隱私保護(hù)國際標(biāo)準(zhǔn)進(jìn)展與簡析

謝宗曉 李松濤

1 隱私的定義與范圍

在GB/T 35273—2017《信息安全技術(shù) 個(gè)人信息安全規(guī)范》中沒有專門定義“隱私”，但是在其附錄B（個(gè)人敏感信息判定）中提出：“通常情況下，14周歲以下（含）兒童的個(gè)人信息和自然人隱私信息屬于個(gè)人敏感信息。”可見，隱私信息作為個(gè)人敏感信息的子集處理。GB/T 35273—2017中將個(gè)人敏感信息定義為：

“一旦泄露、非法提供或?yàn)E用可能危害人身和財(cái)產(chǎn)安全，極易導(dǎo)致個(gè)人名譽(yù)、身心健康受到損害或歧視性待遇等的個(gè)人信息。

注1：個(gè)人敏感信息包括身份證號(hào)碼、個(gè)人生物識(shí)別信息、銀行賬號(hào)、通信記錄和內(nèi)容、財(cái)產(chǎn)信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息、14周歲以下（含）兒童的個(gè)人信息等?！?/p>

在ISO/IEC 29100：2011《信息技術(shù) 安全技術(shù) 隱私框架》等國際標(biāo)準(zhǔn)中，實(shí)際也沒有給出“隱私”的準(zhǔn)確定義，主要定義的是個(gè)人識(shí)別信息（Personally Identifiable Information，PII）。但其中有相關(guān)定義，例如，隱私違反、隱私控制和隱私策略等。

此外，在ISO/TS 14441：2013《健康信息學(xué) 用于一致性評(píng)估的EHR系統(tǒng)安全與隱私要求》和ISO/TR 18638：2017《健康信息學(xué) 衛(wèi)生保健組織健康信息隱私教育指南》等標(biāo)準(zhǔn)中定義了“信息隱私（information privacy）”，在ISO/TS 19299：2015《電子收費(fèi) 安全框架》和ISO/TS 21719-2：2018《電子收費(fèi) 車載設(shè)備個(gè)性化 第2部分：利用專用短程通訊》等標(biāo)準(zhǔn)中，將同樣的概念定義為“數(shù)據(jù)隱私（data privacy）”，但這些定義都是在各自的應(yīng)用情境（context）中，不是非常通用。

遵循上述慣例，在本文的討論中，也不再嚴(yán)格區(qū)別個(gè)人敏感信息、個(gè)人識(shí)別信息和隱私等幾個(gè)較為接近的概念。

2 ISO/IEC JTC 1/SC 27 發(fā)布的相關(guān)標(biāo)準(zhǔn)

ISO/IEC JTC 1/SC 27（IT安全技術(shù)分技術(shù)委員會(huì)）主要負(fù)責(zé)安全技術(shù)標(biāo)準(zhǔn)的開發(fā)，截至2018年10月，發(fā)布的隱私保護(hù)相關(guān)標(biāo)準(zhǔn)如表1所示。

ISO/IEC 29100：2011給出了一個(gè)隱私保護(hù)的框架，主要的步驟包括：識(shí)別PII、隱私防護(hù)的要求，隱私策略和隱私控制的確定。該標(biāo)準(zhǔn)的附錄A對(duì)于隱私的詞匯和ISO/IEC 27000標(biāo)準(zhǔn)族的詞匯進(jìn)行了對(duì)應(yīng)。由于隱私保護(hù)和信息安全存在太多的交叉，因此在ISO/IEC 29100：2011中，關(guān)于隱私控制并沒有展開，但是在標(biāo)準(zhǔn)的第5章（ISO/IEC 29100的隱私原則）中討論得比較細(xì)致，也比較有指導(dǎo)意義。ISO/IEC 29100在2017年經(jīng)過評(píng)審后依然有效。

ISO/IEC 29101：2013為信息系統(tǒng)中的PII處理提供了技術(shù)索引，該標(biāo)準(zhǔn)的框架沿用了ISO/IEC/IEEE 42010《系統(tǒng)與軟件工程 架構(gòu)描述》。該標(biāo)準(zhǔn)的第6章描述了一個(gè)PII處理的生命周期，包括：收集、傳輸、應(yīng)用、存儲(chǔ)和銷毀。第8章中，將架構(gòu)視角（architectural views）又分為三個(gè)視角：組件視角（component view）、角色視角（actor view）和交互視角（interaction view）。其中組件視角的分層及其中的控制比較有價(jià)值。

ISO / IEC 29134：2017描述了一個(gè)隱私影響評(píng)估（Privacy Impact Assessment，PIA）過程，以及如何準(zhǔn)備PIA報(bào)告。該標(biāo)準(zhǔn)中的PIA過程與ISO/IEC 27005中的信息安全風(fēng)險(xiǎn)評(píng)估過程存在諸多類似，其中詞匯也大多直接引用自ISO / IEC 27000標(biāo)準(zhǔn)族。

ISO/IEC 29190：2015為組織如何評(píng)估隱私相關(guān)過程的管理能力提供了指導(dǎo)，該標(biāo)準(zhǔn)與過程評(píng)估標(biāo)準(zhǔn)比較相關(guān)，例如，ISO/IEC 33001：2015《信息技術(shù) 過程評(píng)估 概念和術(shù)語》和ISO / IEC 33020：2015《信息技術(shù) 過程評(píng)估 評(píng)估過程能力的過程測量框架》。

ISO/IEC 27018：2014沿用了ISO / IEC 29100的框架和原則，為公有云計(jì)算環(huán)境中的PII保護(hù)提供了通用的控制目標(biāo)、控制和實(shí)施指南。顯然，該標(biāo)準(zhǔn)基于ISO/IEC 270021） ，可以列入ISO/IEC 27000標(biāo)準(zhǔn)族。

3 其他相關(guān)的國際標(biāo)準(zhǔn)

隱私信息與普通的信息比較，具有一定的特殊性，例如，對(duì)所有的隱私信息都應(yīng)該進(jìn)行嚴(yán)格的保護(hù)，而沒有必要考慮分級(jí)，這使得其他可能涉及到隱私信息的行業(yè)或其相關(guān)的信息系統(tǒng)都需要考慮該問題。表2中列出了一些比較典型的考慮隱私方面的其他領(lǐng)域，例如，金融、醫(yī)療和教育等，對(duì)于隱私保護(hù)方面的特殊要求。表2中所列標(biāo)準(zhǔn)僅為示例，更多的標(biāo)準(zhǔn)需要根據(jù)行業(yè)或應(yīng)用領(lǐng)域查閱。

ISO 22307：2008是由ISO/TC 68/SC 9 （金融服務(wù)信息交換分技術(shù)委員會(huì)）發(fā)布。在經(jīng)過2012年評(píng)審之后依然有效。ISO 22307：2008描述了通用的PIA活動(dòng)，但是并沒有給出完整的評(píng)估流程，在評(píng)估章節(jié)（5.3.2）中，只是提出了PIA評(píng)估的要求。附錄中的問卷與金融機(jī)構(gòu)結(jié)合比較緊密，但正文中的描述，更多的是針對(duì)通用的PIA要求。

ISO/IEC 29187-1：2013是由ISO/IEC JTC 1/SC 36（IT學(xué)習(xí)、教育和培訓(xùn)分技術(shù)委員會(huì)）發(fā)布。該標(biāo)準(zhǔn)的描述非常細(xì)致，對(duì)于person和individual等諸如此類的詞匯都進(jìn)行了辨析，而且規(guī)范性引用文件和參考文獻(xiàn)的標(biāo)識(shí)也非常詳細(xì)，對(duì)于了解隱私保護(hù)而言，ISO/IEC 29187-1：2013非常有用。

ISO/TS 14441：2013和ISO/TR 18638：2017均由ISO/TC 215（健康信息學(xué)標(biāo)準(zhǔn)化技術(shù)委員會(huì)）發(fā)布。由于個(gè)人健康信息屬于重要的隱私，因此ISO/TC 215發(fā)布的關(guān)于隱私保護(hù)的標(biāo)準(zhǔn)特別多，也更細(xì)致。例如，ISO/TS 17975：20152）《健康信息學(xué) 收集、使用或公開個(gè)人健康信息的同意原則和數(shù)據(jù)要求》專門針對(duì)個(gè)人健康信息的收集、使用和公開的環(huán)節(jié)。ISO/TS 14441：2013在第5章中提出了82項(xiàng)安全與隱私要求，在第6章中則給出了建立與維護(hù)符合性評(píng)估程序的最佳實(shí)踐與指南。ISO/TS 14441：2013與ISO/IEC 15408《信息技術(shù) 安全技術(shù) IT安全評(píng)估準(zhǔn)則》都保持了一致性。該標(biāo)準(zhǔn)在2017年經(jīng)過評(píng)審，版本依然有效。ISO/TR 18638：2017主要適用于為醫(yī)療機(jī)構(gòu)進(jìn)行信息隱私保護(hù)教育的單位，該標(biāo)準(zhǔn)中討論了相關(guān)定義、醫(yī)療機(jī)構(gòu)的信息與保護(hù)實(shí)踐所面臨的挑戰(zhàn)以及信息隱私保護(hù)教育規(guī)劃的要點(diǎn)。

4 小結(jié)

本文中介紹了ISO/IEC JTC 1/SC 27 發(fā)布的隱私保護(hù)相關(guān)標(biāo)準(zhǔn)，同時(shí)也對(duì)其他領(lǐng)域中關(guān)于隱私保護(hù)的標(biāo)準(zhǔn)選擇性地進(jìn)行了介紹。從中可以看出，信息安全與隱私保護(hù)存在諸多共同點(diǎn)，例如，ISO/TS 14441：2013在其中統(tǒng)稱為“安全與隱私要求”，而且關(guān)于隱私保護(hù)的標(biāo)準(zhǔn)大多都參考了ISO/IEC 27002，通用的信息安全強(qiáng)調(diào)信息的機(jī)密性、完整性和可用性，在不同的子領(lǐng)域強(qiáng)調(diào)不同的重點(diǎn)，例如，隱私保護(hù)更注重“機(jī)密性”，關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)（Critical Information Infrastructures Protection，CIIP）則更關(guān)注“可用性”。