ISO/IEC 27701标准解读
ISO/IEC 27701标准正式发布，弥补了现有隐私信息管理体系方面的不足，并将其原则、理念及措施整合进信息安全领域。同时为PII管理者与处理者制定了具体且落地的规范，在实际应用中具有较强的可操作性与指导意义。今天擎标给大家解读一下 ISO27701 标准。
ISO 27701作为信息安全管理体系标准的一部分被包含在 ISO 27000 系列之中，并需满足 ISO 27001 标准的要求。该标准不仅在现有管理流程、实施操作、监控过程以及持续改进 ISMS 的基础上进行了扩展，并且特别关注企业PII（个人可识别信息）的安全保护措施。此外，在解释和扩展 ISO 27002 中的相关隐私性问题时, ISO 27701不仅涵盖了业务连续性之外的所有控制域,还对其中涉及的PII隐私保护措施做出了详细规定.从PII controller 和 PII processor两个角度出发, ISO 27701进一步阐述了收集与处理PII的具体条件,明确了PII主体应承担的权利义务,并详细规定了Privacy by design and Privacy by default原则下应当执行的各项义务.同时,该标准还对PII共享、转移以及披露的相关要求作出了明确规定
ISO 27701在对ISO 27001/27002框架的扩展要求中（或框架中），除了将"信息安全"这一术语取代为"信息安全与隐私"之外（或之外），还增加了相关领域内的具体措施（或具体规定）。
根据第5.4条的要求，在 ISO 27701 的规划框架内, 组织应遵循 P IMS 范围内的信息安全风险评估程序来发现可能导致机密性、完整性和可用性受到影响的因素; 同时, 组织应采用隐私风险管理方案来识别与个人信息保护相关的潜在威胁; 在整个风险管理过程中, 组织需协调信息安全措施与个人信息保护工作以确保两者之间的平衡; 基于其特定的业务需求和技术能力, 组织可以选择将信息安全与隐私保护整合到统一的风险管理体系中; 如果需要, 则可设立独立的风险管理路径分别处理这两方面的问题
根据ISO 27002标准第6.3条的规定，在信息安全组织中应当指派一名专门联系人负责处理客户相关的个人信息事务；如果该组织作为数据 controller，则需被指派一位负责执行相关流程的数据负责人；此外，在该信息安全管理体系下还应当任命若干名负责人来制定、执行并监督内部隐私政策以确保各项数据处理活动均符合合规要求。
负责人应酌情考虑：
- 独立地向下级管理层发出指令以确保对隐私风险管理的有效执行。
- 负责处理所有涉及个人信息保护（PII）的问题。
- 成为在数据保护法律、监管以及实践领域的专家。
- 作为监管机构的重要联络节点。
- 明确告知高级管理层和组织员工他们在处理个人信息时应遵守的规定。
- 关于组织进行的隐私影响评估提供专业建议并确保根据其职责配置专门负责个人信息保护（PII）的专职人员。
ISO 27701标准中第7章和第8章对PII控制者和处理者的评估增加了具体指导，并明确了收集与处理PII相关条件的具体范围。这些新增指导内容旨在使组织能够根据适用司法管辖区的法律依据明确确定PII处理是否合法，并记录下来以确保合法性得到确认。标准要求从8个方面管理与评估PII控制者：包括识别并记录PII处理目的、确定合法依据以及获取相关许可等；同时从6个方面管理与评估PII处理器：包括客户协议、组织目的以及营销等手段，并结合[广告]使用等方式进行管理。这些新增指导要求组织在明确自身身份的基础上开展相关管理建设工作以确保合规性
ISO 27701旨在通过实施有效的隐私保护措施来增强信息安全管理系统的有效性。该标准通过强化企业对数据隐私的关注并促进信息管理系统（ISMS）的完善而被制定出来。为此，《信息安全管理体系标准》（ISO 27701）鼓励组织建立个人信息管理系统（PIMS），以便构建完善的企业隐私管理体系，并从而帮助企业提升整体运营效率
ISO/IEC 27701标准为企业和其他组织提供了全球通用的隐私信息管理工具，并在减少企业遵守隐私合规要求所需复杂性的同时为企业及其提供必要的隐私合规证明文件支持；同时有助于提升社会各相关方对企业 Privacy Protection 承诺的信任度
上海擎标信息科技有限公司（Q-ing.cn）是一家专注于提供科技风险管理和合规内控解决方案的专业咨询机构。公司主要致力于DCMM（数据驱动型敏捷方法）、CMMM（IT治理成熟度模型）、ITSS（信息安全管理体系标准）、A-SPICE（企业信息安全计划编制指南）、CMMI（软件开发过程改进框架）、ISO27001（信息安全管理体系标准）、ISO27701（信息安全服务框架标准）、ISO22301（信息安全管理体系框架标准）、ISO20000（信息安全管理体系标准）以及涉密资质等领域的管理规划、体系建设规划以及工具支持和咨询服务。