ISO/IEC27701標(biāo)準(zhǔn)的發(fā)布，填補(bǔ)了目前隱私信息管理體系的空白，將隱私保護(hù)的原則、理念和方法，融入到信息安全保護(hù)體系中，并且對(duì)PII控制者和PII處理者進(jìn)行了較為詳細(xì)且落地性強(qiáng)的規(guī)定，給企業(yè)在隱私保護(hù)和信息安全方面給出了指導(dǎo)建議。

一、隱私保護(hù)的重要性被不斷強(qiáng)調(diào)，ISO/IEC27701標(biāo)準(zhǔn)也隨之出臺(tái)威脅重重，數(shù)據(jù)濫用、數(shù)據(jù)竊取、隱私泄露以及“大數(shù)據(jù)殺熟”等數(shù)據(jù)安全問題呈現(xiàn)爆發(fā)趨勢。在此背景下，全球各個(gè)國家紛紛頒布相關(guān)法律法規(guī)，對(duì)數(shù)據(jù)安全與隱私保護(hù)相關(guān)問題進(jìn)行嚴(yán)格的規(guī)范與引導(dǎo)。

如歐盟保護(hù)個(gè)人數(shù)據(jù)的《General Data Protection Regulation》(GDPR)；美國的《California Consumer Privacy Act》(CCPA)等。為了應(yīng)對(duì)越來越多的個(gè)人數(shù)據(jù)泄露或?yàn)E用的情況，國際范圍迎來了隱私保護(hù)立法和建立標(biāo)準(zhǔn)熱潮。

1.GDPR

歐盟于2018年5月25日正式實(shí)施了《通用數(shù)據(jù)保護(hù)條例》 (《General Data Protection Regulation》,簡稱《GDPR》)，是一項(xiàng)保護(hù)歐盟公民個(gè)人隱私和數(shù)據(jù)的法律，其適用范圍包括歐盟成員國境內(nèi)企業(yè)的個(gè)人數(shù)據(jù)、也包括歐盟境外企業(yè)處理歐盟公民的個(gè)人數(shù)據(jù)。

2.CCPA

美國已有多個(gè)州先在數(shù)據(jù)安全與隱私保護(hù)進(jìn)行了立法，其中最著名的要數(shù)2018年6月加州通過《加州消費(fèi)者隱私法案》（ 《California Consumer Privacy Act》, 簡稱《CCPA》）。該法案被稱為美國“最嚴(yán)厲和最全面的個(gè)人隱私保護(hù)法案”，將于2020年1月1日生效。

3.網(wǎng)絡(luò)安全法

我國于2017年6月1日正式實(shí)施《中華人民共和國網(wǎng)絡(luò)安全法》（通常簡稱《網(wǎng)安法》）?！毒W(wǎng)安法》是我國首部全面規(guī)范網(wǎng)絡(luò)空間安全管理方面問題的基礎(chǔ)性法律，包含的內(nèi)容十分豐富，一共包括7章79條，包含網(wǎng)絡(luò)運(yùn)行安全、關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行安全、網(wǎng)絡(luò)信息安全等內(nèi)容。值得關(guān)注的是，《網(wǎng)安法》在數(shù)據(jù)（包括個(gè)人信息）安全與保護(hù)上也有諸多規(guī)定，例如第四十至四十五條。ISO標(biāo)準(zhǔn)委員會(huì)以ISO27001為基準(zhǔn)，以ISO27552為藍(lán)本，建立了ISO27701標(biāo)準(zhǔn)。

二、IS027701認(rèn)證的主要目標(biāo)是什么?

通過PIMS的擴(kuò)展以及與隱私相關(guān)的控制來增強(qiáng)現(xiàn)有的信息安全管理體系(ISMS)，簡化復(fù)雜的重疊隱私法的管理，創(chuàng)建一個(gè)以證據(jù)為基礎(chǔ)的隱私計(jì)劃，并通過公認(rèn)的認(rèn)證形式表明該計(jì)劃的合規(guī)性，并作為潛在的GDPR合規(guī)性的基礎(chǔ)?，F(xiàn)在發(fā)布的ISO27701認(rèn)證標(biāo)準(zhǔn)還實(shí)現(xiàn)了其他一些目的。一方面，它充當(dāng)PIMS與ISMS或ISO27001之間關(guān)系和連接的概述。它還詳述了所需的功能，并列出了PIMS數(shù)據(jù)處理器和控制器的隱私控制。在更大范圍內(nèi)，ISO27701認(rèn)證將信息隱私要求映射到相關(guān)的ISO標(biāo)準(zhǔn)和GDPR。

三、ISO27701認(rèn)證的好處?

ISO/IEC27701該標(biāo)準(zhǔn)為企業(yè)和其他組織提供了一個(gè)國際通用的隱私信息管理工具，對(duì)于降低企業(yè)隱私合規(guī)難度，便利企業(yè)提供合規(guī)證明，增強(qiáng)社會(huì)各方對(duì)企業(yè)的信任程度具有重要意義。實(shí)施隱私信息管理，至少獲得如下收益:

1)合規(guī)。通過明確對(duì)PII處理者的隱私保護(hù)要求，可以明確隱私保護(hù)管理合規(guī)目標(biāo)，減輕組織合規(guī)負(fù)擔(dān)的同時(shí)降低組織合規(guī)風(fēng)險(xiǎn)，ISO27701標(biāo)準(zhǔn)附錄D中明確表示，單個(gè)隱私控制點(diǎn)可以滿足GDPR中的多項(xiàng)要求。滿足了ISO27701標(biāo)準(zhǔn)也就意味著基本滿足GDPR的要求，而GDPR是眾多隱私保護(hù)法規(guī)中最為嚴(yán)格的，也就意味著滿足了即將頒布的《隱私保護(hù)法》的系列要求。

2)完善數(shù)據(jù)安全能力和風(fēng)險(xiǎn)管理。實(shí)現(xiàn)持續(xù)的完善產(chǎn)品的非功能性要求，進(jìn)而展示出產(chǎn)品在處理個(gè)人隱私安全、安全治理的績效，通過流程分析，在流程的輸入、輸出、控制過程中，識(shí)別、分析、驗(yàn)證隱私保護(hù)需求、傳遞隱私保護(hù)價(jià)值，減少甚至消除隱私泄露的風(fēng)險(xiǎn)，如:體現(xiàn)為采用隱私控制技術(shù)(如日志脫敏、數(shù)據(jù)庫加密)、產(chǎn)品架構(gòu)(如加密芯片)、技術(shù)路徑(如完整性校驗(yàn))等。

3)PIMS認(rèn)證可以傳遞信任?？蛻艋蚝献骰锇椋绕涫钦M織、金融機(jī)構(gòu)作為承擔(dān)隱私風(fēng)險(xiǎn)的機(jī)構(gòu)，通常會(huì)要求PII處理者提供相關(guān)證據(jù)(如PIA分析報(bào)告)，從而證明PII處理者的產(chǎn)品能符合適用的隱私管理體系要求。通過得到授權(quán)的第三方機(jī)構(gòu)對(duì)PII處理者進(jìn)行基于國際標(biāo)準(zhǔn)的審核，可以極大地降低合規(guī)溝通成本，這種合規(guī)透明度的提高對(duì)于組織戰(zhàn)略和業(yè)務(wù)決策至關(guān)重要，同時(shí)PIMS認(rèn)證也有助于向公眾傳達(dá)組織的可信度。

四、如何實(shí)施ISO27001認(rèn)證?

要求供應(yīng)商代表他們處理和維護(hù)PII的客戶應(yīng)考慮合同規(guī)定這些供應(yīng)商不僅要遵守ISO27001.而且要符合IS027701，或者在適用于數(shù)據(jù)敏感性的情況下獲得ISO27701標(biāo)準(zhǔn)的認(rèn)證。即使客戶不要求供應(yīng)商通過獨(dú)立的第三方認(rèn)證也符合新標(biāo)準(zhǔn)ISO27701認(rèn)證，他們?nèi)钥赡芟Ｍ潞贤源_保供應(yīng)商可以符合ISO27701認(rèn)證的要求。由于ISO27701認(rèn)證仍然非常對(duì)于新合同，賣方應(yīng)遵守本新標(biāo)準(zhǔn)的規(guī)定合理的時(shí)間延遲，以便將其包括在這些合同中。

已通過ISO27001認(rèn)證并希望實(shí)施ISO27701要求的組織應(yīng)考慮采取以下步驟:

1)對(duì)現(xiàn)有ISMS進(jìn)行符合ISO27701認(rèn)證要求的差距評(píng)估，并就如何解決這些差距制定行動(dòng)計(jì)劃。

2)對(duì)組織收集的PII進(jìn)行數(shù)據(jù)映射，以了解收集的II的范圍以及如何使用和與處理器共享。

3)根據(jù)與組織環(huán)境相關(guān)的內(nèi)部或外部因素(例如適用的隱私法規(guī)，法規(guī)，司法決定或合同要求)確定組織作為控制者和/或處理者的角色。

4)查看并更新隱私策略，以確保它們包含必需的信息。

5)制定適用于組織角色的政策和程序。

6)通過設(shè)計(jì)和默認(rèn)原則開始規(guī)劃和實(shí)施隱私。

在世界各地，立法者和監(jiān)管者都在引入新的法律來規(guī)范數(shù)據(jù)的使用，尤其是PII。最近，GDPR的出現(xiàn)使許多企業(yè)(包括客戶和供應(yīng)商)爭相達(dá)成合規(guī)性。不斷變化的法律環(huán)境給所有企業(yè)帶來了挑戰(zhàn)，尤其是必須遵守多個(gè)司法管轄區(qū)法規(guī)的企業(yè)。新的ISO27701認(rèn)證標(biāo)準(zhǔn)不會(huì)嘗試單獨(dú)和本地處理每項(xiàng)新法律，而是提供一種統(tǒng)一的方式來決定，計(jì)劃，實(shí)施和記錄組織在全球范圍內(nèi)的數(shù)據(jù)隱私方法。

無論組織的規(guī)模大小，是PII的控制者還是處理者，企業(yè)都應(yīng)考慮為自己的組織或向供應(yīng)商要求獲得ISO27701認(rèn)證。對(duì)于處理敏感或大量P1I的處理器，子處理器和聯(lián)合控制器尤其如此。

科泰集團(tuán)（qiyeqqexmail.cn） 成立13年來，致力于提供高新技術(shù)企業(yè)認(rèn)定、名優(yōu)高新技術(shù)產(chǎn)品認(rèn)定、省市工程技術(shù)研究中心認(rèn)定、省市企業(yè)技術(shù)中心認(rèn)定、省市工業(yè)設(shè)計(jì)中心認(rèn)定、省市重點(diǎn)實(shí)驗(yàn)室認(rèn)定、專精特新中小企業(yè)、專精特新“小巨人”、專利軟著申請、研發(fā)費(fèi)用加計(jì)扣除、兩化融合貫標(biāo)認(rèn)證、科技型中小企業(yè)評(píng)價(jià)入庫、專利獎(jiǎng)、科學(xué)技術(shù)獎(jiǎng)、科技成果評(píng)價(jià)、科技成果轉(zhuǎn)化、ISO體系認(rèn)證等服務(wù)。關(guān)注【科小泰】公眾號(hào)，及時(shí)獲取最新科技項(xiàng)目資訊！