服务

ISO 27018（云端 PII 保护）

ISO 27018 是 ISO 27001 范围更窄、更具体的“表亲”。27001 广泛涵盖信息安全管理，而 27018 是专门用于保护在公有云环境中处理的个人可识别信息（PII）的实践准则，作为 27002 控制措施集的扩展而构建。它直指这样一个问题：当云服务提供商代表他人处理客户数据时，对于数据如何处理、谁可以访问以及数据最终会怎样，它应当做出哪些承诺？

这种界定很重要。27018 与充当云服务提供商或 PII 处理者的组织最直接相关，包括 SaaS 供应商、云平台，以及任何代表客户存储或处理个人数据的机构，而这些客户自身依据 GDPR、CCPA 或类似法律对这些数据负有责任。如果您是评估云供应商的客户，值得问一问对方是否已与 27018 对齐，因为这表明他们认真考虑过同意、数据最小化、泄露通报，以及未经许可不将客户数据用于自身广告或营销。

哪些组织需要

适合处理客户个人数据、希望以可信且国际认可的方式向企业客户及其法务团队证明这一点的云和 SaaS 提供商，尤其是向受监管行业或数据保护法律严格的市场销售时。如果您正在建设更广泛的隐私或安全体系，希望在已有的 ISO 27001 基础上叠加 27018 专门针对云端 PII 的控制措施，而不是凭空自创云隐私实践，它同样适用。

我会怎么做

我会先梳理清楚究竟有哪些个人数据流经您的系统、存放在哪里、谁能接触、依据什么法律基础，因为只有这些准确无误，27018 才有意义。接着是针对 27018 具体控制措施的差距分析（同意处理、目的限制、子处理者透明度、泄露通报、合同结束时的数据返还与删除），并给出一份整改计划，如实区分哪些只需快速修改政策，哪些需要在系统处理数据的方式上进行实际的工程改造。我宁可告诉您某项控制措施确实尚未满足，也不愿帮您绕着它去写。

如果客户或潜在客户在询问您如何在云环境中保护其用户的个人数据，我们谈谈，让您得到一个站得住脚的答案。