如何確保供應商能夠符合ISO 27701的要求
發(fā)布日期： 2023/05/03
ISO/IEC 27701認證向在信息安全管理體系中負責PII（個人身f信息）處理的任何組織提供指南。各種規(guī)模和類型的組織，包括上市公司和私營公司以及政府實體和其他類型的組織，都可以從中受益。它提供了一種基于風險的方法，可以幫助組織應對所面臨的特定隱私風險以及數(shù)據(jù)和隱私風險。
與ISO 27001標準類似，ISO 27701不期望組織機構(gòu)在所有情況下采納每一條控制。相反，該標準要求組織機構(gòu)理解自身PII處理的具體上下文，以適合其處理活動的方式調(diào)整特定控制集和與之相關(guān)的實現(xiàn)。
ISO 27701合規(guī)首先要求ISO 27001合規(guī)。二者互為補充。遵從ISO 27701要求的組織機構(gòu)會留下其PII處理方式的書面證據(jù)，可用于推動與商業(yè)合作伙伴就PII處理問題簽訂協(xié)議，明確該組織機構(gòu)與其他利益相關(guān)者間的PII處理方式。盡管GDPR尚未確立官方認證方法，近期報告表明，ISO 27701或可在近期改變這一現(xiàn)狀。
客戶若想雇傭供應商代表自己處理和維護PII，應考慮以合同的形式要求這些供應商不僅遵從ISO 27001，還要遵從ISO 27701，或者在數(shù)據(jù)敏感度適用的情況下取得符合該標準的認證。即使客戶不要求供應商經(jīng)過獨立第三方的新標準合規(guī)認證，可能也想要更新合同，確保供應商能夠符合ISO 27701的要求。鑒于ISO 27701才剛發(fā)布，合同中也可寫入供應商符合新標準要求的合理時延。
