ИСО/МЭК 27701

ISO/IEC 27701:2019 (ранее известный как ISO/IEC 27552 в период разработки) является расширением конфиденциальности ISO/IEC 27001 . Целью разработки является расширение существующей системы управления информационной безопасностью (СУИБ) дополнительными требованиями для создания, внедрения, обслуживания и постоянного улучшения системы управления конфиденциальной информацией (PIMS). В стандарте изложена основа для контролеров и обработчиков информации, позволяющей установить личность (PII), для управления контролем конфиденциальности с целью снижения риска для прав отдельных лиц на неприкосновенность частной жизни.

ISO/IEC 27701 предназначен для сертификации как расширение сертификации ISO/IEC 27001 . Другими словами, организации, планирующие получить сертификацию ISO/IEC 27701, также должны будут иметь сертификацию ISO/IEC 27001.

Предполагаемое применение стандарта

Предполагаемое применение ISO/IEC 27701 — дополнить существующую СМИБ средствами контроля конфиденциальности и, таким образом, создать PIMS, обеспечивающую эффективное управление конфиденциальностью внутри организации.

Надежная PIMS имеет множество потенциальных преимуществ для контроллеров PII и процессоров PII, по крайней мере, с тремя существенными преимуществами:

Во-первых, достижение соответствия требованиям конфиденциальности (особенно законов и нормативных актов, а также соглашений с третьими лицами, а также корпоративных политик конфиденциальности и т. д.) является обременительным, особенно если требования не организованы наиболее эффективным образом для контролеров PII и обработчиков PII. Организации, на которых распространяются многочисленные обязательства по соблюдению конфиденциальности (например, из нескольких юрисдикций, в которых они работают или проживают субъекты данных), сталкиваются с дополнительными трудностями, связанными с согласованием, удовлетворением и отслеживанием всех применимых требований. Управляемый подход облегчает бремя соблюдения требований, например, как показано в Приложении C к стандарту, единый элемент управления конфиденциальностью может удовлетворять нескольким требованиям Общего регламента защиты данных (GDPR).

Во-вторых, достижение и поддержание соответствия применимым требованиям является вопросом управления и обеспечения гарантий. На основе PIMS (и, возможно, ее сертификации) специалисты по конфиденциальности или защите данных могут предоставить необходимые доказательства, чтобы убедить заинтересованные стороны, такие как высшее руководство, владельцев и органы власти, в том, что применимые требования конфиденциальности соблюдены.

В-третьих, сертификация PIMS может быть полезна для информирования клиентов и партнеров о соблюдении конфиденциальности. Контроллеры PII обычно требуют от Обработчиков PII доказательств того, что система управления конфиденциальностью Обработчиков PII соответствует применимым требованиям конфиденциальности. Единая система доказательств, основанная на международных стандартах, может значительно упростить такое информирование о прозрачности соблюдения требований, особенно когда доказательства подтверждены аккредитованным сторонним аудитором. Эта необходимость в обеспечении прозрачности соблюдения требований также имеет решающее значение для стратегических бизнес-решений, таких как слияния и поглощения, а также сценариев соконтролеров, включающих соглашение об обмене данными. Наконец, сертификация PIMS потенциально может служить сигналом доверия общественности.

Нормативные ссылки

ISO/IEC 27701 нормативно ссылается на следующие документы:

• ИСО/МЭК 27001
• ИСО/МЭК 27002:2017-06

Структура стандарта

Требования стандарта разделены на четыре следующие группы:

1. Требования PIMS, относящиеся к ISO/IEC 27001, изложены в разделе 5.
2. Требования PIMS, относящиеся к ISO/IEC 27002, изложены в разделе 6.
3. Рекомендации по PIMS для контролеров PII изложены в пункте 7.
4. Рекомендации по PIMS для обработчиков PII изложены в пункте 8.

Стандарт дополнительно включает следующие приложения:

1. Приложение A. Цели и средства контроля, специфичные для PIMS (контроллеры PII)
2. Приложение B. Цели и средства контроля, специфичные для PIMS (процессоры PII)
3. Приложение C. Соответствие стандарту ISO/IEC 29100.
4. Приложение D. Соответствие Общему регламенту защиты данных (GDPR) .
5. Приложение E Соответствие стандартам ISO/IEC 27018 и ISO/IEC 29151
6. Приложение F. Как применять ISO/IEC 27701 к ISO/IEC 27001 и ISO/IEC 27002

История стандарта

Новый рабочий вопрос был предложен JTC 1/SC 27 JTC 1/SC 27/WG 5 «Технологии управления идентификацией и конфиденциальностью» в апреле 2016 года по инициативе экспертов французского национального органа JTC 1/SC 27.

Затем проект был разработан в JTC 1/SC 27/WG 5 под номером ISO/IEC 27552.

Британский институт стандартов (BSI) сделал первый компакт-диск с ISO/IEC 27552 общедоступным в своем интернет-магазине в феврале 2018 года.

Второй компакт-диск ISO/IEC 27552 был опубликован в августе 2018 года.

DIS стандарта ISO/IEC 27552 был выпущен в январе 2019 года и утвержден в марте 2019 года. Поскольку никаких технических изменений не потребовалось, голосование FDIS было пропущено.

ISO/IEC JTC 1/SC 27 завершил техническую работу над ISO/IEC 27552 в апреле 2019 года.

Перед публикацией ISO/IEC 27552 был переименован в ISO/IEC 27701 в соответствии с Резолюцией 39/2019 Совета по техническому управлению ISO, которая требует, чтобы любая система менеджмента «типа A» (содержащая требования) имела номер, оканчивающийся на « 01» в качестве последних двух цифр. Изменение нумерации было завершено в июле 2019 года.

Стандарт был опубликован 6 августа 2019 года.

См. также

• Серия ИСО/МЭК 27000

Внешние ссылки

• Страница ISO/IEC 27701 из ISO
• Статья ISO по ISO/IEC 27701