DB21T 2702.1-2016 信息安全 個人信息安全管理體系評價 第1部分：要求　　

DB21DB21/T2702.1—2016信息安全個人信息安全管理體系評價InformationSecurity-PersonalInformationsecuritymanagementsystemevaluation-Part1-Requirements2016-09-27發(fā)布2016-11-27實施遼寧省質(zhì)量技術(shù)監(jiān)督局發(fā)布I V 1 1 1 1 4 5 5 5 7 ——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價——信息安全個人信息安全管理體系評價本部分主要起草單位：大連軟件行業(yè)協(xié)會、大連交通大學.1個人信息安全管理體系評價personalinformationsecuritymanagementsystem由獨立、公正的第三方評價機構(gòu)，基于DB21/T1628系列標準，系統(tǒng)、全評估個人信息安全管理體系評價實施、運行狀況的標準符合性、一致性和目4評價管理24.1評價原則4.2.1要求4.2.2.1構(gòu)成個人信息安全工作委員會是為推進個人信息安全、實施PISMSE設立a）委員會應由主管機構(gòu)、相關(guān)行業(yè)、相關(guān)企業(yè)代表，及專家、學者和b）委員會應設立若干職能單元，履行委員會的各項職能，如法規(guī)組、仲裁組、宣傳組、國際交流4.2.2.2職能c）研究、制定、解釋、修改、實施個人信息安全4.2.3評價機構(gòu)34.2.3.1構(gòu)成a）評價機構(gòu)的構(gòu)成應包括專家、學者、專業(yè)人4.2.3.2職能44.3評價體系5.2.1要求b）應合理設計評價指標，關(guān)注評價指標之間、評價指標項之間的關(guān)聯(lián)關(guān)系，避免5.2.2結(jié)構(gòu)55.2.3構(gòu)成個人信息管理者應在PISMS運行3個月后實施6評價機構(gòu)應依據(jù)個人信息安全相關(guān)法規(guī)、標準和其它相關(guān)法規(guī)、標準，審核申請PISMSE的個人信評價機構(gòu)應依據(jù)個人信息安全相關(guān)法規(guī)、標準和其它相關(guān)法規(guī)、標準，審查申請PISMSE的個人信7資格審核合格后，評價機構(gòu)應組建PISMSE現(xiàn)場審核組，實地判斷、評估個人信息管理者PISMS實現(xiàn)場審核組組長應根據(jù)資格審核報告、個人信息管理者實際和相關(guān)法規(guī)、標準等編制PISMSE89.2.1要求在PISMSE現(xiàn)場審核中，審核組應以會議的形式完成現(xiàn)場審核準備，及審核組內(nèi)部、審核組與個人9.2.3進入現(xiàn)場審核組應在進入現(xiàn)場后召開由審核人員和個人信息管理者與個人信息安全相關(guān)責任人參加的工作審核組應在現(xiàn)場審核結(jié)束后召開由審核人員和個人信息管理者與個人信息安全相關(guān)責任人參加的9b）個人面談：根據(jù)調(diào)查內(nèi)容選擇適宜的樣本人員，調(diào)查個人對個人信息安全的理解和PISMS對個9.3.2文檔檢查9.4.1要求接受調(diào)查的樣本人員應真實、客觀地說明相關(guān)問題，避免自身利益考慮9.4.2.1要求應在PISMSE現(xiàn)場審核中實施質(zhì)量控制，避免和減少調(diào)查偏差，以真實反映個人信息管理者的b）應明確現(xiàn)場審核任務、內(nèi)容和問題，設計現(xiàn)場審核方案和現(xiàn)場調(diào)查表；a）應適時召開工作例會，分析、研究、討論不明確的、無法確認的或含糊不清的問題，及時發(fā)現(xiàn)9.4.3調(diào)查偏差9.4.4溝通交流9.5.1要求）；）；3）存在短期內(nèi)可修改、糾正的非實質(zhì)問題，應經(jīng)整改后再9.6.2整改報告現(xiàn)場審核完成后，存在9.5.3a）2）、3）問題的個人信息管理者，應在問題解決后形成整PISMSE人員應包括IT、信息安全、管理等相關(guān)領(lǐng)域及相關(guān)行業(yè)或領(lǐng)域的專家、學者、專業(yè)技術(shù)人PISMSE人員，應根據(jù)業(yè)務能力、專業(yè)能力和從業(yè)經(jīng)驗等劃分不同的評價資格等級，并明確相應的應建立與PISMSE相關(guān)的記錄、文檔、規(guī)章、文件、合同等的備案管理制度，并應根據(jù)實際需要改a）通過PISMSE的個人信息管理者，應履行個人標準和PISMSE要求，則應取消相應的PISMSE申請資格，并限定整改周期c）個人信息管理者通過PISMSE后，出現(xiàn)個人信息安全重大事故，應通過復審確認，取消相應的PISMSE申請資格，并限定整改周期，經(jīng)整改后重應通過復審確認，取消相應的PISMSE申請資格，并限定整改周期