近年，國際標(biāo)準(zhǔn)化組織(ISO)制訂了多項(xiàng)與個(gè)人身份/隱私信息保護(hù)相關(guān)的國際標(biāo)準(zhǔn)，以指導(dǎo)幫助需要對(duì)用戶個(gè)人信息進(jìn)行搜集、處理、傳輸、使用和存儲(chǔ)的企業(yè)，在開展業(yè)務(wù)時(shí)，既滿足合規(guī)性要求又能規(guī)避信息安全風(fēng)險(xiǎn)和相關(guān)的法律風(fēng)險(xiǎn)。本文基于對(duì)隱私信息安全有關(guān)國際標(biāo)準(zhǔn)的研究以及標(biāo)準(zhǔn)在企業(yè)具體運(yùn)用的實(shí)踐經(jīng)驗(yàn)，探討分析各相關(guān)標(biāo)準(zhǔn)關(guān)于個(gè)人身份/隱私信息的有關(guān)要求，以為不同的企業(yè)組織在選擇標(biāo)準(zhǔn)時(shí)提供指導(dǎo)。
一、信息安全管理的基礎(chǔ)性標(biāo)準(zhǔn)
人們?cè)谧?cè)使用各種APP或在銀行、電信公司、醫(yī)院辦理各項(xiàng)業(yè)務(wù)時(shí)，經(jīng)常需要填寫一些個(gè)人信息，包括姓名、身份證號(hào)、護(hù)照號(hào)、手機(jī)號(hào)、住址等，在某些情況下，還可能涉及健康狀況、婚姻狀況、學(xué)歷、收入、家庭背景等隱私信息?！睹穹ǖ洹返谝话僖皇粭l規(guī)定，自然人的個(gè)人信息受法律保護(hù)。任何組織或者個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開他人個(gè)人信息。2021年8月頒布的《個(gè)人信息保護(hù)法》，使得個(gè)人身份信息進(jìn)一步受到法律保護(hù)，而對(duì)于那些需要對(duì)用戶個(gè)人信息進(jìn)行搜集、處理、傳輸、使用和存儲(chǔ)的企業(yè)，則更是明確對(duì)個(gè)人身份/隱私信息保護(hù)的法律責(zé)任以及合規(guī)性要求。
目前已有不少企業(yè)基于ISO/IEC 27001：2013《信息安全 信息技術(shù) 信息安全管理體系要求》建立了信息安全管理體系，該標(biāo)準(zhǔn)以PDCA的過程方法和基于風(fēng)險(xiǎn)的思維模式，引導(dǎo)企業(yè)通過風(fēng)險(xiǎn)評(píng)估去識(shí)別、分析和評(píng)價(jià)在開展業(yè)務(wù)過程中各項(xiàng)信息資產(chǎn)所面臨的風(fēng)險(xiǎn)，從而制訂風(fēng)險(xiǎn)處置措施將風(fēng)險(xiǎn)控制在企業(yè)可接受的范圍內(nèi)。而ISO/IEC 27002：2013則是根據(jù)業(yè)內(nèi)良好實(shí)踐，針對(duì)信息資產(chǎn)在其生命周期中可能會(huì)面臨的各種風(fēng)險(xiǎn)，分類、歸納、總結(jié)了共14個(gè)控制域、35項(xiàng)控制目標(biāo)和114項(xiàng)控制措施，為企業(yè)建立和運(yùn)行信息安全管理體系以實(shí)現(xiàn)其控制目標(biāo)提供了不可或缺的指導(dǎo)。但是，以上兩個(gè)標(biāo)準(zhǔn)僅僅是信息安全管理領(lǐng)域的通用和基礎(chǔ)標(biāo)準(zhǔn)，個(gè)人身份/隱私信息作為數(shù)據(jù)資產(chǎn)中一項(xiàng)特殊資產(chǎn)，還有其特殊的保護(hù)要求。
二、關(guān)于個(gè)人身份/隱私信息的特殊保護(hù)要求
首先，在信息安全管理體系中實(shí)現(xiàn)對(duì)個(gè)人身份信息的保護(hù)，需滿足ISO/IEC 29100：2011 《信息技術(shù) 安全技術(shù) 隱私框架》中所列舉的11項(xiàng)隱私原則，即：同意和選擇、合法性和規(guī)范的目的、收集限制、數(shù)據(jù)最小化、使用、保留和披露限制、準(zhǔn)確性和質(zhì)量、公開、透明和通知、個(gè)人參與和訪問、可核查性、信息安全以及隱私合規(guī)性。對(duì)比《個(gè)人信息保護(hù)法》，可以非常容易地發(fā)現(xiàn)，這些原則與個(gè)人信息保護(hù)法中的要求非常一致。
此外，針對(duì)個(gè)人隱私保護(hù)，國際標(biāo)準(zhǔn)化組織先后發(fā)布了多項(xiàng)標(biāo)準(zhǔn)，ISO/IEC 27701：2019《隱私信息管理體系 要求和指南》、ISO/IEC 27018：2019《個(gè)人身份信息(PII)處理者在公有云中保護(hù)PII的實(shí)踐指南》、ISO/IEC 29151：2017《信息技術(shù) 安全技術(shù) 個(gè)人身份信息保護(hù)實(shí)踐指南》，為企業(yè)在業(yè)務(wù)過程中對(duì)用戶的個(gè)人身份/隱私信息的保護(hù)提供了附加要求和指導(dǎo)，下面分別加以具體說明：
(一)ISO/IEC 27701
ISO/IEC 27701：2019標(biāo)準(zhǔn)包含了ISO/IEC 27001正文的所有條款以及ISO/IEC 27002中所列舉的所有控制措施，同時(shí)重點(diǎn)考慮了PII的隱私保護(hù)，針對(duì)PII控制者和PII處理者提供額外的控制要求，并在其控制域增加了關(guān)于PII隱私的實(shí)施指南，具體體現(xiàn)在以下幾個(gè)方面：
首先，將ISO/IEC 27001和ISO/IEC 27002標(biāo)準(zhǔn)中信息安全相關(guān)的術(shù)語全部替換為隱私信息管理。
其次，在ISO/IEC 27002所列舉的114項(xiàng)控制中對(duì)其中的35項(xiàng)補(bǔ)充增加了PII的特殊控制指南，例如：在職責(zé)權(quán)限方面要指定專人就PII的處理進(jìn)行聯(lián)絡(luò);針對(duì)可移動(dòng)介質(zhì)的管理，強(qiáng)調(diào)當(dāng)介質(zhì)承載了PII信息時(shí)，要對(duì)介質(zhì)進(jìn)行加密處理。
第三，增加了與ISO/IEC 29100中11項(xiàng)隱私原則相對(duì)應(yīng)的控制項(xiàng)，體現(xiàn)在收集和處理的條件、對(duì)PII主體的義務(wù)、設(shè)計(jì)的隱私和默認(rèn)的隱私、PII共享、傳輸和披露這4個(gè)方面，針對(duì)PII控制者的控制要求和指南有31項(xiàng)，針對(duì)PII處理者的控制要求和指南有18項(xiàng)。
(二)ISO/IEC 29151
該標(biāo)準(zhǔn)同樣是基于ISO/IEC 27002在個(gè)人身份信息保護(hù)方面的拓展。與ISO/IEC 27701不同的是，ISO/IEC 29151標(biāo)準(zhǔn)的制訂有國際電信聯(lián)盟電信標(biāo)準(zhǔn)分局ITU-T的參與和合作，因此ISO/IEC 29151同時(shí)也作為ITU-T X.1058建議書進(jìn)行發(fā)布。
從標(biāo)準(zhǔn)的適用范圍看，該標(biāo)準(zhǔn)僅適用于PII控制者，而不像ISO/IEC 27701那樣對(duì)PII的控制者和處理者分別提出了要求和指南。
在控制措施方面，ISO/IEC 29151對(duì)ISO/IEC 27002中的37項(xiàng)控制進(jìn)行了拓展;同時(shí)，在附錄A中增加了與ISO/IEC 29100中11項(xiàng)隱私原則相對(duì)應(yīng)的25項(xiàng)控制，與ISO/IEC 27701的附加控制有許多相似的地方。此外，該標(biāo)準(zhǔn)的結(jié)構(gòu)中未包含ISO/IEC 27001正文部分，因此企業(yè)必須結(jié)合ISO/IEC 27001標(biāo)準(zhǔn)一起使用。反觀ISO/IEC 27701標(biāo)準(zhǔn)，其內(nèi)容包含了ISO/IEC 27001標(biāo)準(zhǔn)正文全部內(nèi)容，其標(biāo)準(zhǔn)已經(jīng)自成完整的隱私信息管理體系。
(三)ISO/IEC 27018
該標(biāo)準(zhǔn)是個(gè)人身份信息(PII)處理者在公有云中保護(hù)個(gè)人身份信息的實(shí)用規(guī)則，該標(biāo)準(zhǔn)適用于為客戶提供PII處理的云服務(wù)提供商。該標(biāo)準(zhǔn)在ISO/IEC 27002：2013的114項(xiàng)控制基礎(chǔ)之上，針對(duì)其中的信息安全策略、信息安全角色、職責(zé)和權(quán)限、信息安全意識(shí)、教育和培訓(xùn)、訪問控制、密碼技術(shù)、運(yùn)行安全、通信安全、合規(guī)性等25項(xiàng)控制提出了特殊的控制要求。一方面是針對(duì)PII提出了特殊防護(hù)，另一方面是針對(duì)云計(jì)算模型的信息處理提出了特別的備份、事態(tài)日志訪問控制等特殊控制指南。在此114項(xiàng)控制措施之外，ISO/IEC 27018附錄A還針對(duì)ISO/IEC 29100的11項(xiàng)隱私原則增加了22項(xiàng)特定的控制措施，以確保公有云服務(wù)商在PII處理過程中PII信息得到妥善管理和維護(hù)。
與ISO/IEC 29151類似，該標(biāo)準(zhǔn)的正文結(jié)構(gòu)也僅僅包含了ISO/IEC 27002的控制，而沒有包含ISO/IEC 27001正文的體系建立的過程方法，因此企業(yè)必須結(jié)合ISO/IEC 27001標(biāo)準(zhǔn)一起使用。
三、相關(guān)領(lǐng)域?qū)徍藢?shí)踐案例
筆者審核了多家企業(yè)與個(gè)人身份/隱私信息保護(hù)相關(guān)的信息安全管理體系，看到企業(yè)越來越重視在業(yè)務(wù)活動(dòng)中的個(gè)人身份/隱私信息的保護(hù)，但同時(shí)也發(fā)現(xiàn)，由于對(duì)標(biāo)準(zhǔn)的理解不到位，體系建立和實(shí)施過程中仍然存在這樣那樣的誤解和疏漏。
案例一：一家企業(yè)在申請(qǐng)時(shí)提出的業(yè)務(wù)范圍是系統(tǒng)集成，這是企業(yè)的主營業(yè)務(wù)。但在審核中了解，系統(tǒng)集成的過程中并不會(huì)涉及客戶的隱私信息，并且所集成的系統(tǒng)也大部分不會(huì)用于存儲(chǔ)和處理隱私信息。經(jīng)過審核員與企業(yè)溝通后了解到，企業(yè)還有一項(xiàng)非主營業(yè)務(wù)，為某一個(gè)企業(yè)客戶提供服務(wù)臺(tái)服務(wù)。該服務(wù)過程中，服務(wù)臺(tái)人員會(huì)接觸到大量甲方用戶的個(gè)人信息。因此，客戶要求企業(yè)獲得隱私信息管理的資質(zhì)證書，以證明其承接業(yè)務(wù)的能力。企業(yè)希望證書的應(yīng)用面更加廣泛，就選擇公司的主營業(yè)務(wù)作為認(rèn)證范圍。在審核員的建議下，企業(yè)變更了認(rèn)證申請(qǐng)范圍，使其更加貼合企業(yè)業(yè)務(wù)的實(shí)際需要。
案例二：一家企業(yè)強(qiáng)調(diào)其業(yè)務(wù)是To B而非To C的模式，因此在根據(jù)ISO 27701建立體系時(shí)，刪掉了針對(duì)PII控制者的所有條款，而僅僅保留了PII處理者的條款。一階段審核過程中筆者登錄其業(yè)務(wù)網(wǎng)站以一名普通客戶的身份進(jìn)行了注冊(cè)和登錄，發(fā)現(xiàn)在注冊(cè)時(shí)需要輸入姓名、手機(jī)號(hào)、郵箱等個(gè)人信息，身份證信息為選填項(xiàng)。筆者與企業(yè)進(jìn)一步溝通了解，雖然企業(yè)是對(duì)公業(yè)務(wù)，但注冊(cè)時(shí)仍然會(huì)收集客戶企業(yè)聯(lián)系人的個(gè)人信息，同時(shí)也允許個(gè)人愛好者注冊(cè)網(wǎng)站試用其軟件，現(xiàn)階段收集到的個(gè)人信息數(shù)據(jù)已有幾萬條。在這種情況下，企業(yè)作為PII控制者的責(zé)任不能被刪減排除。經(jīng)與企業(yè)溝通，其認(rèn)識(shí)到了體系建立的偏差，對(duì)SoA進(jìn)行了修訂。
案例三：一家企業(yè)在其發(fā)布的隱私政策中只講明了搜集用戶個(gè)人信息的用途，但卻沒有明示如果服務(wù)終止，客戶如何要求進(jìn)行個(gè)人信息的刪除或返還。審核中開具不符合，企業(yè)對(duì)隱私策略進(jìn)行了修訂和整改。
綜上所述，可見建立和實(shí)施個(gè)人身份/隱私信息相關(guān)的信息安全管理體系，在助力企業(yè)提升業(yè)務(wù)活動(dòng)與信息安全的融合方面起到非常重要的作用。企業(yè)在建立個(gè)人身份/隱私信息相關(guān)的信息安全管理體系時(shí)，應(yīng)結(jié)合自身的業(yè)務(wù)過程和需求來進(jìn)行策劃和選擇，如果企業(yè)是PII的控制者，例如銀行、電信、網(wǎng)商等企業(yè)，ISO/IEC 27701和ISO/IEC 29151均可參考;如果企業(yè)是作為PII的處理者，例如為銀行、電信、網(wǎng)商等提供信息平臺(tái)建設(shè)和維護(hù)的企業(yè)，則選取ISO/IEC 27701.如果企業(yè)是充當(dāng)PII處理者的公有云提供商，則ISO/IEC 27018是不錯(cuò)的選擇。
中企檢測認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測認(rèn)證網(wǎng)為檢測行業(yè)相關(guān)檢驗(yàn)、檢測、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測、第三方檢測機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測認(rèn)證網(wǎng)為檢測認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)跟我們聯(lián)系刪除并致歉！
