ISO27701

ISO/IEC 27701是對ISO/IEC 27001信息安全管理和ISO/IEC 27002安全控制的隱私擴展，全稱《安全技術—擴展ISO/IEC 27001和ISO/IEC 27002的隱私信息管理—要求與指南》。它是ISO標準委員會以ISO 27001為基準，以ISO 27552為藍本，建立發(fā)布的隱私信息管理體系標準，為保護個人隱私提供指導。ISO/IEC 27701標準的發(fā)布，填補了隱私信息管理體系的空白，將隱私保護的原則、理念和方法，融入到信息安全保護體系中，并且對PII控制者和PII處理者進行了較為詳細且落地性強的規(guī)定，給企業(yè)在隱私保護和信息安全方面給出了指導建議。

數(shù)據(jù)濫用、數(shù)據(jù)竊取、隱私泄露以及“大數(shù)據(jù)殺熟”等數(shù)據(jù)安全問題呈現(xiàn)爆發(fā)趨勢。在此背景下，全球各個國家紛紛頒布相關法律法規(guī)，對數(shù)據(jù)安全與隱私保護相關問題進行嚴格的規(guī)范與引導。2018年歐盟GDPR《General Data Protection Regulation》生效，2021年，歐盟在GDPR中采信由監(jiān)管機構認可或國家認可機構認可的第三方認證機構頒發(fā)的認證證書。2017年6月1日，《中華人民共和國網(wǎng)絡安全法》（通常簡稱《網(wǎng)安法》）頒布實施，2021年11月1日，我國的《個人信息保護法》生效。為規(guī)范組織內部個人隱私信息安全管理，滿足各國相關隱私保護法律法規(guī)的要求，ISO/IEC27701認證需求越來越明顯。

PII：個人可識別信息 Personally identifiable information,也譯作個人身份信息

PII控制者：確定處理PII的目的和手段隱私利益相關者，但不包括出于個人目的使用數(shù)據(jù)的自然人

PII處理者：代表并按照 PII 控制者的說明處理PII的隱私利益相關者

PIMS：隱私信息管理體系

Customer：

PII控制者的customer：與PII控制者有合約關系的組織，可以是共同控制者

PII處理者的customer：與PII處理者有合約關系的PII控制者

標準設計的目的在于借助更多的要求增強現(xiàn)有 ISMS，以建立、實施、維護和持續(xù)改進隱私信息管理體系 (PIMS)。標準概述了適用于個人身份信息 (PII) 控制者和 PII 處理者的框架， 以有效管理隱私控制，降低個人隱私權面臨的風險。它適用于所有類型和規(guī)模的組織，包括公共和私營公司、政府實體以及非盈利組織。

ISO / IEC 27701 是ISO / IEC 27001信息安全管理的隱私擴展，是由其衍生的。由于許多組織已經(jīng)建立了基于ISO/IEC 27001的信息安全管理體系(ISMS) ，并以ISO/IEC 27002為指導，為保護隱私奠定了基礎。

ISO/IEC 27701通過附加要求來增強現(xiàn)有的信息安全管理體系，以便建立、實施、維護和持續(xù)改進隱私信息管理系統(tǒng)(PIMS)。

如何快速通過認證

前提條件

組織應已建立同時滿足ISO/IEC27001標準的信息安全管理體系及ISO/IEC 27701標準的隱私信息管理體系，且體系運行時間需不少于三個月。（未強制要求企業(yè)已經(jīng)通過ISO27001認證）

參與部門

實施ISO/IEC 27701至少需要組織業(yè)務部門、技術研發(fā)部門、客戶服務部門、信息安全部門和法務部門

實施周期

正常從項目開始啟動，通過差距分析，輔以培訓，建立隱私信息安全保護體系并推廣實施，經(jīng)第三方機構認證審核，整個周期在6-8周

所需材料

包括但不限于：

公司基礎資料 現(xiàn)有業(yè)務流程

隱私安全管理制度 隱私保護風評材料

隱私適用性聲明......