ISO/IEC 27001一直沿用至今。为了处理云计算技术所引|发的问题，ISO于201 4年秋季创立了- -项新的标准ISO/IEC 27018。云服务供应商要采用这一标准以确保客户数据安全, 让客户能够安枕无忧。这一新标准是对ISO/IEC 27001和ISO/IEC 27002标准的扩展,为云服务供应商如何处理个人可识别信息(PII)的企业提供了指南。对于企业而言，这有点像法律”雷区” ，原因之- -在于 《欧盟-般数据保护条例》(EUGDPR)经过长时间才予以通过,不过，首先需要做的是明确一-些法律定义。最关键的定义是PII本身,这是所有讨论的基础。

 

 

 

PlI被定义为:

 

 

 

(a)可被用于识别与此类信息相关的PII当事人;

 

 

 

(b)可直接或间接与PII当事人关联的任何信息。

 

 

 

ISO/IEC27018是公有云服务中个人可识别信息保护的-种行为准则。它在体系结构上沿用了被广泛使用且备受重视的ISO/IEC 27002信息安全控制行为准则的框架。那么, ISO/IEC2701 8能够为客户提供什么?它又为何如此重要?

 

 

 

个人数据泄露的潜在风险已成为国际首要议程。大量重大信息安全事件已将人们的注意力弓|向如何保护自己的个人详细信息。

 

什么是ISO27018？

 

 

 

ISO 27018是针对云服务提供商的第一个针对隐私的国际标准，该标准是针对云计算服务量身定制的。它包含有关减少公共云产品中适用于PII的信息安全风险的特定指南。它的构造 是对ISO/IEC 27001:2013附录A中的控件集的补充，并包括云服务提供商特有的扩展控件,这些控件与ISO 29100中的1 1条隐私原则相关。

 

 

 

关键准则

 

 

 

ISO2701 8概述了认证的云服务提供商可以在其控制框架中包括的几个关键准则，以证明它们符合标准。

 

 

 

这些准则包括:

 

 

 

除非客户同意，否则PII不能用于商业营销或广告目的。客户可以控制自己的数据， 并且云提供商只能按照客户的指示来处理PII。

 

 

 

通过公共网络传输，存储在移动设备上或恢复或还原数据时，云服务提供商需要以特定方式处理PII。云服务提供商(和相关人员)还必须签署保密协议，并为将直接处理PII的员工提供专门培训。

 

 

 

如果发生数据泄露，提供者应立即通知客户，保持事件的清晰记录，并协助其客户继续遵守其自身的安全义务。

 

 

 

在签署合同之前，云服务提供商必须披露任何子处理器的名称(以及有关PII可能在何处处理的任何位置信息)。如果提供商在合同中途更改了子处理器，则它还必须披露此信息，并向客户提供终止合同的权利。

 

 

 

尽管该全球标准特别适用于云中的PII带来了好处，但绝大多数云提供商仍未赶上潮流。但是与行业紧密相关的人士认为，大市场期望符合ISO 2701 8标准只是时间问题。