ISO 27701 隐私信息管理体系

搭隐私信息安全保护伞，筑隐私信息安全防火墙 在互联网和大数据时代，许多业务的开展都离不开个人隐私信息的处理，隐私保护问题已然成为当前社会的一大关注焦点。2021年8月20日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》，并将于2021年11月1日起正式实行。 这意味着，保护个人身份信息 (PII) 不仅是社会共识，更已成为法律的强制要求，组织面临着来自客户、最终用户、投资者和政府监管所交付的多重责任。组织应如何管理个人可识别信息 (PII) 或个人数据，如何确保隐私合规，都成为摆在组织面前亟待解决的新问题和新挑战。 ISO/IEC 27701正是基于此需求而开发的一项国际管理体系标准，它是ISO 27001（信息安全管理体系）和ISO 27002（信息安全控制实践指南）在隐私信息管理的一个扩展标准。为组织在保护个人隐私信息方面提供指导。随着欧盟的GDPR和更多类似隐私数据保护法律法规的发布，全球范围内对隐私要求的合规需求正在增加。几乎每个组织都会处理个人可识别信息 (PII)。另外，处理的PII数量和类型也在不断增加，组织间相互合作处理PII的情况也在增多。在PII处理的背景下保护隐私是一项社会需求，也是全球范围内专项法律法规的主要议题。 ISO 27701隐私信息管理体系让组织能持续改善在数据保护方面的实践，同时也是对信息安全管理体系在个人信息保护方面的进一步深化，旨在个人数据利用与保护之间进行合理的平衡，降低组织运营与合规方面的风险。

ISO 20000 信息技术服务体系

随着全球IT服务业逐渐走向专业化和外包化，各组织的业务运作越来越依赖于IT，越来越多的组织考虑将其IT服务运营外包给专业的IT服务提供商或者对内部的IT支持部门提出更明确的服务要求，以确保提高服务质量，降低服务成本，降低因IT服务中断所导致的业务风险。 如何控制IT服务的整体风险（无论是内部还是外部），提高IT的整体服务水平是一个需要高度重视的问题，而ISO 20000信息技术服务管理体系就是解决该问题的指南。ISO 20000是一部针对信息技术服务管理领域的国际标准，该标准代表了被广泛认可的评估IT服务管理流程的原则的基础。ISO 20000信息技术服务管理体系标准定义了一套全面的、紧密相关的服务管理流程。其中，ISO 20000-1定义了一个服务提供方，向其顾客交付受管理的服务并达到可接受质量的基本要求。ISO 20000是一个针对管理流程系统的标准，ISO 20000的认证适用于IT服务的提供者，可以是外部的服务提供商，也可以是内部的IT部门。 ISO 20000是面向机构的IT服务管理标准，目的是提供建立、实施、运作、监控、评审、维护和改进IT服务管理体系的模型。建立IT服务管理体系已成为各种组织，特别是金融机构、电信、高科技产业等管理运营风险不可缺少的重要机制。ISO 20000让IT管理者有一个参考框架用来管理IT服务，完善的IT管理水平也能通过认证的方式表现出来。 ISO 20000认证能够增强营运的可靠性，是证明组织建立了可信赖的IT服务管理体系的承诺。ISO 20000是组织向员工、利益相关方和客户展示IT服务可信度和高质量的有效证明。在必要时，IT专家提供技术支持可以保障IT管理系统的质量与可靠性，使他们能够及时掌握IT问题并减少连带的潜在威胁。