隱私信息管理體系認證
一、業務背景
各種業務服務的數字化、全球化以及個性化導致個人信息比以往更多地被收集和處理。隨著新的服務機會涌現以及新市場參與者的出現，這一趨勢在持續不斷的增長。
如今，多種多樣的平臺已成為人們日常生活不可或缺的一部分，個人信息在這些平臺中也被廣泛的收集。例如，移動應用、會員計劃、設備互聯位置廣告。這意味著我們經常在未經深思熟慮的情況下提供我們的數據，從而導致與以往相比，有更多數據被隨意傳播。無論是約會網站、電信服務提供商還是公共服務組織，我們幾乎每天都看到有關個人信息被泄露的新聞事件。這使得對個人信息濫用問題的關注不斷增強，也意味著組織對此決不能掉以輕心。
對這些問題充分的認識，已經引發了個人和政府部門在對個人數據收集、使用和保護方式上越來越多的關注；為此，一些政府部門擬定或者實施了新的法規，旨在提供與個人數據處理相關的指南和要求。
在歐洲，《通用數據保護條例》(GDPR)的推出協調了各類數據隱私法律，充分反映了我們現在所生活的數字世界的現實狀況。
許多其他國家/地區（例如，韓國、澳大利亞和中國）也在制定數據保護法規。由于預期監管環境將日益加強，我們運營所處的環境在不斷變化，針對組織應當如何管理和處理數據，以減少個人信息風險的相關指南重大意義。國際標準化組織(ISO)和國際電工委員會(IEC)發布的國際標準ISO/IEC27701：2019（Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines）來提供此類指南。
二、業務介紹
ISO/IEC27701是在隱私保護方面對ISO/IEC27001和ISO/IEC27002的擴展，針對保護可能受到個人信息收集和處理影響的隱私提供了更多相關指南。設計的目的在于借助更多的要求增強現有ISMS，以建立、實施、維護和持續改進隱私信息管理體系(PIMS)。ISO/IEC27701標準概述了適用于個人身份信息(PII)控制者和PII處理者的框架，以有效管理隱私控制，降低個人隱私權面臨的風險。ISO/IEC27701標準的附加要求和指南對于任何規模和文化環境的組織都具有實用性和可用性。
ISO/IEC27701標準的正式發布，目的在于使組織能夠獲得針對ISO/IEC27701的認證，以此作為ISO/IEC27001管理體系的擴展。計劃尋求通過ISO/IEC27701認證的組織還需要通過ISO/IEC27001認證，以證實對信息安全和隱私信息管理的承諾。
三、實施該業務的價值
ISO/IEC 27701 該標準為企業和其他組織提供了一個國際通用的隱私信息管理工具，對于降低企業隱私合規難度，便利企業提供合規證明，增強社會各方對企業的信任程度具有重要意義。實施隱私信息管理，至少獲得如下收益：
1) 合規。通過明確對PII處理者的隱私保護要求，可以明確隱私保護管理合規目標，減輕組織合規負擔的同時降低了組織合規風險，ISO27701標準附錄D中明確表示，單個隱私控制點可以滿足GDPR中的多項要求。滿足了ISO27701標準也就意味著基本滿足GDPR的要求，而GDPR是眾多隱私保護法規中最為嚴格的。
2) 完善自身數據安全能力和風險管理。實現持續完善產品的非功能性要求，進而展示出產品在處理個人隱私安全、安全治理的績效，通過流程分析，在流程的輸入、輸出、控制過程中，識別、分析、驗證隱私保護需求、傳遞隱私保護價值，減少甚至消除隱私泄露的風險，如：體現為采用隱私控制技術（如日志脫敏、數據庫加密）、產品架構（如加密芯片）、技術路徑（如完整性校驗）等。
3) PIMS認證可以傳遞信任?？蛻艋蚝献骰锇椋绕涫钦M織、金融機構作為承擔隱私風險的機構，通常為要求PII處理者提供相關證據（如PIA分析報告），從而證明PII處理者的產品能符合使用的隱私管理體系要求。通過得到授權的第三方機構對PII處理者進行基于國際標準的審核，可以極大的降低合規溝通成本，這種合規透明度的提高對于組織戰略和業務決策至關重要，同時PIMS認證也有助于向公眾傳達組織的可信度。
四、業務流程
申請認證的組織組織應已建立符合ISO/IEC 27001：2013和ISO/IEC 27701：2019標準要求的管理體系，在申請認證之前應完成內部審核和管理評審，并保證體系有效、充分運行三個月以上；
組織應向賽西認證提供管理體系運行的充分信息，對于多現場應說明各現場的認證范圍、地址及人員分布等情況，賽西認證將以抽樣的方式對多現場進行審核；
認證分兩個階段進行：第一階段審核，主要進行文件審核并確認第二階段審核準備的充分性；第二階段審核，主要對體系的符合性和有效性進行評價，作出現場審核的推薦結論；
證書有效期3年，獲得認證后每年進行一次監督。
