Sistem Pengurusan Maklumat Privasi ISO/IEC 27701 (PIMS)

Maklumat peribadi melalui pelbagai peringkat daripada pengumpulan dan penggunaan hingga kerja luar serta pemadaman, melibatkan jabatan dan penyedia perkhidmatan yang berbeza. Sistem Pengurusan Maklumat Privasi (PIMS) membantu organisasi menjelaskan tujuan pemprosesan, peranan, risiko dan tanggungjawab supaya dasar digunakan dalam operasi harian. Halaman ini menerangkan kedudukan edisi baharu, klausa utama dan persediaan peralihan.

Bincangkan pengurusan privasi dan keperluan peralihan

1. Gambaran semakan dan tempoh peralihan

ISO/IEC 27701:2025 diterbitkan pada 14 Oktober 2025 dan menggantikan edisi 2019. Edisi baharu ialah standard sistem pengurusan kendiri yang boleh dilaksanakan dan diperakui secara berasingan atau disepadukan dengan ISO/IEC 27001. Sijil ISO/IEC 27001 tidak lagi menjadi prasyarat. ISO/IEC 27002 ialah panduan kawalan, bukannya sijil sistem pengurusan yang mesti diperoleh terlebih dahulu. Katalog rasmi ISO

Struktur pengurusan ISO Annex SL merangkumi Klausa 4–10: konteks organisasi, kepimpinan, perancangan, sokongan, operasi, penilaian prestasi dan penambahbaikan. Edisi 2019 sudah mempunyai keperluan risiko privasi dan tadbir urus; perubahan utamanya ialah struktur PIMS kendiri yang lengkap serta penyusunan semula kawalan dan panduan.

PIMS terpakai kepada pengawal dan pemproses maklumat pengenalan peribadi (PII). Organisasi boleh memegang kedua-dua peranan untuk aktiviti berlainan; tentukan peranan berdasarkan pemprosesan sebenar. Sistem ini menyokong pengurusan kewajipan privasi yang terpakai, tetapi pensijilan tidak secara automatik membuktikan pematuhan terhadap GDPR, CCPA, LGPD atau undang-undang setiap bidang kuasa.

Sijil edisi 2019 dan aturan peralihan

Penggantian standard dan tarikh sijil sedia ada kehilangan status akreditasi ialah perkara yang berbeza. Tarikh akhir daripada satu skim akreditasi tidak boleh digunakan untuk semua sijil. Antara aturan awam yang disemak untuk halaman ini:

Sumber: Notis peralihan UKAS dan pelan peralihan ENAC. Dapatkan pelan peralihan bertulis daripada badan pensijilan semasa dan sediakan masa untuk tindakan pembetulan serta keputusan pensijilan. Sama ada peralihan boleh digabungkan dengan audit pengawasan atau pensijilan semula, termasuk masa audit tambahan, perlu disahkan dengan skim yang mengendalikan permohonan.

Peranan ISO/IEC 27706:2025

ISO/IEC 27706:2025 menetapkan keperluan untuk badan yang mengaudit dan memperakui PIMS. Ia digunakan bersama ISO/IEC 17021-1 dan menggantikan ISO/IEC TS 27006-2:2021. Organisasi memohon pensijilan ISO/IEC 27701; ISO/IEC 27706 mengawal kompetensi dan operasi badan pensijilan. Maklumat ISO 27706

2. Ringkasan pindaan utama

1. Sistem pengurusan kendiri: Tidak lagi hanya menjadi peluasan yang bergantung pada ISMS. Skop PIMS boleh ditentukan berdasarkan aktiviti data peribadi organisasi.
2. Rangka pengurusan lengkap: Klausa 4–10 menetapkan keperluan PIMS sendiri dan boleh disepadukan dengan kajian semula pengurusan, audit dan proses dokumen sedia ada.
3. Kawalan dan panduan disusun semula: Lampiran A menghimpunkan kawalan, Lampiran B menyediakan panduan pelaksanaan, dan Lampiran F membantu perbandingan edisi lama dengan baharu.
4. Keselamatan data peribadi tetap perlu: Status kendiri tidak menghapuskan tugas keselamatan maklumat; rawatan risiko privasi perlu berkait dengan langkah keselamatan yang sesuai.
5. Perancangan perubahan: Klausa 6.3 merangkumi perubahan PIMS, seperti tujuan data, platform, pembekal atau tanggungjawab organisasi.
6. Kemas kini skop dan bukti: Semak keselarasan peranan pengawal/pemproses, Pernyataan Kebolehgunaan (SoA), risiko dan bukti proses. Aturan sedia ada yang masih berkesan boleh dikekalkan.

3. Panduan Klausa 4–10

Contoh borang, petunjuk dan kaedah kerja di bawah ialah cadangan persediaan praktikal. Sesuaikannya dengan saiz organisasi, aktiviti pemprosesan dan keperluan terpakai.

4. Konteks organisasi

• 4.1 Konteks organisasi: Analisis isu dalaman dan luaran yang mempengaruhi PIMS, seperti tujuan data, teknologi, model operasi dan persekitaran kawal selia; tentukan sama ada perubahan iklim relevan.
• 4.2 Pihak berkepentingan: Kenal pasti subjek data, pelanggan, rakan niaga, pengawal selia dan pihak lain berkaitan pemprosesan PII serta keperluan yang perlu ditangani sistem. Pihak berkaitan juga mungkin mempunyai keperluan iklim.
• 4.3 Skop: Terangkan aktiviti, perkhidmatan, lokasi, aliran data dan peranan pemprosesan yang termasuk, serta antara muka dengan perkhidmatan luar.
• 4.4 Sistem pengurusan: Wujudkan, laksanakan, selenggara dan tambah baik PIMS serta proses yang diperlukan secara berterusan.

Semakan praktikal: Jejaki satu aktiviti pengambilan pekerja, pemasaran atau pemprosesan bagi pihak pelanggan daripada sumber dan tujuan data kepada penerimanya. Pastikan skop sepadan dengan proses sebenar. Tentukan dahulu undang-undang tempatan yang terpakai; jangan anggap semua undang-undang terpakai di setiap tempat.

5. Kepimpinan

Pengurusan tertinggi perlu menunjukkan kepimpinan dan komitmen, menetapkan dasar privasi, menyediakan sumber dan memasukkan keperluan PIMS ke dalam proses perniagaan. Peranan, tanggungjawab dan kuasa perlu jelas serta disampaikan dalam organisasi. Undang-undang, IT, sumber manusia, pemasaran dan operasi boleh bekerjasama mengurus aliran data dan keputusan. Edisi lama sudah mengandungi tanggungjawab kepimpinan; edisi kendiri masih memerlukan bukti penglibatan pengurusan dan keberkesanan sistem.

6. Perancangan

• 6.1.2 Penilaian risiko privasi: Gunakan kaedah dan kriteria yang konsisten untuk mempertimbangkan kesan pemprosesan data peribadi terhadap individu serta risiko keselamatan maklumat kepada PII.
• 6.1.3 Rawatan risiko privasi: Tentukan kawalan dan pelan rawatan yang perlu, sediakan SoA dan rekod langkah keselamatan maklumat berkaitan. Lampiran A ialah asas perbandingan; kawalan daripada sumber lain atau reka bentuk organisasi sendiri boleh ditambah jika perlu.
• 6.2 Objektif privasi: Tetapkan objektif yang boleh dinilai dan, jika praktikal, diukur. Tetapkan pemilik, sumber, tarikh siap dan kaedah penilaian.
• 6.3 Perancangan perubahan: Rancang perubahan PIMS secara terkawal. Sebelum menambah tujuan penggunaan data, contohnya, semak notis, asas yang terpakai, hak akses dan tempoh penyimpanan, kemudian jejaki pelaksanaannya.

Semakan praktikal: Pastikan risiko, kawalan, SoA, pemilik tindakan dan bukti boleh dijejaki antara satu sama lain. SoA ialah sebahagian daripada perancangan dan tidak patut ditulis hanya selepas operasi Klausa 8 selesai.

7. Sokongan

Sediakan sumber yang diperlukan, pastikan personel mempunyai kompetensi dan kesedaran privasi, tetapkan komunikasi dalaman dan luaran, serta kawal maklumat terdokumen yang diperlukan. Rekod boleh merangkumi penilaian risiko, SoA, aktiviti pemprosesan, latihan, permintaan hak, insiden dan perubahan. Tentukan jenis serta perincian dokumen mengikut keperluan; dokumen sedia ada boleh digabungkan. Jika rekod mengandungi data peribadi, hadkan akses dan tetapkan aturan penyimpanan.

8. Operasi

• 8.1 Perancangan dan kawalan operasi: Laksanakan proses dan kawalan yang dirancang dalam kerja harian, urus perubahan berkaitan dan kawal proses, produk atau perkhidmatan yang dibekalkan pihak luar.
• 8.2 Penilaian risiko privasi: Nilai semula pada sela masa dirancang dan apabila keadaan yang terpakai timbul, seperti perubahan besar; simpan hasil penilaian.
• 8.3 Rawatan risiko privasi: Laksanakan pelan rawatan dan simpan bukti hasilnya.

Jejaki permintaan hak subjek data atau pemadaman data oleh penyedia luar. Sahkan bahawa pengesahan identiti, pemprosesan, jawapan dan pemberitahuan kepada pihak hiliran mempunyai pemilik yang jelas. Pengawal dan pemproses melaksanakan kawalan terpakai mengikut peranan masing-masing.

9. Penilaian prestasi

Tentukan perkara yang dipantau dan diukur, cara menganalisis serta menilai hasil, dan masanya; rancang audit dalaman dan kajian semula pengurusan. Petunjuk boleh termasuk tempoh menjawab permintaan hak, kadar tertunggak, penemuan berulang dan kemajuan rawatan risiko. Tafsir trend dengan mengambil kira bilangan kes dan tahap keseriusannya.

Kajian semula pengurusan patut menukar status sistem, perubahan berkaitan dan hasil prestasi kepada keputusan penambahbaikan atau perubahan yang boleh dilaksanakan. Audit dalaman perlu meliputi keperluan edisi baharu yang terpakai dan kekal objektif serta tidak berat sebelah.

10. Penambahbaikan

10.1 Penambahbaikan berterusan melihat kesesuaian, kecukupan dan keberkesanan PIMS. 10.2 Ketidakakuran dan tindakan pembetulan menangani penyimpangan daripada keperluan dengan menilai punca, tindakan yang perlu dan keberkesanannya.

Urus insiden privasi mengikut proses insiden dan kewajipan terpakai, kemudian tentukan sama ada ia juga ketidakakuran sistem pengurusan; kedua-duanya tidak semestinya perkara yang sama. Insiden, permintaan hak dan penemuan audit boleh digunakan untuk menambah baik proses.

Lampiran A: Kawalan dan SoA

Halaman ini menggunakan kiraan daripada perbandingan klausa demi klausa edisi terbitan oleh SGS: 31 + 18 + 29, berjumlah 78 kawalan. Sesetengah ringkasan awam menyatakan angka berlainan. Semasa pelaksanaan, semak setiap kawalan menggunakan standard rasmi dan daftar kawalan yang diperoleh secara sah.

Kawalan disusun semula, termasuk pemindahan dan pelarasan kandungan terdahulu; hal ini tidak bermakna tanggungjawab keselamatan maklumat dihapuskan. Halaman ini tidak mengulangi dakwaan “kira-kira 52 kawalan dipadam” yang belum disahkan. Perbandingan perubahan dan kawalan 2025 oleh SGS

SoA patut menyatakan kawalan yang diperlukan, sebab pemilihan, status pelaksanaan dan sebab kawalan Lampiran A dikecualikan, serta disemak bagi langkah penting yang tertinggal. SoA sedia ada boleh dikemas kini dengan pemetaan edisi; semua dokumen tidak perlu ditulis semula. Jangan kecualikan kawalan hanya kerana pelaksanaannya menyusahkan. Keperluan sistem pengurusan Klausa 4–10 tidak boleh dikecualikan menggunakan kaedah pemilihan kawalan.

Lampiran B–F: Panduan dan pemetaan

Lampiran C–F ialah pemetaan bermaklumat. Pemetaan peraturan boleh membantu mengenal pasti kawalan berkaitan, tetapi tidak menggantikan analisis kebolehgunaan undang-undang atau membuktikan pematuhan menyeluruh.

4. Enam langkah peralihan organisasi

1. Analisis jurang dan pemetaan peranan: Sahkan sijil semasa, skim akreditasi, skop PIMS dan peranan pengawal/pemproses. Bandingkan Klausa 4–10, Lampiran A dan aturan sedia ada; catat jurang, bukti yang boleh dikekalkan dan pemilik penambahbaikan. Lampiran F boleh membantu pemetaan edisi lama kepada baharu.
2. Bentuk pasukan projek rentas fungsi: Dengan sokongan pengurusan, libatkan undang-undang, IT, sumber manusia, operasi, pemasaran dan perolehan. Tetapkan jadual kemas kini dokumen, latihan, percubaan proses, audit dalaman, kajian semula pengurusan dan audit luar.
3. Latihan mengikut peranan: Pengurusan kanan memahami tanggungjawab PIMS kendiri, skop, sumber dan keputusan risiko utama; juruaudit dalaman mempelajari klausa baharu, pemetaan kawalan, SoA dan bukti; jabatan berkaitan menyemak tujuan data, permintaan hak, laporan insiden, kerja luar dan aliran rentas sempadan.
4. Kemas kini dokumen dan SoA: Kemas kini dasar, penilaian dan pelan rawatan risiko, SoA, proses perubahan dan insiden, serta kontrak atau borang jika perlu. Kekalkan proses yang masih sesuai dan catat sebab semakan, kelulusan serta versi; menukar tahun pada dokumen sahaja bukan peralihan.
5. Laksanakan dan bina bukti: Jalankan sistem baharu dan simpan rekod permintaan hak, rawatan risiko, pengurusan pembekal dan perubahan. Lengkapkan audit dalaman, pembetulan perlu dan kajian semula pengurusan. Rancang tempoh operasi berdasarkan skop, kerumitan dan kecukupan bukti; tiada bilangan hari tetap untuk semua organisasi.
6. Atur audit peralihan dan keputusan pensijilan: Sahkan skim dengan badan pensijilan bebas yang berkelayakan. Tentukan sama ada peralihan boleh digabungkan dengan audit pengawasan atau pensijilan semula, atau perlu audit berasingan. Selepas ketidakakuran ditangani, badan pensijilan membuat keputusan. Pemohon baharu memohon pensijilan awal mengikut edisi baharu; peralihan tidak menjamin tempoh sijil baharu selama tiga tahun penuh.

5. Salah faham lazim semasa peralihan

Adakah 27701 masih sekadar tambahan privasi kepada 27001?

Edisi 2025 ialah standard kendiri. Sahkan skop, keperluan dan bukti PIMS secara berasingan. ISMS sedia ada boleh membantu penyepaduan tetapi tidak secara automatik menggantikan pengurusan privasi.

Adakah sijil 27001 wajib sebelum memohon?

Edisi baharu tidak mensyaratkan sijil ISO/IEC 27001 sebagai prasyarat. Langkah keselamatan data peribadi yang diperlukan tetap perlu diwujudkan; sahkan skim edisi baharu yang ditawarkan badan pensijilan.

Mesti pilih semua kawalan Lampiran A atau boleh membuangnya sesuka hati?

Tentukan kawalan berdasarkan peranan, risiko dan keperluan terpakai; semak seluruh Lampiran A dan rekod sebab pengecualian. Tambah kawalan jika perlu dan jangan memilih secara sewenang-wenangnya.

Perlukah menulis semula SoA dan semua prosedur?

Kemas kini pemetaan, alasan kebolehgunaan dan bukti; kandungan sedia ada yang masih berkesan boleh dikekalkan. Fokus peralihan ialah menutup jurang dan membuktikan pelaksanaan, bukan menambah dokumen.

Adakah privasi tanggungjawab undang-undang atau IT sahaja?

Pemprosesan data berlaku merentas jabatan. Tetapkan tanggungjawab dan sumber supaya pengambilan pekerja, pemasaran, perkhidmatan dan kerja luar turut melaksanakan keperluan.

Adakah sijil 27001 atau 27701 membuktikan pematuhan kepada semua undang-undang privasi?

Sijil mempunyai skop dan asas penilaian tertentu. Organisasi masih perlu mengenal pasti undang-undang, kontrak dan kewajipan pemprosesan sebenar, serta menyemak pemindahan rentas sempadan, notis dan hak subjek data.

Skop perkhidmatan dan perbincangan keperluan

Bergantung pada keperluan yang dipersetujui, perbincangan boleh merangkumi inventori aktiviti pemprosesan, peta aliran data dan peranan, analisis jurang, kemas kini SoA, persediaan audit dalaman dan latihan. Skop, jadual dan yuran perlu disahkan secara berasingan; keputusan pensijilan dibuat oleh badan bebas yang mengendalikan permohonan.

• Sistem Pengurusan Keselamatan Maklumat ISO/IEC 27001
• Latihan korporat sistem pengurusan ISO
• Gambaran keseluruhan perkhidmatan sistem pengurusan ISO

Untuk perbincangan awal, sediakan gambaran aliran data satu aktiviti, dasar semasa, skim pensijilan dan rekod yang telah dinyahkenal pasti. Hubungi Captain International

Sumber dan skop semakan

Halaman ini disediakan pada 29 September 2026 berdasarkan katalog ISO, perbandingan awam edisi terbitan oleh SGS dan notis badan akreditasi. Ini ialah panduan peralihan dan cadangan praktikal; teks standard berbayar tidak diperoleh untuk semakan pematuhan klausa demi klausa. Sahkan keperluan sebenar dan skim peralihan yang terpakai melalui dokumen rasmi serta notis terkini daripada badan pensijilan yang mengendalikan permohonan.