在越來越緊密聯(lián)系的世界中，保護隱私越來越成為一種社會需求。政府引入的新隱私法規(guī)，例如歐盟通用數(shù)據(jù)保護法規(guī)(GDPR)，要求公司做出回應(yīng)。ISO標(biāo)準(zhǔn)，例如ISO/IEC 27701，將幫助您的企業(yè)滿足要求并管理與個人身份信息(PII)相關(guān)的隱私風(fēng)險。

在客戶，消費者和其他利益相關(guān)者的心中，對個人信息的信任和問責(zé)的需求正在增長。但是，風(fēng)險要比合規(guī)性更為廣泛。公司必須具備適當(dāng)?shù)哪芰Γ鞒毯拖到y(tǒng)。隨著與隱私和數(shù)據(jù)保護有關(guān)的投訴和罰款的數(shù)量在增加，似乎越來越需要指導(dǎo)。

在ISO/IEC27001認(rèn)證要求的基礎(chǔ)上，ISO/IEC 27701認(rèn)證提供了要求并幫助公司管理與個人身份信息(PII)有關(guān)的隱私風(fēng)險。它還可以幫助公司遵守GDPR以及其他數(shù)據(jù)保護法規(guī)。這兩個標(biāo)準(zhǔn)可以組合認(rèn)證。

什么是ISO/IEC 27701?

ISO/IEC 27701認(rèn)證規(guī)定了要求，并為建立，實施，維護和持續(xù)改進隱私信息管理體系(PIMS）提供指導(dǎo)。它建立在ISO/IEC 27001，信息安全管理體系(ISMS）標(biāo)準(zhǔn)的要求以及ISO/IEC 27002中信息安全控制操作規(guī)范的基礎(chǔ)上。

ISO/IEC 27701認(rèn)證提供了用于保護個人身份信息(PII)的管理體系框架。它涵蓋了組織應(yīng)如何管理個人信息并協(xié)助證明其符合可能適用的隱私法規(guī)。

如果您已實施ISO/IEC 27001認(rèn)證，則ISO/IEC 27701認(rèn)證會將您的安全性工作擴展到涵蓋隱私管理。這包括對PII的處理，以證明其符合數(shù)據(jù)保護法規(guī)（例如GDPR)。

對于沒有現(xiàn)有符合ISO/IEC 27001認(rèn)證的信息安全管理體系的組織，可以在單個項目中實施兩個標(biāo)準(zhǔn)(ISO/IEC 27001認(rèn)證和ISO/IEC 27701認(rèn)證)。

誰應(yīng)該實施ISO/IEC 27701認(rèn)證?

ISO/IEC 27701認(rèn)證向在信息安全管理體系中負(fù)責(zé)PII(個人身份信息)處理的任何組織提供指南。各種規(guī)模和類型的組織，包括上市公司和私營公司以及政府實體和其他類型的組織，都可以從中受益。它提供了一種基于風(fēng)險的方法，可以幫助組織應(yīng)對所面臨的特定隱私風(fēng)險以及個人數(shù)據(jù)和隱私風(fēng)險。

為什么ISO/IEC 27701認(rèn)證對我的業(yè)務(wù)有利?

ISO/IEC 27701認(rèn)證隱私信息管理體系(PIMS)有幾個好處:1）建立對公司管理客戶和員工個人信息能力的信任。

2）支持符合GDPR和其他適用的隱私法規(guī)。

3）闡明組織內(nèi)的角色和職責(zé)。

4)提高內(nèi)部能力和流程，避免違規(guī)。

5）為建立的隱私管理控件提供透明性。

6）在PII的處理相互關(guān)聯(lián)的情況下，與業(yè)務(wù)合作伙伴達成協(xié)議。

7)與領(lǐng)先的信息安全標(biāo)準(zhǔn)ISO/IEC 27001認(rèn)證輕松集成。

ISO 27701的結(jié)構(gòu)

ISO 27701在以下部分中以更詳細的方式擴展了ISO 27001和ISO27002的要求，以考慮到可能受到個人信息的處理和影響的隱私保護。

第5條∶本節(jié)中規(guī)定的要求可追溯至ISO 27001的第4至10段，擴展了專門針對組織環(huán)境的第4段和第6段的風(fēng)險管理計劃的信息保護要求，具余部分未提供其他要求的段落。

第6條:本節(jié)擴展了ISO 27002良好做法指南中規(guī)定的要求和ISO 27001附件A中規(guī)定的控件，回顧了114項控件，并擴展了對控件域5至18中信息保護的要求，域17(業(yè)務(wù)連續(xù)性中的信息安全)除外，在域17中沒有為現(xiàn)有措施建立其他措施。

條款7∶確定針對個人身份信息(PII)所有者的其他控制措施和實施指南。不能完全實施這些控制措施，但必須適當(dāng)證明其適用性或排除性。

條款8:類似于條款7的要求，本節(jié)為負(fù)責(zé)處理簽約第三方個人信息的人員建立了額外的控件和實施建議，同時考慮到它們是否進而外包了服務(wù)。

如何使用ISO/IEC 27701認(rèn)證遵守GDPR?

實施符合ISO/IEC 27701認(rèn)證和ISO/IEC 27001認(rèn)證的管理體系將使您的公司滿足GDPR和其他數(shù)據(jù)保護法規(guī)中規(guī)定的隱私和信息安全要求。GDPR要求組織采取適當(dāng)?shù)募夹g(shù)和組織措施（包括政策，程序和流程）來保護其處理的個人數(shù)據(jù)（根據(jù)第5條第2款)。

ISO/IEC 27001認(rèn)證是ISMS(信息安全管理體系）的國際標(biāo)準(zhǔn)，為實現(xiàn)降低違規(guī)風(fēng)險所需的技術(shù)和操作要求提供了一個很好的起點。

ISO/IEC 27701認(rèn)證基于ISO 27001認(rèn)證中的要求，控制目標(biāo)和控制，并通過一組隱私擴展了PIMS(隱私信息管理體系）的要求，并為建立，實施，維護和持續(xù)改進提供了指導(dǎo)。-特定要求，控制目標(biāo)和控制。附件交叉引用了GDPR和ISO/IEC 27701。但是，該標(biāo)準(zhǔn)不是特定于GDPR的。

兩種標(biāo)準(zhǔn)都可以幫助合規(guī)公司滿足并證明其符合GDPR的隱私和信息安全要求。

盡管ISO/IEC 27701認(rèn)證當(dāng)前未解決第42條中GDPR概述的認(rèn)證機制，但您可以通過獨立的第三方獲得與ISO/IEC 27001認(rèn)證結(jié)合的ISO/IEC 27701認(rèn)證證書。