熱線：已經(jīng)通過ISO27001認(rèn)證，希望實(shí)現(xiàn)ISO27701要求的組織該如何考慮呢？
發(fā)布時(shí)間：2020-08-20 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
客戶若想雇傭供應(yīng)商代表自己處理和維護(hù)PII，應(yīng)考慮以合同的形式要求這些供應(yīng)商不僅遵從ISO27001，還要遵從ISO27701，或者在數(shù)據(jù)敏感度適用的情況下取得符合該標(biāo)準(zhǔn)的認(rèn)證。即使客戶不要求供應(yīng)商經(jīng)過獨(dú)立第三方的新標(biāo)準(zhǔn)合規(guī)認(rèn)證，可能也想要更新合同，確保供應(yīng)商能夠符合ISO27701的要求。鑒于ISO27701才剛發(fā)布，合同中也可寫入供應(yīng)商符合新標(biāo)準(zhǔn)要求的合理時(shí)延。已經(jīng)通過ISO27001認(rèn)證，希望實(shí)現(xiàn)ISO27701要求的組織機(jī)構(gòu)，可以考慮采取下列步驟：
1. 按照ISO27701的要求對(duì)現(xiàn)有ISMS執(zhí)行漏洞評(píng)估，生成如何解決這些漏洞的行動(dòng)計(jì)劃。
2. 對(duì)組織機(jī)構(gòu)收集的PII執(zhí)行數(shù)據(jù)映射，了解所收集PII的范圍，弄清處理者共享和使用PII的方式。
3. 依據(jù)上下文相關(guān)的內(nèi)部或外部因素，比如適用的隱私立法、規(guī)定、司法判決或合同要求等，確定組織機(jī)構(gòu)作為控制者和/或處理者的角色。
4. 審核并更新隱私政策，確保含有所要求的信息。
5. 制定適用于該組織機(jī)構(gòu)角色的策略和規(guī)程。
6. 開始規(guī)劃和實(shí)現(xiàn)設(shè)計(jì)隱私與默認(rèn)隱私原則。
