ISO/IEC 27701認(rèn)證向在信息安全管理體系中負(fù)責(zé)PII（個人身f信息）處理的任何組織提供指南。各種規(guī)模和類型的組織，包括上市公司和私營公司以及政府實(shí)體和其他類型的組織，都可以從中受益。它提供了一種基于風(fēng)險的方法，可以幫助組織應(yīng)對所面臨的特定隱私風(fēng)險以及數(shù)據(jù)和隱私風(fēng)險。
與ISO 27001標(biāo)準(zhǔn)類似，ISO 27701不期望組織機(jī)構(gòu)在所有情況下采納每一條控制。相反，該標(biāo)準(zhǔn)要求組織機(jī)構(gòu)理解自身PII處理的具體上下文，以適合其處理活動的方式調(diào)整特定控制集和與之相關(guān)的實(shí)現(xiàn)。
ISO 27701合規(guī)首先要求ISO 27001合規(guī)。二者互為補(bǔ)充。遵從ISO 27701要求的組織機(jī)構(gòu)會留下其PII處理方式的書面證據(jù)，可用于推動與商業(yè)合作伙伴就PII處理問題簽訂協(xié)議，明確該組織機(jī)構(gòu)與其他利益相關(guān)者間的PII處理方式。盡管GDPR尚未確立官方認(rèn)證方法，近期報告表明，ISO 27701或可在近期改變這一現(xiàn)狀。
客戶若想雇傭供應(yīng)商代表自己處理和維護(hù)PII，應(yīng)考慮以合同的形式要求這些供應(yīng)商不僅遵從ISO 27001，還要遵從ISO 27701，或者在數(shù)據(jù)敏感度適用的情況下取得符合該標(biāo)準(zhǔn)的認(rèn)證。即使客戶不要求供應(yīng)商經(jīng)過獨(dú)立第三方的新標(biāo)準(zhǔn)合規(guī)認(rèn)證，可能也想要更新合同，確保供應(yīng)商能夠符合ISO 27701的要求。鑒于ISO 27701才剛發(fā)布，合同中也可寫入供應(yīng)商符合新標(biāo)準(zhǔn)要求的合理時延。
