Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC 27018:2019 — 信息安全管理 — 公有云中个人可识别信息保护
公有云个人可识别信息处理的隐私控制与数据主体权利框架
一、在公有云环境中保护个人可识别信息
ISO/IEC 27018:2019 建立了公有云环境中保护个人可识别信息（PII）的实施准则。作为首个专门针对云隐私的国际标准，它为云服务提供商提供了实施保护 PII 控制措施并证明符合全球隐私法规的框架。该标准在 ISO/IEC 27001 和 ISO/IEC 27002 的控制集基础上增加了专门设计的额外控制措施，以应对公有云计算带来的独特隐私挑战，包括多管辖数据处理、共享基础设施以及云提供商与客户在数据处理实践方面的权力不平衡。
ISO/IEC 27018 对于寻求在隐私保护方面实现差异化竞争的云服务提供商以及需要在合同中获得数据按照国际公认隐私原则处理保证的云客户尤为有价值。
2019 版更新了该标准以与不断演变的隐私法规保持一致，特别是欧盟通用数据保护条例（GDPR），并吸收了自 2014 年首次发布以来实施经验中的反馈。关键更新包括关于数据泄露通知、数据可移植性和数据主体权利的增强指南。该标准设计为与作为管理体系基础的 ISO/IEC 27001 和作为通用控制框架的 ISO/IEC 27002 配合使用，ISO/IEC 27018 增加了公有云 PII 处理所必需的隐私特定控制措施。
二、关键控制措施与数据主体权利
ISO/IEC 27018 引入了一组围绕公平合法 PII 处理、目的限制、数据最小化、准确性、存储限制、完整性和保密性以及问责制等核心原则组织的控制措施。该标准要求云服务提供商实施特定的控制措施，使 PII 控制者（通常是云客户）能够履行其对数据主体的义务。这些措施包括获取同意的控制、实现数据主体访问权利、支持数据可移植性请求以及确保 PII 未经控制者授权不会用于不相容目的的控制。
| 控制类别 | 具体控制 | GDPR 对应 | 实施指南 |
|---|---|---|---|
| 同意与选择 | PII 处理同意、目的说明和使用限制控制 | 第 6-7 条（合法性、同意条件）、第 13-14 条（向数据主体提供信息） | 实施同意管理平台；维护处理活动记录（ROPA）；支持细粒度同意撤销 |
| 数据主体权利 | 实现访问、更正、删除（被遗忘权）和数据可移植性的控制 | 第 15-20 条（数据主体权利，包括访问、更正、删除、可移植性） | 提供数据主体请求自助服务门户；在法规时限内（通常 30 天）实施自动化的权利履行工作流 |
| 数据处理 | 确保 PII 仅按控制者指示处理的控制，包括分包商监督 | 第 28 条（处理者义务）、第 32 条（处理安全） | 维护分包商名单；对子处理者进行尽职调查；实施传递隐私义务的合同控制 |
| 泄露通知 | 检测、报告和通知 PII 泄露给控制者和数据主体的控制 | 第 33-34 条（个人数据泄露的通知义务） | 实施泄露检测系统；定义通知模板和时间线；建立 24/7 事件响应能力 |
| 问责制 | 证明遵守隐私义务的文档、记录保存和审计控制 | 第 5(2) 条（问责原则）、第 30 条（处理活动记录） | 维护全面 ROPA；对高风险处理进行 DPIA；在法律要求期限内保留审计日志 |
| 数据保留与处置 | 限制 PII 保留、合同终止时安全处置和验证删除的控制 | 第 5(1)(e) 条（存储限制）、第 17 条（删除权） | 实施自动保留策略；提供认证删除能力；应要求出具删除证书 |
ISO/IEC 27018 的一个关键且经常被忽视的要求是禁止将 PII 用于超出控制者指定目的之外的目的——特别包括在未经控制者明确同意的情况下禁止将客户数据用于广告、分析或机器学习训练。
三、工程合规与全球隐私法规
实施 ISO/IEC 27018 要求云服务提供商将隐私控制嵌入其服务架构、运营流程和治理框架。从技术架构角度来看，提供商应实施数据分类和标记能力，使 PII 能够在整个生命周期内被识别和跟踪；加密机制，保护静态和传输中的 PII，并提供提供商管理或客户管理的密钥选项；逻辑隔离控制，防止跨客户环境对 PII 的未授权访问；以及全面的审计日志记录，记录对 PII 的所有访问和处理。该标准还要求提供商实施支持数据主体权利的机制，包括自助服务门户、自动化数据检索工作流和安全数据导出能力。
治理和法律框架同样重要。云服务提供商应指定数据保护官或同等角色，维护所有 PII 处理活动的登记册，对新服务或重大变更进行隐私影响评估，并建立明确定义提供商作为数据处理者和客户作为数据控制者的角色与职责的合同框架。提供商应提供客户进行自身合规评估所需的所有信息，包括处理活动记录、分包商名单、数据处理地点和安全认证。许多提供商选择发布信任文档门户，使客户能够实时访问合规证据。
实施 ISO/IEC 27018 的云服务提供商在隐私合规是采购标准的市场中获得了显著的竞争优势，接受调查的组织报告称，当在隐私评估中引用该标准时，销售周期缩短了 25-40%。
常见问题
问：ISO/IEC 27017 和 ISO/IEC 27018 有什么区别？
答：ISO/IEC 27017 涉及适用于所有类型云数据和服务的通用云安全控制措施。ISO/IEC 27018 专门涉及公有云中个人可识别信息（PII）的保护，增加了隐私特定控制措施如同意义务、数据主体权利以及限制将 PII 用于超出控制者指令范围的目的。
答：ISO/IEC 27017 涉及适用于所有类型云数据和服务的通用云安全控制措施。ISO/IEC 27018 专门涉及公有云中个人可识别信息（PII）的保护，增加了隐私特定控制措施如同意义务、数据主体权利以及限制将 PII 用于超出控制者指令范围的目的。
问：ISO/IEC 27018 是可认证的标准吗？
答：是的。ISO/IEC 27018 通常用作认证或证明的基础。许多认证机构提供针对该标准的评估服务，几家主要云提供商维护着可公开验证的 ISO/IEC 27018 认证。
答：是的。ISO/IEC 27018 通常用作认证或证明的基础。许多认证机构提供针对该标准的评估服务，几家主要云提供商维护着可公开验证的 ISO/IEC 27018 认证。
问：ISO/IEC 27018 与 GDPR 有什么关系？
答：ISO/IEC 27018 为 GDPR 中与个人数据云处理相关的许多要求提供了实际实施框架。虽然 ISO/IEC 27018 认证并不自动意味着 GDPR 合规，但它显著展示了 GDPR 第 32 条所需的技术和组织措施。
答：ISO/IEC 27018 为 GDPR 中与个人数据云处理相关的许多要求提供了实际实施框架。虽然 ISO/IEC 27018 认证并不自动意味着 GDPR 合规，但它显著展示了 GDPR 第 32 条所需的技术和组织措施。
问：ISO/IEC 27018 仅适用于公有云还是也适用于私有云和混合云？
答：该标准专门针对公有云环境，其特点是多租户、自助服务配置和共享基础设施。但其中许多隐私控制措施也适用于其他云部署模型，并可以调整用于私有云和混合云环境。
答：该标准专门针对公有云环境，其特点是多租户、自助服务配置和共享基础设施。但其中许多隐私控制措施也适用于其他云部署模型，并可以调整用于私有云和混合云环境。
