ISO IEC 29151-2017 PDF

Полное наименование и описание

ISO/IEC 29151:2017 — Information technology — Security techniques — Code of practice for personally identifiable information protection. Стандарт описывает цели контроля, конкретные меры безопасности и рекомендации по их внедрению для защиты персонально идентифицируемой информации (PII) в контексте оценки рисков информационной безопасности организации.

Аннотация

Документ устанавливает целевые задачи по защите PII, набор контролей и руководство по реализации этих контролей на основе ISO/IEC 27002 с учётом требований к обработке PII в разных средах. Стандарт применим к организациям различного размера, действующим как контролёры PII, и ориентирован на практические меры безопасности, вытекающие из оценки рисков и оценки воздействия на конфиденциальность.

Общая информация

• Статус: Международный стандарт, опубликован и действующий; отмечается работа над новой редакцией (FDIS на стадии утверждения по данным ISO).
• Дата публикации: 18 августа 2017 г. (издание 1).
• Организация-издатель: ISO и IEC (совместная разработка ISO/IEC JTC 1/SC 27 — Information security, cybersecurity and privacy protection).
• ICS / категории: 35.030 (IT Security) — категория информационной безопасности/информационных технологий.
• Редакция / версия: Edition 1.0 (2017).
• Количество страниц: 39 страниц (формат оригинала).

Область применения

Стандарт предназначен для всех типов и размеров организаций, которые действуют как контролёры PII (определение в ISO/IEC 29100) — коммерческие и государственные организации, некоммерческие структуры, а также организации, не внедрившие формальную систему управления конфиденциальностью. ISO/IEC 29151 фокусируется на практических мерах защиты PII в рамках общего управления информационной безопасностью организации.

Ключевые темы и требования

• Определение целей контроля и наборов контролей, специфичных для защиты PII (на основе ISO/IEC 27002).
• Рекомендации по внедрению контролей в зависимости от результатов оценки рисков и оценки воздействия на конфиденциальность (privacy impact assessment).
• Управление жизненным циклом PII: сбор, хранение, доступ, передача, удержание и безопасная утилизация/удаление данных.
• Роли и обязанности (контролёр PII, ответственные за обработку, технические и организационные меры).
• Соответствие и взаимодействие с общими требованиями информационной безопасности (интеграция с системами, основанными на ISO/IEC 27001/27002).
• Рекомендации по применению специальных мер в облачных и аутсорсинговых сценариях (см. сопутствующие стандарты по облачным PII).

Применение и пользователи

Основные пользователи стандарта: ответственные за безопасность информации и конфиденциальность (CISO, DPO), менеджеры IT и операций, аудиторы, консультанты по защите данных, а также разработчики политик и процедур обработки персональных данных. Стандарт полезен как организациям, выстраивающим практические меры безопасности для PII, так и тем, кто интегрирует защиту PII в существующие СУИБ.

Связанные стандарты

ISO/IEC 29151 тесно связан с ISO/IEC 27000‑серией (в частности ISO/IEC 27002 и ISO/IEC 27001) и с рамочным стандартом по приватности ISO/IEC 29100. Также стандарт логически дополняется отраслевыми рекомендациями по PII в облаке (например ISO/IEC 27018) и расширениями по управлению приватностью (ISO/IEC 27701). Эти связи отражают практическую интеграцию мер защиты PII в общую систему управления информационной безопасностью и управления приватностью.

Ключевые слова

PII, персональные данные, информационная безопасность, конфиденциальность, контролы безопасности, ISO/IEC 27002, оценка рисков, защита данных.

FAQ

В: Что это за стандарт?

О: Международный кодекс практики по защите персонально идентифицируемой информации (PII) — практические рекомендации по целям контроля, мерам и их внедрению в организациях.

В: Что он регулирует?

О: Стандарт не задаёт юридических требований; он определяет наборы контролей и практических мер для защиты PII в рамках управления информационной безопасностью, опираясь на ISO/IEC 27002 и результаты оценки рисков и оценки воздействия на конфиденциальность.

В: Кто обычно использует?

О: CISO, специалисты по безопасности и приватности, DPO, менеджеры IT и операционные команды, аудиторы и консультанты по защите данных — все, кто отвечает за внедрение технических и организационных мер защиты PII.

В: Он актуален или заменён?

О: ISO/IEC 29151:2017 — действующее издание, опубликованное в августе 2017 г. На официальных страницах отмечается, что в работе находится следующая редакция (FDIS/в процессе утверждения), поэтому рекомендуется проверять официальные метаданные у издателей при необходимости подтверждения самой последней редакции.

В: Это часть серии?

О: Да — стандарт входит в экосистему ISO/IEC JTC 1/SC 27 по информационной безопасности и приватности и логически связан с ISO/IEC 27000‑серией, ISO/IEC 29100 и другими документами по защите PII и приватности.

В: Какие ключевые слова?

О: PII, персональные данные, контроль безопасности, защита конфиденциальности, ISO/IEC 27002, оценка рисков.