發(fā)布時間：2022/12/17 15:59:19   發(fā)布來源：9x5c.cn    作者：通翔顧問

  在越來越緊密聯(lián)系的世界中，保護隱私越來越成為一種社會需求。 政府引入的新隱私法規(guī)，例如歐盟通用數(shù)據(jù)保護法規(guī)(GDPR)，要求公司做出回應。 ISO標準，例如ISO/IEC 27701，將幫助您的企業(yè)滿足要求并管理與個人身份信息(PII)相關的隱私風險。

  在客戶，消費者和其他利益相關者的心中，對個人信息的信任和問責的需求正在增長。 但是，風險要比合規(guī)性更為廣泛。 公司必須具備適當?shù)哪芰?，流程和系統(tǒng)。 隨著與隱私和數(shù)據(jù)保護有關的投訴和罰款的數(shù)量在增加，似乎越來越需要指導。

  在ISO/IEC 27001認證要求的基礎上，ISO/IEC 27701認證提供了要求并幫助公司管理與個人身份信息(PII)有關的隱私風險。 它還可以幫助公司遵守GDPR以及其他數(shù)據(jù)保護法規(guī)。 這兩個標準可以組合認證。

  什么是ISO/IEC 27701?

  ISO/IEC 27701認證規(guī)定了要求，并為建立，實施，維護和持續(xù)改進隱私信息管理體系(PIMS)提供指導。 它建立在ISO/IEC 27001，信息安全管理體系(ISMS)標準的要求以及ISO/IEC 27002中信息安全控制操作規(guī)范的基礎上。

  ISO/IEC 27701認證提供了用于保護個人身份信息(PII)的管理體系框架。 它涵蓋了組織應如何管理個人信息并協(xié)助證明其符合可能適用的隱私法規(guī)。

  如果您已實施ISO/IEC 27001認證，則ISO/IEC 27701認證會將您的安全性工作擴展到涵蓋隱私管理。 這包括對PII的處理，以證明其符合數(shù)據(jù)保護法規(guī)(例如GDPR)。

  對于沒有現(xiàn)有符合ISO/IEC 27001認證的信息安全管理體系的組織，可以在單個項目中實施兩個標準(ISO/IEC 27001認證和ISO/IEC 27701認證)。

  誰應該實施ISO/IEC 27701認證?

  ISO/IEC 27701認證向在信息安全管理體系中負責PII(個人身份信息)處理的任何組織提供指南。 各種規(guī)模和類型的組織，包括上市公司和私營公司以及政府實體和其他類型的組織，都可以從中受益。 它提供了一種基于風險的方法，可以幫助組織應對所面臨的特定隱私風險以及個人數(shù)據(jù)和隱私風險。

  為什么ISO/IEC 27701認證對我的業(yè)務有利?

  ISO/IEC 27701認證隱私信息管理體系(PIMS)有幾個好處：

  1)建立對公司管理客戶和員工個人信息能力的信任。

  2)支持符合GDPR和其他適用的隱私法規(guī)。

  3)闡明組織內(nèi)的角色和職責。

  4)提高內(nèi)部能力和流程，避免違規(guī)。

  5)為建立的隱私管理控件提供透明性。

  6)在PII的處理相互關聯(lián)的情況下，與業(yè)務合作伙伴達成協(xié)議。

  7)與領先的信息安全標準ISO/IEC 27001認證輕松集成。

  ISO 27701的結構

  ISO 27701在以下部分中以更詳細的方式擴展了ISO 27001和ISO 27002的要求，以考慮到可能受到個人信息的處理和影響的隱私保護。

  第5條 ：本節(jié)中規(guī)定的要求可追溯至ISO 27001的第4至10段，擴展了專門針對組織環(huán)境的第4段和第6段的風險管理計劃的信息保護要求，其余部分未提供其他要求的段落。

  第6條：本節(jié)擴展了ISO 27002良好做法指南中規(guī)定的要求和ISO 27001附件A中規(guī)定的控件，回顧了114項控件，并擴展了對控件域5至18中信息保護的要求，域17(業(yè)務連續(xù)性中的信息安全)除外，在域17中沒有為現(xiàn)有措施建立其他措施。

  條款7：確定針對個人身份信息 (PII)所有者的其他控制措施和實施指南。 不能完全實施這些控制措施，但必須適當證明其適用性或排除性。

  條款8：類似于條款7的要求，本節(jié)為負責處理簽約第三方個人信息的人員建立了額外的控件和實施建議，同時考慮到它們是否進而外包了服務。

  如何使用ISO/IEC 27701認證遵守GDPR?

  實施符合ISO/IEC 27701認證和ISO/IEC 27001認證的管理體系將使您的公司滿足GDPR和其他數(shù)據(jù)保護法規(guī)中規(guī)定的隱私和信息安全要求。 GDPR要求組織采取適當?shù)募夹g和組織措施(包括政策，程序和流程)來保護其處理的個人數(shù)據(jù)(根據(jù)第5條第2款)。

  ISO/IEC 27001認證是ISMS(信息安全管理體系)的國際標準，為實現(xiàn)降低違規(guī)風險所需的技術和操作要求提供了一個很好的起點。

  ISO/IEC 27701認證基于ISO 27001認證中的要求，控制目標和控制，并通過一組隱私擴展了PIMS(隱私信息管理體系)的要求，并為建立，實施，維護和持續(xù)改進提供了指導。 -特定要求，控制目標和控制。 附件交叉引用了GDPR和ISO/IEC 27701。但是，該標準不是特定于GDPR的。

  兩種標準都可以幫助合規(guī)公司滿足并證明其符合GDPR的隱私和信息安全要求。

  盡管ISO/IEC 27701認證當前未解決第42條中GDPR概述的認證機制，但您可以通過獨立的第三方獲得與ISO/IEC 27001認證結合的ISO/IEC 27701認證證書。