Август 2025 г. –  Международната организация по стандартизация (ISO) и Международната електротехническа комисия (IEC) публикуваха третото издание на стандарта ISO/IEC 27018:2025 Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors. Новото издание съдържа актуализирани насоки за защита личната информация за идентифициране (ЛИИ, PII) в публични облаци, когато доставчикът действа като обработващ лични данни (PII processor).
Стандартът е част от семейството ISO/IEC 27000 и надгражда ISO/IEC 27001 и ISO/IEC 27002, като добавя конкретни контролни механизми и добри практики за доставчици на облачни услуги (Cloud Service Providers – CSPs), които обработват ЛИИ от името на своите клиенти. Основната му цел е да гарантира, че организацията защитава информационните активи, поверени ѝ от клиентите, по начин, който е сигурен, прозрачен и съответства на най-добрите международни практики..
 
Какво включва ISO/IEC 27018:2025?

1. Съответствие с ISO/IEC 27002:2022 – новото издание е синхронизирано с актуализацията от 2022 г., за да осигури единна структура и терминология.
2. Annex A – набор от допълнителни контроли и насоки, предназначени да отговорят на изискванията за защита на публичните облачни данни, които не са обхванати от съществуващия контролен набор по ISO/IEC 27002, организирани в съответствие с принципите за неприкосновеност на личния живот на ISO/IEC 29100.
3. Нов “Annex B” – разширено ръководство за внедряване – предоставя допълнителни практически насоки за по-успешно прилагане на контроли.
4. Засилен фокус върху принципа „privacy by design“ – вграждане на защита на личните данни още от етапа на проектиране.
5. Повече прозрачност и отчетност при работата с ЛИИ.

 
Защо тези промени са важни?

• Улеснена интеграция – сходната структура с ISO/IEC 27002:2022 подпомага изграждането на съвместими ISMS системи и контролни рамки.
• По-практично приложение – новото Приложение B подобрява готовността за одити и ефективността на внедряване.
• Демонстрация на ангажимент – преминаването към най-новото издание показва ориентация към съвременни и признати добри практики.

 
Приложимост към PII processor и PII controller
Основният фокус на стандарта е върху доставчиците на облачни услуги (PII processors), които управляват ЛИИ от името на клиентите си. Въпреки това, голяма част от контролните механизми и насоки са приложими и за администраторите на ЛИИ (PII controllers). Те обаче, в повечето случаи, имат и допълнителни задължения, които не са обхванати от ISO/IEC 27018:2025.
 
Сред основните предимства от прилагането на стандарта са:

• повишаване на доверието на клиентите;
• ясно разпределение на отговорностите между администратори и обработващи данни;
• по-лесно постигане на съответствие с регулаторни и договорни изисквания;
• насърчаване на принципа „privacy by design“ („поверителност по дизайн“).

ISO/IEC 27018:2025 е приложим за всички организации, предоставящи публични облачни услуги – от малки компании до големи корпорации и държавни институции.
 
👉 КОНСЕХО има дългогодишен опит в сферата на киберсигурността и ISO стандартите и подпомага организациите при внедряването на международни практики. Нашият екип ще ви съдейства за плавен преход към ISO/IEC 27018:2025, включително оценка на готовността и съответствието, за да гарантирате нормативна сигурност, да извлечете максимална стойност от стандарта и да изградите устойчиво доверие в дигиталната среда.