ISO/IEC 27701:2019
(Main)Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines
Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines
This document specifies requirements and provides guidance for establishing, implementing, maintaining and continually improving a Privacy Information Management System (PIMS) in the form of an extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy management within the context of the organization. This document specifies PIMS-related requirements and provides guidance for PII controllers and PII processors holding responsibility and accountability for PII processing. This document is applicable to all types and sizes of organizations, including public and private companies, government entities and not-for-profit organizations, which are PII controllers and/or PII processors processing PII within an ISMS.
Techniques de sécurité — Extension d'ISO/IEC 27001 et ISO/IEC 27002 au management de la protection de la vie privée — Exigences et lignes directrices
Le présent document spécifie les exigences et fournit des recommandations pour la création, la mise en œuvre, le maintien et l'amélioration continue d'un système de management de la protection de la vie privée (PIMS) sous la forme d'une extension de l'ISO/IEC 27001 et l'ISO/IEC 27002 pour le management de la protection de la vie privée dans le contexte de l'organisation. Le présent document spécifie les exigences liées au PIMS et fournit des recommandations destinées aux responsables de traitement de DCP et aux sous-traitants de DCP chargés de et responsables du traitement des DCP. Le présent document s'applique aux organisations de tous types et de toutes tailles, y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif, qui sont des responsables de traitement de DCP et/ou des sous-traitants de DCP qui traitent les DCP à l'aide d'un SMSI.
General Information
Relations
Standards Content (Sample)
INTERNATIONAL ISO/IEC
STANDARD 27701
First edition
2019-08
Security techniques — Extension to
ISO/IEC 27001 and ISO/IEC 27002 for
privacy information management —
Requirements and guidelines
Techniques de sécurité — Extension d'ISO/IEC 27001 et ISO/IEC
27002 au management de la protection de la vie privée — Exigences
et lignes directrices
Reference number
©
ISO/IEC 2019
© ISO/IEC 2019
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2019 – All rights reserved
Contents Page
Foreword .vi
Introduction .vii
1 Scope . 1
2 Normative references . 1
3 Terms, definitions and abbreviations . 1
4 General . 2
4.1 Structure of this document . 2
4.2 Application of ISO/IEC 27001:2013 requirements . 2
4.3 Application of ISO/IEC 27002:2013 guidelines . 3
4.4 Customer . 4
5 PIMS-specific requirements related to ISO/IEC 27001 . 4
5.1 General . 4
5.2 Context of the organization . 4
5.2.1 Understanding the organization and its context . 4
5.2.2 Understanding the needs and expectations of interested parties . 5
5.2.3 Determining the scope of the information security management system . 5
5.2.4 Information security management system . 5
5.3 Leadership . 5
5.3.1 Leadership and commitment . 5
5.3.2 Policy . 5
5.3.3 Organizational roles, responsibilities and authorities . 5
5.4 Planning . 6
5.4.1 Actions to address risks and opportunities . 6
5.4.2 Information security objectives and planning to achieve them . 7
5.5 Support . 7
5.5.1 Resources . 7
5.5.2 Competence . 7
5.5.3 Awareness . 7
5.5.4 Communication . 7
5.5.5 Documented information . 7
5.6 Operation . 7
5.6.1 Operational planning and control . 7
5.6.2 Information security risk assessment . 7
5.6.3 Information security risk treatment . 7
5.7 Performance evaluation . 8
5.7.1 Monitoring, measurement, analysis and evaluation . 8
5.7.2 Internal audit . 8
5.7.3 Management review . 8
5.8 Improvement . 8
5.8.1 Nonconformity and corrective action . 8
5.8.2 Continual improvement . 8
6 PIMS-specific guidance related to ISO/IEC 27002 . 8
6.1 General . 8
6.2 Information security policies . 8
6.2.1 Management direction for information security . 8
6.3 Organization of information security . 9
6.3.1 Internal organization . 9
6.3.2 Mobile devices and teleworking .10
6.4 Human resource security .10
6.4.1 Prior to employment .10
6.4.2 During employment .10
6.4.3 Termination and change of employment .11
© ISO/IEC 2019 – All rights reserved iii
6.5 Asset management .11
6.5.1 Responsibility for assets .11
6.5.2 Information classification .11
6.5.3 Media handling .12
6.6 Access control .13
6.6.1 Business requirements of access control .13
6.6.2 User access management .13
6.6.3 User responsibilities .14
6.6.4 System and application access control .14
6.7 Cryptography .15
6.7.1 Cryptographic controls .15
6.8 Physical and environmental security .15
6.8.1 Secure areas .15
6.8.2 Equipment .16
6.9 Operations security .17
6.9.1 Operational procedures and responsibilities .17
6.9.2 Protection from malware .18
6.9.3 Backup .18
6.9.4 Logging and monitoring .18
6.9.5 Control of operational software .19
6.9.6 Technical vulnerability management .20
6.9.7 Information systems audit considerations .20
6.10 Communications security .20
6.10.1 Network security management .20
6.10.2 Information transfer .20
6.11 Systems
...
NORME ISO/IEC
INTERNATIONALE 27701
Première édition
2019-08
Techniques de sécurité — Extension
d'ISO/IEC 27001 et ISO/IEC 27002
au management de la protection de
la vie privée — Exigences et lignes
directrices
Security techniques — Extension to ISO/IEC 27001 and ISO/IEC
27002 for privacy information management — Requirements and
guidelines
Numéro de référence
©
ISO/IEC 2019
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2019
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO/IEC 2019 – Tous droits réservés
Sommaire Page
Avant-propos .vii
Introduction .viii
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes, définitions et abréviations . 1
4 Généralités . 2
4.1 Structure du présent document . 2
4.2 Application des exigences de l'ISO/IEC 27001:2013 . 3
4.3 Application des lignes directrices de l'ISO/IEC 27002:2013 . 3
4.4 Client . 4
5 Exigences spécifiques au PIMS liées à l'ISO/IEC 27001 . 4
5.1 Généralités . 4
5.2 Contexte de l'organisation . 4
5.2.1 Compréhension de l'organisation et de son contexte . 4
5.2.2 Compréhension des besoins et des attentes des parties intéressées . 5
5.2.3 Détermination du domaine d'application du système de management de
la sécurité de l'information . 5
5.2.4 Système de management de la sécurité de l'information . 5
5.3 Leadership . 6
5.3.1 Leadership et engagement . 6
5.3.2 Politique . 6
5.3.3 Rôles, responsabilités et autorités au sein de l'organisation . 6
5.4 Planification . 6
5.4.1 Actions face aux risques et opportunités . 6
5.4.2 Objectifs de sécurité de l'information et plans pour les atteindre . . 7
5.5 Support . 7
5.5.1 Ressources . 7
5.5.2 Compétence . 7
5.5.3 Sensibilisation . 7
5.5.4 Communication . 7
5.5.5 Informations documentées . 8
5.6 Fonctionnement . 8
5.6.1 Planification et contrôle opérationnels . 8
5.6.2 Appréciation des risques de sécurité de l'information . 8
5.6.3 Traitement des risques de sécurité de l'information . 8
5.7 Évaluation des performances . 8
5.7.1 Surveillance, mesures, analyse et évaluation . 8
5.7.2 Audit interne . 8
5.7.3 Revue de direction . 8
5.8 Amélioration . 9
5.8.1 Non-conformité et actions correctives. 9
5.8.2 Amélioration continue . 9
6 Recommandations spécifiques au PIMS liées à l'ISO/IEC 27002 . 9
6.1 Généralités . 9
6.2 Politiques de sécurité de l'information . 9
6.2.1 Orientations de la direction en matière de sécurité de l'information. 9
6.3 Organisation de la sécurité de l'information .10
6.3.1 Organisation interne . .10
6.3.2 Appareils mobiles et télétravail .11
6.4 La sécurité des ressources humaines .11
6.4.1 Avant l'embauche .11
6.4.2 Pendant la durée du contrat.11
© ISO/IEC 2019 – Tous droits réservés iii
6.4.3 Rupture, terme ou modification du contrat de travail .12
6.5 Gestion des actifs .12
6.5.1 Responsabilités relatives aux actifs .12
6.5.2 Classification de l'information .12
6.5.3 Manipulation des supports .13
6.6 Contrôle d'accès .14
6.6.1 Exigences métier en matière de contrôle d'accès .14
6.6.2 Gestion de l'accès utilisateur .14
6.6.3 Responsabilités des utilisateurs .16
6.6.4 Contrôle de l'accès au système et aux applications .16
6.7 Cryptographie .16
6.7.1 Mesures cryptographiques .16
6.8 Sécurité physique et environnementale .17
6.8.1 Zones sécurisées .17
6.8.2 Matériel .17
6.9 Sécurité liée à l'exploitation .19
6.9.1 Procédures et responsabilités liées à l'exploitation .19
6.9.2 Protection contre les logiciels malveillants .19
6.9.3 Sauvegarde .19
6.9.4 Journalisation et surveillance .20
6.9.5 Maîtrise des logiciels en exploitation .21
6.9.6 Gestion des vulnérabilités techniques .21
6.9.7 Considérations sur l'audit du système d'information .21
6.10 Sécurité des communications .22
6.10.1 Management de la sécurité des réseaux .22
6.10.2 Transfert de l'information .22
6.11 Acquisition, développement et maintenance des systèmes d'information .23
6.11.1 Exigences de sécurité applicables aux systèmes d'information .23
6.11.2 Sécurité des processus de développement et d'assistance technique.
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.