ISO/IEC 27018:2025是保护公共云中个人可识别信息（PII）的国际行为准则，为充当PII处理者的公共云服务提供商提供特定的隐私保护控制措施。该标准基于ISO/IEC 27002，针对云环境中的隐私风险，提供了专门的控制目标和控制措施。核心内容包括云服务提供商的隐私政策透明、分包商管理、客户数据使用限制、政府访问请求处理、数据主体权利支持、数据泄露通知、加密措施实施及隐私事件响应等。标准要求云服务提供商承诺仅按客户指示处理PII，不得将PII用于广告或商业目的。该标准适用于作为PII处理者的公共云服务提供商，通过实施可增强客户对云隐私保护的信任，满足GDPR等法规的合规要求，在隐私保护方面建立竞争优势。
ISO/IEC 27018:2025 云隐私安全管理体系
ISO/IEC 27018:2025是保护公共云中个人可识别信息（PII）的国际行为准则，为充当PII处理者的公共云服务提供商提供特定的隐私保护控制措施。该标准基于ISO/IEC 27002，针对云环境中的隐私风险，提供了专门的控制目标和控制措施。
标准信息
国际标准
ISO/IEC 27018:2025
国家标准
无
标准名称
Information security, cybersecurity and privacy protection — Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors
标准名称
云隐私安全管理体系
发布机构
ISO/IEC 国际标准化组织与国际电工委员会
发布机构
无
发布日期
2025 年 8 月
发布日期
无
标准简介
标准目的
- 保护云隐私安全规范云环境中个人隐私信息的处理活动，保护个人隐私权益，防止云环境下的隐私信息泄露、滥用、篡改
- 合规隐私要求确保云隐私安全管理活动符合国家个人信息保护、数据安全相关法律法规及国际云隐私标准，规避隐私合规风险
- 防范云隐私风险识别并管控云服务全流程中的隐私风险（如隐私信息收集不规范、传输不安全、存储不加密），降低隐私安全事件发生率
- 提升云隐私信任通过体系认证彰显组织云隐私安全管理能力，提升云服务用户对云隐私保护的信任度，增强组织竞争力
- 规范云隐私管理统一云隐私安全管理流程与标准，明确云服务提供商与用户的隐私职责，实现云隐私管理标准化
适用范围
- 行业覆盖适用于所有提供或使用云服务且处理个人隐私信息的组织，涵盖互联网、金融、医疗、电商等全行业
- 规模覆盖适配小微企业、中小企业、大型集团、跨国企业等不同规模组织，可根据云隐私信息处理量灵活调整管控措施
- 场景覆盖涵盖云环境中隐私信息收集、存储、加工、传输、共享、销毁、应急处置等全流程处理场景
- 管理覆盖覆盖云隐私方针制定、风险评估、隐私影响评估、安全控制、绩效监测、持续改进等全管理环节
- 认证覆盖支持单一站点、多站点、集团化等不同组织架构的认证模式，满足云服务提供商与用户的隐私认证需求
核心要素
管理控制
核心维度覆盖占比
人工智能（AI）定义
人工智能（AI）定义
人工智能的三大核心要素
三大要素能力图
信息安全核心：CIA 三要素
核心概念定义
IT服务管理三要素
IT服务管理过程
CS能力评估等级体系
服务类型细分
部署模式细分
全等级综合对比
能力维度雷达对比
ITSS咨询设计核心说明
标准内容
- 1 范围
- 2 规范性参考文献
- 3 术语与定义
-
- 4.1 本文件的结构
- 4.2 控制布局
-
- 5.1 信息安全政策
- 5.2 信息安全职责
- 5.3 职责分离
- 5.4 管理职责
- 5.5 与当局接触
- 5.6 与特殊利益集团接触
- 5.7 威胁情报
- 5.8 项目管理中的信息安全
- 5.9 信息及其他相关资产清单
- 5.10 信息及相关资产的合理使用
- 5.11 资产归还
- 5.12 信息分类
- 5.13 信息的标注
- 5.14 信息传递
- 5.15 访问控制
- 5.16 身份管理
- 5.17 认证信息
- 5.18 访问权限
- 5.19 供应商关系中的信息安全
- 5.20 解决供应商协议中的信息安全问题
- 5.21 信息通信技术供应链中的信息安全管理
- 5.22 供应商服务的监控、审核和变更管理
- 5.23 云服务使用中的信息安全
- 5.24 信息安全事件管理的策划与准备
- 5.25 信息安全事件的评估与决策
- 5.26 对信息安全事件的响应
- 5.27 从信息安全事件中吸取教训
- 5.28 证据收集
- 5.29 中断期间的信息安全
- 5.30 企业业务连续性ICT准备
- 5.31 法律、法规、规章和合同要求
- 5.32 知识产权
- 5.33 记录保护
- 5.34 个人可识别信息（PII）的隐私与保护
- 5.35 独立审查信息安全性
- 5.36 信息安全管理政策、规则和标准的合规性
- 5.37 有文件记录的操作规程
-
- 6.1 筛选
- 6.2 雇佣条款
- 6.3 信息安全意识、教育与培训
- 6.4 纪律程序
- 6.5 终止或变更雇佣关系后的责任
- 6.6 保密或不披露协议
- 6.7 远程工作
- 6.8 信息安全事件报告
-
- 7.1 物理安全边界
- 7.2 物理入口
- 7.3 确保办公室、房间和设施的安全
- 7.4 物理安全监控
- 7.5 防范物理和环境威胁
- 7.6 在安全区域工作
- 7.7 清空桌面和屏幕
- 7.8 设备选址与保护
- 7.9 场外资产安全
- 7.10 存储介质
- 7.11 辅助公用工程
- 7.12 布线安全
- 7.13 设备维修
- 7.14 设备的安全处置或重复使用
-
- 8.1 用户终端设备
- 8.2 特权访问权限
- 8.3 信息访问限制
- 8.4 源代码的访问
- 8.5 安全认证
- 8.6 能力管理
- 8.7 恶意软件防护
- 8.8 技术漏洞的管理
- 8.9 配置管理
- 8.10 信息删除
- 8.11 数据掩蔽
- 8.12 数据泄露预防
- 8.13 信息备份
- 8.14 信息处理设施冗余
- 8.15 记录
- 8.16 监测活动
- 8.17 时钟同步
- 8.18 特权实用程序的使用
- 8.19 在操作系统上安装软件
- 8.20 网络安全
- 8.21 网络服务的安全性
- 8.22 网络隔离
- 8.23 Web过滤
- 8.24 密码学的应用
- 8.25 安全的开发生命周期
- 8.26 应用安全要求
- 8.27 安全系统架构与工程原则
- 8.28 安全编码
- 8.29 开发和验收过程中的安全测试
- 8.30 外包开发
- 8.31 开发、测试和生产环境的分离
- 8.32 变更管理
- 8.33 试验信息
- 8.34 审计测试中信息系统保护
-
- A.1 一般
-
- A.2.1 针对个人身份信息（PII）主体权利的合作义务
-
- A.3.1 公共云PII处理方的用途
- A.3.2 公共云PII处理者的商业用途
- A.4 收集限制
-
- A.5.1 临时文件的安全删除
-
- A.6.1 个人身份信息（PII）披露通知
- A.6.2 个人身份信息（PII）披露记录
- A.7 准确度与质量
-
- A.8.1 分包处理个人身份信息（PII）的披露要求
- A.9 个人参与和获取
-
- A.10.1 涉及个人身份信息（PII）的数据泄露通知
- A.10.2 行政安全政策与指南的保留期限
- A.10.3 个人身份信息（PII）的归还、转移与处置
-
- A.11.1 保密协议或非披露协议
- A.11.2 禁止制作纸质材料
- A.11.3 数据恢复的控制与日志记录
- A.11.4 保护离开场所的存储介质上的数据
- A.11.5 使用未加密的便携式存储介质和设备
- A.11.6 通过公共数据传输网络传输的个人身份信息（PII）加密
- A.11.7 硬拷贝材料的安全处置
- A.11.8 用户ID的唯一性使用
- A.11.9 用户ID管理
- A.11.10 授权用户记录
- A.11.11 合同措施
- A.11.12 分包的个人身份信息处理
- A.11.13 获取已使用数据存储空间的相关数据
-
- A.12.1 PII的地理位置
- A.12.2 个人身份信息（PII）的预期接收方
体系运行过程模型
| 阶段 | ISO27018中的定义 | 在标准中的核心映射 |
|---|---|---|
| P (策划) | 识别信息资产和风险，明确安全目标、适用控制和治理策略。 | 第4章、5章、6章（上下文、领导作用、风险策划） |
| D (实施) | 落地安全控制、职责分工、运行流程与监控机制。 | 第7章、8章（支持与运行）及控制域实施 |
| C (检查) | 通过监控、审计、评审验证控制有效性并识别差距。 | 第9章（监视测量、内审、管理评审） |
| A (处置) | 处理安全事件和不符合，更新风险评估与控制措施。 | 第10章（不符合、纠正和持续改进） |
ISO27018 标准解读
- 暂无对应标准解读，欢迎联系我们获取专项方案。
信息安全运行控制
云服务信息安全控制措施
核心维度覆盖占比
个人身份信息(PII)保护控制措施
核心维度覆盖占比
个人信息安全规范控制措施
核心维度覆盖占比
公有云隐私控制措施
核心维度数量占比
隐私概念
隐私控制者 vs 隐私处理者 核心区别
| 对比维度 | 隐私控制者 | 隐私处理者 |
|---|
隐私控制措施分类
隐私控制措施分类占比
七项质量管理基本原则
领域控制措施
核心维度覆盖占比
数据安全能力成熟度等级
数据安全过程
认证咨询流程
→→→→→→→→→
初次获证要求
- 合规性证明需持有法律地位证明文件（如营业执照）
- 资质许可特殊认证范围，需提供必要的行政许可、资质证书、强制性认证证书
- 成立周期公司成立超过3个月
- 运行周期体系运行超过3个月
- 体系要求依据ISO27018标准建立符合的云隐私安全管理体系
- 运行要求有健全的云隐私安全管理体系运行证据
- 内审管评必须有一次完整的内审和管理评审
- 现场审核通过一二阶段现场审核，并完成不符合整改
证书维护要求
- 证书有效期云隐私安全管理体系证书是三年有效期
- 监督审核云隐私安全管理体系证书需每年一次监督审核，与上次审核间隔不超过12个月
- 再认证审核云隐私安全管理体系证书有效期3年，到期前需进行一次换证审核，审核通过后，换发新三年周期的有效证书
- 变更审核当组织的云隐私安全管理体系发生变化，比如公司业务调整、办公地址变化、组织机构调整、人员变化等，可申请证书变更，可结合监督审核 / 换证审核一起进行变更，也可以单独申请变更
- 证书暂停当证书超出监督审核周期时，证书进行暂停状态，暂停期间不可以使用证书
- 证书撤销当证书超出三年有效期而没有进行换证审核，或者在暂停截至日期前没有进行有效的监督审核，或发生重大质量安全事故或有严重违法违规行为，或被列入质量信用严重失信企业名单，证书会进行撤销处理
实施 ISO27018 的价值
- 风险可控识别信息资产风险并建立控制措施。
- 合规治理满足数据安全与隐私合规要求。
- 客户信任提升客户对平台与服务的安全信心。
- 业务连续减少安全事件对业务运行的影响。
- 治理能力形成跨部门协同的安全管理机制。
- 持续防护通过监测审计持续提升防护能力。
与其他体系结合
标准名称
推荐率
常见问题及误区
Q1：ISO27017和ISO27018都是云服务相关标准，建立一个即可？
A：不是，ISO27017聚焦云服务整体信息安全，ISO27018是云环境下个人信息隐私保护的专项标准，两者互补，可结合实施实现云服务“安全+隐私”的双重管控。
Q2：只有公有云服务商才需要ISO27018认证，混合云、私有云无需认证？
A：不是，只要云服务中处理个人信息，无论公有云、混合云、私有云服务商，均适用该标准，核心是保障云环境下的个人隐私安全。
Q3：云服务中个人信息加密存储，就符合ISO27018的要求？
A：不是，加密存储只是隐私保护的一个环节，体系还要求组织遵循隐私最小化、个人信息主体权利响应、隐私事件处置等全流程的隐私管理要求。
Q4：ISO27018的要求仅适用于国内个人信息，境外个人信息无需遵循？
A：不是，体系基于国际隐私准则制定，适用于所有云环境下处理的个人信息，符合跨国界云服务的隐私管理要求，助力组织开展国际云服务业务。
Q5：云服务商通过ISO27018认证，云用户就无需再管控自身的隐私风险？
A：不是，云用户仍需根据自身业务需求，规范在云环境中的个人信息处理行为，如合理设置数据访问权限、规范数据共享等，与云服务商共同承担隐私保护责任。
认证及咨询费用
费用影响因素占比
组织地理位置（及多个办公场所）15%
一线城市或多办公场所会增加差旅与审核组织成本，偏远地区可能有额外服务费用。
组织人员数量20%
人员规模影响审核人日和咨询工作量，人数越多，评估与辅导投入越高。
组织业务范围10%
业务线越多、范围越广，体系边界与过程设计越复杂，实施成本会同步增加。
选择认证机构25%
不同认证机构的品牌影响力、审核规则与项目组织方式不同，费用差异较明显。
咨询质量要求25%
资深顾问、定制化交付与全流程辅导方案，通常较基础辅导投入更高。
认证周期要求10%
加急周期会带来额外资源协调成本，常规周期通常更具费用优势。
最终费用，请联系我们
