公有云PII处理者：内部组织与信息安全控制指南

本手册详细阐述了内部组织在自动驾驶仿真软件Prescan中的信息安全实践，遵循ISO/IEC 27002:2013标准。关键知识点包括： 1. **信息安全角色和职责**：根据ISO/IEC 27002的第6.1.1节，明确了信息安全的责任分配，包括指定联络点处理公有云中的个人可识别信息（PII），如云服务租户应指定PII保护的联络人员，并确保符合合同要求。 2. **职责分离**：遵循6.1.2控制，强调了不同角色间的职责分离，以防止数据泄露或滥用，例如，云服务提供商与云服务租户、以及服务使用者之间的职责明确。 3. **与当局联系**：根据6.1.3，要求与监管机构保持沟通，确保遵守数据保护立法，如数据保护法，以满足对PII的合规性。 4. **与特殊利益集团沟通**：6.1.4涉及与可能对数据处理感兴趣的第三方或特殊利益群体的沟通，确保公开透明，保护客户权益。 5. **项目管理中的信息安全**：6.1.5强调了将信息安全纳入项目管理流程，确保在整个服务生命周期中都实施适当的安全措施。 6. **公有云中PII处理者的义务**：作为PII处理者，云服务商必须处理PII并满足不同管辖区的法律要求，这可能导致在跨国运营时的复杂性。服务提供商应明确数据处理目标，同时尊重PII控制者的职责。 7. **与ISO/IEC 27002的整合**：手册的目标是为公有云服务提供商提供一套通用的安全类别和控制，以在处理PII时满足法律义务，提高透明度，协助合同谈判，并为云服务租户提供审计和合规的机制。 8. **法律责任边界**：明确了当公有云服务商处理租户账户数据时，可能需要承担PII控制者的部分责任，但本标准并不替代具体的法律法规要求。 本手册是指导公有云PII处理者如何在自动化仿真软件Prescan的环境中，遵循ISO/IEC 27001和27018标准，确保在提供服务的同时，有效保护个人信息安全的重要参考文档。