10、公共云计算中的安全与隐私保护

公共云计算中的安全与隐私保护

1. 权限与目的（AP）

1.1 收集权限（AP - 1）

组织需确定允许收集、使用、维护和共享个人身份信息（PII）的法律权限，涵盖一般情况或特定项目、信息系统需求。相关参考法律包括《1974 年隐私法案》（5 U.S.C. § 552a (e)(3)(A) 第 208(c) 节）和《2002 年电子政务法案》（P.L. 107 - 347）。

1.2 目的说明（AP - 2）

组织应在隐私通知中描述收集、使用、维护和共享 PII 的目的。参考法律同样有《1974 年隐私法案》（5 U.S.C. § 552a (e)(3)(A) - (B)；第 208(b)、(c) 节）和《2002 年电子政务法案》（P.L. 107 - 347）。

2. 问责、审计与风险管理（AR）

2.1 治理与隐私计划（AR - 1）

组织需完成以下工作：
- 任命高级隐私官员（SAOP）/首席隐私官（CPO），负责制定、实施和维护全组织的治理与隐私计划，确保项目和信息系统在收集、使用、维护、共享和处置 PII 时符合所有适用法律和法规。
- 监测联邦隐私法律和政策的变化，以影响隐私计划。
- 分配预算和人员资源，以实施和运营全组织的隐私计划。
- 制定战略组织隐私计划，以实施适用的隐私控制、政策和程序。
- 制定、传播和实施运营隐私政策和程序，以管理涉及 PII 的项目、信息系统或技术的适当隐私和安全控制。
- 按组织定义的频率（至少每两年一次）更新隐私计划、政策和程序。

参考法律众多，如《1974