关于ISO26262汽车功能安全标准流程认证,关于ISO27701隐私保护认证您想了解的都在这里

关于ISO26262汽车功能安全标准流程认证

一、汽车功能安全流程认证的出处

许多人说：翻遍ISO26262标准，没看到标准有流程认证一说。是的，你没看错，ISO26262没有明确提流程认证。标准中提到了“Functional Safety Audit”，并且对审核的独立性进行了要求：要求ASIL D的项目，必须I3独立性的人实施流程审核；ASIL C的项目必须I2独立性的人实施流程审核（如图1）。

图1：审核独立性要求（sourCE：ISO26262-2, table 1）

那么什么样的人，算是I3独立性呢？标准要求是来自不同的部门或者组织的人员（如图2所示）。

图2：人员独立性解释

标准还对人员的能力进行了要求（参考ISO26262-2 5.4.4 competence management），可是ISO26262没有明确审核员应该具备什么样的资质。当然，熟悉ISO26262和一定的审核经验是必不可少的。目前国内企业，这种人才还十分稀缺，许多公司没有ISO26262的审核员，因此，来自不同部门的人执行I3独立性审核变得不太现实。许多公司纷纷寻求第三方(例如SGS或者上海先起)执行Functional Safety Audit。当然，也有公正性方面的考虑，这里不再展开。

既然花了钱找第三方做了审核，又通过了审核，为何不拿张证书呢？因此就派生出了ISO26262流程证书，证明企业的开发流程符合ISO26262的要求。

二、关于认证公司

许多人问怎样选择认证公司呢？如刚才所说，ISO26262没有明确要求流程审核员应具备什么样的能力，当然更不可能规定什么公司能够进行ISO26262流程审核。

目前没有1个全球性的组织，对ISO26262的认证公司进行统一管控和授权。由于ISO26262标准源于德国，德国认监委(DAkkS)授权了一些服务机构，开展ISO26262的业务（下图是DAkkS对SGS的授权书和授权范围）。截至目前，SGS全球总共颁发了218张ISO26262流程和产品认证。

三、怎样获得流程证书

要想通过流程认证，当然先要建立公司的功能安全流程体系，并在项目中实施并改进流程。

先说说公司流程体系，功能安全流程体系通常包含：安全方针、流程描述、作业指导书、模板和检查表。这是1个庞大的体系，例如仅仅软件定制阶段，就有流程体系文件48份（如下）。如需完整流程体系文件清单，请发送email索取。

找个试点项目，按照流程定义，在项目中实施流程一轮完整的开发，需求、设计、分析、验证，都有流程实施的证据，其次就能够申请流程认证了。

其它常见问题

1. 证书有效期：3年

2. 是否必须年审：是的

3. 项目周期：取决于认证范围，通常必须9个月-1年。

4. 必须什么样的人员配置？必须1个专职的人员，以及5-6个兼职人员。

专职人员：是企业内部从技术角度整体把握ISO26262技术要求的人员，参与所有功能安全流程方案的探讨和制定。

兼职人员：对于某些必须专门的领域经验的阶段（例如软件架构设计），必须选取实际实施该阶段的代表作为兼职人员，参与该流程定义的探讨和制定，并在项目中实施流程。

5. 假如已经取得了ISO26262:2011版证书，怎样升版到ISO26262:2018？流程体系中必须增加ISO26262:2018新版要求，新版的转变，参考文章《ISO26262第二版新看点》

关于ISO27701隐私保护认证您想了解的都在这里

1、隐私保护的重要性被不断强调，我国有与此相关的法律法规吗？

《中国人民共和国刑法》第二百五十三条之一：违反国家有关规定，向别人出售或者提供公民个人信息，情节严重的，处3年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处3年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给别人的，依据前款的规定从重处罚。

2017年6月1日起正式实施的《中华人民共和国网络安全法》（通常简称《网安法》），是我国首部全面规范网络空间安全管理方面问题的基础性法律，一共有7章79条，包含了网络运行安全、关键信息基础设施的运行安全、网络信息安全等内容。《网安法》的第四十至四十五条中，明确了在数据（包含个人信息）安全与保护上的诸多规定。

除此之外，我国还先后出台了《信息安全技术个人信息安全规范》、《App违法违规收集使用个人信息自评估指南》、《互联网个人信息安全保护指南》等规范和指南，明确规定了个人信息收集、存储和使用等方面的诸多要求。《个人信息和重要数据出境安全评估办法（征求意见稿）》《信息安全技术数据出境安全评估指南（草案）》《个人信息保护法（草案）》也在意见收集过程中，并将陆续颁布。

2、隐私保护有什么相关的主体角色？

ISO29100中定义了以下角色：

PII主体：与个人身份信息（PII）相关的自然人

PII控制者：有权决定个人信息处理目的、方式等的组织或个人。

PII处理者：按照PII控制者的要求处理个人身份信息等的组织或个人。

3、ISO组织有什么关于隐私保护的标准？

ISO27001 信息安全管理体系要求

ISO27002 信息安全控制实用规则

ISO27018 公有云中PII处理者的PII保护实用规则

ISO29100 隐私框架

ISO29134 隐私影响评估指南

ISO29151 PII保护实用规则

ISO27701 扩展的ISO/IEC27001和ISO/IEC27002-隐私信息管理要求和指南

4、ISO27701认证标准的结构

ISO27701认证是ISO27001和ISO27002在隐私信息管理方面的扩展，并在隐私保护方面提供了必要的额外要求。ISO/IEC27701认证标准的正文由8个条款组成，其中：

条款1-4，给出了标准的范围，术语、定义等。条款5介绍了ISO27001中延伸出的关于PIMS的扩展要求以及本标准对PIMS的附加要求。条款6介绍了ISO27002中对PIMS的扩展及附加要求。上述条款对PII的控制者和处理者均适用。条款7给出了针对PII控制者的ISO27002扩展指南。条款8给出了针对PII处理者的ISO27002扩展指南。这两章从PII的收集和处理，对PII主体的义务，Privacy by design & Privacy by default，PII的共享、传输和披露4个方面做出了相应规定。

ISO27701认证标准附录A是针对PII控制者的PIMS特定的控制目标和控制措施。附录B是针对PII处理者的PIMS特定的控制目标和控制措施。附录C给出了标准与ISO/IEC29100的映射。附录D是与GDPR的映射。附录E是与ISO/IEC27018和ISO/IEC29151的映射。附录F则是怎样在处理PII时将ISO/IEC27001和ISO/IEC27002扩展到隐私保护。

总体而言，ISO27701认证标准通过第5章和第6章将ISO27002与附加的PIMS控制项构成了完整的信息安全和隐私管理体系。第7章和第8章从数据生命周期的角度新增分别针对PII控制者和处理者的控制要求。

5、ISO27701的适用范围

ISO27701认证可供PII控制者（包含联合PII控制者）和PII处理者（包含使用分包的PII处理者和作为分包商处理PII的PII处理者）使用。

6、ISO27701 与ISO27001

ISO27001中的条款标题ISO27701中的子条款备注4组织环境5.2补充要求 5领导5.3没有特定于PIMS的要求6规划5.4补充要求7支持5.5没有特定于PIMS的要求8运行5.6没有特定于PIMS的要求9绩效评价5.7没有特定于PIMS的要求10改进5.8没有特定于PIMS的要求

注：5.1中“信息安全的扩展解释，即使没有特定于PIMS的要求，也始终适用。

7、ISO27701与ISO27002

ISO27002中的条款标题ISO27701中的子条款备注5信息安全策略6.2补充指南6信息安全组织6.3补充指南7人力资源安全6.4补充指南8资产管理6.5补充指南9访问控制6.6补充指南10密码6.7补充指南11物理和环境安全6.8补充指南12运行安全6.9补充指南13通信安全6.1补充指南14系统的获取，开发和维护6.11补充指南15供应商关系6.12补充指南16信息安全事件管理6.13补充指南17业务连续性管理的信息安全方面6.14没有特定于PIMS的指南18符合性6.15补充指南

注：6.1中“信息安全的扩展解释，即使没有特定于PIMS的要求，也始终适用。ISO 27701基于ISO 27001和ISO 27002并考虑了可能受PII处理影响的PII主体的隐私保护，因此在使用术语“信息安全时，应替换为“信息安全和隐私。

8、ISO27701与ISO29151

ISO27701与ISO27018

ISO/IEC29151为PII控制者处理PII提供了额外的控制和指导。ISO/IEC27018为充当PII处理者并提供公共云服务的组织提供了进1步的信息。

ISO27701在ISO27001和ISO27002的基础上，遵循PDCA的理念，从管理体系的角度分别对个人可识别信息控制者和个人可识别信息处理者进行规范和指导。此外，ISO27701更全面地覆盖了GDPR的要求。

ISO27701的附录E给出了ISO27701与ISO/IEC27018和ISO/IEC29151之间的指示性映射，用以说明ISO27701的要求和控制措施怎样与ISO/IEC 27018和/或ISO/IEC29151的规定保持一致。

9、ISO27701与GDPR

作为国际通用的标准，ISO27701的认证能在极大程度上表明组织符合GDPR的要求，附录D中给出了ISO27701认证与GDPR第5条至第49条之间(43条除外)的映射关系。值得注意的是，ISO27701中使用的术语“PII，在GDPR则使用的是“data。除此之外，两者具体要求的颗粒度也有所不同。

10、实施ISO27701认证对组织而言有什么必要性？

ISO27701认证的目标是通过对于隐私保护的控制实现对ISMS进行补充，有效的协助组织对隐私风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平，协助组织建立PIMS，实现有效的隐私管理，从而使组织获益。

通过明确对PII控制者和处理者的隐私保护要求，能够使组织明确隐私保护管理合规目标，减轻组织合规负担的同时降低组织合规风险，ISO27701认证标准附录D中明确标明，单个隐私控制点能够满足GDPR中的多项要求。

实现持续的个人隐私安全合规对于任何组织都是1个安全治理的课题，ISO27701通过建立PIMS，能够确保组织高级管理层、组织所有者以及关键相关方的利益满足隐私保护要求，从而使组织实现长期、有效的个人隐私安全合规。

PIMS认证能够向顾客或合作伙伴传达隐私合规价值。PII控制者通常会要求PII处理者提供相关证据，从而证明PII处理者的隐私管理体系符合适用的隐私管理要求。通过得到授权的第三方机构对PII处理者进行基于国际标准的审核，能够极大地降低合规沟通成本，这种合规透明度的提高对于组织战略和业务决策至关重要，同时PIMS认证也有助于向公众传达组织的可信度。