ISO-IEC 27018-2023 中文版 云服务个人信息保护控制措施

ISO/IEC27018:2023中文版云服务个人信息保护控制措施前言ISO/IEC27018:2023是信息技术、网络安全与云服务隐私保护领域专属国际权威标准，作为ISO/IEC27001信息安全管理体系、ISO/IEC27002信息安全控制措施体系的专项云端隐私扩展标准，也是全球唯一聚焦**公有云环境个人可识别信息（PII）**安全防护与合规管控的专用控制规范。本次2023修订版本为标准最新升级迭代版本，相较于旧版深度适配全球各国及地区云服务监管新规、跨境云端数据流通规则、云计算架构数字化升级变革需求，精准补齐传统信息安全标准在云服务场景下个人隐私保护管控空白，专门针对云服务提供商、云服务客户双类核心主体划定差异化、强制性、可落地的个人信息保护专项控制基线。本标准核心编制宗旨，是在保障云计算弹性算力、资源共享、按需调度、远程运维等核心服务优势的基础上，彻底化解云端个人信息集中存储、多租户共享架构、跨区域部署、第三方运维托管、远程数据交互带来的隐私泄露、非法篡改、违规滥用、越权访问、无序流转等合规安全风险，严格遵循ISO/IEC29100全球隐私保护通用核心原则，构建云环境下个人信息全生命周期闭环防护管控体系。本标准所有控制措施具备普适性与强制性，不区分云服务部署模式、服务规模、行业归属，全面适配公有云、混合云涉公有云托管场景下所有处理、存储、传输、管控个人可识别信息的云服务运营及使用组织，既是云服务商合规运营、资质认证、客户信任背书的核心依据，也是云上租户规范个人信息托管使用、规避隐私合规风险、落实主体保护责任的必备合规准则。1总则范围本ISO/IEC27018:2023标准明确划定云服务全场景下个人可识别信息保护专属管理规范与专项安全控制措施，聚焦公有云及混合云公有云关联板块内，个人信息收集、云上录入、集中存储、云端使用、智能加工、跨节点传输、对外共享披露、委托子处理、归档留存、安全销毁全生命周期管控全流程，细化所有适配云架构特性的隐私防护强制控制要求与实操落地细则。本标准所有控制条款及防护规范，均以ISO/IEC27001基础信息安全管控体系为底层依托，在通用信息安全防护基础上叠加云场景专属隐私强化控制要求，专门弥补多租户隔离、云端资源虚拟化、远程运维管理、跨地域数据部署、服务商托管运营、云服务外包协作等云特有架构带来的隐私管理短板。本标准适用对象覆盖所有类型、所有规模、所有行业的云服务相关组织机构，核心包含对外提供算力租赁、存储托管、业务系统部署、数据运维管理等服务的各类云服务提供商，以及依托云端资源开展业务运营、上传存储处理员工、客户、用户各类个人隐私信息的云服务客户及云上租户。无论组织使用IaaS基础设施即服务、PaaS平台即服务、SaaS软件即服务何种云服务模式，只要涉及任何个人可识别信息上云托管、云端处理、云上流转等相关活动，均需严格遵循本标准全部控制措施合规落地。需要明确的是，本标准仅划定云服务个人信息保护通用底线控制基线，不替代各国本地个人信息保护专项法律法规及行业云端数据监管政策，组织需在本标准基础上叠加属地合规要求，不得简化弱化本标准既定核心隐私保护控制力度。2规范性引用依据本标准所有云服务个人信息保护控制措施条款，均关联依托多项国际通用信息安全、隐私保护及云计算基础核心标准作为合规实施依据，所有引用文件最新有效修订版本自动适配本标准全场景应用，组织无需额外开展版本适配核验工作，直接遵照最新版引用文件协同落实管控要求即可。核心基础性引用文件包含ISO/IEC27001信息安全管理体系要求及使用指南、ISO/IEC27002信息安全网络安全与隐私保护信息安全控制措施实用规则两大底层核心标准，为云端个人信息基础安全防护、管理体系搭建、通用安全管控提供基础架构支撑；隐私专项核心引用ISO/IEC29100隐私保护通用框架标准，所有云服务隐私控制措施均严格对标该框架既定隐私核心原则编制，确保云端隐私保护逻辑与全球通用隐私合规体系保持一致。同时配套关联引用云服务安全运维规范、跨境云端数据传输安全导则、虚拟化环境数据隔离防护标准、云服务第三方子处理管控规范、个人信息隐私影响评估云端实施指南等专项配套合规文件。所有规范性引用文件中的强制性管控要求与推荐实操准则，全部同步纳入本标准云服务个人信息保护控制体系范畴，组织落实本标准各项云端隐私管控措施时，必须同步契合引用文件对应条款规定，杜绝信息安全管控与云端隐私保护脱节、通用防护与云专属管控割裂、合规落地标准不统一的各类隐患问题。3核心术语定义与权责缩略说明本章节统一规范ISO/IEC27018:2023云服务个人信息保护管控全流程实操、标准条款解读、合规审核认证过程中涉及的专属核心术语、权责主体定义及通用缩略语，所有释义为全球云服务隐私保护统一通用口径，组织体系建设、控制措施落地、内部合规核查、外部认证审核及监管对接全过程，均需严格依照本章节统一释义执行，严禁自行篡改、曲解或自定义核心术语内涵，确保云服务商、云上租户、监管机构、认证审核多方合规认知与执行标准统一一致。本标准重点界定个人可识别信息（PII）、云服务提供商（CSP）、云服务客户、云上多租户环境、云端个人信息子处理、虚拟化数据隔离、云端数据跨境部署、云端隐私默认保护、云端隐私设计、个人云端权益请求、云上数据最小化、云端数据留存周期、云端安全销毁等云场景专属核心术语，清晰区分传统线下信息处理与云端虚拟化信息处理的隐私保护边界，精准划分云服务商运营管控责任与云上租户业务数据管理责任，明确界定通用信息安全风险与云端专属隐私泄露风险的差异化管控范畴。针对云服务运营、控制措施实施、体系认证过程中高频使用的通用缩略语，本章节逐一对应完整标准全称及云端适用专属场景，杜绝缩略语使用歧义与认知偏差。所有术语定义同步适配全球主流个人信息保护法规及云计算行业监管规则，兼顾国际认证通用性与属地合规适配性，保障组织跨境云业务运营、国际认证对接、国内监管核查全程术语规范统一。4云服务个人信息保护通用基础控制原则所有落实本标准云服务个人信息保护专项控制措施的组织机构，必须严格遵循本章节划定的八大通用基础核心控制原则，所有云端隐私防护管控工作、专项控制措施部署、日常运营管理活动均需以原则为核心导向，不得偏离原则底线开展任何云上个人信息处理运营活动。首要遵循云端数据最小化原则，云服务商及云上租户仅可收集、上传、存储、处理业务运营必需的最少范围个人信息，严禁超额采集、无关留存、冗余备份云端非必要个人隐私数据，从源头缩减云端隐私泄露风险敞口。其次遵循处理目的唯一限定原则，云端个人信息处理必须具备明确、合法、具体的业务处理目的，严禁超出既定合规目的开展二次加工、复用共享、私自流转等额外处理活动，云端处理目的变更必须提前合规评估并取得相关方合法授权。第三遵循合法合规透明公开原则，所有云端个人信息处理活动必须具备法定合法处理基础，云服务商需向云上租户及数据主体清晰公开云端数据处理规则、存储位置、流转路径、防护措施、权益响应渠道，全程保持处理活动公开透明。第四遵循云端隐私设计与默认隐私保护原则，云服务平台架构搭建、虚拟化系统部署、云产品功能研发、云服务模式设计阶段，必须前置嵌入隐私保护控制措施，默认配置最高等级隐私防护策略，无需人工额外设置即可自动实现个人信息基础防护。第五遵循权责清晰分责管控原则，严格划分云服务商技术运维、安全防护、平台管控责任与云上租户业务合规、数据管理、权限管控责任，权责边界文件化明确，杜绝责任交叉推诿与管控空白盲区。第六遵循风险导向动态防护原则，围绕云端隐私风险等级差异化配置控制措施，高敏感个人信息强化加密、隔离、审计专项管控，常态化动态研判云架构风险变化并同步优化防护策略。第七遵循全程可追溯可审计原则，云端个人信息全生命周期所有处理、访问、传输、共享、销毁操作全程留痕日志记录，日志长期归档留存，支持合规核查与事件溯源追责。第八遵循持续改进合规迭代原则，结合云技术升级、法规更新、风险变化、事件复盘持续优化云端隐私控制措施，长效保障防护有效性与合规适配性。5云服务双主体权责划分专项控制措施本标准针对云服务核心两大参与主体云服务提供商与云服务客户，制定差异化、精细化、全覆盖的权责划分专项控制措施，明确双方在个人信息云上保护全流程中的法定及合规管控义务，杜绝权责模糊、管控缺位、责任推诿导致的隐私防护失效问题。针对云服务提供商，核心管控责任聚焦云平台底层架构安全防护、虚拟化环境多租户安全隔离、云端基础设施运维安全、通用隐私防护技术部署、云端访问基础权限管控、运维人员合规管理、跨境云节点部署合规管控、云上数据基础备份与安全防护、隐私安全事件应急基础处置、管控日志留存提供、外部合规对接配合等基础保障性工作，云服务商不得擅自访问、调取、使用、共享、披露云上租户托管的个人信息，仅可按照租户授权及合规要求开展平台运维必要处理活动，严禁超出运维权限违规处置租户隐私数据。针对云服务客户及云上租户，核心管控责任聚焦自身业务个人信息上云前置合规审核、个人信息收集合法性基础确认、云上数据访问精细化权限分配、业务层面数据使用加工合规管控、数据主体个人云端权益请求响应、云端子处理合作方合规审核管控、业务数据留存周期管控、违规操作内部管控、租户侧隐私风险自查整改等业务合规性工作，租户需严格把控自身业务数据上云合规源头，规范内部人员云端数据操作行为。双方需签订正式云服务隐私保护专项协议，将所有权责划分内容、控制措施落实要求、违规追责机制、风险分担规则全部纳入协议条款，形成文件化权责清单永久留存。双方均需设立专属隐私管理对接岗位，建立常态化沟通对接机制，定期同步云端隐私管控履职情况、风险排查结果、合规整改进展，确保双主体管控无缝衔接、无管控盲区、无责任真空地带。6云端个人信息全生命周期保护核心控制措施6.1个人信息上云前置准入控制措施组织开展任何个人信息上云存储、云端处理之前，必须严格落实上云前置准入专项控制措施，筑牢云端隐私保护源头合规防线，未经前置合规审核、风险评估及防护配置达标的个人信息，严禁上传至云平台任何节点及虚拟化存储资源池。云上租户需提前梳理拟上云个人信息类型、敏感等级、处理目的、流转范围、留存周期，严格核验每一类个人信息处理的合法合规基础，确保上云处理活动完全符合属地隐私法规及本标准要求，严禁非法采集、违规获取的个人信息上云托管。针对高敏感个人信息，必须提前开展云端隐私影响专项评估，精准研判上云后多租户干扰、跨区域存储、远程运维带来的隐私风险，形成完整评估报告，针对高风险隐患提前部署加密、隔离、专属管控等强化防护措施，风险未达标管控不得上云。云服务商需提前为租户配置独立虚拟化资源隔离区域，严禁不同租户个人信息混合无隔离存储，提前完成云端基础隐私防护系统部署调试，确保加密、访问管控、日志审计等基础控制措施全部生效运行。双方需联合完成上云合规核验工作，确认权责划分清晰、防护措施到位、合规资料完备后，方可启动个人信息上云迁移工作，上云迁移过程需采用加密传输方式，全程专人监护、全程日志记录，严防迁移过程中个人信息泄露、丢失、篡改。6.2云端个人信息存储安全控制措施云端个人信息长期存储阶段需落实全方位、多层次、常态化存储安全专项控制措施，重点围绕虚拟化存储隔离、全程加密防护、存储区域合规限定、备份安全管控、留存周期管控五大核心维度筑牢防护屏障。多租户隔离管控方面，云服务商需通过虚拟化技术、存储分区技术实现不同租户个人信息物理隔离或强逻辑隔离，杜绝租户之间数据越权互通、非法访问、交叉泄露风险，隔离策略定期复核加固，严禁擅自调整隔离配置。加密防护管控方面，所有云端存储的个人信息无论普通等级还是高敏感等级，均需实现静态存储全程加密，采用合规高强度加密算法开展加密处理，加密密钥由租户自主管控或双方分级共管，云服务商不得私自获取密钥破解数据，移动存储介质备份云端数据同样需全程加密防护。存储区域管控方面，严格遵循属地数据存储合规要求，明确个人信息云端存储具体地理节点位置，严禁未经合规评估擅自跨境迁移存储个人信息，确需跨境存储的必须完成跨境合规审批及专项风险评估。备份管控方面，云端个人信息备份需遵循最小备份原则，备份数据同等落实加密隔离防护，备份访问权限严格收紧，备份留存周期与主数据保持一致，定期核验备份数据完整性与安全性。留存周期管控方面，云服务商配合租户设定云端个人信息自动留存时效，达到既定留存期限后自动触发清理提醒，严禁超期冗余留存个人信息，杜绝无效过期数据云端堆积带来的隐私风险。6.3云端个人信息使用与加工控制措施云端个人信息日常业务使用、智能算法加工、数据统计分析等处理活动，需严格落实合规管控、权限严控、操作审计、用途限定专项控制措施，杜绝违规使用、越权操作、超范围加工引发的隐私合规风险。用途管控层面，所有云端个人信息使用加工必须严格限定在既定合规业务目的范围内，严禁擅自用于商业营销、数据倒卖、无关业务开发等额外用途，如需变更使用加工目的，必须重新开展合规评估、获取数据主体授权并更新管控策略。权限管控层面，遵循最小权限与岗位职责匹配原则，精细化配置云端个人信息访问、查看、下载、加工、修改操作权限，按需赋权、一人一权、定期复核清理闲置权限，高敏感个人信息仅授权核心必要岗位访问，增设二次身份核验权限管控机制。操作管控层面，云端所有个人信息使用加工操作必须全程自动化日志审计，精准记录操作人员、操作时间、操作内容、操作行为、操作结果等核心信息，日志严禁篡改删除，长期归档留存用于合规核查与事件溯源。算法加工管控层面，针对云端自动化智能算法处理个人信息场景，需提前开展算法隐私风险评估，杜绝算法非法画像、过度采集隐私、自动泄露数据，算法运行全程监控，定期排查算法隐私漏洞。内部操作管控层面，严禁内部员工私自导出、拷贝、截屏、外传云端个人信息，严禁未经审批私自开展数据关联聚合加工，定期开展员工云端操作合规警示教育，严查违规操作行为并落实追责整改。6.4云端个人信息传输与共享披露控制措施云端个人信息云内节点传输、云与本地系统交互传输、第三方合作共享、对外公开披露等流转环节，需严格落实加密传输、审批管控、共享合规、披露严控、全程溯源专项控制措施，严防传输拦截、共享泄露、违规披露隐私风险。传输管控方面，所有个人信息云端内外传输必须采用合规高强度加密传输协议，实现传输全程加密防护，杜绝明文传输、弱加密传输情况，传输链路定期安全检测加固，防范链路劫持、数据窃取、信息篡改风险。共享合作管控方面，云端个人信息向第三方子处理服务商共享委托处理前，必须开展第三方合规资质审核与隐私风险评估，签订隐私保护专项合作协议，明确第三方管控责任与数据使用边界，严禁第三方超范围处理、二次共享隐私信息，云服务商与租户定期核查第三方管控履职情况。对外披露管控方面，严禁未经合法授权及合规审批擅自对外公开披露云端个人信息，确因法定要求或数据主体申请披露的，严格履行内部审批流程，最小化披露必要信息，全程记录披露事由、披露内容、接收方及披露时间。跨境传输管控方面，云端个人信息跨境节点传输、跨境存储共享必须严格遵循跨境数据合规规则，完成跨境安全评估、合规备案等法定流程，落实跨境专项防护措施，确保跨境流转全程合规可控。所有传输共享披露操作全部留痕归档，实现流转全流程可追溯、可核查、可追责。6.5云端个人信息归档与安全销毁控制措施云端个人信息业务使用完毕、达到既定留存周期、无需继续留存使用的，需严格落实规范归档、安全销毁、销毁核验全程专项控制措施，杜绝过期数据违规留存、简单删除残留、销毁不彻底导致的隐私泄露隐患。归档管控方面，需长期留存备查的云端个人信息，需单独划分归档专属存储区域，强化加密与访问权限管控，归档数据仅用于合规核查与溯源查询，严禁用于其他业务处理，归档留存期限严格遵循法规及业务要求，到期立即启动销毁流程。销毁管控方面，云端个人信息销毁严禁仅做简单逻辑删除操作，必须采用云端数据覆写、物理存储消磁、虚拟化数据彻底清除等不可逆销毁方式，确保个人信息销毁后无法恢复、无法复原、无法非法调取。云服务商需配合租户制定云端数据标准化销毁流程，明确销毁责任人员、销毁操作步骤、销毁核验标准，销毁工作双人全程监督执行。销毁完成后需出具正式云端个人信息安全销毁证明文件，详细列明销毁数据范围、销毁时间、销毁方式、销毁责任人、核验结果等核心内容，归档留存备查。定期开展云端残留数据专项排查清理工作，彻底清理缓存、备份、日志附带的冗余个人信息，确保全维度无隐私数据残留。7云端多租户与虚拟化专属隐私防护控制措施针对云服务虚拟化架构、多租户资源共享、集群化部署的特有运营模式，本标准增设专属强化隐私防护控制措施，专门破解传统信息安全管控无法覆盖的云架构特有隐私安全风险，筑牢多租户环境下个人信息隔离防护核心防线。虚拟化隔离防护方面，云服务商需对计算资源、存储资源、网络资源、运维资源实现租户专属虚拟化隔离配置，通过虚拟局域网划分、存储分区隔离、访问策略独立配置等技术手段，彻底阻断不同租户个人信息非法互通、越权访问、跨租户窃取的风险，隔离策略定期安全测评与漏洞加固，严禁因系统升级、运维操作、架构调整弱化隔离防护等级。虚拟化运维管控方面，云服务商运维人员开展云端设备运维、系统升级、故障排查等工作时，必须遵循最小运维权限原则，严禁运维人员私自查看、调取、拷贝租户个人信息，运维操作全程视频监控与日志审计，远程运维必须采用加密运维链路，杜绝运维环节隐私泄露。多租户权限差异化管控方面，针对不同租户设置独立权限体系、独立账号体系、独立审计体系，租户之间账号互不通用、权限互不交叉、审计互不关联，精准管控每一个租户数据访问边界。虚拟化漏洞防护方面，定期开展云虚拟化架构隐私漏洞扫描、渗透测试与安全加固，及时修复虚拟化系统隐私安全缺陷，防范虚拟化逃逸、跨租户攻击等新型云端隐私攻击风险。所有虚拟化专属防护控制措施落实情况需定期合规核查，形成核查整改记录，确保云架构特有隐私风险全程可控在控。8人员与运维操作隐私合规控制措施云服务商及云上租户需针对所有接触云端个人信息的管理岗位、业务岗位、技术运维岗位、外包协作岗位人员，落实全流程人员管理与运维操作隐私合规专项控制措施，从人员管控源头杜绝内部人员违规操作、恶意泄露、疏忽失责引发的隐私安全事件。人员入职管控方面，所有云端隐私相关岗位人员入职前必须开展背景合规核查，签订隐私保护保密专项协议，明确岗位隐私管理职责、操作红线及违规追责处罚机制，未签订协议、未通过核查人员不得上岗履职。人员培训管控方面，定期开展ISO/IEC27018:2023标准要求、云端隐私管理制度、岗位操作规范、违规典型案例、隐私保护法律法规常态化合规培训与考核，考核