ISO/IEC 27701:2025是隐私信息管理的国际标准，作为ISO/IEC 27001和ISO/IEC 27002的扩展，专门针对隐私信息管理提供要求和指南。该标准帮助组织建立、实施、维护和持续改进隐私信息管理体系（PIMS），保护个人可识别信息（PII）的隐私和安全。标准区分了作为PII控制者和PII处理者的不同角色和责任，提供了扩展的控制措施和指南。核心内容包括隐私信息管理体系要求、PII控制者特定要求、PII处理者特定要求、隐私风险评估、隐私影响评估、隐私通知与同意管理、数据主体权利响应、跨境数据传输控制及隐私事件管理。该标准适用于各类处理个人信息的组织，通过实施可有效应对GDPR等隐私法规要求，降低隐私泄露风险，增强数据主体信任。
ISO/IEC 27701:2025 隐私信息管理体系
ISO/IEC 27701:2025是隐私信息管理的国际标准，作为ISO/IEC 27001和ISO/IEC 27002的扩展，专门针对隐私信息管理提供要求和指南。该标准帮助组织建立、实施、维护和持续改进隐私信息管理体系（PIMS），保护个人可识别信息（PII）的隐私和安全。标准区分了作为PII控制者和PII处理者的不同角色和责任，提供了扩展的控制措施和指南。
标准信息
国际标准
ISO/IEC 27701:2025
国家标准
无
标准名称
Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management
标准名称
隐私信息管理体系
发布机构
ISO/IEC 国际标准化组织与国际电工委员会
发布机构
无
发布日期
2025 年 10 月
发布日期
无
标准简介
标准目的
- 保护隐私权益规范个人隐私信息的收集、存储、使用、传输、销毁全流程管理，保护个人隐私权益，避免隐私泄露风险
- 合规隐私要求确保组织隐私信息管理活动符合国家个人信息保护、数据安全相关法律法规及国际隐私标准，规避隐私合规风险
- 提升隐私信任通过体系认证彰显组织隐私保护能力，提升客户、用户对组织隐私管理的信任度，增强品牌竞争力
- 管控隐私风险识别并评估隐私信息管理全流程中的风险，建立风险管控机制，降低隐私泄露、滥用等事件造成的损失
- 规范管理流程统一隐私信息管理标准与流程，明确各部门隐私管理职责，提升全员隐私保护意识，实现隐私管理标准化
适用范围
- 行业覆盖适用于所有类型和规模的组织，涵盖互联网、金融、医疗、电商、教育等涉及个人隐私信息处理的全行业
- 规模覆盖适配小微企业、中小企业、大型集团、跨国企业等不同规模组织，可根据隐私信息处理量灵活调整管控流程
- 场景覆盖涵盖隐私信息收集、存储、加工、传输、提供、销毁、应急处置等全流程场景，覆盖线上线下各类隐私处理活动
- 管理覆盖覆盖隐私方针制定、风险评估、控制措施实施、隐私影响评估、绩效监测、持续改进等全管理环节
- 认证覆盖支持单一站点、多站点、集团化等不同组织架构的认证模式，满足总部与分支机构隐私管理一体化需求
核心要素
管理控制
核心维度覆盖占比
人工智能（AI）定义
人工智能（AI）定义
人工智能的三大核心要素
三大要素能力图
信息安全核心：CIA 三要素
核心概念定义
IT服务管理三要素
IT服务管理过程
CS能力评估等级体系
服务类型细分
部署模式细分
全等级综合对比
能力维度雷达对比
ITSS咨询设计核心说明
标准内容
-
- 0.1 总则
- 0.2 与其他管理体系的兼容性
- 1 范围
- 2 规范性引用文献
-
- 3.1 联合PII控制者
- 3.2 隐私信息管理体系PIMS
-
- 4.1 本标准的结构
- 4.2 ISO/IEC 27001:2013要求的应用
- 4.3 ISO/IEC 27002:2013指南的应用
- 4.4 顾客
-
- 5.1 总则
-
- 5.2.1 理解组织及其环境
- 5.2.2 理解相关方的需求和期望
- 5.2.3 确定信息安全管理体系的范围
- 5.2.4 信息安全管理体系
-
- 5.3.1 领导和承诺
- 5.3.2 方针
- 5.3.3 组织角色，职责和权限
-
-
- 5.4.1.1 总则
- 5.4.1.2 信息安全风险评估
- 5.4.1.3 信息安全风险处置
- 5.4.2 信息安全目标和实现规划
-
-
- 5.5.1 资源
- 5.5.2 能力
- 5.5.3 意识
- 5.5.4 沟通
-
- 5.5.5.1 总则
- 5.5.5.2 创建和更新
- 5.5.5.3 文件记录信息的控制
-
- 5.6.1 运行的规划和控制
- 5.6.2 信息安全风险评估
- 5.6.3 信息安全风险处理
-
- 5.7.1 监测，测量，分析和评价
- 5.7.2 内部审核
- 5.7.3 管理评审
-
- 5.8.1 不符合和纠正措施
- 5.8.2 持续改进
-
- 6.1 总则
-
-
- 6.2.1.1 信息安全策略
- 6.2.1.2 信息安全策略的评审
-
-
-
- 6.3.1.1 信息安全角色和职责
- 6.3.1.2 职责分离
- 6.3.1.3 与职能机构的联系
- 6.3.1.4 与特定相关方的联系
- 6.3.1.5 项目管理中的信息安全
-
- 6.3.2.1 移动设备策略
- 6.3.2.2 远程工作
-
-
-
- 6.4.1.1 审查
- 6.4.1.2 任用条款和条件
-
- 6.4.2.1 管理责任
- 6.4.2.2 信息安全意识、教育和培训
- 6.4.2.3 违规处理过程
-
- 6.4.3.1 任用终止或变更的责任
-
-
-
- 6.5.1.1 资产清单
- 6.5.1.2 资产的所属关系
- 6.5.1.3 资产的可接受使用
- 6.5.1.4 资产归还
-
- 6.5.2.1 信息的分级
- 6.5.2.2 信息的标记
- 6.5.2.3 资产的处理
-
- 6.5.3.1 移动介质的管理
- 6.5.3.2 介质的处置
- 6.5.3.3 物理介质的转移
-
-
-
- 6.6.1.1 访问控制策略
- 6.6.1.2 网络和网络服务的访问
-
- 6.6.2.1 用户注册和注销
- 6.6.2.2 用户访问供给
- 6.6.2.3 特定访问权管理
- 6.6.2.4 用户的秘密鉴别信息管理
- 6.6.2.5 用户访问权的评审
- 6.6.2.6 访问权的移除或调整
-
- 6.6.3.1 秘密鉴别信息的使用
-
- 6.6.4.1 信息访问限制
- 6.6.4.2 安全登录规程
- 6.6.4.3 口令管理体系
- 6.6.4.4 特权实用程序的使用
- 6.6.4.5 程序源代码的访问控制
-
-
-
- 6.7.1.1 密码控制的使用策略
- 6.7.1.2 密钥管理
-
-
-
- 6.8.1.1 物理安全边界
- 6.8.1.2 物理入口控制
- 6.8.1.3 办公室，房间和设施的安全保护
- 6.8.1.4 外部和环境威胁的安全防护
- 6.8.1.5 在安全区域工作
- 6.8.1.6 交接区
-
- 6.8.2.1 设备安置和保护
- 6.8.2.2 支持性设施
- 6.8.2.3 布缆安全
- 6.8.2.4 设备维护
- 6.8.2.5 资产的移动
- 6.8.2.6 组织场所外的设备与资产安全
- 6.8.2.7 设备的安全处置或再利用
- 6.8.2.8 无人值守的用户设备
- 6.8.2.9 清理桌面和屏幕策略
-
-
-
- 6.9.1.1 文件化的操作规程
- 6.9.1.2 变更管理
- 6.9.1.3 容量管理
- 6.9.1.4 开发，测试和运行环境的分离
-
- 6.9.2.1 恶意软件的控制
-
- 6.9.3.1 信息备份
-
- 6.9.4.1 事态日志
- 6.9.4.2 日志信息的保护
- 6.9.4.3 管理员和操作员日志
- 6.9.4.4 时钟同步
-
- 6.9.5.1 在运行系统上安装软件
-
- 6.9.6.1 技术脆弱性的管理
- 6.9.6.2 软件安装限制
-
- 6.9.7.1 信息系统审计控制
-
-
-
- 6.10.1.1 网络控制
- 6.10.1.2 网络服务的安全
- 6.10.1.3 网络隔离
-
- 6.10.2.1 信息传输策略和规程
- 6.10.2.2 信息传输协议
- 6.10.2.3 电子消息发送
- 6.10.2.4 保密或不泄漏协议
-
-
-
- 6.11.1.1 信息安全要求分析和说明
- 6.11.1.2 公共网络上的应用服务的安全保护
- 6.11.1.3 应用服务事务的保护
-
- 6.11.2.1 安全的开发策略
- 6.11.2.2 系统变更控制规程
- 6.11.2.3 运行平台变更后对应用的技术评审
- 6.11.2.4 软件包变更的限制
- 6.11.2.5 系统安全工程原则
- 6.11.2.6 安全的开发环境
- 6.11.2.7 外包开发
- 6.11.2.8 系统安全测试
- 6.11.2.9 系统验收测试
-
- 6.11.3.1 测试数据的保护
-
-
-
- 6.12.1.1 供应商关系的信息安全策略
- 6.12.1.2 在供应商协议中强调安全
- 6.12.1.3 信息与通信技术供应链
-
- 6.12.2.1 供应商服务的监视和审查
- 6.12.2.2 供应商服务的变更管理
-
-
-
- 6.13.1.1 责任和规程
- 6.13.1.2 报告信息安全事态
- 6.13.1.3 报告信息安全弱点
- 6.13.1.4 信息安全事态的评估和决策
- 6.13.1.5 信息安全事件的响应
- 6.13.1.6 从信息安全事件中学习
- 6.13.1.7 证据的收集
-
-
-
- 6.14.1.1 规划信息安全连续性
- 6.14.1.2 实现信息安全连续性
- 6.14.1.3 验证，评审和评价信息安全连续性
-
- 6.14.2.1 信息处理设施的可用性
-
-
-
- 6.15.1.1 适用的法律和合同要求的识别
- 6.15.1.2 知识产权
- 6.15.1.3 记录的保护
- 6.15.1.4 隐私和个人身份信息保护
- 6.15.1.5 密码控制规则
-
- 6.15.2.1 信息安全的独立评审
- 6.15.2.2 符合安全政策和标准
- 6.15.2.3 技术符合性评审
-
-
- 7.1 总论
-
- 7.2.1 识别并记录目的
- 7.2.2 确定法律依据
- 7.2.3 确定何时以及如何获得准许
- 7.2.4 获得并记录准许
- 7.2.5 隐私影响评估
- 7.2.6 与PII处理者的合同
- 7.2.7 联合PII控制者
- 7.2.8 与处理PII控制有关的记录
-
- 7.3.1 确定并履行对PII主体的义务
- 7.3.2 确定提供给PII主体的信息
- 7.3.3 向PII主体提供信息
- 7.3.4 提供修改或撤销准许的机制
- 7.3.5 提供反对PII处理的机制
- 7.3.6 访问，更正或擦除
- 7.3.7 PII控制者告知第三方的义务
- 7.3.8 提供PII处理者的副本
- 7.3.9 处理请求
- 7.3.10 自动决策的制定
-
- 7.4.1 限制收集
- 7.4.2 限制处理
- 7.4.3 准确性和质量
- 7.4.4 PII最小化目标
- 7.4.5 PII在处理结束时去识别化和删除
- 7.4.6 临时文件
- 7.4.7 保留
- 7.4.8 处置
- 7.4.9 PII传输
-
- 7.5.1 识别司法管辖区之间PII传输的基础
- 7.5.2 PII可以传输至的国家和国际组织
- 7.5.3 PII传输的记录
- 7.5.4 向第三方披露PII的记录
-
- 8.1 总则
-
- 8.2.1 客户协议
- 8.2.2 组织的目的
- 8.2.3 营销和广告使用
- 8.2.4 侵权指令
- 8.2.5 客户义务
- 8.2.6 与处理PII有关的记录
-
- 8.3.1 对于PII主体的义务
-
- 8.4.1 临时文件
- 8.4.2 退回，传输或处置PII
- 8.4.3 PII传输控制
-
- 8.5.1 管辖区之间PII传输的基础
- 8.5.2 PII可以被传输至的国家和国际组织
- 8.5.3 向第三方披露PII的记录
- 8.5.4 PII披露请求的通知
- 8.5.5 具有法律约束力的PII披露
- 8.5.6 处理PII的分包商的披露
- 8.5.7 分包商处理PII的参与
- 8.5.8 分包商处理PII的变更
-
-
- 附录A.7.2.1 识别并记录目的
- 附录A.7.2.2 确定法律依据
- 附录A.7.2.3 确定何时以及如何获得准许
- 附录A.7.2.4 获得并记录准许
- 附录A.7.2.5 隐私影响评估
- 附录A.7.2.6 与PII处理者的合同
- 附录A.7.2.7 联合PII控制者
- 附录A.7.2.8 处理PII控制有关的记录
-
- 附录A.7.3.1 确定并履行对PII主体的义务
- 附录A.7.3.2 确定提供给PII主体的信息
- 附录A.7.3.3 向PII主体提供信息
- 附录A.7.3.4 提供修改或撤销准许的机制
- 附录A.7.3.5 提供反对PII处理的机制
- 附录A.7.3.6 访问，更正和/或擦除
- 附录A.7.3.7 PII控制者告知第三方的义务
- 附录A.7.3.8 提供PII处理者的副本
- 附录A.7.3.9 处理请求
- 附录A.7.3.10 自动决策的制定
-
- 附录A.7.4.1 限制收集
- 附录A.7.4.2 限制处理
- 附录A.7.4.3 准确性和质量
- 附录A.7.4.4 PII最小化目标
- 附录A.7.4.5 PII在处理结束时的去识别化和删除
- 附录A.7.4.6 临时文件
- 附录A.7.4.7 保留
- 附录A.7.4.8 处置
- 附录A.7.4.9 PII传输
-
- 附录A.7.5.1 识别司法管辖区之间PII传输的基础
- 附录A.7.5.2 PII可以传输至的国家和国际组织
- 附录A.7.5.3 PII传输的记录
- 附录A.7.5.4 向第三方披露PII的记录
-
-
-
- 附录B.8.2.1 客户协议
- 附录B.8.2.2 组织的目的
- 附录B.8.2.3 营销和广告使用
- 附录B.8.2.4 侵权指令
- 附录B.8.2.5 客户义务
- 附录B.8.2.6 与处理PII相关的记录
-
- 附录B.8.3.1 对PII主体的义务
-
- 附录B.8.4.1 临时文件
- 附录B.8.4.2 退回，传输或处置PII
- 附录B.8.4.3 PII传输控制
-
- 附录B.8.5.1 管辖区之间PII传输的基础
- 附录B.8.5.2 PII可以被传输至的国家和国际组织
- 附录B.8.5.3 向第三方披露PII的记录
- 附录B.8.5.4 PII披露请求的通知
- 附录B.8.5.5 具有法律约束力的PII披露
- 附录B.8.5.6 处理PII的分包商的披露
- 附录B.8.5.7 分包商处理PII的参与
- 附录B.8.5.8 分包商处理PII的变更
-
-
- 表C.1 - PII控制者的控制和ISO/IEC 29100的映射
- 表C.2 - PII处理者和ISO/IEC 29100控制的映射
-
- 表D.1- ISO/IEC 27701到GDPR的映射
-
- 表E.1- ISO/IEC 27701到ISO/IEC 27018和ISO/IEC 29151的映射
-
- F.1 如何应用本标准
- F.2 安全标准的改进示例
体系运行过程模型
| 阶段 | ISO27701中的定义 | 在标准中的核心映射 |
|---|---|---|
| P (策划) | 识别信息资产和风险，明确安全目标、适用控制和治理策略。 | 第4章、5章、6章（上下文、领导作用、风险策划） |
| D (实施) | 落地安全控制、职责分工、运行流程与监控机制。 | 第7章、8章（支持与运行）及控制域实施 |
| C (检查) | 通过监控、审计、评审验证控制有效性并识别差距。 | 第9章（监视测量、内审、管理评审） |
| A (处置) | 处理安全事件和不符合，更新风险评估与控制措施。 | 第10章（不符合、纠正和持续改进） |
ISO27701 标准解读
- 暂无对应标准解读，欢迎联系我们获取专项方案。
信息安全运行控制
云服务信息安全控制措施
核心维度覆盖占比
个人身份信息(PII)保护控制措施
核心维度覆盖占比
个人信息安全规范控制措施
核心维度覆盖占比
公有云隐私控制措施
核心维度数量占比
隐私概念
隐私控制者 vs 隐私处理者 核心区别
| 对比维度 | 隐私控制者 | 隐私处理者 |
|---|
隐私控制措施分类
隐私控制措施分类占比
七项质量管理基本原则
领域控制措施
核心维度覆盖占比
数据安全能力成熟度等级
数据安全过程
认证咨询流程
→→→→→→→→→
初次获证要求
- 合规性证明需持有法律地位证明文件（如营业执照）
- 资质许可特殊认证范围，需提供必要的行政许可、资质证书、强制性认证证书
- 成立周期公司成立超过3个月
- 运行周期体系运行超过3个月
- 体系要求依据ISO27701标准建立符合的隐私信息管理体系
- 运行要求有健全的隐私信息管理体系运行证据
- 内审管评必须有一次完整的内审和管理评审
- 现场审核通过一二阶段现场审核，并完成不符合整改
证书维护要求
- 证书有效期隐私信息管理体系证书是三年有效期
- 监督审核隐私信息管理体系证书需每年一次监督审核，与上次审核间隔不超过12个月
- 再认证审核隐私信息管理体系证书有效期3年，到期前需进行一次换证审核，审核通过后，换发新三年周期的有效证书
- 变更审核当组织的隐私信息管理体系发生变化，比如公司业务调整、办公地址变化、组织机构调整、人员变化等，可申请证书变更，可结合监督审核 / 换证审核一起进行变更，也可以单独申请变更
- 证书暂停当证书超出监督审核周期时，证书进行暂停状态，暂停期间不可以使用证书
- 证书撤销当证书超出三年有效期而没有进行换证审核，或者在暂停截至日期前没有进行有效的监督审核，或发生重大质量安全事故或有严重违法违规行为，或被列入质量信用严重失信企业名单，证书会进行撤销处理
实施 ISO27701 的价值
- 风险可控识别信息资产风险并建立控制措施。
- 合规治理满足数据安全与隐私合规要求。
- 客户信任提升客户对平台与服务的安全信心。
- 业务连续减少安全事件对业务运行的影响。
- 治理能力形成跨部门协同的安全管理机制。
- 持续防护通过监测审计持续提升防护能力。
与其他体系结合
标准名称
推荐率
常见问题及误区
Q1：ISO27701与ISO27001一样，都是信息安全管理标准，无需重复建立？
A：不是，ISO27001聚焦整体信息安全，ISO27701是隐私信息管理的专项标准，基于ISO27001延伸，更聚焦个人信息的合法、安全处理，补充了隐私管理的专属要求。
Q2：只有收集大量个人信息的互联网企业才需要ISO27701认证？
A：不是，任何收集、处理、存储个人信息的组织均适用，如零售、医疗、电信、政务机构等，只要涉及个人信息，就需管控隐私风险。
Q3：通过ISO27701认证，就可以随意收集和使用个人信息？
A：不是，体系核心是规范个人信息处理行为，要求组织遵循“合法、正当、必要”原则，保障个人信息主体的知情权、选择权等合法权益，而非放宽收集使用要求。
Q4：建立ISO27701体系就是制定一套隐私管理制度，无需实际执行？
A：不是，体系强调落地执行和证据留存，要求将隐私管理要求融入日常业务流程，如个人信息收集告知、权限管控、数据销毁等，均需有实际操作和记录。
Q5：外包的个人信息处理环节，不属于ISO27701的管理范围？
A：不是，体系明确要求组织对外包的隐私信息处理过程进行管控，评估外包方的隐私管理能力，签订隐私保护协议，确保外包环节的隐私安全。
认证及咨询费用
费用影响因素占比
组织地理位置（及多个办公场所）15%
一线城市或多办公场所会增加差旅与审核组织成本，偏远地区可能有额外服务费用。
组织人员数量20%
人员规模影响审核人日和咨询工作量，人数越多，评估与辅导投入越高。
组织业务范围10%
业务线越多、范围越广，体系边界与过程设计越复杂，实施成本会同步增加。
选择认证机构25%
不同认证机构的品牌影响力、审核规则与项目组织方式不同，费用差异较明显。
咨询质量要求25%
资深顾问、定制化交付与全流程辅导方案，通常较基础辅导投入更高。
认证周期要求10%
加急周期会带来额外资源协调成本，常规周期通常更具费用优势。
最终费用，请联系我们
