400-677-1258
2022/12/30
隨著社交媒體APP和物聯(lián)網設備在生活中的廣泛應用，以及全球隱私法律法規(guī)的激增，諸如：《歐盟通用數據保護條例》（GDPR）、《加州消費者隱私法》（CCPA）和《中國網絡安全法》（China network security Law），隱私保護問題已然成為了當前社會的焦點，這意味著組織現在面臨著來自客戶、最終用戶、投資者和監(jiān)管機構的多重壓力，企業(yè)如何管理個人可識別信息（PII）或個人數據，如何確保隱私合規(guī)，都成為擺在企業(yè)面前亟待解決的新問題和新挑戰(zhàn)。
ISO/IEC27701隱私信息管理體系標準作為ISO/IEC27001與ISO/IEC27002在管理上的延伸標準，其目標是通過新增的要求來增強現有信息安全管理體系（ISMS）,以便建立、實施、維護和不斷改進隱私信息管理體系（PIMS），標準概述了適用于個人身份信息（PII）控制者和PII處理者的框架，用于隱私控制管理，以降低對個人隱私的各種風險。
一、什么是ISO/IEC 27701？
ISO/IEC 27701是對ISO/IEC 27001信息安全管理和ISO/IEC 27002安全控制的隱私擴展，全稱《安全技術—擴展ISO/IEC 27001和ISO/IEC 27002的隱私信息管理—要求與指南》。它是ISO標準委員會以ISO 27001為基準，以ISO 27552為藍本，建立發(fā)布的隱私信息管理體系標準，為保護個人隱私提供指導。
ISO/IEC 27701標準的發(fā)布，填補了隱私信息管理體系的空白，將隱私保護的原則、理念和方法，融入到信息安全保護體系中，并且對PII控制者和PII處理者進行了較為詳細且落地性強的規(guī)定，給企業(yè)在隱私保護和信息安全方面給出了指導建議。
二、ISO/IEC27701產生的背景
數據濫用、數據竊取、隱私泄露以及“大數據殺熟”等數據安全問題呈現爆發(fā)趨勢。在此背景下，全球各個國家紛紛頒布相關法律法規(guī)，對數據安全與隱私保護相關問題進行嚴格的規(guī)范與引導。
1、2018年歐盟GDPR《General Data Protection Regulation》生效。2021年，歐盟在GDPR中采信由監(jiān)管機構認可或國家認可機構認可的第三方認證機構頒發(fā)的認證證書
2、2017年6月1日，《中華人民共和國網絡安全法》（通常簡稱《網安法》）頒布實施，2021年11月1日，我國的《個人信息保護法》生效
3、美國《隱私權法》、《電子通訊隱私法》、《金融服務現代化法案》、《兒童在線隱私權保護法案》、《健康保險攜帶和責任法》和《有效保護隱私權的自律規(guī)范》等
4、日本《個人信息保護法》等
5、加拿大《隱私法》、《個人信息保護與電子文件法》等
6、國際：OECD《關于保護隱私和個人數據國際流通的指南》和《APEC隱私保護框架》等
7、……
為規(guī)范組織內部個人隱私信息安全管理，滿足各國相關隱私保護法律法規(guī)的要求，國際標準化組織（ISO）以ISO 27001為基準，以ISO 27552為藍本，建立了ISO 27701標準。
三、ISO/IEC27701的核心術語
1、PII：Personally Identifiable Information個人可識別信息 ，也譯作個人身份信息
（1）可用于識別此類信息相關的 PII 主體的任何信息
（2）直接或間接鏈接到 PII 主體的信息
2、PII控制者：確定處理個人可識別信息（PII）的目的和手段隱私利益相關者，但不包括出于個人目的使用數據的自然人
3、PII處理者：代表并按照 PII 控制者的說明處理PII的隱私利益相關者
4、PIMS：Privacy Information Management System隱私信息管理體系
5、Customer：
（1）PII控制者的customer：與PII控制者有合約關系的組織，可以是共同控制者
（2）PII處理者的customer：與PII處理者有合約關系的PII控制者
（3）與PII處理的分包商有合約關系的PII處理者
四、ISO/IEC27701標準的結構
ISO/IEC 27701是ISO/IEC 27001和ISO/IEC 27002在隱私方面的擴展，并為隱私保護提供了除ISO/IEC 27001和ISO/IEC 27002之外的額外的指導。全文共分為8個章節(jié)及6個附錄，主要的要求和指導內容集中在第5-8章。
1、條款1-4，給出了標準的范圍，術語、定義等。
2、條款5介紹了ISO/IEC 27001中延伸出的關于PIMS的擴展要求以及本標準對PIMS的附加要求。
3、條款6介紹了ISO/IEC 27002中對PIMS的擴展及附加要求。上述條款對PII的控制者和處理者均適用。
4、條款7給出了針對PII控制者的ISO/IEC 27002擴展指南。
5、條款8給出了針對PII處理者的ISO/IEC 27002擴展指南。這兩章從PII的收集和處理，對PII主體的義務，Privacy by design & Privacy by default，PII的共享、傳輸和披露四個方面做出了相應規(guī)定。
6、附錄A是針對PII控制者的PIMS特定的控制目標和控制措施。
7、附錄B是針對PII處理者的PIMS特定的控制目標和控制措施。
8、附錄C給出了標準與ISO/IEC 29100的映射。
9、附錄D是與GDPR的映射。
10、附錄E是與ISO/IEC 27018和ISO/IEC 29151的映射。
11、附錄F則是如何在處理PII時將ISO/IEC 27001和ISO/IEC 27002擴展到隱私保護。
總體而言，ISO/IEC 27701標準通過第5章和第6章將ISO/IEC 27002與附加的PIMS控制項通過ISO/IEC 27001中PDCA的方式導入體系，形成完整的信息安全和隱私管理體系。此外，第7章和第8章從數據生命周期的角度新增分別針對PII控制者和處理者的控制要求。同時，附錄中還將本標準與GDPR、ISO/IEC 29100、ISO/IEC 27018及ISO/IEC 29151進行了映射。
【上表：信息安全標準適用范圍】
五、ISO/IEC27701標準重點解讀
ISO/IEC 27701嵌套在ISO/IEC 27000系列中，并要求符合ISO/IEC 27001標準。ISO/IEC 27701擴展了ISO/IEC 27001的要求，在原有管理、實施、操作、監(jiān)控、審查和不斷改進ISMS的流程基礎上，著重考慮了對于企業(yè)所持有PII的隱私保護。同時ISO/IEC 27701對ISO/IEC 27002實施指南中的隱私性進行了解釋和擴展，除業(yè)務連續(xù)性以外的所有控制域均增加了關于PII隱私的實施指南。
ISO/IEC 27701分別從PII控制者和PII處理者的角度，補充說明了收集和處理PII的條件、對PII主體的隱私保護義務、Privacy by design and privacy by default以及PII共享、轉移和披露的相關要求。
1、條款5“與 ISO/IEC 27001 相關的PIMS特定要求”
涵蓋了對 ISO/IEC 27001:2013 條款4~10附加的要求，均為認證要求。例如，如本標準中條款5.7.2 的表述：ISO/IEC 27001:2013，9.2 中所述要求以及5.1 中所述的解釋均適用。
該標準不增加任何新的內部審核要求，只要組織理解這是ISO/IEC 27001:2013 對處理個人可識別信息(PII)所可能增加風險的“信息安全”要求。
ISO/IEC 27701:2019對ISO/IEC 27001的以下條款增加了附加的要求：
2、條款6“與ISO/IEC 27002相關的PIMS特定指南”
涵蓋了與ISO/IEC 27002有關的其他PIMS相關指南。例如，標準條款6.9.4.4（與 ISO/IEC 27001:2013 的12.4.4 時鐘同步相對應）不包含任何附加要求，因為時鐘同步與隱私風險沒有相關性。
另一方面，標準條款6.9.3.1 （與 ISO/IC 27001:2013 的12.3.1 信息備份相對應）則增加較多的隱私管理指南，因為信息備份可能存在隱私風險，例如數據保留期、跨境數據傳輸等。
下表總結了 ISO/IEC 27002 各個領域中的控制點的數量。在 ISO/IEC 27002 中，共對32項新的控制點進行了修訂。與ISO/IEC 27002一樣，條款6中的指南為非認證條款。
3、條款7“對PII控制者附加的ISO/IEC 27002指南”
為 PII 控制者提供指南。對于 PII 控制者所需的所有控制點都列在標準的附錄A 中。這些控制點是規(guī)范性的，這意味著如果組織作為控制者，則應實施這些控制（參見如下認證中的 PII 控制者與PII 處理者）。條款7中所提供的指南有助于組織實施這些控制。然而，這些指南為非認證性的。
4、條款8“對PII處理者附加的ISO/IEC 27002指南”
為 PII 處理者提供指南。本標準附錄 B 列出了 PII 處理者的控制點。與附錄 A 相似，如果組織作為處理者，這些控制點是規(guī)范性的。條款8的指南是非認證性的。
六、建立ISO/IEC27701的收益
ISO/IEC 27701該標準為企業(yè)和其他組織提供了一個國際通用的隱私信息管理工具，對于降低企業(yè)隱私合規(guī)難度，便利企業(yè)提供合規(guī)證明，增強社會各方對企業(yè)的信任程度具有重要意義。實施隱私信息管理，至少獲得如下收益：
1、合規(guī)。通過明確對PII處理者的隱私保護要求，可以明確隱私保護管理合規(guī)目標，減輕組織合規(guī)負擔的同時降低組織合規(guī)風險，ISO27701標準附錄D中明確表示，單個隱私控制點可以滿足GDPR中的多項要求。滿足了 ISO27701 標準也就意味著基本滿足 GDPR 的要求，而 GDPR 是眾多隱私保護法規(guī)中最為嚴格的，也就意味著滿足了即將頒布的《隱私保護法》的系列要求。
2、完善數據安全能力和風險管理。實現持續(xù)的完善產品的非功能性要求，進而展示出產品在處理個人隱私安全、安全治理的績效，通過流程分析，在流程的輸入、輸出、控制過程中，識別、分析、驗證隱私保護需求、傳遞隱私保護價值，減少甚至消除隱私泄露的風險，如：體現為采用隱私控制技術（如日志脫敏、數據庫加密）、產品架構（如加密芯片）、技術路徑（如完整性校驗）等。
3、PIMS認證可以傳遞信任。客戶或合作伙伴，尤其是政府組織、金融機構作為承擔隱私風險的機構，通常會要求PII處理者提供相關證據（如PIA分析報告），從而證明PII處理者的產品能符合適用的隱私管理體系要求。通過得到授權的第三方機構對PII處理者進行基于國際標準的審核，可以極大地降低合規(guī)溝通成本，這種合規(guī)透明度的提高對于組織戰(zhàn)略和業(yè)務決策至關重要，同時PIMS認證也有助于向公眾傳達組織的可信度。
七、關于企航顧問
企航顧問在ICT（信息與通訊技術）領域提供的服務項目有：
1、ISO/IEC 20000 ： 信息技術服務管理體系
2、ISO/IEC 27001 ： 信息安全管理體系
3、ISO/IEC 27701 ： 隱私信息管理體系
4、ISO/IEC 27017 ： 云服務信息安全規(guī)范
5、ISO/IEC 27018 ： 公共云個人信息（PII）處理者的信息安全控制規(guī)范
6、ISO/IEC 29151 ： 個人信息保護的行為準則
7、ISO 22301 ： 業(yè)務連續(xù)性管理體系
8、TISAX ：可信信息安全評估及交換機制
9、ISO/SAE 21434 ： 汽車網絡安全
10、TL 9000 ： 通訊行業(yè)質量管理體系
11、……
