近年，國際標(biāo)準(zhǔn)化組織(ISO)制訂了多項與個人身份/隱私信息保護相關(guān)的國際標(biāo)準(zhǔn)，以指導(dǎo)幫助需要對用戶個人信息進行搜集、處理、傳輸、使用和存儲的企業(yè)，在開展業(yè)務(wù)時，既滿足合規(guī)性要求又能規(guī)避信息安全風(fēng)險和相關(guān)的法律風(fēng)險。本文基于對隱私信息安全有關(guān)國際標(biāo)準(zhǔn)的研究以及標(biāo)準(zhǔn)在企業(yè)具體運用的實踐經(jīng)驗，探討分析各相關(guān)標(biāo)準(zhǔn)關(guān)于個人身份/隱私信息的有關(guān)要求，以為不同的企業(yè)組織在選擇標(biāo)準(zhǔn)時提供指導(dǎo)。
一、信息安全管理的基礎(chǔ)性標(biāo)準(zhǔn)
人們在注冊使用各種APP或在銀行、電信公司、醫(yī)院辦理各項業(yè)務(wù)時，經(jīng)常需要填寫一些個人信息，包括姓名、身份證號、護照號、手機號、住址等，在某些情況下，還可能涉及健康狀況、婚姻狀況、學(xué)歷、收入、家庭背景等隱私信息。《民法典》第一百一十一條規(guī)定，自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。2021年8月頒布的《個人信息保護法》，使得個人身份信息進一步受到法律保護，而對于那些需要對用戶個人信息進行搜集、處理、傳輸、使用和存儲的企業(yè)，則更是明確對個人身份/隱私信息保護的法律責(zé)任以及合規(guī)性要求。
目前已有不少企業(yè)基于ISO/IEC 27001：2013《信息安全 信息技術(shù) 信息安全管理體系要求》建立了信息安全管理體系，該標(biāo)準(zhǔn)以PDCA的過程方法和基于風(fēng)險的思維模式，引導(dǎo)企業(yè)通過風(fēng)險評估去識別、分析和評價在開展業(yè)務(wù)過程中各項信息資產(chǎn)所面臨的風(fēng)險，從而制訂風(fēng)險處置措施將風(fēng)險控制在企業(yè)可接受的范圍內(nèi)。而ISO/IEC 27002：2013則是根據(jù)業(yè)內(nèi)良好實踐，針對信息資產(chǎn)在其生命周期中可能會面臨的各種風(fēng)險，分類、歸納、總結(jié)了共14個控制域、35項控制目標(biāo)和114項控制措施，為企業(yè)建立和運行信息安全管理體系以實現(xiàn)其控制目標(biāo)提供了不可或缺的指導(dǎo)。但是，以上兩個標(biāo)準(zhǔn)僅僅是信息安全管理領(lǐng)域的通用和基礎(chǔ)標(biāo)準(zhǔn)，個人身份/隱私信息作為數(shù)據(jù)資產(chǎn)中一項特殊資產(chǎn)，還有其特殊的保護要求。
二、關(guān)于個人身份/隱私信息的特殊保護要求
首先，在信息安全管理體系中實現(xiàn)對個人身份信息的保護，需滿足ISO/IEC 29100：2011 《信息技術(shù) 安全技術(shù) 隱私框架》中所列舉的11項隱私原則，即：同意和選擇、合法性和規(guī)范的目的、收集限制、數(shù)據(jù)最小化、使用、保留和披露限制、準(zhǔn)確性和質(zhì)量、公開、透明和通知、個人參與和訪問、可核查性、信息安全以及隱私合規(guī)性。對比《個人信息保護法》，可以非常容易地發(fā)現(xiàn)，這些原則與個人信息保護法中的要求非常一致。
此外，針對個人隱私保護，國際標(biāo)準(zhǔn)化組織先后發(fā)布了多項標(biāo)準(zhǔn)，ISO/IEC 27701：2019《隱私信息管理體系 要求和指南》、ISO/IEC 27018：2019《個人身份信息(PII)處理者在公有云中保護PII的實踐指南》、ISO/IEC 29151：2017《信息技術(shù) 安全技術(shù) 個人身份信息保護實踐指南》，為企業(yè)在業(yè)務(wù)過程中對用戶的個人身份/隱私信息的保護提供了附加要求和指導(dǎo)，下面分別加以具體說明：
(一)ISO/IEC 27701
ISO/IEC 27701：2019標(biāo)準(zhǔn)包含了ISO/IEC 27001正文的所有條款以及ISO/IEC 27002中所列舉的所有控制措施，同時重點考慮了PII的隱私保護，針對PII控制者和PII處理者提供額外的控制要求，并在其控制域增加了關(guān)于PII隱私的實施指南，具體體現(xiàn)在以下幾個方面：
首先，將ISO/IEC 27001和ISO/IEC 27002標(biāo)準(zhǔn)中信息安全相關(guān)的術(shù)語全部替換為隱私信息管理。
其次，在ISO/IEC 27002所列舉的114項控制中對其中的35項補充增加了PII的特殊控制指南，例如：在職責(zé)權(quán)限方面要指定專人就PII的處理進行聯(lián)絡(luò);針對可移動介質(zhì)的管理，強調(diào)當(dāng)介質(zhì)承載了PII信息時，要對介質(zhì)進行加密處理。
第三，增加了與ISO/IEC 29100中11項隱私原則相對應(yīng)的控制項，體現(xiàn)在收集和處理的條件、對PII主體的義務(wù)、設(shè)計的隱私和默認的隱私、PII共享、傳輸和披露這4個方面，針對PII控制者的控制要求和指南有31項，針對PII處理者的控制要求和指南有18項。
(二)ISO/IEC 29151
該標(biāo)準(zhǔn)同樣是基于ISO/IEC 27002在個人身份信息保護方面的拓展。與ISO/IEC 27701不同的是，ISO/IEC 29151標(biāo)準(zhǔn)的制訂有國際電信聯(lián)盟電信標(biāo)準(zhǔn)分局ITU-T的參與和合作，因此ISO/IEC 29151同時也作為ITU-T X.1058建議書進行發(fā)布。
從標(biāo)準(zhǔn)的適用范圍看，該標(biāo)準(zhǔn)僅適用于PII控制者，而不像ISO/IEC 27701那樣對PII的控制者和處理者分別提出了要求和指南。
在控制措施方面，ISO/IEC 29151對ISO/IEC 27002中的37項控制進行了拓展;同時，在附錄A中增加了與ISO/IEC 29100中11項隱私原則相對應(yīng)的25項控制，與ISO/IEC 27701的附加控制有許多相似的地方。此外，該標(biāo)準(zhǔn)的結(jié)構(gòu)中未包含ISO/IEC 27001正文部分，因此企業(yè)必須結(jié)合ISO/IEC 27001標(biāo)準(zhǔn)一起使用。反觀ISO/IEC 27701標(biāo)準(zhǔn)，其內(nèi)容包含了ISO/IEC 27001標(biāo)準(zhǔn)正文全部內(nèi)容，其標(biāo)準(zhǔn)已經(jīng)自成完整的隱私信息管理體系。
(三)ISO/IEC 27018
該標(biāo)準(zhǔn)是個人身份信息(PII)處理者在公有云中保護個人身份信息的實用規(guī)則，該標(biāo)準(zhǔn)適用于為客戶提供PII處理的云服務(wù)提供商。該標(biāo)準(zhǔn)在ISO/IEC 27002：2013的114項控制基礎(chǔ)之上，針對其中的信息安全策略、信息安全角色、職責(zé)和權(quán)限、信息安全意識、教育和培訓(xùn)、訪問控制、密碼技術(shù)、運行安全、通信安全、合規(guī)性等25項控制提出了特殊的控制要求。一方面是針對PII提出了特殊防護，另一方面是針對云計算模型的信息處理提出了特別的備份、事態(tài)日志訪問控制等特殊控制指南。在此114項控制措施之外，ISO/IEC 27018附錄A還針對ISO/IEC 29100的11項隱私原則增加了22項特定的控制措施，以確保公有云服務(wù)商在PII處理過程中PII信息得到妥善管理和維護。
與ISO/IEC 29151類似，該標(biāo)準(zhǔn)的正文結(jié)構(gòu)也僅僅包含了ISO/IEC 27002的控制，而沒有包含ISO/IEC 27001正文的體系建立的過程方法，因此企業(yè)必須結(jié)合ISO/IEC 27001標(biāo)準(zhǔn)一起使用。
三、相關(guān)領(lǐng)域?qū)徍藢嵺`案例
筆者審核了多家企業(yè)與個人身份/隱私信息保護相關(guān)的信息安全管理體系，看到企業(yè)越來越重視在業(yè)務(wù)活動中的個人身份/隱私信息的保護，但同時也發(fā)現(xiàn)，由于對標(biāo)準(zhǔn)的理解不到位，體系建立和實施過程中仍然存在這樣那樣的誤解和疏漏。
案例一：一家企業(yè)在申請時提出的業(yè)務(wù)范圍是系統(tǒng)集成，這是企業(yè)的主營業(yè)務(wù)。但在審核中了解，系統(tǒng)集成的過程中并不會涉及客戶的隱私信息，并且所集成的系統(tǒng)也大部分不會用于存儲和處理隱私信息。經(jīng)過審核員與企業(yè)溝通后了解到，企業(yè)還有一項非主營業(yè)務(wù)，為某一個企業(yè)客戶提供服務(wù)臺服務(wù)。該服務(wù)過程中，服務(wù)臺人員會接觸到大量甲方用戶的個人信息。因此，客戶要求企業(yè)獲得隱私信息管理的資質(zhì)證書，以證明其承接業(yè)務(wù)的能力。企業(yè)希望證書的應(yīng)用面更加廣泛，就選擇公司的主營業(yè)務(wù)作為認證范圍。在審核員的建議下，企業(yè)變更了認證申請范圍，使其更加貼合企業(yè)業(yè)務(wù)的實際需要。
案例二：一家企業(yè)強調(diào)其業(yè)務(wù)是To B而非To C的模式，因此在根據(jù)ISO 27701建立體系時，刪掉了針對PII控制者的所有條款，而僅僅保留了PII處理者的條款。一階段審核過程中筆者登錄其業(yè)務(wù)網(wǎng)站以一名普通客戶的身份進行了注冊和登錄，發(fā)現(xiàn)在注冊時需要輸入姓名、手機號、郵箱等個人信息，身份證信息為選填項。筆者與企業(yè)進一步溝通了解，雖然企業(yè)是對公業(yè)務(wù)，但注冊時仍然會收集客戶企業(yè)聯(lián)系人的個人信息，同時也允許個人愛好者注冊網(wǎng)站試用其軟件，現(xiàn)階段收集到的個人信息數(shù)據(jù)已有幾萬條。在這種情況下，企業(yè)作為PII控制者的責(zé)任不能被刪減排除。經(jīng)與企業(yè)溝通，其認識到了體系建立的偏差，對SoA進行了修訂。
案例三：一家企業(yè)在其發(fā)布的隱私政策中只講明了搜集用戶個人信息的用途，但卻沒有明示如果服務(wù)終止，客戶如何要求進行個人信息的刪除或返還。審核中開具不符合，企業(yè)對隱私策略進行了修訂和整改。
綜上所述，可見建立和實施個人身份/隱私信息相關(guān)的信息安全管理體系，在助力企業(yè)提升業(yè)務(wù)活動與信息安全的融合方面起到非常重要的作用。企業(yè)在建立個人身份/隱私信息相關(guān)的信息安全管理體系時，應(yīng)結(jié)合自身的業(yè)務(wù)過程和需求來進行策劃和選擇，如果企業(yè)是PII的控制者，例如銀行、電信、網(wǎng)商等企業(yè)，ISO/IEC 27701和ISO/IEC 29151均可參考;如果企業(yè)是作為PII的處理者，例如為銀行、電信、網(wǎng)商等提供信息平臺建設(shè)和維護的企業(yè)，則選取ISO/IEC 27701.如果企業(yè)是充當(dāng)PII處理者的公有云提供商，則ISO/IEC 27018是不錯的選擇。
中企檢測認證網(wǎng)提供iso體系認證機構(gòu)查詢，檢驗檢測、認證認可、資質(zhì)資格、計量校準(zhǔn)、知識產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺。中企檢測認證網(wǎng)為檢測行業(yè)相關(guān)檢驗、檢測、認證、計量、校準(zhǔn)機構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實驗室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認證網(wǎng)在線客服13550333441。為您提供全面檢測、認證、商標(biāo)、專利、知識產(chǎn)權(quán)、版權(quán)法律法規(guī)知識資訊，包括商標(biāo)注冊、食品檢測、第三方檢測機構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認證、服務(wù)體系認證、產(chǎn)品認證、版權(quán)登記、專利申請、知識產(chǎn)權(quán)、檢測法、認證標(biāo)準(zhǔn)等信息，中企檢測認證網(wǎng)為檢測認證商標(biāo)專利從業(yè)者提供多種檢測、認證、知識產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認證認可監(jiān)督管理委員會、質(zhì)量認證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！
