ISO27701认证标准是什么
ISO27701认证标准是什么
ISO 27701 源自ISO／IEC 27552，为建立、实现、维护和持续改进隐私信息管理系统（PIMS）提供具体要求和指南，令PIMS作为ISO 27001中定义的灵活信息安全管理系统（ISMS）的扩展，在信息安全的基础上将处理PII所需的隐私保护纳入考虑。
与ISO 27001标准类似，ISO 27701不期望组织机构在所有情况下采纳每一条控制。相反，该标准要求组织机构理解自身PII处理的具体上下文，以适合其处理活动的方式调整特定控制集和与之相关的实现。
为更好地理解新标准，需要弄清两个关键术语：控制者和处理者。这两个术语在很多隐私法律和规定中都能见到，包括GDPR。通常，“控制者”是指示为什么要收集和处理PII的实体，“处理者”是代表该控制者负责处理此数据的另一个法律实体（非员工）。新发布的标准适用于PII控制者（及联合控制者）和处理者（包括下级处理者），无论其运营的行业和司法辖区，也包括到GDPR和SO／IEC 29100、ISO／IEC 27018及ISO／IEC 29151安全框架的映射。预计ISO 27701要求还将映射到其他隐私法律，如《2018加州消费者隐私法案》（CCPA）、《金融服务现代化法案》（GLBA）和《健康保险流通与责任法案》（HIPAA）等，通过提供通用的合规标准帮助组织机构更好地符合这些监管要求。
下面我们就就来看看适用于控制者和处理者的关键ISO 27701要求。
适用于控制者和处理者的要求
保密性：经授权访问PII的个人必须履行保密协议。
分析风险：必须进行隐私风险评估以识别 PII处理风险。
监管：组织机构必须指定负责开发、实现、维护和监视其治理及隐私项目的个人。
培训：可以访问PII的人员需经过隐私意识培训。
内部过程：组织机构必须为应对PII泄露事件而采纳各种策略和规程，比如事件响应计划。
记录保存：ISO 27701要求组织机构保留所有PII处理活动的记录，包括PII在司法辖区间转移和向第三方披露等。
特定于控制者的要求
隐私通告：组织机构必须提供包含PII收集、使用和处理相关具体信息的隐私政策。
处理者合同要求：组织机构必须与其处理者签订书面合同，约定具体事项，比如保护PII、限制处理操作仅可在PII特定用途范围内，以及提供PII泄露通报。
个人权益：ISO 27701要求组织机构实现各种机制，赋予个人访问、修改和删除其PII，以及反对或限制PII处理等权益。
设计隐私与默认隐私：组织机构必须采取措施实现设计隐私和默认隐私原则。
特定于处理者的要求
处理限制：组织机构必须仅按控制者或处理者（取决于客户的角色）的说明处理PII。
辅助个人权益：ISO 27701 要求处理者实现帮助客户遵从个人权益的种种措施。转移与披露：处理者必须于PII在司法辖区间转移或任何预期变化发生前通告客户。
分包商：ISO 27701要求处理者仅可雇佣一家分包商按照客户合同的条款处理PII。
ISO 27701的好处
ISO 27701 合规首先要求ISO 27001合规。二者互为补充。遵从ISO 27701要求的组织机构会留下其PII处理方式的书面证据，可用于推动与商业合作伙伴就PII处理问题签订协议，明确该组织机构与其他利益相关者间的 PII处理方式。尽管GDPR尚未确立官方认证方法，近期报告表明，ISO 27701或可在近期改变这一现状。
该做什么？
客户若想雇佣供应商代表自己处理和维护PII，应考虑以合同的形式要求这些供应商不仅遵从ISO 27001，还要遵从ISO 27701，或者在数据敏感度适用的情况下取得符合该标准的认证。即使客户不要求供应商经过独立第三方的新标准合规认证，可能也想要更新合同，确保供应商能够符合ISO 27701的要求。鉴于ISO 27701才刚发布，合同中也可写入供应商符合新标准要求的合理时延。
已经通过ISO 27001认证，希望实现ISO 27701 要求的组织机构，可以考虑采取下列步骤：
1．按照ISO 27701的要求对现有ISMS执行漏洞评估，生成如何解决这些漏洞的行动计划。
2．对组织机构收集的 PII执行数据映射，了解所收集PII的范围，弄清处理者共享和使用PII的方式。
3．依据上下文相关的内部或外部因素，比如适用的隐私立法、规定、司法判决或合同要求等，确定组织机构作为控制者和／或处理者的角色。
4．审核并更新隐私政策，确保含有所要求的信息。
5．制定适用于该组织机构角色的策略和规程。
6．开始规划和实现设计隐私与默认隐私原则。
