ISO/IEC 29151:2017是个人身份信息（PII）保护的国际实践指南，为组织保护PII提供具体的控制措施和实施建议。该标准基于ISO/IEC 27002，专门针对PII保护需求，提供了详细的控制目标和控制措施，涵盖PII全生命周期的保护。内容包括PII保护方针、PII收集限制、PII使用目的明确、PII质量保障、PII安全存储、PII访问控制、PII披露限制、PII跨境传输、PII保留期限管理、PII处置安全、数据主体权利保障、第三方PII处理监管及PII泄露响应等。该标准适用于任何收集、使用、存储、传输或处理PII的组织，通过实施可建立系统化的PII保护能力，降低隐私风险，满足各国隐私法规要求，增强个人对其信息处理的信任。
ISO/IEC 29151:2017 个人身份信息保护管理体系
ISO/IEC 29151:2017是个人身份信息（PII）保护的国际实践指南，为组织保护PII提供具体的控制措施和实施建议。该标准基于ISO/IEC 27002，专门针对PII保护需求，提供了详细的控制目标和控制措施，涵盖PII全生命周期的保护。
标准信息
国际标准
ISO/IEC 29151:2017
国家标准
无
标准名称
Code of practice for personally identifiable information protection
标准名称
个人身份信息保护管理体系
发布机构
ISO/IEC 国际标准化组织与国际电工委员会
发布机构
无
发布日期
2017 年 8 月
发布日期
无
标准简介
标准目的
- 保护身份信息规范个人身份信息的收集、存储、使用、传输、销毁全流程管理，保护个人身份信息安全，防止身份信息泄露、盗用
- 合规身份保护要求确保组织个人身份信息保护活动符合国家个人信息保护、数据安全相关法律法规及国际标准，规避合规风险
- 防范身份信息风险识别并管控个人身份信息管理全流程中的风险（如身份信息被盗用、篡改、非法出售），降低身份信息安全事件发生率
- 提升身份保护能力建立个人身份信息保护管控机制，提升组织身份信息保护技术与管理能力，保障个人身份信息安全
- 增强用户信任通过规范的个人身份信息保护，提升用户对组织的信任度，增强组织品牌竞争力与市场认可度
适用范围
- 行业覆盖适用于所有处理个人身份信息的组织，涵盖金融、医疗、通信、电商、政府机构等全行业，包括各类身份信息处理者
- 规模覆盖适配小微企业、中小企业、大型集团、跨国企业等不同规模组织，可根据身份信息处理量灵活调整管控措施
- 场景覆盖涵盖个人身份信息收集、验证、存储、使用、传输、销毁、应急处置等全流程场景
- 管理覆盖覆盖身份信息保护方针制定、风险评估、安全控制、绩效监测、合规审计、持续改进等全管理环节
- 认证覆盖支持单一站点、多站点、集团化等不同组织架构的认证模式，满足总部与分支机构身份信息保护一体化管理需求
核心要素
管理控制
核心维度覆盖占比
人工智能（AI）定义
人工智能（AI）定义
人工智能的三大核心要素
三大要素能力图
信息安全核心：CIA 三要素
核心概念定义
IT服务管理三要素
IT服务管理过程
CS能力评估等级体系
服务类型细分
部署模式细分
全等级综合对比
能力维度雷达对比
ITSS咨询设计核心说明
标准内容
- 1 范围
- 2 规范性引用文件
- 3 术语和定义
-
- 4.1 标准结构
- 4.2 与ISO/IEC 27001和ISO/IEC 27002的关系
- 4.3 与ISO/IEC 29100的关系
-
- 5.1 信息安全管理指导
-
- 6.1 内部组织
- 6.2 移动设备和远程工作
-
- 7.1 雇佣前
- 7.2 雇佣期间
- 7.3 终止和变更雇佣
-
- 8.1 资产责任
- 8.2 信息分类
- 8.3 介质处理
-
- 9.1 访问控制的业务要求
- 9.2 用户访问管理
- 9.3 用户责任
- 9.4 系统和应用访问控制
-
- 10.1 密码控制
-
- 11.1 安全区域
- 11.2 设备
-
- 12.1 运行程序和职责
- 12.2 恶意软件防护
- 12.3 备份
- 12.4 日志记录和监控
- 12.5 操作软件控制
- 12.6 技术脆弱性管理
- 12.7 信息系统审计考虑
-
- 13.1 网络安全管理
- 13.2 信息传输
-
- 14.1 信息系统的安全要求
- 14.2 开发和支持过程中的安全
- 14.3 测试数据
-
- 15.1 供应商关系中的信息安全
- 15.2 供应商服务交付管理
-
- 16.1 信息安全事件管理和改进
-
- 17.1 信息安全连续性
- 17.2 冗余
-
- 18.1 符合法律和合同要求
- 18.2 信息安全评审
-
- A.1 总则
- A.2 使用和保护PII的一般策略
- A.3 同意和选择
- A.4 目的合法性和规范
- A.5 收集限制
- A.6 数据最小化
- A.7 使用、保留和披露限制
- A.8 准确性和质量
- A.9 公开性、透明度和通知
- A.10 PII主体参与和访问
- A.11 问责制
- A.12 信息安全
- A.13 隐私合规
体系运行过程模型
| 阶段 | ISO29151中的定义 | 在标准中的核心映射 |
|---|---|---|
| P (策划) | 识别信息资产和风险，明确安全目标、适用控制和治理策略。 | 第4章、5章、6章（上下文、领导作用、风险策划） |
| D (实施) | 落地安全控制、职责分工、运行流程与监控机制。 | 第7章、8章（支持与运行）及控制域实施 |
| C (检查) | 通过监控、审计、评审验证控制有效性并识别差距。 | 第9章（监视测量、内审、管理评审） |
| A (处置) | 处理安全事件和不符合，更新风险评估与控制措施。 | 第10章（不符合、纠正和持续改进） |
ISO29151 标准解读
- 暂无对应标准解读，欢迎联系我们获取专项方案。
信息安全运行控制
云服务信息安全控制措施
核心维度覆盖占比
个人身份信息(PII)保护控制措施
核心维度覆盖占比
个人信息安全规范控制措施
核心维度覆盖占比
公有云隐私控制措施
核心维度数量占比
隐私概念
隐私控制者 vs 隐私处理者 核心区别
| 对比维度 | 隐私控制者 | 隐私处理者 |
|---|
隐私控制措施分类
隐私控制措施分类占比
七项质量管理基本原则
领域控制措施
核心维度覆盖占比
数据安全能力成熟度等级
数据安全过程
认证咨询流程
→→→→→→→→→
初次获证要求
- 合规性证明需持有法律地位证明文件（如营业执照）
- 资质许可特殊认证范围，需提供必要的行政许可、资质证书、强制性认证证书
- 成立周期公司成立超过3个月
- 运行周期体系运行超过3个月
- 体系要求依据ISO29151标准建立符合的个人身份信息保护管理体系
- 运行要求有健全的个人身份信息保护管理体系运行证据
- 内审管评必须有一次完整的内审和管理评审
- 现场审核通过一二阶段现场审核，并完成不符合整改
证书维护要求
- 证书有效期个人身份信息保护管理体系证书是三年有效期
- 监督审核个人身份信息保护管理体系证书需每年一次监督审核，与上次审核间隔不超过12个月
- 再认证审核个人身份信息保护管理体系证书有效期3年，到期前需进行一次换证审核，审核通过后，换发新三年周期的有效证书
- 变更审核当组织的个人身份信息保护管理体系发生变化，比如公司业务调整、办公地址变化、组织机构调整、人员变化等，可申请证书变更，可结合监督审核 / 换证审核一起进行变更，也可以单独申请变更
- 证书暂停当证书超出监督审核周期时，证书进行暂停状态，暂停期间不可以使用证书
- 证书撤销当证书超出三年有效期而没有进行换证审核，或者在暂停截至日期前没有进行有效的监督审核，或发生重大质量安全事故或有严重违法违规行为，或被列入质量信用严重失信企业名单，证书会进行撤销处理
实施 ISO29151 的价值
- 风险可控识别信息资产风险并建立控制措施。
- 合规治理满足数据安全与隐私合规要求。
- 客户信任提升客户对平台与服务的安全信心。
- 业务连续减少安全事件对业务运行的影响。
- 治理能力形成跨部门协同的安全管理机制。
- 持续防护通过监测审计持续提升防护能力。
与其他体系结合
标准名称
推荐率
常见问题及误区
Q1：ISO29151就是ISO27701的细分标准，内容基本重复？
A：不是，ISO27701覆盖所有个人信息的隐私管理，ISO29151是个人身份信息（姓名、身份证号、生物特征等）的专项保护标准，更聚焦身份信息的采集、验证、存储等专属风险管控。
Q2：只有政务、金融行业才需要ISO29151认证，其他行业无需关注？
A：不是，任何收集、验证、处理个人身份信息的组织均适用，如酒店、交通、医疗、零售等，只要涉及身份信息，就需防范泄露、伪造、冒用等风险。
Q3：建立ISO29151体系就是对个人身份信息进行加密，无需其他措施？
A：不是，加密只是技术保障，体系强调全流程的身份信息管理，包括身份信息采集的合法性、验证流程的规范性、存储的安全性、销毁的彻底性等。
Q4：个人身份信息存储满一定期限后，直接删除就符合标准要求？
A：不是，体系要求组织建立个人身份信息销毁的标准化流程，确保删除后无法恢复，同时留存销毁记录，并非简单的直接删除，且需遵循数据留存的相关法律法规。
Q5：通过第三方平台验证个人身份信息，组织就无需承担管理责任？
A：不是，组织作为个人身份信息的处理者，需评估第三方平台的身份信息保护能力，签订保护协议，对第三方的处理过程进行监督，承担最终的管理责任。
认证及咨询费用
费用影响因素占比
组织地理位置（及多个办公场所）15%
一线城市或多办公场所会增加差旅与审核组织成本，偏远地区可能有额外服务费用。
组织人员数量20%
人员规模影响审核人日和咨询工作量，人数越多，评估与辅导投入越高。
组织业务范围10%
业务线越多、范围越广，体系边界与过程设计越复杂，实施成本会同步增加。
选择认证机构25%
不同认证机构的品牌影响力、审核规则与项目组织方式不同，费用差异较明显。
咨询质量要求25%
资深顾问、定制化交付与全流程辅导方案，通常较基础辅导投入更高。
认证周期要求10%
加急周期会带来额外资源协调成本，常规周期通常更具费用优势。
最终费用，请联系我们
