ISO27701認證

ISO27701認證機構

ISO/IEC27701標準的發(fā)布，填補了目前隱私信息管理體系的空白，將隱私保護的原則、理念和方法，融入到信息安全保護體系中，并且對PII控制者和PII處理者進行了較為詳細且落地性強的規(guī)定，給企業(yè)在隱私保護和信息安全方面給出了指導建議。

一、隱私保護的重要性被不斷強調，ISO/IEC27701標準也隨之出臺威脅重重，數(shù)據(jù)濫用、數(shù)據(jù)竊取、隱私泄露以及“大數(shù)據(jù)殺熟”等數(shù)據(jù)安全問題呈現(xiàn)爆發(fā)趨勢。在此背景下，全球各個國家紛紛頒布相關法律法規(guī)，對數(shù)據(jù)安全與隱私保護相關問題進行嚴格的規(guī)范與引導。

二、IS027701認證的主要目標是什么?
通過PIMS的擴展以及與隱私相關的控制來增強現(xiàn)有的信息安全管理體系(ISMS)，簡化復雜的重疊隱私法的管理，創(chuàng)建一個以證據(jù)為基礎的隱私計劃，并通過公認的認證形式表明該計劃的合規(guī)性，并作為潛在的GDPR合規(guī)性的基礎?，F(xiàn)在發(fā)布的ISO27701認證標準還實現(xiàn)了其他一些目的。一方面，它充當PIMS與ISMS或ISO27001之間關系和連接的概述。它還詳述了所需的功能，并列出了PIMS數(shù)據(jù)處理器和控制器的隱私控制。在更大范圍內(nèi)，ISO27701認證將信息隱私要求映射到相關的ISO標準和GDPR。

三、ISO27701認證的好處?
ISO/IEC27701該標準為企業(yè)和其他組織提供了一個國際通用的隱私信息管理工具，對于降低企業(yè)隱私合規(guī)難度，便利企業(yè)提供合規(guī)證明，增強社會各方對企業(yè)的信任程度具有重要意義。實施隱私信息管理，至少獲得如下收益:
1)合規(guī)。通過明確對PII處理者的隱私保護要求，可以明確隱私保護管理合規(guī)目標，減輕組織合規(guī)負擔的同時降低組織合規(guī)風險，ISO27701標準附錄D中明確表示，單個隱私控制點可以滿足GDPR中的多項要求。滿足了ISO27701標準也就意味著基本滿足GDPR的要求，而GDPR是眾多隱私保護法規(guī)中最為嚴格的，也就意味著滿足了即將頒布的《隱私保護法》的系列要求。
2)完善數(shù)據(jù)安全能力和風險管理。實現(xiàn)持續(xù)的完善產(chǎn)品的非功能性要求，進而展示出產(chǎn)品在處理個人隱私安全、安全治理的績效，通過流程分析，在流程的輸入、輸出、控制過程中，識別、分析、驗證隱私保護需求、傳遞隱私保護價值，減少甚至消除隱私泄露的風險，如:體現(xiàn)為采用隱私控制技術(如日志脫敏、數(shù)據(jù)庫加密)、產(chǎn)品架構(如加密芯片)、技術路徑(如完整性校驗)等。
3)PIMS認證可以傳遞信任?？蛻艋蚝献骰锇?，尤其是政府組織、金融機構作為承擔隱私風險的機構，通常會要求PII處理者提供相關證據(jù)(如PIA分析報告)，從而證明PII處理者的產(chǎn)品能符合適用的隱私管理體系要求。通過得到授權的第三方機構對PII處理者進行基于國際標準的審核，可以極大地降低合規(guī)溝通成本，這種合規(guī)透明度的提高對于組織戰(zhàn)略和業(yè)務決策至關重要，同時PIMS認證也有助于向公眾傳達組織的可信度。

四、如何實施ISO27701認證?
要求供應商代表他們處理和維護PII的客戶應考慮合同規(guī)定這些供應商不僅要遵守ISO27001.而且要符合IS027701，或者在適用于數(shù)據(jù)敏感性的情況下獲得ISO27701標準的認證。即使客戶不要求供應商通過獨立的第三方認證也符合新標準ISO27701認證，他們?nèi)钥赡芟Ｍ潞贤源_保供應商可以符合ISO27701認證的要求。由于ISO27701認證仍然非常對于新合同，賣方應遵守本新標準的規(guī)定合理的時間延遲，以便將其包括在這些合同中。
已通過ISO27001認證并希望實施ISO27701要求的組織應考慮采取以下步驟:
1)對現(xiàn)有ISMS進行符合ISO27701認證要求的差距評估，并就如何解決這些差距制定行動計劃。
2)對組織收集的PII進行數(shù)據(jù)映射，以了解收集的II的范圍以及如何使用和與處理器共享。
3)根據(jù)與組織環(huán)境相關的內(nèi)部或外部因素(例如適用的隱私法規(guī)，法規(guī)，司法決定或合同要求)確定組織作為控制者和/或處理者的角色。
4)查看并更新隱私策略，以確保它們包含必需的信息。
5)制定適用于組織角色的政策和程序。
6)通過設計和默認原則開始規(guī)劃和實施隱私。
在世界各地，立法者和監(jiān)管者都在引入新的法律來規(guī)范數(shù)據(jù)的使用，不斷變化的法律環(huán)境給所有企業(yè)帶來了挑戰(zhàn)，尤其是必須遵守多個司法管轄區(qū)法規(guī)的企業(yè)。新的ISO27701認證標準不會嘗試單獨和本地處理每項新法律，而是提供一種統(tǒng)一的方式來決定，計劃，實施和記錄組織在全球范圍內(nèi)的數(shù)據(jù)隱私方法。

ISO/IEC 27701標準介紹
1. 關鍵術語解釋：
PII：個人可識別身份信息，指 a) 任何可以識別PII主體的信息或 b) 直接或間接與PII主體相關的信息
PIMS：Privacy Information Management System，隱私信息管理體系
Customer：
PII控制者的customer：與PII控制者有合約關系的組織，可以是共同控制者
PII處理者的customer：與PII處理者有合約關系的PII控制者
與PII處理的分包商有合約關系的PII處理者

2. ISO 27701結構組成
ISO 27701是ISO 27001和ISO 27002在隱私方面的擴展，并為隱私保護提供了除ISO 27001和ISO 27002之外的額外的指導。全文共分為8個章節(jié)及6個附錄，主要的要求和指導內(nèi)容集中在第5-8章。
其中第5章介紹了ISO 27001中延伸出的關于PIMS的擴展要求以及本標準對PIMS的附加要求，第6章則介紹了ISO 27002中對PIMS的擴展及附加要求，這兩章的內(nèi)容對PII控制者和處理者均適用，行文結構和控制域與原標準一致，包含ISO 27002共14個控制域、114個控制項。
第7章為專門針對PII控制者的額外指導內(nèi)容，共31個控制項，第8章則為針對PII處理者的額外指導內(nèi)容，共18個控制項，這兩章均從PII的收集和處理，對PII主體的義務，Privacy by design & Privacy by default，PII的共享、傳輸和披露四個方面作出相應規(guī)定。
總體而言，本標準通過第5章和第6章將ISO 27002與附加的PIMS控制項通過ISO 27001中PDCA的方式導入體系，形成完整的信息安全和隱私管理體系。此外，第7章和第8章從數(shù)據(jù)生命周期的角度新增分別針對PII控制者和處理者的控制要求。同時，附錄中還將本標準與GDPR、ISO 29100、ISO 27018及ISO 29151進行了映射。