ISO27018-中文.pdf_iso27018标准中文版

ISO27001

ISO27018

需积分: 5 103 浏览量更新于2023-03-16 评论 1 收藏 560KB PDF 举报

身份认证购VIP最低享 7 折!

领优惠券(最高得80元）

资源详情

资源评论

资源推荐

信息技术 - 安全技术 - 作为 PII 处理者的公有云中保护个人可识

别信息（PII）的操作规范

0 简介

0.1 背景和背景

根据合同处理其客户的个人身份信息（PII）的云服务提供商必须以允许双方满足保护 PII

的适用法律和法规要求的方式运营其服务。云服务提供商与其客户之间划分要求的方式和方

式因法律管辖权以及云服务提供商与客户之间的合同条款而异。管理 PII 如何被处理（即收

集，使用，转让和处置）的立法有时被称为数据保护立法; PII 有时被称为个人数据或个人信

息。 PII 处理者的义务因管辖区而异，这使得提供云计算服务的企业在跨国运营方面面临挑

战。

公有云服务提供商在根据云服务租户的指示处理 PII 时是“PII 处理者”。与公有云 PII 处

理者具有合同关系的云服务租户可以是自然人，“PII 主体”，在云中处理他或她自己的 PII，

到组织，“PII 控制者”，处理与许多 PII 原则有关的 PII。云服务租户可以授权与其关联的一个

或多个云服务用户根据其与公有云 PII 处理者的合同使用可用的服务。请注意，云服务租户

拥有处理和使用数据的权限。同时也是 PII 控制者的云服务租户可能受到比公有云 PII 处理

者更广泛的管理 PII 保护的义务。保持 PII 控制者和 PII 处理者之间的区别依赖于公有云 PII

处理者，该处理者不具有除云服务租户针对其处理的 PII 设置的数据处理目标以及实现云服

务租户目标所必需的操作之外的数据处理目标。

注意如果公有云 PII 处理者正在处理云服务租户帐户数据，则可能是为此目的充当 PII 控

制者。本国际标准不包括此类活动。

当与 ISO / IEC 27002 中的信息安全目标和控制结合使用时，本国际标准的目的是创建

一组通用的安全类别和控制，可由作为 PII 的公有云计算服务提供商实施。处理者。它有以

下目标。

- 为了帮助公有云服务提供商在充当 PII 处理者时遵守适用的义务，这些义务是直接

还是通过合同落在 PII 处理者上。

- 使公有云 PII 处理者在相关事务上保持透明，以便云服务租户可以选择管理良好的

基于云的 PII 处理服务。

- 协助云服务租户和公有云 PII 处理者签订合同协议。

- 为云服务租户提供执行审计和合规权利和责任的机制，以便在多方，虚拟化服务器

（云）环境中托管的数据的单个云服务租户审计在技术上可能不切实际并且可能增加那些风

险物理和逻辑网络安全控制到位。

本国际标准并未取代适用的法律法规，但可以为公有云服务提供商提供通用的合规框架，

特别是那些在跨国市场运营的公有云服务提供商。

0.2 PII 保护控制公有云计算服务

本国际标准旨在供组织在实施基于 ISO / IEC 27001 的云计算信息安全管理系统的过程

中选择 PII 保护控制，或作为实施组织普遍接受的 PII 保护控制的指导文件。充当公有云 PII

处理者。特别是，该国际标准基于 ISO / IEC 27002，考虑了那些可能适用于作为 PII 处理者

的公有云计算服务提供商的 PII 保护要求所产生的特定风险环境。

通常，实施 ISO / IEC 27001 的组织正在保护自己的信息资产。但是，在作为 PII 处理者

的公有云服务提供商的 PII 保护要求的背景下，组织正在保护其客户委托给它的信息资产。

公有云 PII 处理者实现 ISO / IEC 27002 的控制既适用于此目的也是必要的。本国际标准增强

了 ISO / IEC 27002 控制，以适应风险的分布式性质以及云服务租户与公有云 PII 处理者之间

存在的合同关系。本国际标准以两种方式增强了 ISO / IEC 27002：

- 为某些现有的 ISO / IEC 27002 控制提供适用于公有云 PII 保护的实施指南，以及

- 附件 A 提供了一组附加控制和相关指南，旨在解决现有 ISO / IEC 27002 控制集未解

决的公有云 PII 保护要求。

本国际标准中的大多数控制和指导也适用于 PII 控制者。但是，在大多数情况下，PII 控

制者将承担此处未指定的其他义务。

0.3 PII 保护要求

组织必须确定其保护 PII 的要求。有三个主要的要求来源，如下所示。

a）法律，法定，监管和合同要求：一个来源是组织，其贸易伙伴，承包商和服务提供

商必须满足的法律，法定，监管和合同要求和义务，以及他们的社会文化责任和运营环境。

应该指出的是，PII 处理者制定的立法，法规和合同承诺可能要求选择特定的控制措施，也

可能需要实施这些控制措施的具体标准。这些要求因司法管辖区而异。

b）风险：另一个来源是评估与 PII 相关的组织的风险，同时考虑到组织的整体业务战略

和目标。通过风险评估，确定威胁，评估发生的脆弱性和可能性，并估计潜在影响。 ISO /

IEC 27005 提供信息安全风险管理指导，包括风险评估，风险接受，风险沟通，风险监控和

风险评估方面的建议。 ISO / IEC 29134 提供有关隐私影响评估的指导。

c）公司政策：虽然公司政策涵盖的许多方面来自法律和社会文化义务，但组织也可以

自愿选择超出 a）要求的标准。

0.4 在云计算环境中选择和实施控件

可以从该国际标准中选择控制（其中包括参考 ISO / IEC 27002 的控制，为范围定义的

扇区或应用创建组合参考控制集）。如果需要，还可以从其他控制集中选择控件，或者可以

设计新控件以满足特定需求。

注：公有云 PII 处理者提供的 PII 处理服务可以被视为云计算的应用，而不是其本身的

扇区。尽管如此，本国际标准中使用的术语“特定于行业”，因为这是 ISO / IEC 27000 系列中

其他标准中使用的常规术语。

控制的选择取决于基于风险接受标准，风险处理选项以及适用于组织的一般风险管理方

法的组织决策，以及通过合同协议，其客户和供应商，并且还将受到所有相关国家和国际立

法和法规。如果没有选择本国际标准的控制措施，则需要记录这一点，并说明遗漏的理由。

此外，控制的选择和实施取决于公有云提供商在整个云计算参考架构的上下文中的实际

角色（参见 ISO / IEC 17789）。许多不同的组织可以参与在云计算环境中提供基础设施和应

用服务。在某些情况下，所选择的控件对于云计算参考架构的特定服务类别可以是唯一的。

在其他情况下，实现安全控制可以有共享角色。合同协议需要明确规定参与提供或使用云服

务的所有组织的 PII 保护责任，包括公有云 PII 处理者，其分包商和云服务租户。

本国际标准中的控制可被视为指导原则，适用于大多数组织。下面将更详细地解释它们

以及实施指南。如果在公有云 PII 处理者的信息系统，服务和操作的设计中考虑了保护 PII 的

要求，则可以使实施更简单。这种考虑是概念的一个要素，通常被称为“设计隐私”。参考书

目列出了相关文件，如 ISO / IEC 29101。

0.5 制定其他准则

本国际标准可视为制定 PII 保护指南的起点。可能并非本操作规范中的所有控制和指

导都适用。此外，可能还需要未包含在本国际标准中的其他控制和指南。当开发包含附加

指南或控制的文档时，在适用的本国际标准中包含对条款的交叉引用可能是有用的，以便于

审计员和业务合作伙伴进行合规性检查。

0.6 生命周期考虑因素

PII 具有自然的生命周期，从创造和起源到储存，加工，使用和传播，再到最终的销毁。

PII 的风险在其生命周期中可能有所不同，但 PII 的保护在所有阶段在某种程度上仍然很重

要。

当现有和新的信息系统在其生命周期中进行管理时，需要考虑 PII 保护要求。

1 范围

本国际标准根据 ISO / IEC 29100 中针对公有云计算环境的隐私原则，建立了普遍接受

的控制目标，控制和指导，以实施保护个人身份信息（PII）的措施。

特别是，本国际标准规定了基于 ISO / IEC 27002 的指南，其中考虑了可能适用于公有

云服务提供商的信息安全风险环境的 PII 保护的监管要求。

本国际标准适用于所有类型和规模的组织，包括公共和私营公司，政府实体和非营利组

织，它们通过与其他组织签订合同的云计算提供作为 PII 处理者的信息处理服务。

本国际标准中的指南也可能与作为 PII 控制者的组织相关;但是，PII 控制者可能会受到

额外的 PII 保护法规，法规和义务的约束，而不适用于 PII 处理者。本国际标准无意涵盖此类

额外义务。

2 规范性参考文献

以下文件的全部或部分内容在本文件中作了规范性引用，并且对于其应用是必不可少的。

凡是注日期的引用文件，仅引用的版本适用。凡是不注日期的引用文件，其最新版本（包

括所有的修改单）适用于本标准。

ISO / IEC 17788 |建议 ITU-T Y.3500，信息技术 - 云计算 - 概述和词汇[1]）

ISO / IEC 27000：2014，信息技术 - 安全技术 - 信息安全管理系统 - 概述和词汇

ISO / IEC 27001：2013，信息技术 - 安全技术 - 信息安全管理系统 - 要求

ISO / IEC 27002：2013，信息技术 - 安全技术 - 信息安全控制的操作规范

ISO / IEC 29100：2011，信息技术 - 安全技术 - 隐私框架

3 术语和定义

出于本文档的目的，ISO / IEC 17788，ISO / IEC 27000 和以下内容中给出的术语和定义

适用。

3.1 数据泄露

危害安全导致意外或非法破坏，丢失，篡改，未经授权披露或访问传输，存储或以其他

方式处理的受保护数据[来源：ISO / IEC 27040：- [2]），3.7]

3.2 个人身份信息 PII

任何可用于识别与此信息相关的 PII 主体的信息，或者是或可能与 PII 主体直接或间接

相关的信息

注 1：为了确定 PII 主体是否可识别，应考虑所有可以由持有数据的隐私权利人或任何

其他方合理使用的方法来识别该自然人。[来源：ISO / IEC 29100：2011,2.9]

注 2：该定义用于定义本国际标准中使用的术语 PII。公有云 PII 处理者通常无法明确了

解其处理的信息是否属于任何指定类别，除非云服务租户将其透明化。

3.3PII 控制者

隐私利益相关者是决定处理个人身份信息（PII）的目的和方法的人，而不是将数据用于

个人目的的自然人

注 1：PII 控制者有时会指示其他人（例如 PII 处理者）代表其处理 PII，而处理的责任仍

由 PII 控制者负责。[来源：ISO / IEC 29100：2011,2.10]

3.4PII 主体

与个人身份信息（PII）相关的自然人

注 1：根据管辖区域和特定的 PII 保护和隐私法规，也可以使用同义词“数据主体”代替术

语“PII 主体”。[来源：ISO / IEC 29100：2011,2.11]

3.5 PII 处理者

隐私利益相关方代表并按照 PII 控制人员的指示处理个人身份信息（PII）[来源：ISO /

IEC 29100：2011,2.12]

3.6 PII 的处理

对个人身份信息（PII）执行的操作或一组操作

注 1：PII 的处理操作的示例包括但不限于 PII 的收集，存储，更改，检索，咨询，公开，

匿名化，假名化，传播或以其他方式提供，删除或销毁。 [来源：ISO / IEC 29100：2011,2.23]

3.7 公有云服务提供商

根据公有云模型提供云服务的一方

4 概述

4.1 本标准的结构

该国际标准具有与 ISO / IEC 27002 类似的结构。如果 ISO / IEC 27002 中规定的目标和

控制适用而无需任何其他信息，则仅提供 ISO / IEC 27002 的参考。附件 A（规范性）中描述

了适用于云计算服务提供商 PII 保护的相关实施指南。

如果控制需要适用于云计算服务提供商的 PII 保护的其他指导，则在公有云 PII 保护实

施指南标题下给出。在某些情况下，在“公有云 PII 保护的其他信息”标题下提供了增强附加

指南的更多相关信息。

如表 1 所示，此类行业专用指南和信息包含在 ISO / IEC 27002 中定义的类别中。与 ISO

/ IEC 27002 中相应的条款编号一致的条款编号如表中所示。

表 1 - ISO / IEC 27002 中实施控制的行业指南和其他信息的位置

条款编

号

标题备注

5 信息安全政策提供了针对特定行业的实施指南和其他信息。

6 组织信息安全提供了针对特定行业的实施指南。

7 人力资源安全提供了针对特定行业的实施指南和其他信息。

8 资产管理没有提供额外的部门特定实施指南或其他信息。

9 访问控制

提供了针对特定行业的实施指南，以及对附件 A 中控

制的交叉引用。

10 加密提供了针对特定行业的实施指南。

11 物理和环境安全

提供了针对特定行业的实施指南，以及对附件 A 中控

制的交叉引用。

12 运营安全提供了针对特定行业的实施指南。

13 通信安全

提供了针对特定行业的实施指南，以及对附件 A 中控

制的交叉引用。

14 系统的获取，开发和维护没有提供额外的部门特定实施指南或其他信息。

15 供应商关系没有提供额外的部门特定实施指南或其他信息。

16 信息安全事件管理提供了针对特定行业的实施指南。

业务连续性管理的信息安

全方面

没有提供额外的部门特定实施指南或其他信息。

18 合规

提供了针对特定行业的实施指南，以及对附件 A 中控

制的交叉引用。

4.2 控制类别

根据 ISO / IEC 27002，每个主要控制类别包含：

a）控制目标，说明要实现的目标

b）可用于实现控制目标的一个或多个控制。

控制描述的结构如下：

控制

定义特定控制语句以满足控制目标。

公有云 PII 保护实施指南

提供更详细的信息以支持控制的实施和满足控制目标。在所有情况下，指南可能不完全

适合或不充分，并且可能无法满足组织的特定控制要求。因此，替代或额外控制或其他形式

的风险处理（避免，转移或接受风险）可能是适当的。

有关公有云 PII 保护的其他信息

提供可能需要考虑的进一步信息，例如法律考虑因素和对其他标准的引用。

5 信息安全政策

5.1 信息安全管理方向

ISO / IEC 27002：2013,5.1 中规定的目标适用。

5.1.1 信息安全政策

剩余20页未读，继续阅读

xinalh9

粉丝: 7
资源: 6

会员权益专享

ISO27018-中文.pdf

评论0

会员权益专享

最新资源

ISO27018-中文.pdf

评论0

ISOIEC 27018-2019.pdf

ISO 22301-2019.pdf

ISO 19453-3-2018.pdf

iso14229-1-2013 中文 pdf

13818-1中文 pdf

iso-15765-2车载诊断标准-详细中文版.pdf

iso iec 27701- 2019隐私信息管理体系-中文版.pdf

iso 13849-1-2015 控制系统的安全相关零部件 中文版.pdf

iso14229.pdf

iso26262-2018标准中文版下载

iso22301标准中文版pdf

iso28000-2022供应链安全管理体系规范中文下载

iso 27701:2019中文版.pdf

iso27018下载

15765-2中文版

iso iec 11179-2 pdf 中文

pdf文件格式参考 中文

iso14229协议中文pdf

iso20715 2023中文版pdf

iso14443协议中文pdf

会员权益专享

最新资源

iso 13849-1-2015 控制系统的安全相关零部件中文版.pdf

pdf文件格式参考中文