ISO 27017 是关于云服务信息安全控制的国际标准，其中特别强调了个人可识别信息（Personally Identifiable Information，PII）的保护管理体系。
一、重要意义
对于企业而言，实施 ISO 27017 个人可识别信息保护管理体系具有多方面的重要意义。
1. 增强信任：向客户、合作伙伴和监管机构展示企业对保护个人隐私的承诺，提升企业的信誉度和公信力。
2. 降低风险：通过建立完善的信息安全管理体系，有效降低个人信息泄露的风险，减少因信息安全事件带来的法律责任和经济损失。
3. 合规要求：满足国内外相关法律法规对个人信息保护的要求，避免因不合规而面临处罚。
二、主要内容
1. 安全策略与管理
制定明确的个人信息保护策略，明确责任和目标。
建立完善的管理架构，确保个人信息保护工作得到有效实施。
2. 风险评估与控制
对涉及个人信息的业务流程进行风险评估，识别潜在的安全风险。
采取相应的控制措施，降低风险至可接受水平。
3. 访问控制
严格控制对个人信息的访问权限，确保只有授权人员能够访问。
采用身份认证、访问授权等技术手段，加强访问控制。
4. 加密与安全通信
对个人信息进行加密处理，确保在存储和传输过程中的安全性。
采用安全的通信协议，防止信息被窃取或篡改。
5. 监控与审计
建立监控机制，实时监测个人信息的使用和访问情况。
定期进行审计，确保个人信息保护管理体系的有效性。
三、实施步骤
1. 现状评估：对企业现有的个人信息保护管理体系进行全面评估，找出存在的问题和差距。
2. 制定计划：根据评估结果，制定详细的实施计划，明确工作任务、时间表和责任人。
3. 体系建设：按照 ISO 27017 标准的要求，建立完善的个人信息保护管理体系，包括制定政策、流程和技术措施等。
4. 培训与宣传：对企业员工进行个人信息保护培训，提高员工的安全意识和操作技能。同时，通过宣传活动，向客户和合作伙伴传达企业的个人信息保护理念。
5. 内部审核：定期对个人信息保护管理体系进行内部审核，发现问题及时整改。
6. 管理评审：由企业管理层对个人信息保护管理体系进行评审，确保体系的持续有效性和适应性。
ISO 27017 个人可识别信息保护管理体系的认证条件
一、管理要求
1. 明确的领导承诺：企业高层领导应明确承诺对个人可识别信息保护的重视，并提供必要的资源支持。
领导需发布信息安全方针，明确对个人信息保护的态度和目标。
为信息安全管理体系的建设和运行分配足够的人力、财力和物力资源。
2. 完善的组织架构：建立健全的信息安全管理组织架构，明确各部门和人员的职责。
设立信息安全管理负责人，负责体系的整体规划、实施和监督。
各部门应明确信息安全职责，指定专人负责本部门的信息安全工作。
3. 风险评估与管理：开展全面的风险评估，识别个人可识别信息面临的风险，并制定相应的风险管理策略。
确定风险评估的方法和流程，定期对个人信息处理活动进行风险评估。
根据风险评估结果，制定风险处置计划，采取适当的控制措施降低风险。
4. 安全策略与制度：制定完善的信息安全策略和制度，规范个人可识别信息的收集、存储、使用、传输和销毁等环节。
信息安全策略应明确个人信息保护的目标、原则和要求。
制定具体的制度和流程，如访问控制制度、加密制度、数据备份制度等。
5. 人员管理：加强对员工的信息安全管理，提高员工的安全意识和技能。
对员工进行信息安全培训，使其了解个人信息保护的重要性和相关要求。
与员工签订保密协议，明确员工对个人信息的保密责任。
6. 合规管理：确保企业的个人信息处理活动符合相关法律法规和标准的要求。
定期对企业的信息安全管理体系进行合规性审查，及时发现和纠正不符合法律法规的行为。
关注法律法规的变化，及时调整企业的信息安全策略和制度。
二、技术要求
1. 访问控制：实施严格的访问控制措施，确保只有授权人员能够访问个人可识别信息。
采用身份认证技术，如用户名/密码、数字证书等，验证用户身份。
对不同用户设置不同的访问权限，限制其对个人信息的访问范围。
2. 加密技术：对个人可识别信息进行加密处理，确保在存储和传输过程中的安全性。
采用合适的加密算法，对敏感信息进行加密存储。
在传输个人信息时，使用安全的通信协议，如 HTTPS、VPN 等，对数据进行加密传输。
3. 数据备份与恢复：建立完善的数据备份和恢复机制，确保个人可识别信息的可用性和完整性。
定期对个人信息进行备份，存储在安全的位置。
制定数据恢复计划，确保在发生数据丢失或损坏时能够及时恢复数据。
4. 安全审计：实施安全审计措施，对个人信息处理活动进行监控和审计。
记录个人信息的访问、修改和删除等操作，以便进行审计和追溯。
定期对审计日志进行分析，发现潜在的安全风险和违规行为。
5. 物理安全：确保个人可识别信息存储和处理的物理环境安全。
对数据中心、服务器机房等重要场所进行物理访问控制，防止未经授权的人员进入。
采取防火、防水、防雷等措施，保护物理设备的安全。