發(fā)布時(shí)間：2022/12/17 15:59:19   發(fā)布來源：xfhp298.cn    作者：通翔顧問

  在越來越緊密聯(lián)系的世界中，保護(hù)隱私越來越成為一種社會(huì)需求。 政府引入的新隱私法規(guī)，例如歐盟通用數(shù)據(jù)保護(hù)法規(guī)(GDPR)，要求公司做出回應(yīng)。 ISO標(biāo)準(zhǔn)，例如ISO/IEC 27701，將幫助您的企業(yè)滿足要求并管理與個(gè)人身份信息(PII)相關(guān)的隱私風(fēng)險(xiǎn)。

  在客戶，消費(fèi)者和其他利益相關(guān)者的心中，對(duì)個(gè)人信息的信任和問責(zé)的需求正在增長。 但是，風(fēng)險(xiǎn)要比合規(guī)性更為廣泛。 公司必須具備適當(dāng)?shù)哪芰?，流程和系統(tǒng)。 隨著與隱私和數(shù)據(jù)保護(hù)有關(guān)的投訴和罰款的數(shù)量在增加，似乎越來越需要指導(dǎo)。

  在ISO/IEC 27001認(rèn)證要求的基礎(chǔ)上，ISO/IEC 27701認(rèn)證提供了要求并幫助公司管理與個(gè)人身份信息(PII)有關(guān)的隱私風(fēng)險(xiǎn)。 它還可以幫助公司遵守GDPR以及其他數(shù)據(jù)保護(hù)法規(guī)。 這兩個(gè)標(biāo)準(zhǔn)可以組合認(rèn)證。

  什么是ISO/IEC 27701?

  ISO/IEC 27701認(rèn)證規(guī)定了要求，并為建立，實(shí)施，維護(hù)和持續(xù)改進(jìn)隱私信息管理體系(PIMS)提供指導(dǎo)。 它建立在ISO/IEC 27001，信息安全管理體系(ISMS)標(biāo)準(zhǔn)的要求以及ISO/IEC 27002中信息安全控制操作規(guī)范的基礎(chǔ)上。

  ISO/IEC 27701認(rèn)證提供了用于保護(hù)個(gè)人身份信息(PII)的管理體系框架。 它涵蓋了組織應(yīng)如何管理個(gè)人信息并協(xié)助證明其符合可能適用的隱私法規(guī)。

  如果您已實(shí)施ISO/IEC 27001認(rèn)證，則ISO/IEC 27701認(rèn)證會(huì)將您的安全性工作擴(kuò)展到涵蓋隱私管理。 這包括對(duì)PII的處理，以證明其符合數(shù)據(jù)保護(hù)法規(guī)(例如GDPR)。

  對(duì)于沒有現(xiàn)有符合ISO/IEC 27001認(rèn)證的信息安全管理體系的組織，可以在單個(gè)項(xiàng)目中實(shí)施兩個(gè)標(biāo)準(zhǔn)(ISO/IEC 27001認(rèn)證和ISO/IEC 27701認(rèn)證)。

  誰應(yīng)該實(shí)施ISO/IEC 27701認(rèn)證?

  ISO/IEC 27701認(rèn)證向在信息安全管理體系中負(fù)責(zé)PII(個(gè)人身份信息)處理的任何組織提供指南。 各種規(guī)模和類型的組織，包括上市公司和私營公司以及政府實(shí)體和其他類型的組織，都可以從中受益。 它提供了一種基于風(fēng)險(xiǎn)的方法，可以幫助組織應(yīng)對(duì)所面臨的特定隱私風(fēng)險(xiǎn)以及個(gè)人數(shù)據(jù)和隱私風(fēng)險(xiǎn)。

  為什么ISO/IEC 27701認(rèn)證對(duì)我的業(yè)務(wù)有利?

  ISO/IEC 27701認(rèn)證隱私信息管理體系(PIMS)有幾個(gè)好處：

  1)建立對(duì)公司管理客戶和員工個(gè)人信息能力的信任。

  2)支持符合GDPR和其他適用的隱私法規(guī)。

  3)闡明組織內(nèi)的角色和職責(zé)。

  4)提高內(nèi)部能力和流程，避免違規(guī)。

  5)為建立的隱私管理控件提供透明性。

  6)在PII的處理相互關(guān)聯(lián)的情況下，與業(yè)務(wù)合作伙伴達(dá)成協(xié)議。

  7)與領(lǐng)先的信息安全標(biāo)準(zhǔn)ISO/IEC 27001認(rèn)證輕松集成。

  ISO 27701的結(jié)構(gòu)

  ISO 27701在以下部分中以更詳細(xì)的方式擴(kuò)展了ISO 27001和ISO 27002的要求，以考慮到可能受到個(gè)人信息的處理和影響的隱私保護(hù)。

  第5條 ：本節(jié)中規(guī)定的要求可追溯至ISO 27001的第4至10段，擴(kuò)展了專門針對(duì)組織環(huán)境的第4段和第6段的風(fēng)險(xiǎn)管理計(jì)劃的信息保護(hù)要求，其余部分未提供其他要求的段落。

  第6條：本節(jié)擴(kuò)展了ISO 27002良好做法指南中規(guī)定的要求和ISO 27001附件A中規(guī)定的控件，回顧了114項(xiàng)控件，并擴(kuò)展了對(duì)控件域5至18中信息保護(hù)的要求，域17(業(yè)務(wù)連續(xù)性中的信息安全)除外，在域17中沒有為現(xiàn)有措施建立其他措施。

  條款7：確定針對(duì)個(gè)人身份信息 (PII)所有者的其他控制措施和實(shí)施指南。 不能完全實(shí)施這些控制措施，但必須適當(dāng)證明其適用性或排除性。

  條款8：類似于條款7的要求，本節(jié)為負(fù)責(zé)處理簽約第三方個(gè)人信息的人員建立了額外的控件和實(shí)施建議，同時(shí)考慮到它們是否進(jìn)而外包了服務(wù)。

  如何使用ISO/IEC 27701認(rèn)證遵守GDPR?

  實(shí)施符合ISO/IEC 27701認(rèn)證和ISO/IEC 27001認(rèn)證的管理體系將使您的公司滿足GDPR和其他數(shù)據(jù)保護(hù)法規(guī)中規(guī)定的隱私和信息安全要求。 GDPR要求組織采取適當(dāng)?shù)募夹g(shù)和組織措施(包括政策，程序和流程)來保護(hù)其處理的個(gè)人數(shù)據(jù)(根據(jù)第5條第2款)。

  ISO/IEC 27001認(rèn)證是ISMS(信息安全管理體系)的國際標(biāo)準(zhǔn)，為實(shí)現(xiàn)降低違規(guī)風(fēng)險(xiǎn)所需的技術(shù)和操作要求提供了一個(gè)很好的起點(diǎn)。

  ISO/IEC 27701認(rèn)證基于ISO 27001認(rèn)證中的要求，控制目標(biāo)和控制，并通過一組隱私擴(kuò)展了PIMS(隱私信息管理體系)的要求，并為建立，實(shí)施，維護(hù)和持續(xù)改進(jìn)提供了指導(dǎo)。 -特定要求，控制目標(biāo)和控制。 附件交叉引用了GDPR和ISO/IEC 27701。但是，該標(biāo)準(zhǔn)不是特定于GDPR的。

  兩種標(biāo)準(zhǔn)都可以幫助合規(guī)公司滿足并證明其符合GDPR的隱私和信息安全要求。

  盡管ISO/IEC 27701認(rèn)證當(dāng)前未解決第42條中GDPR概述的認(rèn)證機(jī)制，但您可以通過獨(dú)立的第三方獲得與ISO/IEC 27001認(rèn)證結(jié)合的ISO/IEC 27701認(rèn)證證書。