ISO 27701:2025 Information security, cybersecurity & privacy

Первая версия вышла в 2019 году как расширение ISO/IEC 27001 (ISMS) и ISO/IEC 27002, добавив в них аспекты приватности и персональных данных (PII). В 2025 году опубликована обновлённая редакция стандарта. Это не косметическое обновление, а пересмотр концепции роли PIMS в экосистеме систем управления.

Ключевые изменения

1. Самостоятельность PIMS
Главное новшество — возможность внедрения ISO 27701 без обязательной наличия ISMS.
Теперь стандарт допускает, что организация может выстраивать управление конфиденциальностью как отдельную систему, при этом при желании интегрируя её с ISO 27001.
Плюс: это снижает порог входа для компаний, которым не нужен полный комплекс ISMS.
Минус: повышается риск изоляции приватности от безопасности, что противоречит концепции «security + privacy by design».

2. Выравнивание по High Level Structure (HLS)
Редакция 2025 приведена к универсальной структуре ISO-стандартов (HLS), аналогичной ISO 9001, 14001, 27001 (2022).
Это облегчает интеграцию в общую систему менеджмента: единые разделы контекста, лидерства, планирования, оценки и улучшения.
Для организаций с множественными сертификациями это серьёзное упрощение аудита и внутреннего контроля.

3. Актуализация контекста и терминологии
Добавлены уточнения по:

обработке данных в облаке и у сторонних поставщиков,
трансграничным передачам данных,
взаимодействию с регуляциями (GDPR, CCPA, PDPA и др.),
ожиданиям субъектов данных в цифровой среде.

Таким образом, стандарт адаптирован под реалии 2025 года — когда обработка PII выходит далеко за пределы локальных систем и юрисдикций.

Практическое значение
ISO 27701 — это инструмент для построения управляемого и документированного подхода к защите персональных данных.
Он не гарантирует соответствие конкретному закону, но помогает:

систематизировать роли контролера и процессора PII;
выстроить политику и регламентированные процедуры обработки данных;
объединить требования безопасности и приватности;
продемонстрировать соблюдение принципов GDPR («accountability», «transparency», «data minimization» и др.).

Основные вызовы внедрения
Определение границ PIMS
Требуется чётко задать, какие процессы и системы входят в область охвата. Избыточное включение делает систему громоздкой, узкое — бессмысленной.

Синхронизация privacy и security-контролей
ISO 27001 отвечает за технические и организационные меры; ISO 27701 — за правомерность и минимизацию. Без баланса — перекос либо в «бумагу», либо в «технику».

Реальное вовлечение бизнеса

PIMS не может быть задачей только CISO или DPO. Без участия HR, маркетинга, IT и топ-менеджмента система формальна и не работает.

Подготовка к сертификации или самодекларации
Новая версия делает возможным как сертификацию через аккредитованный орган, так и внутреннюю декларацию соответствия (для компаний, не нуждающихся в внешнем аудите).

Стратегические последствия
ISO 27701:2025 отражает глобальный тренд — переход от “security compliance” к “data governance”.
Компании всё чаще должны не просто защищать данные, а управлять ими законно, прозрачно и этично.

В перспективе:
интеграция PIMS с ESG-и AI-грамотностью (этика обработки, объяснимость решений ИИ);

усиление внимания к трансграничным потокам данных;
использование сертификации ISO 27701 как «маркер доверия» для партнёров и регуляторов.

Практические шаги