2022信息技术　安全技术　公有云中个人信息保护实践指南

信息技术安全技术公有云中个人信息保护实践指南33个人信息主体个人信息所标识或者关联的自然人沫源S^TGEETB-2203331个人信息处理者pasml HfimtlinpcKsxi-代表并根据个人信息控制者的要求处理个人信息的组织或个人注对于处理个人信息而言，个人信息处理者与CJ”rW3TW中9」提到的受委托者”履行的义务相同，两者可以等同使用35个人信息处理pacsfti£d=TeTrrtiji对个人信息执行的操作或操作集注:个人信息处理操作包括但不限于收集、存储、变更、恢复、查阅、披客、匿名化、假名化、传播或以其他方式提供、删除或销毁个人信息36公有云服务提供者根据公有云模型提供云服务的参与方37数据失陷_14nbiQ_bi导致受保护数据在传输、存储或处理过程中被意外或非法销毁、丢失、变更，以及未经授权披露或访问的安全危害沫源立加工火M）式的二切4概述4本文件的结构本文件的结构与GB^TA理类似当无需补充其他信息,心个再理中规定的控制目标和控制措施适用于本文件时，本文件仅给出对GB/T233E相应条款的引用附录B给出了适用于公有云个人信息处理者保护个人信息的额外控制措施和相关实现指南公有云个人信息保护实现指南”标题下给出了适用于公有云服务提供者保护个人信息的额外指南“公有云个人信息保护其他信息”标题下给出了增强这些额外指南的更多相关信息如表1所示，面向特定应用的指南和其他信息包含在QVT泣21定义的控制类别中本文件的条款号与中的条款号一致，见表1本文件应与0Q结合使用，并将附录B给出的额外控制措施作为实施基于2MHl的信息安全管理体系的组成部分表1实现2aBi中定义的控制措施所需的特定指南和其他信息在本文件中的位置条款号标题能注5信息安全策略提供了特定应用的实现指南和其他信息6信息安全组织提供「特定应用的实现指南7人力资源安全提供了特定应用的实现指南和其他信息2表1实现中定义的控制措施所需的特定指南和其他信息在本文件中的位置皎）条款号标题备注8资产管理没有提供额外的特定应用实现指南或其他信息9访问控制提供了特定应用的实现指南，同时交叉引用了附录B中的控制措施1O密码提供了特定应用的实现指南U物理和环境安全提供了特定应用的实现指南，同时交叉引用了附录B中的控制措施12运行安全提供了特定应用的实现指南13通信安全提供了特定应用的实现指南同时交叉引用了附录B中的控制措施14系统获取、开发和维护没有提供额外的特定应用实现指南或其他信息15供应商关系没有提供额外的特定应用实现指南或其他信息16信息安全事件管理提供了特定应用的实现指南17业务连续性管理的信息安全方面没有提供额外的特定应用实现指南或其他信息18符合性提供了特定应用的实现指南，同时交叉引用了附录B中的控制措施

3.控制类别根据G/T23刊，每一个主要控制类别包括公）一个控制目标，声明要实现什么；B）一个或多个控制措施可被用于实现该控制目标控制措施的描述结构如下控制措施为满足控制目标,给出了定义特定控制措施的陈述公有云个人信息保护实现指南为支持该控制措施的实现并满足控制目标提供更详细的信息该指南不一定完全适用于所有情况也不一定满足组织的特定控制要求因此,可能需要替代的或额外的控制措施，或其他形式的风险处理方式刎如，规避、转移或接受风险）公有云个人信息保护其他信息提供需要考虑的更多信息例如，法律方面的考虑和对其他文件的参考5信息安全策略与信息安全管理指导-5016中注1规定的目标适用3信息安全策略CJ，T2a381—2D16中

5.1J规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南宜通过发表声明增强信息安全策略该声明应承诺遵守适用的个人信息保护法规，以及公有云个人信息处理者与云服务客户达成的合同条款合同协议宜明确划分公有云个人信息处理者、其分包商和云服务客户之间的货任且在划分货任时宜考虑所提供的云服务类型朝如，匕£模式、「互用模式或S上模式）例如，公有云个人信息处理者提供生£、艮生或羟6等不同的服务类型时，应用层控制的责任划分也不同分包商接受个人信息处理者的再次委托处理个人信息时，个人信息处理者应事先征得个人信息控制者的授权观Q/r3^73—2CB3中9」）公有云个人信息保护其他信息云服务客户和公有云个人信息处理者之间的合同提供了一种确保公有云个人信息处理者支持和管理符合性的机制通过实施本文件和中的相关控制措施，公有云个人信息处理者可能在合同中要求云服务客户接受独立的符合性审计S信息安全策略的评审（水牛2J81F316中5」2规定的控制措施和实现指南适用6信息安全组织a内部组织NJ16中6』规定的目标适用a信息安全的角色和责任2MAim16中

6.

1.1规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南公有云个人信息处理者宜指定一个联系人，负责与云服务客户的协调工作电职责分离Q Yr23381-2316中612规定的控制措施、实现指南和其他信息适用e与职能机构的联系Clyr2CRL T2H6中613规定的控制措施、实现指南和其他信息适用才与特定相关方的联系QVlA理R16中6JL4规定的控制措施、实现指南和其他信息适用项目管理中的信息安全（；1「2181一2》6中

6.15规定的控制措施、实现指南和其他信息适用0移动设备和远程工作CJy^T23281FJ16中62规定的目标和内容适用T人力资源安全才任用前CJ/TNiBlU316中7」规定的目标和内容适用2任用中2rBi—N16中72规定的目标适用N管理责任AKI m哈中721规定的控制措施、实现指南和其他信息适用2信息安全意识、教育和培训Q^TN8L-22fl6中722规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南宜采取措施使相关人员特别是个人信息处理人员，了解违反隐私和安全规则造成的影响,包括对公有云个人信息处理者的影响例如法律后果、业务损失、品牌或声誉损害网员工的影响例如纪律处分以及对个人信息主体的影响物如，身体上、物质上和情感上的后果公有云个人信息保护其他信息公有云个人信息处理者和云服务客户依据本文件签订合同，宜有助于为违反安全规则的制裁奠定合同基础2违规处理过程GL/r233BL—2D»16中723规定的控制措施、实现指南和其他信息适用Z任用的终止和变更GB^r23281-2316中73规定的目标和内容适用8资产管理GB*T-2316中第8章规定的目标和内容适用9访问控制9访问控制的业务要求1汉81—2316中9」规定的目标和内容适用a用户访问管理T2cBi-3D6中92规定的目标适用以卜特定应用指南也适用于本条中所有控制措施的实现公有云个人信息保护实现指南对于云计算参考架构中定义的不同服务类别，云服务客户可能对其控制的云服务用户具有不同的访问管理权限在适当的情况下，公有云个人信息处理者宜使云服务客户能够管理其控制的云服务用户的访问例如，公有云个人信息处理者向云服务客户提供管理权限去管理或终止用户访问注云服务客户、云眼务用户的关系见附录C用户注册和注销GlJrASl—2CH6中

92.1规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南用户注册和注销程序宜解决用户访问控制受损的情况，例如，口令或其他用户注册数据受损Q用户访问供给中922规定的控制措施、实现指南和其他信息适用a特许访问权管理NBL-2D16中923规定的控制措施、实现指南和K他信息适用用户的秘密鉴别信息管理GivTsajBims中92,规定的控制措施、实现指南和其他信息适用S用户访问权的评审或中925规定的控制措施、实现指南和其他信息适用e访问权的移除或调整GI/rABmi6中926规定的控制措施、实现指南和其他信息适用9用户责任QTTNJJ囱-2D16中93规定的目标适用93d秘密鉴别信息的使用Cl Yt23JB1-2316中

93.1规定的控制措施和实现指南适用系统和应用访问控制G1NCBl-2D16中94规定的目标适用信息访问限制N16中94」规定的控制措施和实现指南适用注有关信息访问限制的额外控制措施和指南见B7JI上Q安全登录规程中942规定的控制措施、实现指南和其他信息适用以卜.特定应用指南也适用公有云个人信息保护实现指南需要时，公有云个人信息处理者宜向云服务客户控制下的云服务用户请求的任何账户提供安全登录程序口令管理系统力

1、2181-1王16中943规定的控制措施、实现指南和其他信息适用特权实用程序的使用Cl JrN81NH6中944规定的控制措施、实现指南和其他信息适用9程序源代码的访问控制”「2£刊一幺716中945规定的控制措施、实现指南和其他信息适用1O密码D密码控制03^22381—2316中1O1规定的目标适用密码控制的使用策略中1O11规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南公有云个人信息处理者宜将其使用密码保护所处理个人信息的相关信息提供给云服务客户公有云个人信息处理者还宜向云•服务客户提供功能信息，这些功能可能帮助云服务客户应用其自身的密码保护采用密码技术解决机密性、完整性、真实性、不可否认性需求的，应遵循相关密码国家标准和行业标准6密钥管理GJJr2a£1—2316中

10.12规定的控制措施、实现指南和其他信息适用11物理和环境安全2安全区域r—HHB中ii.1规定的目标和内容适用业设备GiVrNBirDKS中112规定的目标适用3设备安置和保护NH6中112」规定的控制措施和实现指南适用定支持性设施巨理FD16中U22规定的控制措施、实现指南和其他信息适用2布缆安全C VI＞川一5C16中1123规定的控制措施和实现指南适用设备维护NI6中1124规定的控制措施和实现指南适用£资产的移动01/1巨理-2316中L125规定的控制措施、实现指南和其他信息适用S组织场所外的设备与资产安全中1126规定的控制措施、实现指南和其他信息适用定设备的安全处置或再利用2a到一2316中1127规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南出于安全处置或再利用的目的，可能包含个人信息的存储介质宜视为包含个人信息的设备注TT关设备安全处置或再利用的额外控制措施和指南见B74£无人值守的用户设备N16中1128规定的控制措施和实现指南适用£清理桌面和屏幕策略中1129规定的控制措施、实现指南和其他信息适用12运行安全X运行规程和责任C/lZTBl—^16中E

2.1规定的目标适用2文件化的操作规程3歹十22£1—2D16中

12.1J规定的控制措施和实现指南适用£变更管理G/r23381~2316中

12.12规定的控制措施、实现指南和其他信息适用X容量管理力12181ml6中住《13规定的控制措施、实现指南和其他信息适用a开发、测试和运行环境的分离QJTN81-2316中

12.14规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南出于测试目的使用个人信息时，宜进行风险评估且宜实施技术措施和组织措施降低已识别的风险定恶意软件防范UD16中区2规定的目标和内容适用名备份GIJTNI81KM6中123规定的目标适用123d信息备份1Jl,2i81UK5中幺订规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南基于云计算模型的信息处理系统为异地备份引入了额外或替代机制以防止数据丢失，并确保数据处理操作的连续性以及提供在发生破坏性事态后恢复数据处理操作的能力为了备份和豉恢复，宜在不同的物理和破渔辑位置上可以在自身信息处理系统内为”建或维护多个数据副本云服务客户可能承担备份和豉依复责任，但当公有云个人信息处理者明确向云服务客户提供备份和恢复服务时，公有云个人信息处理者宜向云服务客户提供其备份和恢复服务的明确信息宜制定备份和恢复程序，保证在破坏性事态发生后的规定时间内恢宓数据宜按规定的频率评审备份和恢复程序本文件中适用于分包处理个人信息的控制措施涵盖了使用分包商存储所处理数据复制副本或备份副本的情况本文件中的控制措施也涵盖了使用物理介质传输个人信息的情况公有云个人信息处理者宜制定策略以满足信息备份及擦除备份信息中包含的个人信息的其他要求K列如，合同和械＞去律规定的要求工S日志和监视22H6中124规定的目标适用a事态日志NJ1B中也4»1规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南宜建立流程，按规定的周期评审事态FI志，识别违规行为并提出补救措施在可能的情况下事态日志宜记录个人信息是否因某个事态而更正依加、修改或删除以及由谁更正若多个云服务提供者提供云计算参考架构中定义的不同类别的服务则在实现本文件时可能会出现不同的角色或共享的角色公有云个人信息处理者宜制定关于是否、何时以及如何向云服务客户提供口志信息的规则同时，这些规则宜对云服务客户有效若允许云服务客户访问由公有云个人信息处理者控制的日志记录则公有云个人信息处理者宜确保云服务客户仅能访问与其相关的活动，而不能访问其他云服务客户的日志记录S日志信息的保护中22规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南因安全监控和运行诊断等目的而记录的日志信息可能包含个人信息宜采取诸如控制访问现923）的措施，确保日志信息仅用于预期目的宜建立程序，最好是自动化程序，确保在规定的期限内删除日志信息»管理员和操作员日志Q/TABL2D16中3243规定的控制措施、实现指南和其他信息适用a.时钟同步CJhT22381—2316中J244规定的控制措施、实现指南和其他信息适用S运行软件控制QVl巨理-2D16中125规定的目标和内容适用技术方面的脆弱性管理二XI—5016中126规定的目标和内容适用N信息系统审计的考虑GB^I23381-2316中127规定的目标和内容适用13通信安全3网络安全管理C/TZKl-5016中13A规定的目标和内容适用£信息传输GI^^T233HLm6中132规定的目标适用3信息传输策略和规程Q/rwa-aae中1321规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南使用物理介质传输信息时直建立一个系统记录传入传出物理介质的相关信息这些信息包括物理介质的类型、被授权的发送方侬收方、日期和时间以及物理介质的数量在可能的情况下宜要求云服务客户采取额外措施弱1如，加密），确保只能在传输的目的地而非传输过程中访问数据2信息传输协议（3/T22381—2D16中1322规定的控制措施、实现指南和其他信息适用a电子消息发送□▼T2181F316中1323规定的控制措施、实现指南和其他信息适用2保密或不披露协议3/

1、巨81一2»5中1324规定的控制措施、实现指南和其他信息适用注保密或不披露协议的额外控制措施和指南可在137」中找到14系统获取、开发和维护Gl/r22381—2316中第14章规定的目标和内容适用15供应商关系GB^rza£l—2Dl6中第15章规定的目标和内容适用注有关供应商关系管理的更多信息见19cm16信息安全事件管理一信息安全事件的管理和改进3/「NfHirDiB中K5」规定的目标适用以下特定应用指南也适用于本条中所有控制措施的实现公有云个人信息保护实现指南云计算参考架构下，信息安全事件的管理和改进活动中可能存在共享的角色公有云个人信息处理者可能需要与云服务客户合作实现本条中的控制措施金责任和规程QTTRn-2316中

16.1」规定的控制措施、实现指南和其他信息适用以下特定应用指南也适用公有云个人信息保护实现指南作为信息安全事件管理过程的一部分信息安全事件宜触发对公有云个人信息处理者的评审以确定是否违规处理了包含个人信息的数据蜕B2』信息安全事态不宜触发此类评审信息安全事态是指不会导致未经授权实际访问或极可能访问个人信息以及存储个人信息的公有云个人信息处理者设备设施的事件信息安全事态包括但不限于对防火墙或边缘服务器的点对点攻击和其他广播攻击、端口扫描、登录尝试失败、拒绝服务攻击和数据包侦听图报告信息安全事态NH6中

1122333.132323333343A

3535363637373.144556（、77889K JO11111212131314141515161617171818附录A—附录B附录A BJ A.I B2—13表A1本文件与R1RZ2O182D19结构编号对照情况鼓）本文件结构编号FrZnc^ois注）19结构编号B2J A JO J B22AJO2B23A.103133—B3J A3J R32A32B;1—Bdl A8J B5—B5J ASJ B6—B

6.1A6J B6N A62B7—B7JAXIJ1372A JI2B73All3B74A JULfl B75A115B76A JIGB77AJUL71378AA18B7Q AJ1O B7JO AJI JO137X1AJ1J1B

7.12AJ

1.12B7J3AJ1J3B7s AJ2JB

7.1S AJ22BS—BSJ A2J附录C—附录B觑范性）公有云个人信息处理者保护个人信息的扩展控制措施集B总则本附录给出了新的控制措施和实现指南并构成扩展控制措施集与文件正文中的增强控制措施和指南结合使用，以满足个人信息处理者保护个人信息的要求这些新的控制措施按照GB勺〈在3Tm中的个人信息保护原则进行分类在多数情况下，控制措施可能归入多个原则，但应将这些控制措施归入其中最相关的原则B权贵一致包含个人信息的数据失陷告知控制措施若未经授权访问个人信息或处理个人信息的设备设施导致个人信息丢失、泄露或变更，则公有云个人信息处理者宜立即告知相关云服务客户公有云个人信息保护实现指南公有云个人信息处理者与云服务客户之间的合同宜包含涉及个人信息的数据失陷告知条款合同宜规定公有云个人信息处理者应如何向云服务客户提供必要的信息，以便云服务客户履行向监管机构告知的义务此告知义务不适用于因云服务客户、个人信息主体或其负责的系统组件引起的数据失陷合同还宜规定涉及个人信息的数据失陷告知的最迟时间若发生涉及个人信息的数据失陷事件则宜记录事件描述、发生时间、事件后果、报告者姓名、向谁报告了事件处理事件所采取的步骤包括负责人和恢复的数据以及事件造成的损失、泄露或变更个人信息的事实若发生涉及个人信息的数据失陷事件则还宜记录违规数据的描述若已知造已通知个人信息控制者，则宜将采取的步骤告知云服务客户和俵）监管机构注本条并未涵盖其他要求告知的数据失陷裂件，例如，未经同意或其他授权收集、未经授权使用等施政安全策略和指南的保留期控制措施安全策略和操作规程副本宜在规定的替换包括更新〉周期内保留公有云个人信息保护实现指南客户争议处理和配合个人信息保护机构调查时可能需要评审当前和以往的策略和规程若法律或合同无明确要求，则安全策略和规程的最短保留期宜为五年隹、人信息返回、转让和处置控制措施公有云个人信息处理者宜制定个人信息返回、转让和做〉处置的策略，并对云服务客户有效公有云个人信息保护实现指南在某个时间点公有云个人信息处理者可能需要以某种形式处理个人信息这些处理包括将个人信息返回给云服务客户招个人信息转让给其他个人信息处理者或个人信息控制者例如合并聘个人信息安全地删除或以其他方式销毁、匿名化或归档公有云个人信息处理者转让个人信息时，宜向云服务客户告知并征得同意若云服务客户不再需要个人信息包括出于备份和业务连续性目的保存的数据厕公有云个人信息处理者宜提供必要的信息，以使云服务客户能够确保擦除公有云个人信息处理者及其分包商擦除）保存于任何位置的个人信息合同中宜约定具体的个人信息处置方式例如脱链、覆盖、消磁、销毁或其他形式的擦除）和G戈）适用的商业标准注1:脱链是一种个人信息处置方法，使用技术手段使信息与自然人脱离链接注2消磁是一种数据销毁方法,是指使用强隧场将保存在硬盘:、磁盘、磁带等磁介质上的数据彻底清除公有云个人信息处理者宜制定并实施处置个人信息的策略，并对云服务客户有效该策略宜涵盖合同终止到个人信息销毁的保留期，以保护云服务客户不会因合同意外失效而丢失个人信息注该控制措施和指南也与‘公开透明”原则相关现B6）B目的明确盒有云个人信息处理者的口的控制措施不宜独立于云服务客户指示的任何其他目的处理合同约定的个人信息公有云个人信息保护实现指南这些指示可能包含在公有云个人信息处理者和云服务客户的合同中例如服务要实现的目标和完成时限为达到云服务客户的目的公有云个人信息处理者可能从技术角度决定处理云服务客户个人信息的方式这些决定符合云服务客户的通用指示但没有云服务客户的专用指示例如为有效利用网络能力或处理能力可能有必要根据个人信息主体的某些特性来分配处理资源公有云个人信息处理者确定的个人信息处理方法涉及个人信息的收集和使用时，公有云个人信息处理者宜遵循CI3彳

9.1称为受委托者”，本文件中的处理者”即受委托者”）的要求本文件按照“r出n3mJ对处理者的要求，提供了一种在公有云中保护个人信息的通用合规框架，指导处理者开展公有云中个人信息处理操作公有云服务提供者通常需要依据与云服务客户签订的合同，并在双方均遵守个人信息保护法律法规相关要求的前提下开展服务对于个人信息保护的这些要求，云服务提供者与云服务客户是依据法律法规和它们之间的合同来确定的当公有云服务提供者按照云服务客户的要求处理个人信息时，公有云服务提供者充当‘个人信息处理者”的角色与公有云个人信息处理者有合同关系的云服务客户是‘个人信息控制者”在云计算环境下，个人信息控制者掌握个人信息的控制权其也具有处理和使用个人信息的权限个人信息控制者与个人信息处理者均可处理个人信息但个人信息处理者作为受委托的一方只能执行个人信息控制者要求的个人信息处理操作和为实现个人信息控制者目标而进行的必要操作同时云服务客户也可授权一个或多个云服务用户使用其服务但这些服务仅限于云服务客户与公有云个人信息处理者签订合同中约定的可用服务本文件旨在创建一组通用的控制类别和控制措施，与ayT2a*i中的信息安全控制目标和控制措施结合使用，由个人信息处理者来实现本文件的目的如下——帮助公有云个人信息处理者履行相应义务，这些义务包括法律法规规定的直接义务及合同约定的其他义务；——使公有云个人信息处理者在相关事务上保持透明，便于云服务客户选择管理良好的基于云的个人信息处理服务——协助云服务客户和公有云个人信息处理者签订合同协议一在单个云服务客户无法对托管在多方或虚拟化服务器中的数据进行审计，或者此类审计可能增加现有物理和逻辑网络安全控制风险的情况下为云服务客户行使审计权力和承担符合性责任提供一种机制本文件可为公有云服务提供者，特别是跨国运营的公有云服务提供者，提供一种通用的合规框架0公有云计算服务的个人信息保护控制在基于QTTNJSD实施云计算信息安全管理体系的过程中，公有云个人信息处理者可参考本文件选择个人信息保护控制措施本文件也可作为公有云个人信息处理者实施通用的个人信息保护控制措施的指导文件尤其是，本文件在QVTA21的基础上，考虑了个人信息处理者所面临的特定风险环境通常来说，组织实施是为了保护自身的信息资产然而，公有云个人信息处理者保护的个人信息，实际上是云服务客户的信息资产因此，由公有云个人信息处理者实施C1VT皿51中的控制措施是合理的也是必要的同时为适应公有云计算环境中风险分散的特点，并符合云服务客户与公有云个人信息处理者之间的合同要求，本文件增强了GB^rsa^i中的控制措施本文件通过以卜2种方式增强了ciViZiFn——为中的某些控制措施提供了适用于公有云个人信息保护的实现指南；―附录B提供了一组新的控制措施和相关指南，以解决G3/r2a£1中的控制措施集未能满足的公有云个人信息保护要求O个人信息保护要求组织确定其对个人信息的保护要求这些要求有以下3个主要来源a）法律、法规、监管和合同要求L个来源是组织及其贸易伙伴、承包商和服务商满足的法律、法规、监管和合同要求或义务以及社会文化责任和运营环境要求需要注意的是法律、法规和合同可能强制要求个人信息处理者选择特定的控制措施也可能要求其制定具体的准则来实现这些控制措施LD）风险另一个来源是考虑组织整体业务战略和目标的基础上组织对个人信息相关的评估风险组织通过风险评估识别威胁、评估脆弱性和发生的可能性、估计潜在影响GJ/T312提供了信息安全风险管理指南包括风险评估、风险接受、风险沟通、风险监视和风险审查的建议IScVn323131提供了有关隐私影响评估的指南o）组织政策贝管组织政策涵盖了来自法律和社会文化的诸多义务，但组织仍可自愿选择超出Q的要求Q云计算环境卜.控制措施的选择和实现组织可能从本文件中选择控制措施电括引用的中的控制措施，以及面向具体应用创建的组合参考控制措施集）若需要组织还可能从其他控制措施集中选择控制措施或者设计新的控制措施以满足特定要求控制措施的选择取决于组织的决策这些决策是基于风险接受程度、风险处理方案，以及适用于组织与其有合同关系的客户、供应商的一般风险管理方法作出的控制措施的选择还受国内外法律法规的约束若未选择本文件中的控制措施，则需说明并记录未选择的理由此外，控制措施的选择和实现还取决于组织在整个云”•算参考架构中的实际角色观在云计算环境中，可能存在多个组织参与提供基础设施服务和应用服务的情况在某些情况下所选控制措施对于云计和参考架构中的特定服务类别来说可能是唯一的而在其他情况下浜现安全控制措施可能共享角色合同协议需要规定提供或使用云服务的所有组织承担的个人信息保护责任这些组织包括公有云个人信息处理者及其分包商、云服务客户本文件中的控制措施可视为一种指导原则适用于大多数组织下文将给出这些控制措施的详细说明和实现指南若公有云个人信息处理者在设计信息系统、服务和操作的过程中预先考虑了保护个人信息的要求，那么这些控制措施的实现将会更加简单这是‘隐私设冲”各见参考文献DD的一部分O制定额外指南本文件可看作开发个人信息保护指南的起点对于保护个人信息而言，本文件中的控制措施和实现指南可能并非都是适用的，并且可能还需要本文件未包含的额外控制措施和实现指南在开发包含额外控制措施或指南的文件时，交又引用本文件中的适用条款可有助于审计人员和业务合作伙伴进行合规性检查e生命周期的考虑个人信息有其固有的生命周期即从创建和生成经过存储、处理、使用、传输到最终销毁或消失个人信息在生命周期中面临不同的风险，但在生命周期的各个阶段保护个人信息仍很重要个人信息保护需结合现有的和新的信息系统进行考虑，并进行全生命周期管理IX信息技术安全技术公有云中个人信息保护实践指南1范围本文件给出了在公有云中实施个人信息保护的控制目标和控制措施，在GB巧、2rBi基础上给出了公有云个人信息保护指南本文件适用于作为个人信息处理者的所有类型和规模的组织，包括公有和私营公司、政府机构和非营利组织本文件也可能适用于作为个人信息控制者的组织但是，个人信息控制者可能还受额外的个人信息保护法律法规和义务的约束，而这些法律法规和义务不适用于个人信息处理者本文件不涵盖此类额外义务2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文件,仅该日期对应的版本适用于本文件不注日期的引用文件，其最新版本包括所有的修改单）适用于本文件沿81—N）16信息技术安全技术信息安全控制实践指南gcJncza正卬13,口开）勺2^16信息技术安全技术信息安全管理体系概述和词汇（JB^T2^3-^017,QJraam信息技术云计算概览与词汇saw-^Dis,ECFIFCITTSB3314,IDT）隹么3—NH）信息安全技术个人信息安全规范3术语和定义o Jrwee和Q”r32m界定的以及下列术语和定义适用于本文件3d个人信息pJHrul H5rm6n以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息注1个人信息包括姓名、出生口期、身份证件号码、个人生物识别信息、住址、通信联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等注2:关于个人信息的判定方法和类型参见GlTl,出匕3m中附录八注3个人信息控制者通过个人信息或其他信息加工处理后形成的信息例如用户画像或特征标签能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，属于个人信息康源G/T3EBZ3-22SD3J]32个人信息控制者有能力决定个人信息处理目的、方式等的组织或个人。