ISO IEC 27018-2025 PDF

Полное наименование и описание

Стандарт ISO/IEC 27018:2025 — Information security, cybersecurity and privacy protection — Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors. Документ содержит рекомендации для провайдеров публичных облачных услуг по защите персональных данных, обрабатываемых от имени клиентов.

Аннотация

Редакция 2025 года обновляет и адаптирует кодекс практики по защите PII в публичных облаках, согласуя требования с последней версией ISO/IEC 27002 и добавляя прикладные пояснения для ролей «поставщик облачных услуг — процессор PII». Стандарт ориентирован на обеспечение прозрачности, ответственности и соответствия правовым и контрактным обязательствам при использовании облачных сервисов.

Общая информация

• Статус: Published (действующий международный стандарт).
• Дата публикации: 26 августа 2025 г.
• Организация-издатель: Международная организация по стандартизации (ISO) совместно с IEC / технический комитет ISO/IEC JTC 1/SC 27.
• ICS / категории: 35.030 (Информационная безопасность).
• Редакция / версия: Издание 3 (2025).
• Количество страниц: 35.

Область применения

Стандарт применим для поставщиков публичных облачных услуг, действующих как процессоры PII, а также представляет интерес для организаций‑контроллеров, оценивающих безопасность и соответствие облачных провайдеров. Он охватывает жизненный цикл PII в облаке: сбор, хранение, обработку, передачу, резервное копирование и удаление с учётом правовых и контрактных ограничений.

Ключевые темы и требования

• Адаптация контрольных целей и мер ISO/IEC 27002 к особенностям публичных облаков.
• Разграничение ролей и обязанностей: контроллеры PII vs процессоры PII.
• Требования к прозрачности обработки PII, уведомлению клиентов и ведению учёта действий с данными.
• Меры по минимизации собираемых данных, шифрованию, управлению доступом и удалению PII.
• Положения по международной передаче данных и поддержке требований регуляторов.
• Практические рекомендации по внедрению, аудиту и обеспечению соответствия контрактным обязательствам.

Применение и пользователи

Основные пользователи — провайдеры публичных облачных услуг, аудиторы информационной безопасности, специалисты по защите данных и юридические службы, занятые оценкой соответствия. Также стандарт полезен организациям‑заказчикам для выбора и контроля поставщиков облачных услуг и интеграции требований защиты PII в договоры и SLA.

Связанные стандарты

ISO/IEC 27018 тесно связан и дополняет ряд стандартов серии ISO/IEC 27000, в частности ISO/IEC 27001 (системы управления информационной безопасностью) и ISO/IEC 27002 (кодекс практики), а также учитывает принципы ISO/IEC 29100 по защите приватности. Редакция 2025 года явно выровнена с ISO/IEC 27002:2022.

Ключевые слова

PII, публичное облако, процессор данных, защита персональных данных, информационная безопасность, соответствие, шифрование, управление доступом, удаление данных.

FAQ

В: Что это за стандарт?

О: Международный кодекс практики, дающий рекомендации по защите персональных данных (PII) в публичных облачных сервисах, когда провайдер выступает как процессор данных.

В: Что он регулирует?

О: Документ не является нормативным регламентом в виде законов, но устанавливает общепринятые контрольные цели, меры и практические указания для защиты PII, включая прозрачность обработки, технические и организационные меры, а также контрактные аспекты между контроллерами и процессорами PII.

В: Кто обычно использует?

О: Провайдеры публичных облаков, их клиенты (контроллеры PII), внутренние и внешние аудиторы, консультанты по информационной безопасности и специалисты по защите персональных данных.

В: Он актуален или заменён?

О: Редакция 2025 года является действующей и заменяет предыдущую версию ISO/IEC 27018:2019.

В: Это часть серии?

О: Да — это прикладной стандарт серии ISO/IEC 27000, дополнение к ISO/IEC 27001 и ISO/IEC 27002, ориентированный специально на обработку PII в облачных средах.

В: Какие ключевые слова?

О: PII, публичное облако, процессор данных, информационная безопасность, конфиденциальность, соответствие, ISO/IEC 27002.