GB-T 35274-2017 信息安全技术 公共云计算服务 个人信息保护指南（等同 ISO 27018-2014） - 副本

GB/T35274-2017信息安全技术公共云计算服务个人信息保护指南（等同ISO27018:2014）前言本标准按照GB/T1.1-2009《标准化工作导则第1部分：标准化文件的结构和起草规则》给出的规则起草。本标准等同采用ISO/IEC27018:2014《信息技术安全技术充当个人身份信息处理者的公共云个人身份信息保护实践准则》，在全部技术内容、控制要求、条款逻辑与管理准则上与国际标准完全一致，仅依据我国国家标准编制规范进行规范性编辑，无技术性删减、修改与增补，实现了国际公共云个人隐私保护标准的等效转化，为国内公共云计算服务场景下的个人信息安全防护提供权威、统一、可落地的合规依据。云计算技术的规模化普及，推动政企、行业机构及个人数据大规模向公共云平台迁移，公共云凭借虚拟化、资源共享、多租户、分布式存储、远程运维等特性，极大提升了数据处理与业务运营效率。但多租户隔离风险、云端数据权限滥用、跨区域存储传输、第三方运维介入、数据残留泄露、隐私管控缺失等问题，导致公共云场景下个人信息泄露、滥用、篡改、非法披露等安全事件频发。传统线下数据保护规范无法适配公共云虚拟化、动态化、共享化的运行特征，亟需专属的云端个人信息保护管控体系。本标准基于ISO/IEC27001、ISO/IEC27002信息安全管理体系框架，针对公共云服务场景补充专属个人信息保护控制措施，聚焦云服务提供商作为个人信息处理者的主体责任，规范个人身份信息（PII）全生命周期管控要求。标准覆盖公共云存储、计算、网络、运维、外包、跨境传输等全场景，解决多租户隔离、数据残留、隐私披露、用户权益保障、事件处置等核心痛点，适配各类公有云服务商、云上租户单位的合规管控需求，是国内公共云领域首个专业化个人隐私保护指导性标准，可有效提升云端个人信息安全防护能力、规避合规风险、保障用户合法权益。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本标准于2017年12月29日发布，2018年07月01日正式实施。引言0.1总则ISO/IEC27018:2014是国际首个专门针对公共云场景个人身份信息保护的隐私安全标准，作为ISO/IEC27002的专项扩展规范，在通用信息安全控制基础上，新增云端隐私保护专项准则，专门约束公共云服务提供者的个人信息处理行为。本标准等同转化该国际规范，适配我国网络安全、个人信息保护相关法律法规要求，兼顾国际合规与国内监管需求。公共云环境具备资源共享、租户隔离、动态调度、远程运维、多主体参与的典型特征，个人信息面临的隐私风险与传统本地机房、私有架构存在本质差异。本标准核心定位为规范云服务处理者的管控行为，区别于个人信息控制者的合规要求，重点解决云端数据共享风险、租户数据隔离、数据删除残留、隐私披露管控、第三方运维安全、用户权益响应等行业共性难题。0.2管理逻辑与体系适配本标准依托ISO/IEC27001信息安全管理体系底层框架，延续PDCA闭环管理思维，以个人信息全生命周期保护为主线，通过政策规范、组织管理、技术防护、流程管控、审计监视、持续改进六大维度，构建公共云专属隐私保护体系。可与信息安全管理体系、数据安全治理体系、应急事件管理体系深度融合，无需单独搭建管理架构，大幅降低云服务商合规管理成本。0.3应用价值本标准统一了公共云个人信息保护的管控口径、技术要求与管理规范，填补了公有云隐私保护专项标准空白。既适用于云服务商常态化安全运营、隐私合规管控、内部体系建设，也可作为云上租户选型审核、第三方测评、合规认证、监管核查的核心依据，助力组织实现云端个人信息合法、合规、安全、可控处理。1范围1.1本标准规定了公共云计算服务环境下，个人身份信息（PII）保护的通用准则、专项安全控制措施、管理要求与实施规范，明确了云服务提供者作为个人信息处理者的隐私保护责任边界与合规标准。1.2本标准覆盖公共云场景个人信息收集、存储、计算、传输、共享、披露、删除、销毁、运维、应急处置等全生命周期管控要求，针对多租户隔离、虚拟化资源管控、第三方运维、跨境数据传输、数据残留清理等云专属场景提出专项防护规范。1.3本标准适用于所有向社会公众、企事业单位提供公共云计算服务的云服务提供商，涵盖公有云IaaS、PaaS、SaaS全层级服务场景；同时适用于依托公共云开展业务、处理个人信息的云上租户单位，可供第三方测评机构、监管单位开展合规核查使用。1.4本标准为指导性实施准则，在ISO/IEC27002通用安全控制基础上补充隐私专项要求，未替代通用信息安全标准，组织需结合通用安全规范与本标准要求，构建完整的云端个人信息保护体系。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO/IEC27000:2014信息技术安全技术信息安全管理体系概述和词汇ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求ISO/IEC27002:2013信息技术安全技术信息安全控制实践指南GB/T22080-2016信息技术安全技术信息安全管理体系要求GB/T22081-2016信息技术安全技术信息安全控制实践指南GB/T35273-2017信息安全技术个人信息安全规范GB/T29245-2012信息安全技术信息安全事件分类分级指南3术语和定义下列术语和定义适用于本标准。3.1公共云publiccloud由云服务提供商建设、运维，面向社会公众、各类组织机构开放共享的云计算资源平台，通过虚拟化、池化技术实现计算、存储、网络、应用资源共享，按需为多租户提供云计算服务的部署模式。3.2个人身份信息personallyidentifiableinformation（PII）可直接或间接识别特定自然人身份、反映特定自然人活动情况的各类信息，涵盖姓名、手机号、身份证号、住址、生物特征、位置信息、消费记录、浏览轨迹等个人敏感及普通个人信息，与国标个人信息定义保持一致。3.3云服务提供者cloudserviceprovider（CSP）搭建、运营公共云平台，向租户提供云计算资源与服务，按照租户指令处理、存储、传输个人信息的机构，为本标准约束的核心主体，承担个人信息处理者的安全责任。3.4云租户cloudtenant使用公共云服务、依托云平台开展业务、上传并处理个人信息的组织机构或个人，为个人信息控制者，负责个人信息收集授权、合规使用与主体权益响应。3.5多租户隔离multi-tenantisolation公共云平台通过技术与管理手段，实现不同租户的计算资源、存储数据、网络链路、应用服务相互隔离，杜绝租户间数据越权访问、泄露、篡改的安全管控机制。3.6数据残留dataresidual数据删除、资源释放、租户退订后，云平台存储介质、缓存节点、备份系统中残留的可恢复个人信息数据，是公共云场景特有的隐私风险点。3.7个人信息处理者PIIprocessor受个人信息控制者委托，按照既定指令处理个人信息，不自主决定个人信息处理目的、方式的主体，本标准特指公共云服务提供者。4缩略语下列缩略语适用于本标准。PII：个人身份信息（PersonallyIdentifiableInformation）CSP：云服务提供商（CloudServiceProvider）IaaS：基础设施即服务（InfrastructureasaService）PaaS：平台即服务（PlatformasaService）SaaS：软件即服务（SoftwareasaService）ISMS：信息安全管理体系（InformationSecurityManagementSystem）5公共云个人信息保护总体要求5.1核心原则5.1.1权责法定、边界清晰严格区分云服务处理者与租户控制者的责任边界，云服务商对云端个人信息存储、运维、防护、删除、应急处置安全负责，租户对个人信息收集合法性、授权合规性、使用合规性负责，杜绝责任推诿、权责空白。5.1.2最小必要、适度处理云服务商仅可按照租户合法指令处理个人信息，不得超范围、超权限采集、使用、披露、复用租户个人信息，禁止私自抓取、分析、售卖云端用户隐私数据，坚守最小权限、最小处理范围原则。5.1.3全程可控、全链防护覆盖个人信息上传、存储、计算、传输、共享、备份、删除、销毁、退订全生命周期，针对公共云虚拟化、动态调度、多租户共享特性，落实专属防护措施，实现全流程可追溯、可审计、可管控。5.1.4透明合规、权益保障向租户及个人信息主体公开云端个人信息处理规则、防护措施、留存周期、风险情况，保障个人知情权、更正权、删除权、撤回授权权，规范用户权益响应流程。5.1.5持续迭代、动态防护结合云计算技术迭代、新型隐私风险、法律法规更新，持续优化防护策略、技术手段与管理制度，动态适配公共云场景隐私保护需求。5.2体系总体架构云服务商应基于ISO/IEC27001体系框架，搭建适配公共云场景的个人信息保护管理体系，包含政策制度、组织人员、技术防护、流程管控、审计监视、应急处置、持续改进七大模块，将本标准专项隐私控制要求嵌入日常云运营、运维、安全管理全流程，实现体系化、常态化、标准化隐私防护。6信息安全政策与组织管理6.1隐私保护政策制度云服务商应制定专项公共云个人信息保护管理制度与隐私政策，明确云端PII处理规范、防护标准、权限管理、运维规范、删除机制、披露规则、应急处置要求。政策文件需对外公开公示，清晰告知租户云端个人信息的存储方式、留存周期、防护措施、共享范围、用户权益，确保合规透明。同时建立制度动态更新机制，根据法律法规、行业规范、技术风险变化，及时修订完善隐私管理制度，确保制度适配最新合规要求。6.2组织与人员职责设立专职隐私保护管理岗位，明确隐私安全负责人、运维人员、安全审计人员、应急处置人员的岗位职责，细化云端个人信息管控权责，杜绝权责交叉、管理空白。建立全员隐私安全培训机制，针对云运维、技术开发、客服、审计、外包人员开展专项培训，重点强化多租户隔离、数据残留清理、隐私保密、违规追责等专项内容，杜绝内部人员违规访问、泄露、篡改个人信息。建立人员权限管控与离岗清零机制，员工最小权限分配，离岗、离职时及时回收全部系统权限、清空操作权限，留存操作审计记录。6.3内部合规审核机制云服务商应定期开展公共云个人信息保护合规内审，核查隐私制度落地、技术防护有效性、权限合规性、数据处理合规性、事件处置规范性，排查隐私管控漏洞，形成内审报告并闭环整改。7公共云专属技术防护控制7.1多租户隔离管控多租户隔离是公共云隐私保护的核心基础，云服务商需从计算、存储、网络、应用、权限五个维度落实强制隔离机制。通过虚拟化隔离、逻辑分区、独立权限体系、专属网络通道等技术手段，确保不同租户的个人数据、业务资源、操作日志完全隔离，杜绝跨租户越权访问、数据泄露、数据篡改风险。定期开展租户隔离有效性检测，排查隔离漏洞、跨租户访问风险，及时修复隔离失效问题，保障多租户长期安全隔离。7.2个人信息存储防护云端个人信息存储需落实加密存储、分层存储、备份安全、残留清理四大核心要求。所有云端存储的个人敏感信息需采用高强度加密算法加密存储，禁止明文留存；区分普通个人信息与敏感个人信息，实行分级防护、分区存储；建立多副本备份机制，同时严格管控备份数据的访问权限、留存周期。针对公共云动态资源调度、虚拟资源复用特性，建立专属数据残留清理机制，租户退订、资源释放、数据删除后，彻底清除存储介质、缓存节点、备份系统中的残留数据，杜绝残留数据被恢复、非法利用。7.3个人信息传输防护公共云内部节点传输、跨区域传输、租户上下行数据传输全程采用安全加密通道，禁止明文传输个人信息。建立传输行为审计机制，记录数据传输源头、目的地、传输内容、传输时长、操作人员，实现传输全程可追溯。严格管控跨地域数据传输行为，符合国家数据跨境传输相关合规要求。7.4权限与访问控制落实最小权限、按需赋权、权限审计原则，建立云端资源与数据权限分级管理体系。严格限制内部运维人员、管理人员、第三方人员对租户个人信息的访问权限，无合法授权不得查看、导出、修改、复制租户隐私数据。所有个人信息访问、操作行为全程日志记录，日志留存周期不低于合规要求，支持溯源审计、异常告警，及时发现越权访问、违规操作行为。7.5脱敏与去标识化管控云服务商为租户提供数据处理服务时，应支持个人信息脱敏、去标识化工具与能力，引导租户对云端个人信息进行脱敏处理。脱敏后的数据需与原始识别信息物理或逻辑隔离存储，防止重新溯源识别自然人身份，降低云端隐私泄露风险。8个人信息全生命周期管理8.1收集与接入管控云服务商不得主动收集、抓取租户上传的个人信息，仅按照租户指令提供数据存储、计算、传输服务。对违规接入、非法收集个人信息的租户行为进行风险预警，提示租户履行个人信息收集授权义务，确保云端个人信息来源合法、合规。8.2使用与处理管控云服务商处理租户个人信息必须完全基于租户业务指令，不得超出服务范围用于自身经营、数据分析、精准营销等其他用途，不得私自复用、流转、披露租户隐私数据。禁止利用云计算算力、数据资源优势非法挖掘、关联、还原个人敏感信息。8.3共享与披露管控未经租户明确授权，云服务商不得向任何第三方共享、转让、披露租户个人信息。因法律法规、监管要求需要对外披露的，需提前告知租户（法律禁止告知的除外），留存披露依据、披露记录、审批流程，严格控制披露范围与披露内容。建立第三方合作管控机制，对运维外包、技术合作、合规审计等第三方主体，签订隐私保密协议，严格约束第三方访问、使用云端个人信息的行为，落实第三方隐私安全责任。8.4删除与销毁管控收到租户合法删除申请、个人信息主体删除请求或服务终止后，云服务商需在规定时限内完成个人信息删除、销毁操作，彻底清除主数据、缓存数据、备份残留数据，出具数据删除确认凭证。建立删除操作审计台账，全程记录删除时间、范围、操作人员、核验结果，杜绝数据残留。8.5服务终止与退订管控租户云服务到期、退订、终止合作后，云服务商需自动启动数据保护机制，锁定租户数据访问权限，按照约定完成数据迁移、数据删除、数据销毁，禁止继续留存、使用租户个人信息。服务终止后无合法授权，不得再对租户隐私数据进行任何处理操作。9用户个人权益保障9.1知情权保障云服务商需公开透明公示云端个人信息处理规则、防护措施、留存周期、共享对象、风险管控机制，保障租户及个人主体充分知晓云端隐私处理情况，公示内容清晰易懂、无隐瞒、无模糊条款。9.2更正与删除权保障建立高效的个人信息更正、删除响应通道，配合租户响应个人主体的权益申请，在合规时限内完成信息更正、数据删除、权限调整，及时反馈处理结果，留存权益处置记录。9.3投诉与申诉处置设立隐私保护专项投诉渠道，及时受理个人信息泄露、违规处理、权益受损等投诉事项，规范投诉登记、核查、处置、反馈全流程，在规定时限内办结并回复，保障用户合法隐私权益。10隐私安全事件处置与应急管理10.1事件监测与识别建立云端个人信息安全事件常态化监测机制，通过技术监测、日志审计、人工巡检相结合的方式，及时发现数据泄露、越权访问、数据篡改、数据丢失、违规披露等隐私安全事件。10.2事件分级与响应参照国标事件分级规范，对云端隐私安全事件进行分级管控，根据事件危害程度、影响范围启动对应等级应急预案，快速开展风险遏制、漏洞封堵、数据防护工作，防止事件扩散扩大。10.3事件上报与告知发生个人信息安全事件后，云服务商需第一时间告知受影响租户与个人主体，按照法律法规要求及时向监管部门合规上报，杜绝迟报、漏报、瞒报、谎报。完整留存事件处置、上报、告知记录。10.4复盘改进每起隐私安全事件处置完成后，开展专项复盘分析，定位技术漏洞、管理短板、流程缺陷，制定纠正与预防措施，优化隐私防护策略与应急机制，杜绝同类事件重复发生。11第三方与外包服务管控11.1第三方准入管控对参与云平台运维、技术支撑、审计测评的第三方机构，建立严格的准入审核机制，核查其隐私保护能力、安全资质、信用记录，禁止无资质、高风险第三方接触云端个人信息。11.2第三方权限管控严格限制第三方人员的访问权限与操作范围，实行最小权限、临时授权、全程审计，第三方操作全程日志留存，操作结束立即回收全部权限，杜绝第三方违规操作导致隐私泄露。11.3第三方责任约束与所有合作第三方签订隐私保密协议与安全责任协议，明确第三方隐私保护责任、违规处罚机制、事故追责机制，压实第三方安全主体责任，实现外部风险闭环管控。12监视、审计与持续改进12.1常态化监视监测建立云端个人信息保护绩效监测体系，重点监测越权访问次数、数据泄露风险、数据残留清理合格率、事件处置时效、用户投诉率等核心指标，动态掌握隐私保护体系运行有效性。12.2定期内部审核每年至少开展一次公共云个人信息保护专项内审，全面核查制度落地、技术防护、权限管控、事件处置、第三方管理等全维度工