ISO27701隐私信息安全的介绍和办理
什么是ISO/IEC27701
ISO/IEC 27701是对ISO/IEC 27001信息安全管理和ISO/IEC 27002安全控制的隐私扩展，全称《安全技术—扩展ISO/IEC 27001和ISO/IEC 27002的隐私信息管理—要求与指南》。它是ISO标准委员会以ISO 27001为基准，以ISO 27552为蓝本，建立发布的隐私信息管理体系标准，为保护个人隐私提供指导。ISO/IEC 27701标准的发布，填补了隐私信息管理体系的空白，将隐私保护的原则、理念和方法，融入到信息安全保护体系中，并且对PII控制者和PII处理者进行了较为详细且落地性强的规定，给企业在隐私保护和信息安全方面给出了指导建议。
ISO/IEC27701应用的背景
数据滥用、数据窃取、隐私泄露以及“大数据杀熟”等数据安全问题呈现爆发趋势。在此背景下，全球各个国家纷纷颁布相关法律法规，对数据安全与隐私保护相关问题进行严格的规范与引导。2018年欧盟GDPR《General Data Protection Regulation》生效，2021年，欧盟在GDPR中采信由监管机构认可或国家认可机构认可的第三方认证机构颁发的认证证书。2017年6月1日，《中华人民共和国网络安全法》（通常简称《网安法》）颁布实施，2021年11月1日，我国的《个人信息保护法》生效。为规范组织内部个人隐私信息安全管理，满足各国相关隐私保护法律法规的要求，ISO/IEC27701认证需求越来越明显。
ISO/IEC27701术语解释
PII：个人可识别信息 Personally identifiable information,也译作个人身份信息
PII控制者：确定处理PII的目的和手段隐私利益相关者，但不包括出于个人目的使用数据的自然人
PII处理者：代表并按照 PII 控制者的说明处理PII的隐私利益相关者
PIMS：隐私信息管理体系
Customer：
谁可以做ISO/IEC27701
标准设计的目的在于借助更多的要求增强现有 ISMS，以建立、实施、维护和持续改进隐私信息管理体系 (PIMS)。标准概述了适用于个人身份信息 (PII) 控制者和 PII 处理者的框架， 以有效管理隐私控制，降低个人隐私权面临的风险。它适用于所有类型和规模的组织，包括公共和私营公司、政府实体以及非盈利组织。
ISO/IEC27701认证收益
1
满足合规要求
通过明确对PII处理者生命周期的隐私保护要求，可以明确隐私保护管理合规目标，减轻组织合规负担的同时降低组织合规风险
2
完善数据安全能力和风险管理
提高组织管理数据安全和隐私风险的能力，通过流程分析，在流程的输入、输出、控制各个环节中，识别、分析、验证隐私保护需求，减少甚至消除隐私泄露的风险
3
增强对个人信息管理的信任
业务伙伴通常会要求PII处理者提供相关证据，来证明其产品能符合适用的隐私管理体系要求。通过得到授权的第三方机构对PII处理者进行审计验证，可以极大地降低合规沟通成本，有助于向公众传达组织的可信度
和ISO27001的关系
ISO / IEC 27701 是ISO / IEC 27001信息安全管理的隐私扩展，是由其衍生的。由于许多组织已经建立了基于ISO/IEC 27001的信息安全管理体系(ISMS) ，并以ISO/IEC 27002为指导，为保护隐私奠定了基础。
ISO/IEC 27701通过附加要求来增强现有的信息安全管理体系，以便建立、实施、维护和持续改进隐私信息管理系统(PIMS)。
如何快速通过认证
前提条件
组织应已建立同时满足ISO/IEC27001标准的信息安全管理体系及ISO/IEC 27701标准的隐私信息管理体系，且体系运行时间需不少于三个月。（未强制要求企业已经通过ISO27001认证）
参与部门
实施ISO/IEC 27701至少需要组织业务部门、技术研发部门、客户服务部门、信息安全部门和法务部门
实施周期
正常从项目开始启动，通过差距分析，辅以培训，建立隐私信息安全保护体系并推广实施，经第三方机构认证审核，整个周期在6-8周
所需材料
包括但不限于：
公司基础资料 现有业务流程
隐私安全管理制度 隐私保护风评材料
隐私适用性声明......
部分通过认证企业名录
长城汽车 中兴通讯 同盾科技 中智上海 平安信托 果蝠科技 腾讯互娱 集奥聚合
平安普惠 抖音 阿里云 腾讯云 华为云 飞书科技 百融云创 旷世科技 爱数智慧
E签宝 富途集团 太美医疗 大华股份 法大大 猎豹移动 小米集团 ......
