搭隱私信息安全保護傘，筑隱私信息安全防火墻
在互聯(lián)網(wǎng)和大數(shù)據(jù)時代，許多業(yè)務(wù)的開展都離不開個人隱私信息的處理，隱私保護問題已然成為當(dāng)前社會的一大關(guān)注焦點。2021年8月20日，十三屆會第三十次會議表決通過《中華人民共和國個人信息保護法》，并將于2021年11月1日起正式實行。
這意味著，保護個人身份信息 (PII) 不僅是社會共識，更已成為法律的強制要求，組織面臨著來自客戶、最終用戶、投資者和政府監(jiān)管所交付的多重責(zé)任。組織應(yīng)如何管理個人可識別信息 (PII) 或個人數(shù)據(jù)，如何確保隱私合規(guī)，都成為擺在組織面前亟待解決的新問題和新挑戰(zhàn)。
ISO/IEC 27701正是基于此需求而開發(fā)的一項國際管理體系標準，它是ISO 27001（信息安全管理體系）和ISO 27002（信息安全控制實踐指南）在隱私信息管理的一個擴展標準。為組織在保護個人隱私信息方面提供指導(dǎo)。隨著歐盟的GDPR和更多類似隱私數(shù)據(jù)保護法律法規(guī)的發(fā)布，范圍內(nèi)對隱私要求的合規(guī)需求正在增加。幾乎每個組織都會處理個人可識別信息 (PII)。另外，處理的PII數(shù)量和類型也在不斷增加，組織間相互合作處理PII的情況也在增多。在PII處理的背景下保護隱私是一項社會需求，也是范圍內(nèi)專項法律法規(guī)的主要議題。
ISO 27701隱私信息管理體系讓組織能持續(xù)改善在數(shù)據(jù)保護方面的實踐，同時也是對信息安全管理體系在個人信息保護方面的進一步深化，旨在個人數(shù)據(jù)利用與保護之間進行合理的平衡，降低組織運營與合規(guī)方面的風(fēng)險。
2019年8月6日，國際標準化組織ISO和國際電工委員會IEC正式對外發(fā)布ISO/IEC 27701隱私信息管理體系標準。這標志著信息安全、隱私與個人信息保護，在國際間法律與法規(guī)的合規(guī)展現(xiàn)中有了一致性的標準。
ISO/IEC 27701作為ISO/IEC 27001與ISO/IEC 27002在管理上的延伸標準，其目標是通過新增的要求來增強現(xiàn)有信息安全管理體系以便建立、實施、維護和不斷改進隱私信息管理體系，標準概述了適用于個人身份信息 (PII) 控制者和PIl處理者的框架，用于隱私控制管理，以降低個人隱私的各種風(fēng)險。
ISO/IEC 27701適用于所有類型和規(guī)模的組織，包括公共和私營公司、政府實體以及非盈利組織。通過實施ISO/IEC 27701標準，能夠使組織給他們的監(jiān)管機構(gòu)、合作伙伴、客戶和雇員等帶來更加有力的信任，為組織贏得更多的機遇。
○ 《ISO/IEC 27701安全技術(shù)ISO/IEC27001和ISO/IEC27002在隱私信息管理的擴展要求和指南》
○ 《ISO/IEC 27001信息技術(shù)安全技術(shù)信息安全管理體系要求》
○ 《ISO/IEC 27002信息技術(shù)安全技術(shù)信息安全控制實踐指南》
○ 《ISO/IEC 27000信息技術(shù)安全技術(shù)信息安全管理體系總則和詞匯》
○ 《ISO/IEC 29100信息技術(shù)安全技術(shù)隱私框架》
○ 《GB/T 35273信息安全技術(shù)個人信息安全規(guī)范》
○ 明確對PII控制者和處理者隱私保護要求，協(xié)助組織和對隱私風(fēng)險進行識別、分析；
○ 明確隱私保護管理合規(guī)目標，減輕組織合規(guī)負擔(dān)的同時降低組織合規(guī)風(fēng)險；
○ 確保組織高級管理層、組織所有者以及關(guān)鍵相關(guān)方的利益，滿足隱私保護要求；
○ 向組織客戶或合作伙伴傳達隱私合規(guī)價值，從而使組織實現(xiàn)長期、持久的個人隱私安全合規(guī)化發(fā)展；
○ 基于國際標準統(tǒng)一框架可以降低合規(guī)溝通成本，向公眾傳達組織的可信度；
○ 使組織向他的管控組織、合作方、顧客和員工產(chǎn)生傳達更強有力的信賴感，獲得大量的機會。
