ISO27001認(rèn)證
熱線：
Q Q：ISO29151中PII的使用、保留和披露限制
發(fā)布時間：2020-12-21 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
一、保護(hù)PII的實施指南
ISO29151標(biāo)準(zhǔn)要求組織應(yīng)該：
a)將PII的使用，保留和披露（包括轉(zhuǎn)讓）限制在為實現(xiàn)特定，明確和合法目的必要的范圍內(nèi)；
b)配置其信息系統(tǒng),以記錄：收集,創(chuàng)建、更新PII的日期、何時將PII刪除、歸檔的時間。
二、使用PII的實施指南
ISO29151標(biāo)準(zhǔn)要求組織應(yīng)該：
a)當(dāng)所述目的已經(jīng)過期時，鎖定（即歸檔，保護(hù)和免除進(jìn)一步處理）任何PII,并滿足適用法律的保留要求；
b)使用適當(dāng)?shù)募夹g(shù)或方法確保安全刪除或銷毀PII(包括原件，副本和存檔記錄）；
c)僅將PII用于在收集之前或收集時向PII主體商定披露的目的，并且在為任何新用途進(jìn)行之前獲得必要的同意；
d)將外部組織對PII的訪問權(quán)，限制在必要且已獲得正式授權(quán)的范圍內(nèi)：如果業(yè)務(wù)確實需要訪問，則應(yīng)遵循適當(dāng)?shù)膶徟绦颍?/div>
e)確認(rèn)被允許連接到本組織系統(tǒng)的外部系統(tǒng)在被允許連接之前已經(jīng)實施了適當(dāng)?shù)谋Ｗo(hù)措施；
f)定期審查第三方實施的保障措施，以確保它們繼續(xù)滿足本組織的安全要求：如果由于此類審查而發(fā)現(xiàn)保障措施不足 ，應(yīng)立即斷開第三方的連接，直到已經(jīng)恢復(fù)了適當(dāng)?shù)谋Ｕ洗胧?/div>
如您想更詳細(xì)的了解ISO29151標(biāo)準(zhǔn)，需要ISO29151標(biāo)準(zhǔn)，請您網(wǎng)絡(luò)搜索廣匯聯(lián)合，快人一步，成就管理者風(fēng)范。
g)當(dāng)通過遠(yuǎn)程接口訪問PII時，實施適當(dāng)?shù)脑L問認(rèn)證機制:記錄PII訪問的日志；
h)利用安全監(jiān)控待續(xù)收集PII的變更，應(yīng)向公眾提供警示。
三、保留PII的實施指南
ISO29151標(biāo)準(zhǔn)要求組織應(yīng)該：
a)僅保留授權(quán)時間段的PII,以履行通知中確定的目的或法律和組織的要求，并在保留期屆滿時立即刪除PII；
b)如果需要保留PII的時間超過特定商業(yè)目的所需時間，則應(yīng)實施諸如去識別化等措施以保護(hù)PII；
c)定義有時間限制的、適合于處理目的的PII保留期；
d)確認(rèn)信息系統(tǒng)可以檢測到保留期限到期；
e)確保實施商定的保留期限并根據(jù)保留期限處置PII；
f)開發(fā)一種自動化功能，在其保留期限到期時刪除PII,這種刪除應(yīng)立即發(fā)生或盡快實施；
g)PII的存儲形式（包括數(shù)據(jù)庫字段或文本摘錄）以及確定的風(fēng)險，應(yīng)該是“去標(biāo)識”的內(nèi)容；
h)根據(jù)待識別數(shù)據(jù)的形式（包括數(shù)據(jù)庫和文本記錄）和已確定的風(fēng)險，去識別化數(shù)據(jù)；
i)如果數(shù)據(jù)不能被“去識別”，則選擇用千保護(hù)PII的工具（包括部分刪除，哈希 ，密鑰散列和索引）。
四、披露PII的實施指南
ISO29151標(biāo)準(zhǔn)要求組織應(yīng)該：
a)未經(jīng)PII主體事先知情同意，不得將PII披露給外部各方 ，除非相關(guān)法律允許此類披露：如果向需要了解的內(nèi)部各方（例如員工）披露，則可能不需要PII主體的知情和同意；
b)在轉(zhuǎn)讓個人身份信息時提供強有力的保護(hù)機制，包括數(shù)據(jù)加密和完整性保護(hù)。
員工個人身份信息應(yīng)按照適用的法律和法規(guī)、組織處置策略，適當(dāng)情況下需征得員工同意才能進(jìn)行處置（即安全刪除或存檔）。
如您想更詳細(xì)的了解ISO29151標(biāo)準(zhǔn)，需要ISO29151標(biāo)準(zhǔn)，請您網(wǎng)絡(luò)搜索廣匯聯(lián)合，快人一步，成就管理者風(fēng)范。
