一、ISO/IEC 27701:2019 5.1 标准原文
原文摘要：ISO/IEC 27001:2013 中提及的“信息安全”要求，应扩展到针对可能受 PII 处理而产生潜在影响的隐私保护。换言之，在27701语境下，“信息安全”在实践中相当于“信息安全和隐私”。
二、条款解读说明
5.1是 27701:2019 中最短、但影响范围最大的总则之一。它的作用类似于一把“解释钥匙”，用来打开整部标准。没有这把钥匙，组织在阅读第5章至第8章时，很容易仍然沿用传统信息安全思维：重点盯保密性、完整性、可用性，关注资产、权限、日志、事件和供应商，却不去追问这些控制在 PII 处理场景下是否还能回应合法性、透明度、角色边界、数据主体权利、保留与删除、共享披露和分包链条等隐私问题。
5.1之所以重要，是因为它没有另起一个概念体系，而是直接要求把 ISO/IEC 27001:2013 中的“信息安全”扩展成“信息安全和隐私”。这意味着 27701 的方法论并不是否定 ISMS，而是把 ISMS 继续往前推一步。对于组织来说，原来用来思考信息风险、职责、控制和改进的那套体系语言并没有失效，只是它必须容纳新的管理对象：不仅要保护信息，还要保护可能因 PII 处理受到影响的人。
| 传统ISMS关注点 | 在27701中的扩展理解 | 管理含义 |
|---|---|---|
| 资产是否受到未授权访问 | PII 是否被不当收集、使用、共享或暴露 | 访问控制不再只看系统边界，也看处理边界 |
| 系统是否稳定、可用、可恢复 | PII 处理是否对主体产生不当影响 | 事件管理需考虑主体影响与通知义务 |
| 控制是否满足安全要求 | 控制是否同时支持隐私原则和主体权利 | 制度设计要能解释合法性、最小化、删除等问题 |
| 风险是否影响组织信息资产 | 风险是否同时影响组织与PII主体 | 风险评估的影响对象从组织扩展到个人 |
这一扩展最容易被误解成“安全里顺便再加点隐私”。事实上，5.1并不是让隐私作为补充注脚附着在信息安全后面，而是要求组织重新定义很多管理动作的判断标准。比如，原来评估一项控制有效时，组织可能主要看是否降低了未经授权访问、泄露和中断；在27701语境下，还需要评估该控制是否减少了超范围处理、未经说明的使用、主体无法行权、分包链不透明和保留失控等隐私风险。也就是说，控制动作看起来还是那些动作，但评价标准已经变了。
5.1还直接影响条款适用方式。第5章中很多条款表面上并没有大段新增要求，但只要 5.1 生效，这些条款就全部要按“信息安全和隐私”的口径重新理解。例如管理层承诺不能只停留在信息安全目标，必须覆盖隐私目标；内部审核不能只查安全控制，也要查 PII 处理流程；不符合和纠正措施不能只针对信息安全事故，还要覆盖隐私投诉、角色误判和删除失效等问题。换言之，5.1是整个 PIMS 的语义转换器。
从组织治理角度看，5.1还有一个很现实的好处，就是帮助不同职能建立共同语言。很多组织里，信息安全团队、法务团队、业务团队和隐私合规团队对“隐私”理解差异很大，容易出现体系和合规两张皮。5.1通过“信息安全扩展为信息安全和隐私”的表达，为这些团队提供了一套可以共用的管理基础：都在同一套管理体系里工作，只是评价对象和风险边界被扩展了。这种方法比另外再造一套完全独立的隐私框架更容易长期运行。
更进一步看，5.1还会改变组织对很多“安全日常动作”的理解。供应商评审不再只看能否保障系统安全，也要看其是否会引入新的 PII 共享和分包风险；日志管理不再只追求可追溯性，也要考虑日志本身是否包含过量 PII；测试数据控制不再只是防止泄露，还要防止真实主体信息在非生产场景中被长期占用。这些都说明 5.1 不是概念上的扩展，而是在要求组织用隐私视角重新解释一大批原本熟悉的安全动作。
三、实施要点
- 把 5.1 的扩展解释写入组织的 PIMS 适用性说明、培训材料和条款映射文档，避免团队只看新增文字。
- 重新检查现有 ISMS 中的风险、目标、审核、管理评审和纠正措施是否已显性覆盖隐私问题。
- 对关键控制设计增加“对PII主体可能产生的影响”这一评估维度，而不仅是对组织资产的影响。
- 让法务、业务、IT、隐私和信息安全团队围绕 5.1 建立统一口径，减少后续条款解释冲突。
- 5.1的作用不是增加控制，而是改变看待全部控制的方式。
四、常用工具与实施方法
| 工具/方法 | 适用目的 | 关键输出 |
|---|---|---|
| 条款扩展解释表 | 标明哪些27001条款要按“信息安全和隐私”理解 | 适用性说明文件 |
| 风险影响双视角模板 | 同时评估对组织和对PII主体的影响 | 升级后的风险评估方法 |
| 审核提问清单 | 把隐私问题纳入原有ISMS审核话术 | 内部审核问卷 |
| 跨部门培训材料 | 统一“安全+隐私”的体系语言 | 培训课件与测验记录 |
很多组织实施5.1时最实用的做法，是从少数高频场景入手做“翻译练习”：例如供应商管理、事件响应、测试数据、日志和删除。让团队看到同一条安全控制在隐私语境下到底多了哪些判断项。只要这些场景讲透，5.1就不再是抽象原则，而会变成可执行的工作方法。
五、典型案例
- 只做安全不做隐私的审核失效：某企业在内部审核时仍沿用原有 ISMS 清单，只检查权限、备份、恶意软件和变更记录，几乎不问 PII 主体请求、保留期限和删除执行。虽然文件里写了 27701，但审核结果对隐私风险几乎没有识别能力。后来组织依据 5.1 重做审核问题库，体系评价才真正覆盖隐私。
- 风险评估仍以组织损失为唯一中心：某平台在评估一项数据共享活动时，重点分析的是泄露后对公司声誉和罚款的影响，却没有分析对个人画像、误拒服务和主体权利受损的后果。重读 5.1 后，企业把主体影响纳入风险方法，风险排序随之发生明显变化。
这些案例揭示出一个事实：5.1看起来只是扩展解释，但它一旦没有进入实际方法，后续很多所谓“PIMS实施”都只是表面升级。
六、成文信息管理要求
| 建议保留文件 | 关键内容 |
|---|---|
| 5.1适用性说明 | 如何把“信息安全”扩展为“信息安全和隐私” |
| 方法更新记录 | 风险评估、审核、管理评审、纠正措施等方法如何因5.1而调整 |
| 培训与宣贯记录 | 证明相关团队已理解扩展解释 |
| 场景化实施样本 | 若干控制在隐私语境下的具体应用示例 |
这些文件能帮助组织证明 5.1 并非只停留在“我们知道要兼顾隐私”，而是已经实实在在改变了体系运行方式。尤其在审核访谈中，能够拿出方法更新和样本案例，往往比单纯引用条文更有说服力。
七、常见误区及踩坑提醒
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 把5.1当成概念性前言 | 后续条款仍按旧ISMS口径执行 | 把扩展解释落实到方法、审核和证据中 |
| 只在文件中写“兼顾隐私” | 流程和记录没有任何变化 | 重做关键控制的评估标准和执行口径 |
| 只看组织损失不看主体影响 | 风险排序和控制设计持续失真 | 把PII主体影响纳入风险分析与决策 |