ISO27001認證
熱線：
Q Q：企業(yè)為什么要進行ISO27701認證？
發(fā)布時間：2020-12-23 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
當前日益受到監(jiān)管的安全和隱私格局以及對企業(yè)的網(wǎng)絡攻擊的急劇增加，無論規(guī)模大小，都應僅鼓勵組織采用國際框架例如ISO27001和ISO27701。
通過對ISO27001的認證，組織可以證明其已采取適當措施來履行其法律和法規(guī)義務，以減少和管理數(shù)據(jù)安全風險。
什么是ISO27701？
2019年8月6日，國際標準化組織（ISO）和國際電工委員會（IEC）發(fā)布了ISO/IEC27701（ISO27701），這是ISO / IEC27001和ISO/IEC27002的隱私擴展，旨在幫助組織保護和控制他們處理的個人信息。類似于現(xiàn)有的ISO標準ISO 27701補充，此新的ISO標準可能成為組織保護個人身份信息（PII）的事實上的護理標準，并且可以用來證明其遵守全球隱私法規(guī)，包括通用數(shù)據(jù)保護法規(guī)（EU）2016/679（GDPR）。
這一新標準是實現(xiàn)安全合規(guī)的“錦上添花”。眾所周知的ISO27001構(gòu)成了基礎，而新的ISO27701則在此基礎上進行了構(gòu)建，以提供一套全面的信息安全和個人信息保護控制措施。
ISO27701最初開發(fā)為ISO/IEC27552，它為建立，實施，維護和持續(xù)改進隱私信息管理系統(tǒng)（PIMS）提供了特定要求和指導，作為對ISO27001中定義的靈活信息安全管理系統(tǒng)（ISMS）的擴展。除了信息安全之外，還應考慮到處理PII所需的隱私保護。像ISO27001標準一樣，ISO27701并不希望組織在所有情況下都采用每種控件。 相反它要求組織了解處理PII的特定上下文，并以適合其處理活動的方式調(diào)整特定的控件集以及這些控件的相關實現(xiàn)。
為了更好地理解新標準，應該理解兩個關鍵術語：控制器和處理器。 這些術語可在包括GDPR在內(nèi)的許多隱私法律和法規(guī)中找到。 通常“控制者”是指示首先收集和處理PII的原因的實體，“處理者”是負責代表該個人處理此類數(shù)據(jù)的獨立法律實體（即，不是雇員）控制器。
新發(fā)布的標準既適用于PII的控制器（以及聯(lián)合控制器），也適用于PII的處理器（包括子處理器），而不管其運營所在的管轄區(qū)和部門如何，并且還包括對GDPR和ISO/IEC的映射29100，ISO/IEC27018和ISO/IEC29151安全框架。應預料到將ISO27701要求映射到其他隱私法律，例如2018年《加利福尼亞消費者隱私法案》（CCPA），GLBA和HIPAA，并將通過提供證明遵守這些監(jiān)管制度的通用標準來幫助組織。
下面提供了適用于控制器和處理器的某些關鍵ISO27701關鍵要求的高級概述。
適用于控制器和處理器的要求
機密性:被授權訪問PII的個人必須簽署保密協(xié)議。
分析風險:必須進行隱私風險評估以識別PII處理風險。
監(jiān)督:組織必須任命一個負責制定，實施，維護和監(jiān)視其治理和隱私計劃的人員。
培訓:需要對有權使用PII的人員進行隱私意識培訓。
內(nèi)部流程:組織必須采用各種政策和程序，例如針對違反PII的事件響應計劃。
保持記錄:ISO27701要求組織保留所有PII處理活動的記錄，包括管轄區(qū)之間的PII轉(zhuǎn)移和向第三方的披露。
控制器特定要求
隱私權聲明:組織必須提供隱私政策，其中包含有關PII收集，使用和處理的特定信息。
處理器合同要求:組織必須與處理者簽訂書面合同，處理特定項目，例如保護PII，將處理限制為收集PII的特定目的，并提供違反PII的通知。
個人權利:ISO27701要求組織實施各種機制，以容納個人訪問，更正和刪除其PII的權利，以及反對或限制PII的處理等。
設計和默認情況下的隱私:組織必須采取措施，通過設計使隱私原則和默認情況下的隱私原則付諸實踐。
處理器特定要求
加工限制:組織必須僅根據(jù)控制器或處理器的書面說明來處理PII（取決于客戶的角色）
協(xié)助個人權利:ISO27701要求加工商采取措施，協(xié)助客戶遵守個人權利。
轉(zhuǎn)讓和披露:加工商必須提前將司法管轄區(qū)之間的PII轉(zhuǎn)移或其任何預期變更告知客戶。
分包商:ISO 27701要求處理器僅根據(jù)客戶合同的條款委聘分包商處理PII。
如您想更詳細的了解ISO27701標準，需要ISO27701標準，請您網(wǎng)絡搜索廣匯聯(lián)合，快人一步，成就管理者風范。
