elevn的博客

ISO 27017是基于ISO 27002延伸的标准。主要目的在于提供云端服务厂商一个云端建置与维运的安全规范。ISO 27017与ISO 27002主要的差异在于：ISO 27017额外规范云端安全的建置与维护。ISO 27017于2015-12-15官方正式公布。ISO 27017认证的方式有可能会与ISO 27001认证审核一并进行。ISO 27018更着重于个人隐私数据保护，基于ISO 27002的基础上，延伸定义新增个人资料的隐私保护。ISO 27018于2014-8-1正式公布。

以上就是一些关于个人隐私方面的体系发展，同时在这个期间也有例如《民典发》、《个人信息保护法》、《数据安全法》等相应的草案出台和定稿，对于以上内容有趣的朋友客户自行查看相应的内容，这个我简单的说一下，之所以说这个是因为，ISO27701对标GDPR法律标准。注：由于篇幅过于长，需要本人有时间空闲的时候进行持续的更新……我们先来看一下历年的隐私体系的发展过程。

国际上与隐私保护相关的法律法规包括a美国：《隐私权法》、《电子通讯隐私法》、《金融服务现代化法案》、《儿童在线隐私权保护法案》、《健康保险携带和责任法》和《有效保护隐私权的自律规范》等；标准管理要求分布在第5章至第8章，其中第5章为ISO/IEC 27001的要求关于PII相关的扩展，第6章为ISO/IEC 27002的要求关于PII相关的扩展，第7章为针对PII控制者角色的管理要求，第8章为针对PII处理者角色的管理要求。同时，作为ISO标准中尾数为01的要求类标准，其有助于构建持续改进的管理框架。

ISO27701标准的发布，填补了隐私信息管理体系的空白，将隐私保护的原则、理念和方法，融入到信息安全保护体系中，并且对PII控制者和PII处理者进行了较为详细且落地性强的规定，给企业在隐私保护和信息安全方面给出了指导建议。标准概述了适用于个人身份信息 (PII) 控制者和 PII 处理者的框架， 以有效管理隐私控制，降低个人隐私权面临的风险。PII控制者的customer：与PII控制者有合约关系的组织，可以是共同控制者PII处理者的customer：与PII处理者有合约关系的PII控制者.

ISO27701标准的发布，填补了隐私信息管理体系的空白，将隐私保护的原则、理念和方法，融入到信息安全保护体系中，并且对PII控制者和PII处理者进行了较为详细且落地性强的规定，给企业在隐私保护和信息安全方面给出了指导建议。✔完善数据安全能力和风险管理：提高组织管理数据安全和隐私风险的能力，通过流程分析，在流程的输入、输出、控制各个环节中，识别、分析、验证隐私保护需求，减少甚至消除隐私泄露的风险。步骤3 –正式审核。步骤1 –根据组织的规模及业务类型提供定制化的建议，在您签署建议书后，审核即可开始。

ISO/IEC27701通过对隐私保护的控制对ISO/IEC27001进行补充，有效协助组织对隐私风险进行识别、分析、采取措施，确保符合高级别的隐私保护合规要求，将风险降到可接受水平并维持该水平，最终帮助组织建立完善的隐私信息管理体系，实现有效的隐私管理。5、认证机构将进行预审，在正式审核前排除一些重大损失，同时让客户熟悉审核的方法进行评估，审查方针，范围和采用的程序。确立获得允许的形式、时长，并留存相对应记录;5、共享迁移鉴别存不存在共享、迁移、公布、跨境电商传送个人信息的情况，并记录实际个人行为。

ISO/IEC 27701:2019,即隐私信息管理体系（PIMS），是ISO/IEC 27001（信息安全管理体系，ISMS）和ISO/IEC 27002（信息安全控制实践指南 ）在隐私信息管理的一个扩展标准。这是2019年发布的第一个信息安全和隐私管理的全球标准，该标准不与某一特定的当地法律相关，而适用于所有国家。标准设计的目的在于借助更多的要求增强现有 ISMS，以建立、实施、维护和持续改进隐私信息管理体系 (PIMS)。它适用于所有类型和规模的组织，包括公共和私营公司、政府实体以及非盈利组织。

可以说ISO 27701和ISO 29151都是ISO 29100的细化体现，ISO 27701满足了ISO 29151的要求，并且从体系角度给予了充分的展示与要求。将所有“信息安全”替换为“信息安全和隐私”后，除了“业务连续性管理的信息安全方面”的控制域，ISO 27701对ISO 27002中控制域中的实施指南和其他信息均有额外的补充，但控制措施均延续ISO 27002的控制措施（仅将“信息安全”替换为“信息安全和隐私”）GDPR是欧盟经济体范围内的法规要求，有相对具体的规定。

这里特别想强调一下体系融合，因为不管信息安全管理体系、隐私管理体系、应急管理体系等都要求建立一个相应组织与责任人，随着企业安全建设发展，大部分企业都已建立起相应的体系，构建起相应的组织，所以，开展新的体系时将新职责对应的岗位角色进行相应补充、调整融合即可，这样可以减少组织建设过于复杂以及有利于日常实际作用，具体组织架构也可参考本公众号《信息安全管理体系建设思路》。谁来提供隐私政策说明？5、认证机构将进行预审，在正式审核前排除一些重大损失，同时让客户熟悉审核的方法进行评估，审查方针，范围和采用的程序。

以上就是一些关于个人隐私方面的体系发展，同时在这个期间也有例如《民典发》、《个人信息保护法》、《数据安全法》等相应的草案出台和定稿，对于以上内容有趣的朋友客户自行查看相应的内容，这个我简单的说一下，之所以说这个是因为，ISO27701对标GDPR法律标准。注：由于篇幅过于长，需要本人有时间空闲的时候进行持续的更新……我们先来看一下历年的隐私体系的发展过程；

国际上与隐私保护相关的法律法规包括a美国：《隐私权法》、《电子通讯隐私法》、《金融服务现代化法案》、《儿童在线隐私权保护法案》、《健康保险携带和责任法》和《有效保护隐私权的自律规范》等；标准管理要求分布在第5章至第8章，其中第5章为ISO/IEC 27001的要求关于PII相关的扩展，第6章为ISO/IEC 27002的要求关于PII相关的扩展，第7章为针对PII控制者角色的管理要求，第8章为针对PII处理者角色的管理要求。同时，作为ISO标准中尾数为01的要求类标准，其有助于构建持续改进的管理框架。

首先，其适用于所有规模和类型的企业，能够系统的指导企业建立起隐私管理体系，符合其作为数据控制者或处理者处理隐私信息的合规要求；这里特别想强调一下体系融合，因为不管信息安全管理体系、隐私管理体系、应急管理体系等都要求建立一个相应组织与责任人，随着企业安全建设发展，大部分企业都已建立起相应的体系，构建起相应的组织，所以，开展新的体系时将新职责对应的岗位角色进行相应补充、调整融合即可，这样可以减少组织建设过于复杂以及有利于日常实际作用，具体组织架构也可参考本公众号《信息安全管理体系建设思路》。