ISO IEC 27557-2022 PDF

Полное наименование и описание

ISO/IEC 27557:2022 — Information security, cybersecurity and privacy protection — Application of ISO 31000:2018 for organizational privacy risk management. Стандарт даёт рекомендации по применению принципов и процесса управления рисками из ISO 31000:2018 к рискам, связанным с обработкой персонально идентифицируемой информации (PII), и описывает, как включить эти риски в общую программу управления рисками организации.

Аннотация

Документ объясняет, как идентифицировать, оценивать и управлять рисками, возникающими в результате обработки PII, включая последствия для физических лиц и возможные организационные последствия (например, репутационные потери). Стандарт предназначен для интеграции приватностно-ориентированных рисков в существующую систему управления рисками организации и применим ко всем типам и размерам организаций.

Общая информация

• Статус: Опубликован (International Standard).
• Дата публикации: Ноябрь 2022 (дата публикации в базе IEC — 4 ноября 2022 г.).
• Организация-издатель: ISO/IEC (разработка в рамках ISO/IEC JTC 1/SC 27 — Information security, cybersecurity and privacy protection).
• ICS / категории: 35.030 (IT Security / Информационная безопасность).
• Редакция / версия: Издание 1 (Edition 1, 2022).
• Количество страниц: 19 страниц (PDF / официальная публикация).

Область применения

Стандарт предназначен для организаций любого размера и типа, которые обрабатывают PII или разрабатывают продукты и услуги, которые могут обрабатывать PII. Он подходит для интеграции управления рисками приватности в существующие корпоративные процессы управления рисками и для выработки процедур оценки организационных и индивидуальных последствий инцидентов с персональными данными.

Ключевые темы и требования

• Применение принципов и процесса ISO 31000:2018 к рискам, связанным с PII (идентификация, анализ, оценка, обработка и мониторинг рисков).
• Разделение и учёт последствий для физических лиц и организационных последствий (включая репутационные и регуляторные риски).
• Интеграция управления рисками приватности в общую программу управления рисками организации.
• Рекомендации по документированию, обмену информацией и коммуникации по вопросам приватности в контексте управления рисками.
• Указания по применению к различным типам организаций и к продуктам/услугам, обрабатывающим PII.

Применение и пользователи

Основные пользователи стандарта — специалисты по управлению рисками, специалисты по защите персональных данных (DPO), менеджеры информационной безопасности, руководители программ соответствия и телекоммуникационных/ИТ-проектов, а также консультанты по приватности и внутренние аудиторы. Стандарт полезен для организаций, стремящихся системно оценивать и управлять рисками приватности в рамках корпоративного риск-менеджмента.

Связанные стандарты

ISO/IEC 27557:2022 логически соотносится со следующими документами и семействами стандартов по безопасности и приватности: ISO 31000:2018 (управление рисками); серия ISO/IEC 27000 (информационная безопасность); ISO/IEC 27701 (Privacy Information Management — PIMS) и другие руководящие документы и коды практик по защите PII (например, ISO/IEC 29100, ISO/IEC 27018). Эти связи помогают интегрировать управление рисками приватности с общими системами управления безопасностью и приватностью.

Ключевые слова

privacy risk management; PII; ISO 31000; управление рисками; информационная безопасность; JTC 1/SC 27; privacy governance.

FAQ

В: Что это за стандарт?

О: Руководящий международный стандарт, который показывает, как применять методику и принципы управления рисками ISO 31000:2018 к рискам, связанным с обработкой персональных данных (PII).

В: Что он регулирует?

О: Стандарт не задаёт обязательных требований для сертификации; это руководство (guideline), которое описывает процессы и хорошие практики по идентификации, оценке и обработке рисков приватности, а также по интеграции этих процессов в общую систему управления рисками организации.

В: Кто обычно использует?

О: Специалисты по приватности и защите данных, DPO, менеджеры рисков, менеджеры по информационной безопасности, консультанты и внутренние аудиторы — все, кто отвечает за системное управление рисками, связанными с данными о частных лицах.

В: Он актуален или заменён?

О: По состоянию на публикацию — стандарт действующий (опубликован в ноябре 2022 г.). Для проверки актуальности конкретных версий стандартов всегда рекомендуется свериться с официальными реестрами ISO/IEC или национальными организациями по стандартизации на момент запроса.

В: Это часть серии?

О: Да. ISO/IEC 27557 связан с более широкой тематикой стандартов по информационной безопасности и приватности (серии ISO/IEC 27000, ISO/IEC 27701 и др.) и ориентирован на применение ISO 31000 в контексте приватности.

В: Какие ключевые слова?

О: Privacy risk management, PII, ISO 31000:2018, управление рисками, privacy governance, информационная безопасность.