什么是GDPR？什么又是ISO 27001？GDPR 与 ISO 27001 有何差异？

在开始 ISO 27001 与 GDPR 比较之前，我们先来了解一下 ISO 27001 和 GDPR 是什么。

ISO 27001侧重点

ISO 27001 反映了企业在安全和数据保护方面的成熟度，并表明他们致力于投入时间、资本和资源来持续维护它。

它还使组织能够预见他们可能承担的安全风险并帮助他们进行规划。以下是 ISO 27001 核心原则的总结

组织应识别他们处理的不同信息资产，并分配安全措施以在受保护的环境中管理这些资产。该原则侧重于资产清单、资产的可接受使用、所有权和资产返还。

• 具有 A 级访问权限的人员可以访问所有基本应用程序。
• B 级员工被授予特权访问权限，即 B 级员工可以访问基本应用程序和敏感信息，因为他们的工作需要。

• 记录操作程序
• 在组织内使用变革管理
• 进行容量信息管理
• 分离开发、测试和操作环境

无论企业的防御措施如何，安全事件/网络攻击都无法避免。ISO 27001 要求组织制定适当的政策和程序来处理安全事件。为此，

ISO 27001 帮助企业增强安全措施，以保护自己免受任何可能造成潜在危害的风险。它旨在将业务需求置于其处理的个人数据之前。

相比之下，GDPR 侧重于保护数据主体免受企业侵害的权利。GDPR 和 ISO 27001 之间的差异很容易被忽视，因为它们有重叠的相似之处。让我们仔细看看 GDPR 法律。

IAPP国际隐私证书考试资格评估

GDPR 法于 2016 年 5 月推出，并于 2018 年起全面生效。GDPR旨在保护数据主体（个人）的权利和自由以及组织在处理数据主体（个人）的个人信息时应实施的措施和政策。GDPR 通过七项原则解释了这一点：

企业必须合法获取数据。他们必须对用户透明地告知他们打算如何处理它以及打算使用它多长时间，并且用户不应在任何这些方面受到误导。

企业必须出于特定的既定目的收集数据，之后不得仅仅因为仍然可以访问数据而将其处理用于任何其他处理活动，并且数据收集过程不得非法。

在收集敏感个人信息时，企业应仅收集其数据处理活动所需的数据集。

企业有责任保存和处理准确的数据。当数据主体报告不准确或请求更改其数据时，公司自请求之日起有三十天的时间实施更改。

根据 GDPR 法律，企业存储数据的时间不得超过最初预期。

企业必须采取必要的措施，确保数据主体的个人信息不会被未经授权的用户（内部和外部）访问。

所有处理敏感个人信息的控制者和处理者在处理欧盟公民和居民的个人数据时必须证明 GDPR 合规性。

GDPR 的重点完全是保护欧盟地区数据主体的权利和自由。GDPR 原则列出了组织在处理个人数据时应遵循的注意事项。数据主体还被赋予权利，使他们能够控制其个人数据的处理方式。决定多少数据处理是侵入性的权力掌握在用户手中，并拥有删除权和准确性权。

IAPP CIPP CIPM CIPT全套资料免费下载

这是 GDPR 与 ISO 27001 的比较

GDPR 七项原则中只有一项谈到安全性，大约占 14%。其余七项原则详细介绍了如何处理用户数据的其他方面以及确保数据主体的隐私和完整性始终不受影响的规定。

GDPR 法律中的风险并未讨论企业在处理个人信息时所承担的风险，而是强调用户所面临的风险（基本权利和自由的风险）。同时，ISO 27001 和 ISO 27002（构成ISO 27001 控制措施的信息安全指南集合）讨论了组织在数据处理活动期间承担的风险。

GDPR 是强制性的，因此适用于欧盟的公司。相比之下，ISO 27001 是自愿性的。

如果你的业务属于GDPR 范围，你将需要遵守。违规成本很高，行政罚款高达 2000 万美元或企业年营业额的 4%（以较高者为准）。另一方面，如果你不符合 ISO 27001，则不会受到处罚。