ISO27701 隱私信息管理體系

“

ISO27701是對(duì)ISO27001信息安全管理和ISO27002安全控制的隱私擴(kuò)展，全稱(chēng)《安全技術(shù)—擴(kuò)展ISO27001和ISO27002的隱私信息管理—要求與指南》，是ISO標(biāo)準(zhǔn)委員會(huì)以ISO27001為基準(zhǔn)，以ISO27552為藍(lán)本，建立發(fā)布的隱私信息管理體系標(biāo)準(zhǔn)，為保護(hù)個(gè)人隱私提供指導(dǎo)。

ISO27701標(biāo)準(zhǔn)的發(fā)布，填補(bǔ)了隱私信息管理體系的空白，將隱私保護(hù)的原則、理念和方法，融入到信息安全保護(hù)體系中，并且對(duì)PII控制者和PII處理者進(jìn)行了較為詳細(xì)且落地性強(qiáng)的規(guī)定，給企業(yè)在隱私保護(hù)和信息安全方面給出了指導(dǎo)建議。

“

認(rèn)證價(jià)值

“

ISO27701是在隱私保護(hù)方面對(duì)ISO/IEC27001信息安全管理以及ISO27002安全控制的進(jìn)一步拓展，通過(guò)提供隱私保護(hù)指引，明確角色和責(zé)任，對(duì)于降低企業(yè)隱私合規(guī)難度，便于企業(yè)提供合規(guī)證明，增強(qiáng)社會(huì)各方信任具有重要意義，具體收益如下:

?滿(mǎn)足合規(guī)要求：通過(guò)明確對(duì)PII處理者生命周期的隱私保護(hù)要求，可以明確隱私保護(hù)管理合規(guī)目標(biāo)，減輕組織合規(guī)負(fù)擔(dān)的同時(shí)降低組織合規(guī)風(fēng)險(xiǎn)

?完善數(shù)據(jù)安全能力和風(fēng)險(xiǎn)管理：提高組織管理數(shù)據(jù)安全和隱私風(fēng)險(xiǎn)的能力，通過(guò)流程分析，在流程的輸入、輸出、控制各個(gè)環(huán)節(jié)中，識(shí)別、分析、驗(yàn)證隱私保護(hù)需求，減少甚至消除隱私泄露的風(fēng)險(xiǎn)

?增強(qiáng)對(duì)個(gè)人信息管理的信任：業(yè)務(wù)伙伴通常會(huì)要求PII處理者提供相關(guān)證據(jù)，來(lái)證明其產(chǎn)品能符合適用的隱私管理體系要求。通過(guò)得到授權(quán)的第三方機(jī)構(gòu)對(duì)PII處理者進(jìn)行審計(jì)驗(yàn)證，可以極大地降低合規(guī)溝通成本，有助于向公眾傳達(dá)組織的可信度

“

應(yīng)用背景

“

數(shù)據(jù)濫用、數(shù)據(jù)竊取、隱私泄露以及“大數(shù)據(jù)殺熟”等數(shù)據(jù)安全問(wèn)題呈現(xiàn)爆發(fā)趨勢(shì)。在此背景下，全球各個(gè)國(guó)家紛紛頒布相關(guān)法律法規(guī)，對(duì)數(shù)據(jù)安全與隱私保護(hù)相關(guān)問(wèn)題進(jìn)行嚴(yán)格的規(guī)范與引導(dǎo)。2018年歐盟GDPR《GeneralData ProtectionRegulation》生效，2021年，歐盟在GDPR中采信由監(jiān)管機(jī)構(gòu)認(rèn)可或國(guó)家認(rèn)可機(jī)構(gòu)認(rèn)可的第三方認(rèn)證機(jī)構(gòu)頒發(fā)的認(rèn)證證書(shū)。2017年6月1日，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》（通常簡(jiǎn)稱(chēng)《網(wǎng)安法》）頒布實(shí)施，2021年11月1日，我國(guó)的《個(gè)人信息保護(hù)法》生效。為規(guī)范組織內(nèi)部個(gè)人隱私信息安全管理，滿(mǎn)足各國(guó)相關(guān)隱私保護(hù)法律法規(guī)的要求，ISO/IEC27701認(rèn)證需求越來(lái)越明顯。

“

ISO27701認(rèn)證對(duì)象

“

標(biāo)準(zhǔn)設(shè)計(jì)的目的在于借助更多的要求增強(qiáng)現(xiàn)有 ISMS，以建立、實(shí)施、維護(hù)和持續(xù)改進(jìn)隱私信息管理體系(PIMS)。標(biāo)準(zhǔn)概述了適用于個(gè)人身份信息 (PII) 控制者和 PII 處理者的框架，以有效管理隱私控制，降低個(gè)人隱私權(quán)面臨的風(fēng)險(xiǎn)。它適用于所有類(lèi)型和規(guī)模的組織，包括公共和私營(yíng)公司、政府實(shí)體以及非盈利組織。

“

ISO27701與ISO27001的關(guān)系

“

ISO / IEC 27701 是ISO / IEC27001信息安全管理的隱私擴(kuò)展，是由其衍生的。由于許多組織已經(jīng)建立了基于ISO/IEC 27001的信息安全管理體系(ISMS)，并以ISO/IEC 27002為指導(dǎo)，為保護(hù)隱私奠定了基礎(chǔ)。

ISO/IEC27701通過(guò)附加要求來(lái)增強(qiáng)現(xiàn)有的信息安全管理體系，以便建立、實(shí)施、維護(hù)和持續(xù)改進(jìn)隱私信息管理系統(tǒng)(PIMS)。

“

ISO27701認(rèn)證的流程

“

在完成ISO27701體系商務(wù)合同和體系建立和試運(yùn)行后，將邀請(qǐng)第三方認(rèn)證機(jī)構(gòu)進(jìn)行現(xiàn)場(chǎng)審核，具體流程如下：

步驟1 –根據(jù)組織的規(guī)模及業(yè)務(wù)類(lèi)型提供定制化的建議，在您簽署建議書(shū)后，審核即可開(kāi)始。

步驟2 –提供可選擇的針對(duì)準(zhǔn)備情況與薄弱環(huán)節(jié)的“預(yù)審”服務(wù)。

步驟3 –正式審核。第一階段——準(zhǔn)備情況評(píng)估：對(duì)組織建立的文件化體系及其他重要體系進(jìn)行評(píng)估，提出不符合項(xiàng)。辦理ISO27701隱私信息管理體系認(rèn)證流程

步驟4 –第二階段：包括與工作人員面談、文件記錄的檢查以及對(duì)工作實(shí)踐的現(xiàn)場(chǎng)考察，提出審核發(fā)現(xiàn)。審核合格后會(huì)簽發(fā)證書(shū)。

步驟5 –根據(jù)合同，每一年對(duì)體系和整改計(jì)劃的實(shí)施進(jìn)行監(jiān)督審核。

步驟6 –證書(shū)簽發(fā)滿(mǎn)3年期后，實(shí)施再認(rèn)證審核。