ISO27018公有云隐私安全

产品介绍

ISO/IEC 27018又称“云隐私保护认证”，主要针对云服务商对云中个人数据的安全防护的国际标准认证，旨在为云个人身份信息处理者提供一套实务守则，以保护公共云中的个人身份信息（PII）不受侵犯，是目前国际上最权威、最严格、也是最被广泛接受和应用的信息安全体系认证。作为最严格的安全防护认证之一，ISO/IEC 27018要求公有云服务必须保证清晰的透明度，用户享有对其储存数据完整的控制权，服务商必须将对数据的操作告知用户并得到认同。

一、什么是ISO27018认证

ISO/IEC27018标准是一个主要针对保护云计算中个人数据安全的国际标准。而且，ISO/IEC 27018管理体系（以下简称：CPIISMS）是基于ISO27001信息安全管理体系（以下简称：ISMS）扩展的管理体系。

CPIISMS 对ISMS 附录A 扩展的要求有两个方面：

(1)在原有的ISMS 标准的附录A 中114 控制条款延展了15%的要求，主要对在公有云中PII 的处理者保护PII 提出了额外的控制要求，并将控制要求更具体化；

(2)在ISMS 标准附录A 中的114 个控制条款基础上，根据ISO/IEC 29100 的11个隐私原则增加了11个CPIISMS 特定的PII 保护附加控制条款。

二、ISO27018认证的适用范围

ISO27018认证适用于各个行业类别，只要从事信息领域服务的任何大型或小型组织都可以申请认证。不一定非要从事互联网，其他行业也可以适用。下表就是关于ISO27018认证的分类：

​

由上表看出，ISO27018认证适用于大多数行业。

三、申请ISO27018认证的前提条件

1、公有云中个人可识别信息保护管理体系（CPIISMS）是在ISO/IEC 27001:2013 信息安全管理体系的基础上建立、实施和扩展的，ISMS 是CPIISMS 的基础和前提条件。申请CPIISMS 的组织应已经建立信息安全管理体系，且通过了ISMS 认证或准备同时申请ISMS 认证。

2、申请的CPIISMS认证范围需不大于组织的ISMS的认证范围，超出的认证范围必须先安排对其ISMS实施专项扩大审核后，再安排CPIISMS 的审核。

四、申请ISO27018认证需提供的资料

申请认证提供的资料如下：

1） 基本资料（营业执照、行政许可（如有）、临时场所清单等）;

2） 有效的ISMS 认证证书或ISMS 认证申请；

3） 支持公有云中个人可识别信息保护管理体系的规程和控制措施；

4） 隐私影响评估报告（含隐私影响评估方法的描述）；

5） 适用性声明；

6） 适用的法律法规的标准的清单；

7）《管理体系认证申请书》中的具体事项；

注意：如申请过程中还需要其他材料，请与我司的业务同事沟通清楚，提前准备。

五、申请ISO27018认证的其他注意事项

1、通常情况下认证的证书有效期为三年；

2、若贵司的ISMS的认证证书暂停或撤销时，CPIISMS 认证证书会同时进行暂停或撤销。

ISO27018的目的是为了给那些希望保护他们的数据的服务提供者提供信任，并最大程度地减少云服务企业固有的风险和潜在的破坏成本。