ISO27701隐私信息管理体系认证介绍

发布时间：2022/12/17 15:59:19   发布来源：www.txzcoc.com    作者：通翔顾问

  在越来越紧密联系的世界中，保护隐私越来越成为一种社会需求。 政府引入的新隐私法规，例如欧盟通用数据保护法规(GDPR)，要求公司做出回应。 ISO标准，例如ISO/IEC 27701，将帮助您的企业满足要求并管理与个人身份信息(PII)相关的隐私风险。

  在客户，消费者和其他利益相关者的心中，对个人信息的信任和问责的需求正在增长。 但是，风险要比合规性更为广泛。 公司必须具备适当的能力，流程和系统。 随着与隐私和数据保护有关的投诉和罚款的数量在增加，似乎越来越需要指导。

  在ISO/IEC 27001认证要求的基础上，ISO/IEC 27701认证提供了要求并帮助公司管理与个人身份信息(PII)有关的隐私风险。 它还可以帮助公司遵守GDPR以及其他数据保护法规。 这两个标准可以组合认证。

  什么是ISO/IEC 27701?

  ISO/IEC 27701认证规定了要求，并为建立，实施，维护和持续改进隐私信息管理体系(PIMS)提供指导。 它建立在ISO/IEC 27001，信息安全管理体系(ISMS)标准的要求以及ISO/IEC 27002中信息安全控制操作规范的基础上。

  ISO/IEC 27701认证提供了用于保护个人身份信息(PII)的管理体系框架。 它涵盖了组织应如何管理个人信息并协助证明其符合可能适用的隐私法规。

  如果您已实施ISO/IEC 27001认证，则ISO/IEC 27701认证会将您的安全性工作扩展到涵盖隐私管理。 这包括对PII的处理，以证明其符合数据保护法规(例如GDPR)。

  对于没有现有符合ISO/IEC 27001认证的信息安全管理体系的组织，可以在单个项目中实施两个标准(ISO/IEC 27001认证和ISO/IEC 27701认证)。

  谁应该实施ISO/IEC 27701认证?

  ISO/IEC 27701认证向在信息安全管理体系中负责PII(个人身份信息)处理的任何组织提供指南。 各种规模和类型的组织，包括上市公司和私营公司以及政府实体和其他类型的组织，都可以从中受益。 它提供了一种基于风险的方法，可以帮助组织应对所面临的特定隐私风险以及个人数据和隐私风险。

  为什么ISO/IEC 27701认证对我的业务有利?

  ISO/IEC 27701认证隐私信息管理体系(PIMS)有几个好处：

  1)建立对公司管理客户和员工个人信息能力的信任。

  2)支持符合GDPR和其他适用的隐私法规。

  3)阐明组织内的角色和职责。

  4)提高内部能力和流程，避免违规。

  5)为建立的隐私管理控件提供透明性。

  6)在PII的处理相互关联的情况下，与业务合作伙伴达成协议。

  7)与领先的信息安全标准ISO/IEC 27001认证轻松集成。

  ISO 27701的结构

  ISO 27701在以下部分中以更详细的方式扩展了ISO 27001和ISO 27002的要求，以考虑到可能受到个人信息的处理和影响的隐私保护。

  第5条 ：本节中规定的要求可追溯至ISO 27001的第4至10段，扩展了专门针对组织环境的第4段和第6段的风险管理计划的信息保护要求，其余部分未提供其他要求的段落。

  第6条：本节扩展了ISO 27002良好做法指南中规定的要求和ISO 27001附件A中规定的控件，回顾了114项控件，并扩展了对控件域5至18中信息保护的要求，域17(业务连续性中的信息安全)除外，在域17中没有为现有措施建立其他措施。

  条款7：确定针对个人身份信息 (PII)所有者的其他控制措施和实施指南。 不能完全实施这些控制措施，但必须适当证明其适用性或排除性。

  条款8：类似于条款7的要求，本节为负责处理签约第三方个人信息的人员建立了额外的控件和实施建议，同时考虑到它们是否进而外包了服务。

  如何使用ISO/IEC 27701认证遵守GDPR?

  实施符合ISO/IEC 27701认证和ISO/IEC 27001认证的管理体系将使您的公司满足GDPR和其他数据保护法规中规定的隐私和信息安全要求。 GDPR要求组织采取适当的技术和组织措施(包括政策，程序和流程)来保护其处理的个人数据(根据第5条第2款)。

  ISO/IEC 27001认证是ISMS(信息安全管理体系)的国际标准，为实现降低违规风险所需的技术和操作要求提供了一个很好的起点。

  ISO/IEC 27701认证基于ISO 27001认证中的要求，控制目标和控制，并通过一组隐私扩展了PIMS(隐私信息管理体系)的要求，并为建立，实施，维护和持续改进提供了指导。 -特定要求，控制目标和控制。 附件交叉引用了GDPR和ISO/IEC 27701。但是，该标准不是特定于GDPR的。

  两种标准都可以帮助合规公司满足并证明其符合GDPR的隐私和信息安全要求。

  尽管ISO/IEC 27701认证当前未解决第42条中GDPR概述的认证机制，但您可以通过独立的第三方获得与ISO/IEC 27001认证结合的ISO/IEC 27701认证证书。