ISO/IEC 27018:2025 公有云个人身份信息保护标准详解

ISO/IEC 27018:2025 是国际标准化组织（ISO）与国际电工委员会（IEC）联合发布的最新版公有云个人身份信息（PII）保护专项标准，于 2025 年 3 月正式发布，替代 2019 版，是 ISO/IEC 27001 信息安全管理体系的云场景隐私专项扩展。该标准基于 ISO/IEC 27002:2022 控制框架，专为作为 PII 处理者的公共云服务商设计，核心是规范云环境下 PII 全生命周期安全与隐私管控，对齐全球数据保护法规（如 GDPR、中国个保法），提升云服务透明度与客户信任，是云服务商隐私合规的核心国际标准

一、标准适用行业与范围

ISO/IEC 27018:2025仅适用于公共云服务提供商（IaaS、PaaS、SaaS），且明确限定云服务商作为 PII 处理者的角色（即按客户指令处理数据，不改变数据处理目的），不适用于云客户（PII 控制者）或私有云、混合云场景。核心适用行业包括：

（一）核心适用行业（云服务主业）

IaaS 基础设施服务商：云服务器、云存储、虚拟网络、数据中心服务商（如 AWS、阿里云、腾讯云），为客户提供算力与存储资源，处理海量客户 PII 数据。
PaaS 平台服务商：开发平台、数据库服务、中间件服务商，承载客户应用与数据处理，涉及用户注册、交易、行为等 PII。
SaaS 应用服务商：企业协作、CRM、HR、ERP、办公软件、电商 SaaS、健康医疗 APP 服务商，直接处理终端用户身份、合同、薪资、诊疗、交易等敏感 PII。
云安全与数据服务：云备份、灾备、数据脱敏、API 服务、隐私计算服务商，为云生态提供数据安全与隐私增强服务。

（二）延伸适用场景

跨国云服务商、出海云企业，满足欧盟、亚太、拉美等全球数据跨境传输与隐私合规要求；
金融、医疗、政务等行业专属云服务商（面向强监管行业提供云服务），需符合行业数据合规与 ISO 27018 双重要求；
云生态合作伙伴（云代理商、系统集成商、分包处理商），需与主服务商同步满足 PII 处理合规。

非适用范围：云客户自身数据管理、私有云 / 内部云、政府专属云（非公共云服务）、云服务商作为 PII 控制者处理自身运营数据的场景ISO。

二、标准核心内容（2025 版关键升级）

2025 版标准完全对齐 ISO/IEC 27002:2022 新架构，从旧版 14 个控制域重构为4 大主题、100 + 项控制措施，强化云环境 PII 保护的针对性、透明度与可操作性。

（一）核心定位与框架

标准性质：非独立管理体系，是 ISO 27001 的专项扩展指南，认证需以 ISO 27001 为基础。
核心原则：目的限制、最小必要、透明告知、客户控制、安全保障、合规问责，严格区分 PII 控制者（客户）与处理者（云服务商）责任。
架构体系：遵循 PDCA 循环，以组织控制、人员控制、技术控制、物理与环境控制4 大主题为核心。

（二）四大核心控制主题（2025 版重点）

组织控制（37 项）

建立云专属 PII 保护方针与策略，明确 PII 处理范围、目的、地域、分包商规则。
开展云环境风险评估：识别多租户、虚拟化、跨境传输、API 接口、分包处理等特有风险。
合同与合规管控：与客户签订 PII 处理协议（DPA），明确数据处理指令、权限、安全要求、责任边界、终止后数据删除规则。
隐私透明性：向客户公开 PII 处理实践（数据存储位置、分包商名单、安全措施、事件响应流程）。

人员控制（18 项）

云团队权限最小化，严格背景审查、保密协议、岗位培训（云安全、隐私合规、数据处置）。
第三方人员（外包、分包商）管控，同等适用安全与隐私要求，定期审计。
离职 / 调岗流程：立即回收权限、销毁账号、交接 PII 管理职责。

技术控制（45 项，核心云场景）

PII 全生命周期管控：收集（仅按客户指令）、存储（加密、隔离、多租户安全）、使用（防篡改、防越权）、共享（授权审计）、跨境传输（合规评估、客户同意）、销毁（服务终止后彻底删除 / 匿名化，可追溯）。
云特有技术控制：虚拟化安全、租户数据隔离、日志审计（PII 操作全记录）、数据泄露监测与通知、备份恢复、API 安全、隐私增强技术（PETs）应用。
客户数据权利保障：协助客户响应数据主体权利（访问、更正、删除、可携带），提供数据查询、导出、删除工具与接口。

物理与环境控制（12 项）

数据中心物理安全、设备管控、介质销毁、灾备中心安全，保障云基础设施物理合规。
多地域数据中心合规：符合数据存储地隐私法规，保障跨境数据物理传输安全ISO。

（三）2025 版核心升级亮点

架构重构：适配 ISO 27002:2022 新结构，控制措施更清晰、云场景更聚焦。
法规对齐：深度映射 GDPR、个保法、CCPA，明确分包处理、跨境传输、数据删除、泄露通知等合规要求ISO。
云原生强化：新增多租户安全、Serverless、容器、云原生数据库、隐私计算专项控制。
透明度提升：强制云服务商提供 PII 处理透明度报告，接受客户审计。
责任边界：清晰界定控制者与处理者责任，禁止云服务商擅自使用客户 PII 用于自身营销、数据分析等目的。

三、ISO/IEC 27018:2025 认证流程

ISO 27018 认证必须依托 ISO 27001，为 "ISO 27001+27018" 一体化认证，由 CNAS/IAF 认可机构实施，证书全球通用、有效期 3 年，全流程约 3-5 个月。

（一）前期准备（1-2 个月）

先决条件：已建立 ISO 27001 信息安全管理体系并有效运行≥3 个月，完成内审与管理评审。
团队组建：跨部门团队（安全、法务、云运维、产品、客户成功），开展27018 差距分析，识别云 PII 保护薄弱点。
体系整合：在 ISO 27001 基础上，新增 27018 控制措施：修订 PII 保护程序、云合同模板、分包商管理、数据处置、透明告知、事件响应等文件。
运行验证：体系试运行≥3 个月，完成云风险评估、PII 清单梳理、分包商审计、数据泄露演练、客户权利响应演练，留存完整记录。
申请提交：选择认证机构，提交营业执照、ISO 27001 证书、云业务范围、PII 清单、体系文件、内审管评报告、演练记录。

（二）**阶段审核（1-2 天）

审核文件合规性：确认 27018 控制措施已融入 ISO 27001 体系。
现场核查：云业务范围、PII 处理场景、风险评估、组织架构、资源配置，评估二阶段准备度。
确认认证范围（云服务类型、PII 类别、地域、数据中心）。

（三）第二阶段审核（3-7 天）

全流程验证：多租户隔离、数据加密、权限管控、日志审计、分包商管理、跨境传输、数据删除、客户权利响应、事件处置。
访谈：安全、运维、客服、法务团队，核实职责与流程执行。
开具不符合项，限期整改（一般 1 个月、严重 2 个月）。

（四）认证决定与获证后维护

整改通过后颁发ISO/IEC 27018:2025 认证证书（与 ISO 27001 证书关联）。
监督审核：每年 1 次，核查体系持续有效性。
再认证：3 年到期前复评，通过后延续有效期。

四、标准核心价值

ISO/IEC 27018:2025 是云服务商隐私合规的 "国际通行证"：一站式满足全球云数据隐私合规、降低监管处罚与泄露风险、强化客户与合作伙伴信任、提升云服务市场竞争力、明确责任边界、支撑跨境业务合规，是云服务商构建安全可信生态的核心标准。

认证服务