激增,諸如：《歐盟通用數(shù)據(jù)保護條例》（GDPR）、《加州消費者隱私法》（CCPA）和《中國網(wǎng)絡(luò)安全法》（China network security Law），隱私保護問題已然成為了當(dāng)前社會的焦點，這意味著組織現(xiàn)在面臨著來自客戶、最終用戶、投資者和監(jiān)管機構(gòu)的多重壓力，企業(yè)如何管理個人可識別信息（PII）或個人數(shù)據(jù)，如何確保隱私合規(guī)，都成為擺在企業(yè)面前亟待解決的新問題和新挑戰(zhàn)。
2019年8月發(fā)布的隱私安全標準ISO27701:2019，能幫助企業(yè)拓展ISO27001體系對保護隱私的局限性，更全面、準確、充分地應(yīng)對隱私保護及合規(guī)要求。
ISO27701:2019的正式名稱為安全技術(shù)--ISO27001和ISO27002對隱私信息管理的擴展--要求和指南。其以ISO27001和 ISO27002對隱私信息管理的擴展方式,為在組織范圍內(nèi)建立、實施、維護和持續(xù)改進隱私信息管理體系（PIMS）指定要求，并提供指南。
與ISO27001配合使用，是認證要求和實施指南的組合體。它是對ISO27001的擴展，因其增加了附加的PIMS相關(guān)要求，如條款5、附錄A和附錄B。認證要求在標準中共有67項，表述為'應(yīng)'。同時,為組織實施 PIMS，還增加了從ISO27002到PIMS的附加指南，例如條款6、7和8
主要條款詳情：
條款5:與ISO27001相關(guān)的PIMS特定要求
涵蓋了對ISO27001:2013條款4~10附加的要求，均為認證要求。例如,如本標準中條款5.7.2 的表述：ISO27001:2013，9.2 中所述要求以及5.1中所述的解釋均適用。
該標準不增加任何新的內(nèi)部審核要求，只要組織理解這是ISO27001:2013對處理個人可識別信息(PII)所可能增加風(fēng)險的“信息安全”要求。
條款6:與ISO27002相關(guān)的PIMS特定指南
涵蓋了與ISO27002有關(guān)的其他PIMS相關(guān)指南。例如，標準條款6.9.4.4（與ISO27001:2013的12.4.4時鐘同步相對應(yīng)）不包含任何附加要求，因為時鐘同步與隱私風(fēng)險沒有相關(guān)性。另一方面，標準條款6.9.3.1（與ISO27001:2013 的12.3.1 信息備份相對應(yīng)）則增加較多的隱私管理指南，因為信息備份可能存在隱私風(fēng)險，例如數(shù)據(jù)保留期、跨境數(shù)據(jù)傳輸?shù)?。下表總結(jié)了ISO27002各個領(lǐng)域中的控制點的數(shù)量。在ISO27002中,共對32項新的控制點進行了修訂。與ISO27002一樣，條款6中的指南為非認證條款。
條款7:對PII控制者附加的ISO27002指南
為PII 控制者提供指南。對于PII控制者所需的所有控制點都列在標準的附錄A中。這些控制點是規(guī)范性的，這意味著如果組織作為控制者，則應(yīng)實施這些控制（參見如下認證中的PII控制者與PII處理者）條款7中所提供的指南有助于組織實施這些控制。然而這些指南為非認證性的。
條款8：對PII處理者附加的ISO/IEC27002指南
為PII處理者提供指南。本標準附錄B列出了PII處理者的控制點。與附錄A相似，如果組織作為處理者，這些控制點是規(guī)范性的。條款8的指南是非認證性的。
企業(yè)獲得ISO/IEC27701認證的益處
獲取客戶關(guān)于組織對隱私信息管理方面的信任以獲得潛在業(yè)務(wù)。證實組織對其產(chǎn)品和服務(wù)目標市場所在地隱私法規(guī)的遵從，獲得所在地的市場準入。向相關(guān)方證實其在隱私管理方面的能力和符合性，組織自身為證實其在隱私管理方面的能力和符合性。
