ISO 27701 隐私信息管理体系标准目录
前言
简介
1 范围
2 规范性引用文件
3 术语、定义和缩写
4概述
4.1本标准的结构
4.2 ISO / IEC 27001：2013应用要求
4.3 ISO / IEC 27002：2013应用指南
4.4 顾客
5与ISO / IEC 27001相关的PIMS 具体要求
5.1概述
5.2组织环境
5.2.1了解组织及其背景
5.2.2了解顾客的需求和期望
5.2.3确定信息安全管理体系的范围
5.2.4信息安全管理体系
5.3领导力
5.3.1领导和承诺
5.3.2政策
5.3.3组织角色、职责和权限
5.4策划
5.4.1应对风险和机遇的措施
5.4.2信息安全目标和实现的策划
5.5支持
5.5.1资源
5.5.2能力
5.5.3意识
5.5.4沟通
5.5.5文件信息
5.6运行
5.6.1运营计划和控制
5.6.2信息安全风险评估
5.6.3信息安全风险处理
5.7绩效评估
5.7.1监测，测量，分析和改进
5.7.2内部审核
5.7.3管理评审
5.8改进
5.8.1不符合项与纠正措施
5.8.2持续改进
6.PIMS个人信息管理体系---与ISO / IEC 27002相关的特定指南
6.1概要
6.2信息安全策略
6.2.1信息安全的管理方向
6.3信息安全组织
6.3.1内部组织
6.3.2移动设备和远程工作
6.4人力资源保障
6.4.1任职前
6.4.2任职中
6.4.3雇佣劳动的终止和变更
6.5资产管理
6.5.1资产责任
6.5.2信息分类
6.5.3介质处置
6.6访问控制
6.6.1访问控制的业务要求
6.6.2用户访问管理
6.6.3用户责任
6.6.4系统和应用程序访问控制
6.7密码学
6.7.1密码控制
6.8物理和环境安全
6.8.1安全区域
6.8.2设备
6.9操作安全
6.9.1操作程序和职责
6.9.2防范恶意软件
6.9.3备份
6.9.4记录和监视
6.9.5操作软件的控制。
6.9.6技术漏洞管理。
6.9.7信息系统审核注意事项
6.10通信安全
6.10.1网络安全管理
6.10.2信息传递
6.11系统获取，开发和维护
6.11.1信息系统的安全要求
6.11.2开发和支持过程中的安全
6.11.3测试数据
6.12供应商关系
6.12.1供应商关系中的信息安全
6.12.2供应商服务交付管理。
6.13信息安全事件管理
6.13.1信息安全事件的管理和改进。
6.14业务连续性管理的信息安全方面
6.14.1信息安全连续性
6.14.2信息冗余
6.15符合性
6.15.1遵守法律和合同要求
6.15.2信息安全审查
7.针对个人身份信息控制器的其他ISO / IEC 27002指南
7.1概述
7.2收集和处理条件
7.2.1识别并记录目的
7.2.2确定合法依据
7.2.3确定何时以及如何获得同意
7.2.4获得并记录同意
7.2.5隐私影响评估
7.2.6与个人身份信息处理器的合同
7.2.7联合个人身份信息控制器
7.2.8与处理个人身份信息有关的记录
7.3个人身份信息原则的义务
7.3.1确定和履行对个人身份信息主体的义务
7.3.2确定个人身份信息主体的信息
7.3.3向个人身份信息主体提供信息
7.3.4提供修改或撤回同意的机制
7.3.5提供反对个人身份信息处理的机制
7.3.6访问，更正和/或删除
7.3.7个人身份信息控制者有义务告知第三方
7.3.8提供经过处理的个人身份信息的副本
7.3.9处理请求
7.3.10自动化决策
7.4设计隐私和默认隐私
7.4.1限额收集
7.4.2限价处理
7.4.3准确性和质量
7.4.4个人身份信息的最小化目标
7.4.5在处理结束时取消识别和删除个人身份信息
7.4.6临时文件
7.4.7保留
7.4.8处理
7.4.9个人身份信息传输控制
7.5个人身份信息的共享，转移和披露。
7.5.1确定辖区之间的个人身份信息转移的依据
7.5.2可以将个人身份信息转移到的国家和国际组织
7.5.3个人身份信息的转移记录
7.5.4个人身份信息向第三方披露的记录
8针对个人身份信息处理器的其他ISO / IEC 27002指南
8.1总则
8.2收集和处理条件
8.2.1客户协议
8.2.2组织的宗旨
8.2.3营销和广告使用
8.24侵权说明
8.2.5客户义务
8.2.6与处理个人身份信息有关的记录
8.3个人身份信息原则的义务
8.3.1个人身份信息主体的义务
8.4设计隐私和默认隐私
8.4.1临时文件
8.4.2个人身份信息的退回，转移或处置
8.4.3个人身份信息传输控制
8.5个人身份信息的共享，转移和披露
8.5.1个人身份信息在司法管辖区之间转移的依据
8.5.2可将个人身份信息转移到的国家和国际组织
8.5.3个人身份信息向第三方披露的记录
8.5.4个人身份信息披露请求的通知
8.5.5具有法律约束力的个人身份信息披露
8.5.6用于处理个人身份信息的分包商的披露
8.5.7委托分包商处理个人身份信息
8.5.8更改分包商以处理个人身份信息
附件A（补充件）个人信息管理体系特定的参考控制目标和控制（个人身份信息控制者）
附件B（补充件）特定于个人信息管理体系的参考控制目标和控制（个人身份信息处理器）
附件C（参考件）到ISO / IEC 29100的映射
附录D（参考件）映射到通用数据保护条例
附件E（参考件）对应ISO / IEC 27018和ISO / IEC 29151
附件F（参考件）如何将ISO / IEC 27701应用于ISO / IEC 27001和ISO / IEC 27002
参考书目
