ISO/IEC 27701:2019
(Main)Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines
Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines
This document specifies requirements and provides guidance for establishing, implementing, maintaining and continually improving a Privacy Information Management System (PIMS) in the form of an extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy management within the context of the organization. This document specifies PIMS-related requirements and provides guidance for PII controllers and PII processors holding responsibility and accountability for PII processing. This document is applicable to all types and sizes of organizations, including public and private companies, government entities and not-for-profit organizations, which are PII controllers and/or PII processors processing PII within an ISMS.
Techniques de sécurité — Extension d'ISO/IEC 27001 et ISO/IEC 27002 au management de la protection de la vie privée — Exigences et lignes directrices
Le présent document spécifie les exigences et fournit des recommandations pour la création, la mise en œuvre, le maintien et l'amélioration continue d'un système de management de la protection de la vie privée (PIMS) sous la forme d'une extension de l'ISO/IEC 27001 et l'ISO/IEC 27002 pour le management de la protection de la vie privée dans le contexte de l'organisation. Le présent document spécifie les exigences liées au PIMS et fournit des recommandations destinées aux responsables de traitement de DCP et aux sous-traitants de DCP chargés de et responsables du traitement des DCP. Le présent document s'applique aux organisations de tous types et de toutes tailles, y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif, qui sont des responsables de traitement de DCP et/ou des sous-traitants de DCP qui traitent les DCP à l'aide d'un SMSI.
General Information
Buy Standard
Standards Content (Sample)
INTERNATIONAL ISO/IEC
STANDARD 27701
First edition
2019-08
Security techniques — Extension to
ISO/IEC 27001 and ISO/IEC 27002 for
privacy information management —
Requirements and guidelines
Techniques de sécurité — Extension d'ISO/IEC 27001 et ISO/IEC
27002 au management de la protection de la vie privée — Exigences
et lignes directrices
Reference number
ISO/IEC 27701:2019(E)
©
ISO/IEC 2019
---------------------- Page: 1 ----------------------
ISO/IEC 27701:2019(E)
COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2019
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2019 – All rights reserved
---------------------- Page: 2 ----------------------
ISO/IEC 27701:2019(E)
Contents Page
Foreword .vi
Introduction .vii
1 Scope . 1
2 Normative references . 1
3 Terms, definitions and abbreviations . 1
4 General . 2
4.1 Structure of this document . 2
4.2 Application of ISO/IEC 27001:2013 requirements . 2
4.3 Application of ISO/IEC 27002:2013 guidelines . 3
4.4 Customer . 4
5 PIMS-specific requirements related to ISO/IEC 27001 . 4
5.1 General . 4
5.2 Context of the organization . 4
5.2.1 Understanding the organization and its context . 4
5.2.2 Understanding the needs and expectations of interested parties . 5
5.2.3 Determining the scope of the information security management system . 5
5.2.4 Information security management system . 5
5.3 Leadership . 5
5.3.1 Leadership and commitment . 5
5.3.2 Policy . 5
5.3.3 Organizational roles, responsibilities and authorities . 5
5.4 Planning . 6
5.4.1 Actions to address risks and opportunities . 6
5.4.2 Information security objectives and planning to achieve them . 7
5.5 Support . 7
5.5.1 Resources . 7
5.5.2 Competence . 7
5.5.3 Awareness . 7
5.5.4 Communication . 7
5.5.5 Documented information . 7
5.6 Operation . 7
5.6.1 Operational planning and control . 7
5.6.2 Information security risk assessment . 7
5.6.3 Information security risk treatment . 7
5.7 Performance evaluation . 8
5.7.1 Monitoring, measurement, analysis and evaluation . 8
5.7.2 Internal audit . 8
5.7.3 Management review . 8
5.8 Improvement . 8
5.8.1 Nonconformity and corrective action . 8
5.8.2 Continual improvement . 8
6 PIMS-specific guidance related to ISO/IEC 27002 . 8
6.1 General . 8
6.2 Information security policies . 8
6.2.1 Management direction for information security . 8
6.3 Organization of information security . 9
6.3.1 Internal organization . 9
6.3.2 Mobile devices and teleworking .10
6.4 Human resource security .10
6.4.1 Prior to employment .10
6.4.2 During employment .10
6.4.3 Termination and change of employment .11
© ISO/IEC 2019 – All rights reserved iii
---------------------- Page: 3 ----------------------
ISO/IEC 27701:2019(E)
6.5 Asset management .11
6.5.1 Responsibility for assets .11
6.5.2 Information classification .11
6.5.3 Media handling .12
6.6 Access control .13
6.6.1 Business requirements of access control .13
6.6.2 User access management .13
6.6.3 User responsibilities .14
6.6.4 System and application access control .14
6.7 Cryptography .15
6.7.1 Cryptographic controls .15
6.8 Physical and environmental security .15
6.8.1 Secure areas .15
6.8.2 Equipment .16
6.9 Operations security .17
6.9.1 Operational procedures and responsibilities .17
6.9.2 Protection from malware .18
6.9.3 Backup .18
6.9.4 Logging and monitoring .18
6.9.5 Control of operational software .19
6.9.6 Technical vulnerability management .20
6.9.7 Information systems audit considerations .20
6.10 Communications security .20
6.10.1 Network security management .20
6.10.2 Information transfer .20
6.11 Systems acquisition, development and maintenance .21
6.11.1 Security requirements of information systems .21
6.11.2 Security in development and support processes .21
6.11.3 Test data .23
6.12 Supplier relationships.23
6.12.1 Information security in supplier relationships .23
6.12.2 Supplier service delivery management .24
6.13 Information security incident management .24
6.13.1 Management of information security incidents and improvements.24
6.14 Information security aspects of business continuity management .27
6.14.1 Information security continuity .27
6.14.2 Redundancies .27
6.15 Compliance .27
6.15.1 Compliance with legal and contractual requirements .27
6.15.2 Information security reviews .28
7 Additional ISO/IEC 27002 guidance for PII controllers.29
7.1 General .29
7.2 Conditions for collection and processing .29
7.2.1 Identify and document purpose .29
7.2.2 Identify lawful basis .29
7.2.3 Determine when and how consent is to be obtained .30
7.2.4 Obtain and record consent .30
7.2.5 Privacy impact assessment .31
7.2.6 Contracts with PII processors .31
7.2.7 Joint PII controller .32
7.2.8 Records related to processing PII .32
7.3 Obligations to PII principals .33
7.3.1 Determining and fulfilling obligations to PII principals .33
7.3.2 Determining information for PII principals .33
7.3.3 Providing information to PII principals .34
7.3.4 Providing mechanism to modify or withdraw consent .34
7.3.5 Providing mechanism to object to PII processing .35
7.3.6 Access, correction and/or erasure .35
iv © ISO/IEC 2019 – All rights reserved
---------------------- Page: 4 ----------------------
ISO/IEC 27701:2019(E)
7.3.7 PII controllers' obligations to inform third parties .36
7.3.8 Providing copy of PII processed .36
7.3.9 Handling requests .37
7.3.10 Automated decision making .37
7.4 Privacy by design and privacy by default .38
7.4.1 Limit collection .38
7.4.2 Limit processing .38
7.4.3 Accuracy and quality .38
7.4.4 PII minimization objectives .39
7.4.5 PII de-identification and deletion at the end of processing .39
7.4.6 Temporary files .39
7.4.7 Retention .40
7.4.8 Disposal .40
7.4.9 PII transmission controls .40
7.5 PII sharing, transfer, and disclosure .41
7.5.1 Identify basis for PII transfer between jurisdictions .41
7.5.2 Countries and international organizations to which PII can be transferred .41
7.5.3 Records of transfer of PII .41
7.5.4 Records of PII disclosure to third parties .42
8 Additional ISO/IEC 27002 guidance for PII processors .42
8.1 General .42
8.2 Conditions for collection and processing .42
8.2.1 Customer agreement .42
8.2.2 Organization’s purposes .43
8.2.3 Marketing and advertising use .43
8.2.4 Infringing instruction .43
8.2.5 Customer obligations .43
8.2.6 Records related to processing PII .44
8.3 Obligations to PII principals .44
8.3.1 Obligations to PII principals .44
8.4 Privacy by design and privacy by default .44
8.4.1 Temporary files .44
8.4.2 Return, transfer or disposal of PII .45
8.4.3 PII transmission controls .45
8.5 PII sharing, transfer, and disclosure .46
8.5.1 Basis for PII transfer between jurisdictions .46
8.5.2 Countries and international organizations to which PII can be transferred .46
8.5.3 Records of PII disclosure to third parties .47
8.5.4 Notification of PII disclosure requests .47
8.5.5 Legally binding PII disclosures .47
8.5.6 Disclosure of subcontractors used to process PII .47
8.5.7 Engagement of a subcontractor to process PII .48
8.5.8 Change of subcontractor to process PII .48
Annex A (normative) PIMS-specific reference control objectives and controls (PII Controllers) .49
Annex B (normative) PIMS-specific reference control objectives and controls (PII Processors) .53
Annex C (informative) Mapping to ISO/IEC 29100 .56
Annex D (informative) Mapping to the General Data Protection Regulation .58
Annex E (informative) Mapping to ISO/IEC 27018 and ISO/IEC 29151.61
Annex F (informative) How to apply ISO/IEC 27701 to ISO/IEC 27001 and ISO/IEC 27002.64
Bibliography .66
© ISO/IEC 2019 – All rights reserved v
---------------------- Page: 5 ----------------------
ISO/IEC 27701:2019(E)
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that
are members of ISO or IEC participate in the development of International Standards through
technical committees established by the respective organization to deal with particular fields of
technical activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other
international organizations, governmental and non-governmental, in liaison with ISO and IEC, also
take part in the work.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for
the different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject
of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent
rights. Details of any patent rights identified during the development of the document will be in the
Introduction and/or on the ISO list of patent declarations received (see www .iso .org/patents) or the IEC
list of patent declarations received (see http: //patents .iec .ch).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary natur
...
NORME ISO/IEC
INTERNATIONALE 27701
Première édition
2019-08
Techniques de sécurité — Extension
d'ISO/IEC 27001 et ISO/IEC 27002
au management de la protection de
la vie privée — Exigences et lignes
directrices
Security techniques — Extension to ISO/IEC 27001 and ISO/IEC
27002 for privacy information management — Requirements and
guidelines
Numéro de référence
ISO/IEC 27701:2019(F)
©
ISO/IEC 2019
---------------------- Page: 1 ----------------------
ISO/IEC 27701:2019(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2019
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO/IEC 2019 – Tous droits réservés
---------------------- Page: 2 ----------------------
ISO/IEC 27701:2019(F)
Sommaire Page
Avant-propos .vii
Introduction .viii
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes, définitions et abréviations . 1
4 Généralités . 2
4.1 Structure du présent document . 2
4.2 Application des exigences de l'ISO/IEC 27001:2013 . 3
4.3 Application des lignes directrices de l'ISO/IEC 27002:2013 . 3
4.4 Client . 4
5 Exigences spécifiques au PIMS liées à l'ISO/IEC 27001 . 4
5.1 Généralités . 4
5.2 Contexte de l'organisation . 4
5.2.1 Compréhension de l'organisation et de son contexte . 4
5.2.2 Compréhension des besoins et des attentes des parties intéressées . 5
5.2.3 Détermination du domaine d'application du système de management de
la sécurité de l'information . 5
5.2.4 Système de management de la sécurité de l'information . 5
5.3 Leadership . 6
5.3.1 Leadership et engagement . 6
5.3.2 Politique . 6
5.3.3 Rôles, responsabilités et autorités au sein de l'organisation . 6
5.4 Planification . 6
5.4.1 Actions face aux risques et opportunités . 6
5.4.2 Objectifs de sécurité de l'information et plans pour les atteindre . . 7
5.5 Support . 7
5.5.1 Ressources . 7
5.5.2 Compétence . 7
5.5.3 Sensibilisation . 7
5.5.4 Communication . 7
5.5.5 Informations documentées . 8
5.6 Fonctionnement . 8
5.6.1 Planification et contrôle opérationnels . 8
5.6.2 Appréciation des risques de sécurité de l'information . 8
5.6.3 Traitement des risques de sécurité de l'information . 8
5.7 Évaluation des performances . 8
5.7.1 Surveillance, mesures, analyse et évaluation . 8
5.7.2 Audit interne . 8
5.7.3 Revue de direction . 8
5.8 Amélioration . 9
5.8.1 Non-conformité et actions correctives. 9
5.8.2 Amélioration continue . 9
6 Recommandations spécifiques au PIMS liées à l'ISO/IEC 27002 . 9
6.1 Généralités . 9
6.2 Politiques de sécurité de l'information . 9
6.2.1 Orientations de la direction en matière de sécurité de l'information. 9
6.3 Organisation de la sécurité de l'information .10
6.3.1 Organisation interne . .10
6.3.2 Appareils mobiles et télétravail .11
6.4 La sécurité des ressources humaines .11
6.4.1 Avant l'embauche .11
6.4.2 Pendant la durée du contrat.11
© ISO/IEC 2019 – Tous droits réservés iii
---------------------- Page: 3 ----------------------
ISO/IEC 27701:2019(F)
6.4.3 Rupture, terme ou modification du contrat de travail .12
6.5 Gestion des actifs .12
6.5.1 Responsabilités relatives aux actifs .12
6.5.2 Classification de l'information .12
6.5.3 Manipulation des supports .13
6.6 Contrôle d'accès .14
6.6.1 Exigences métier en matière de contrôle d'accès .14
6.6.2 Gestion de l'accès utilisateur .14
6.6.3 Responsabilités des utilisateurs .16
6.6.4 Contrôle de l'accès au système et aux applications .16
6.7 Cryptographie .16
6.7.1 Mesures cryptographiques .16
6.8 Sécurité physique et environnementale .17
6.8.1 Zones sécurisées .17
6.8.2 Matériel .17
6.9 Sécurité liée à l'exploitation .19
6.9.1 Procédures et responsabilités liées à l'exploitation .19
6.9.2 Protection contre les logiciels malveillants .19
6.9.3 Sauvegarde .19
6.9.4 Journalisation et surveillance .20
6.9.5 Maîtrise des logiciels en exploitation .21
6.9.6 Gestion des vulnérabilités techniques .21
6.9.7 Considérations sur l'audit du système d'information .21
6.10 Sécurité des communications .22
6.10.1 Management de la sécurité des réseaux .22
6.10.2 Transfert de l'information .22
6.11 Acquisition, développement et maintenance des systèmes d'information .23
6.11.1 Exigences de sécurité applicables aux systèmes d'information .23
6.11.2 Sécurité des processus de développement et d'assistance technique.23
6.11.3 Données de test .25
6.12 Relations avec les fournisseurs .25
6.12.1 Sécurité de l'information dans les relations avec les fournisseurs .25
6.12.2 Gestion de la prestation du service .26
6.13 Gestion des incidents liés à la sécurité de l'information .26
6.13.1 Gestion des incidents liés à la sécurité de l'information et améliorations .26
6.14 Aspects de la sécurité de l'information dans la gestion de la continuité de l'activité .29
6.14.1 Continuité de la sécurité de l'information .29
6.14.2 Redondances .29
6.15 Conformité .29
6.15.1 Conformité aux obligations légales et réglementaires .29
6.15.2 Revue de la sécurité de l'information .30
7 Recommandations supplémentaires de l'ISO/IEC 27002 pour les responsables
de traitement de DCP .31
7.1 Généralités .31
7.2 Conditions de collecte et de traitement .31
7.2.1 Identifier et documenter la finalité .31
7.2.2 Identifier le fondement juridique .32
7.2.3 Déterminer quand et comment le consentement doit être obtenu .32
7.2.4 Obtenir et enregistrer le consentement .33
7.2.5 Étude de l'impact sur la vie privée .33
7.2.6 Contrats conclus avec les sous-traitants de DCP .34
7.2.7 Responsable conjoint de traitement .34
7.2.8 Enregistrements liés au traitement des DCP .35
7.3 Obligations vis-à-vis des personnes concernées .35
7.3.1 Identifier les obligations vis-à-vis des personnes concernées et y satisfaire .35
7.3.2 Déterminer les informations destinées aux personnes concernées .36
7.3.3 Fournir des informations aux personnes concernées .37
7.3.4 Fournir un mécanisme permettant de modifier ou de retirer le consentement .37
iv © ISO/IEC 2019 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO/IEC 27701:2019(F)
7.3.5 Fournir un mécanisme permettant de s'opposer au traitement des DCP .38
7.3.6 Accès, rectification et/ou suppression . .38
7.3.7 Obligation d'information des tiers des responsables de traitement de DCP .39
7.3.8 Fourniture de copies des DCP traitées .39
7.3.9 Gestion des demandes .40
7.3.10 Prise de décision automatisée .40
7.4 Protection de la vie privée dès la conception et protection de la vie privée par défaut .40
7.4.1 Limiter la collecte .40
7.4.2 Limiter le traitement .41
7.4.3 Exactitude et qualité .41
7.4.4 Objectifs de minimisation des DCP .41
7.4.5 Dé-identification et suppression des DCP à la fin du traitement .42
7.4.6 Fichiers temporaires .42
7.4.7 Conservation .43
7.4.8 Mise au rebut.43
7.4.9 Mesures de transmission des DCP .43
7.5 Partage, transfert et divulgation des DCP .43
7.5.1 Identifier la base du transfert de DCP entre juridictions .44
7.5.2 Pays et organisations internationales auxquels les DCP peuvent être
transférées . .44
7.5.3 Enregistrements des transferts de DCP .44
7.5.4 Enregistrements de la divulgation de DCP à des tiers .45
8 Recommandations supplémentaires de l'ISO/IEC 27002 pour les sous-traitants de DCP .45
8.1 Généralités .45
8.2 Conditions de collecte et de traitement .45
8.2.1 Contrat client . .45
8.2.2 Finalités de l'organisation.46
8.2.3 Utilisation à des fins de prospection et de publicité .46
8.2.4 Instruction en infraction .46
8.2.5 Obligations du client .47
8.2.6 Enregistrements liés au traitement des DCP .47
8.3 Obligations vis-à-vis des personnes concernées .47
8.3.1 Obligations vis-à-vis des personnes concernées . .47
8.4 Protection de la vie privée dès la conception et protection de la vie privée par défaut .47
8.4.1 Fichiers temporaires .48
8.4.2 Restitution, transfert ou mise au rebut des DCP .48
8.4.3 Mesures de transmission des DCP .48
8.5 Partage, transfert et divulgation des DCP .49
8.5.1 Base du transfert de DCP entre juridictions .49
8.5.2 Pays et organisations internationales auxquels les DCP peuvent être
transférées . .49
8.5.3 Enregistrements de la divulgation de DCP à des tiers .50
8.5.4 Notification des demandes de divulgation de DCP .50
8.5.5 Divulgations de DCP juridiquement contraignantes.50
8.5.6 Divulgation des sous-traitants utilisés pour traiter des DCP .51
8.5.7 Recrutement d'un sous-traitant pour le traitement de DCP .51
8.5.8 Changement de sous-traitant pour le traitement de DCP .52
Annexe A (normative) Objectifs et mesures de référence spécifiques au PIMS (responsables
de traitement de DCP) .53
Annexe B (normative) Objectifs et mesures de référence spécifiques au PIMS (sous-
traitants de DCP) .57
Annexe C (informative) Correspondance avec l'ISO/IEC 29100 .60
Annexe D (informative) Correspondance avec le Règlement général sur la protection
des données .63
Annexe E (informative) Correspondance avec l'ISO/IEC 27018 et l'ISO/IEC 29151 .66
© ISO/IEC 2019 – Tous droits réservés v
---------------------- Page: 5 ----------------------
ISO/IEC 27701:2019(F)
Annexe F (informative) Comment appliquer l'ISO/IEC 27701 à l'ISO/IEC 27001 et
l'ISO/IEC 27002 .69
Bibliographie .71
vi © ISO/IEC 2019 – Tous droits réservés
---------------------- Page: 6 ----------------------
ISO/IEC 27701:2019(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l'IEC participent au développement de Normes internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l'IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l'IEC participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de document. Le présent document a été rédigé
conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www .iso
.org/ directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l'IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations
de brevets reçues par l'ISO (voir www .iso .org/ brevets) ou dans la liste des déclarations de brevets
reçues par l'IEC (voir https:// patents .iec .c).
Les appellations commerciales éventuellement mentionn
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.