什么是ISO27701認(rèn)證?(如何快速通過ISO27001認(rèn)證)

一、什么是ISO27701（隱私信息安全管理體系）

ISO27701是對(duì)ISO/IEC 27001信息安全管理和ISO/IEC 27002安全控制的隱私擴(kuò)展，全稱《安全技術(shù)—擴(kuò)展ISO/IEC 27001和ISO/IEC 27002的隱私信息管理—要求與指南》。它是ISO標(biāo)準(zhǔn)委員會(huì)以ISO27001為基準(zhǔn)，以ISO 27552為藍(lán)本，建立發(fā)布的隱私信息管理體系標(biāo)準(zhǔn)，為保護(hù)個(gè)人隱私提供指導(dǎo)。ISO/IEC 27701標(biāo)準(zhǔn)的發(fā)布，填補(bǔ)了隱私信息管理體系的空白，將隱私保護(hù)的原則、理念和方法，融入到信息安全保護(hù)體系中，并且對(duì)PII控制者和PII處理者進(jìn)行了較為詳細(xì)且落地性強(qiáng)的規(guī)定，給企業(yè)在隱私保護(hù)和信息安全方面給出了指導(dǎo)建議。

二、ISO27701應(yīng)用的背景

數(shù)據(jù)濫用、數(shù)據(jù)竊取、隱私泄露以及“大數(shù)據(jù)殺熟”等數(shù)據(jù)安全問題呈現(xiàn)爆發(fā)趨勢(shì)。在此背景下，全球各個(gè)國家紛紛頒布相關(guān)法律法規(guī)，對(duì)數(shù)據(jù)安全與隱私保護(hù)相關(guān)問題進(jìn)行嚴(yán)格的規(guī)范與引導(dǎo)。2018年歐盟GDPR《General Data Protection Regulation》生效，2021年，歐盟在GDPR中采信由監(jiān)管機(jī)構(gòu)認(rèn)可或國家認(rèn)可機(jī)構(gòu)認(rèn)可的第三方認(rèn)證機(jī)構(gòu)頒發(fā)的認(rèn)證證書。2017年6月1日，《中華人民共和國網(wǎng)絡(luò)安全法》（通常簡(jiǎn)稱《網(wǎng)安法》）頒布實(shí)施，2021年11月1日，我國的《個(gè)人信息保護(hù)法》生效。為規(guī)范組織內(nèi)部個(gè)人隱私信息安全管理，滿足各國相關(guān)隱私保護(hù)法律法規(guī)的要求，ISO/IEC27701認(rèn)證需求越來越明顯。

三、ISO27701認(rèn)證收益

ISO27701是在隱私保護(hù)方面對(duì)ISO/IEC27001信息安全管理以及ISO/IEC27002安全控制的進(jìn)一步拓展，通過提供隱私保護(hù)指引，明確角色和責(zé)任，對(duì)于降低企業(yè)隱私合規(guī)難度，便于企業(yè)提供合規(guī)證明，增強(qiáng)社會(huì)各方信任具有重要意義，具體收益如下:

1.滿足合規(guī)要求

通過明確對(duì)PII處理者生命周期的隱私保護(hù)要求，可以明確隱私保護(hù)管理合規(guī)目標(biāo)，減輕組織合規(guī)負(fù)擔(dān)的同時(shí)降低組織合規(guī)風(fēng)險(xiǎn)

2.完善數(shù)據(jù)安全能力和風(fēng)險(xiǎn)管理

提高組織管理數(shù)據(jù)安全和隱私風(fēng)險(xiǎn)的能力，通過流程分析，在流程的輸入、輸出、控制各個(gè)環(huán)節(jié)中，識(shí)別、分析、驗(yàn)證隱私保護(hù)需求，減少甚至消除隱私泄露的風(fēng)險(xiǎn)

3.增強(qiáng)對(duì)個(gè)人信息管理的信任

業(yè)務(wù)伙伴通常會(huì)要求PII處理者提供相關(guān)證據(jù)，來證明其產(chǎn)品能符合適用的隱私管理體系要求。通過得到授權(quán)的第三方機(jī)構(gòu)對(duì)PII處理者進(jìn)行審計(jì)驗(yàn)證，可以極大地降低合規(guī)溝通成本，有助于向公眾傳達(dá)組織的可信度

四、如何快速通過ISO27001認(rèn)證

1、前提條件

組織應(yīng)已建立同時(shí)滿足ISO/IEC27001標(biāo)準(zhǔn)的信息安全管理體系及ISO/IEC 27701標(biāo)準(zhǔn)的隱私信息管理體系，且體系運(yùn)行時(shí)間需不少于三個(gè)月。（未強(qiáng)制要求企業(yè)已經(jīng)通過ISO27001認(rèn)證）

2、參與部門

實(shí)施ISO/IEC 27701至少需要組織業(yè)務(wù)部門、技術(shù)研發(fā)部門、客戶服務(wù)部門、信息安全部門和法務(wù)部門

3、實(shí)施周期

正常從項(xiàng)目開始啟動(dòng)，通過差距分析，輔以培訓(xùn)，建立隱私信息安全保護(hù)體系并推廣實(shí)施，經(jīng)第三方機(jī)構(gòu)認(rèn)證審核，整個(gè)周期在6-8周

4、所需材料

包括但不限于：

公司基礎(chǔ)資料  現(xiàn)有業(yè)務(wù)流程

隱私安全管理制度  隱私保護(hù)風(fēng)評(píng)材料

隱私適用性聲明......