През август 2025 г. бе публикувано третото издание на стандарта ISO/IEC 27018:2025 Information security, cybersecurity and privacy protection — Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors. Този международен стандарт предоставя актуализирани насоки за защита на лично идентифицируема информация (PII) в публични облачни среди, когато доставчикът на облачни услуги действа като PII процесор.
 
Какво представлява ISO/IEC 27018?
ISO/IEC 27018 е насочен към осигуряване на контрол и управление на лични данни, съхранявани и обработвани в облака. Той е базиран на ISO/IEC 27002, като адаптира общите принципи и контроли за информационна сигурност към специфичните особености на облачните услуги. Стандартът гарантира, че доставчиците на публични облачни услуги обработват PII по отговорен, прозрачен и сигурен начин, съобразен с международни и местни регулации.
 
Значение на стандарта
С нарастващото използване на облачни услуги в бизнес и публичния сектор, защитата на личните данни в облака става критична. ISO/IEC 27018:

• Подпомага доставчиците на облачни услуги да изпълняват правни, договорни и етични задължения по отношение на PII.
• Улеснява спазването на изискванията на различни юрисдикции.
• Подобрява доверието на клиентите чрез ясно дефинирани практики за защита на данните.
• Осигурява рамка за прозрачност, проверка и отчетност при обработката на PII.

 
Основни промени ISO/IEC 27018
Новото, трето издание на ISO/IEC 27018 включва няколко ключови актуализации:

1. Съгласуване с ISO/IEC 27002:2022 – текстът на стандарта е синхронизиран с последното издание на ISO/IEC 27002, за да се осигури консистентност и интеграция на контролните мерки.
2. Добавяне на Annex B – ново приложение с допълнителни насоки и примери за прилагане на PII защита в публични облачни услуги.

Тези промени отразяват развитието на облачните технологии и нарастващите изисквания за защита на лични данни на глобално ниво.
 
Контекст и цел на стандарта
ISO/IEC 27018 е предназначен за публични облачни доставчици, които обработват PII за своите клиенти. В зависимост от договора и правната юрисдикция, задълженията на PII процесора могат да варират, но основната цел е винаги да се гарантира сигурността и поверителността на личните данни.
Стандартът също така подчертава разграничението между:

• PII контролер – организацията, която определя целите и средствата за обработка на лични данни.
• PII процесор – доставчикът на облачни услуги, който обработва PII според инструкциите на контролера.

Това разграничение е важно за ясното дефиниране на отговорности и за спазването на приложимото законодателство.
 
Контроли и насоки за защита на PII
ISO/IEC 27018 предоставя насоки за избор и прилагане на контроли в облачни среди, като разширява стандартните контроли от ISO/IEC 27002. Основните елементи включват:

1. Прозрачност и отчетност – доставчикът на облачни услуги трябва да е прозрачен относно практиките за обработка на PII, така че клиентите да могат да направят информиран избор.
2. Договорни рамки – стандарта подпомага дефинирането на ясни договорни задължения между облачния доставчик и клиента.
3. Мониторинг и одит – предоставяне на механизми за проверка и контрол върху обработката на PII в мулти-потребителска среда.
4. Рисково-базирана оценка – изборът на контроли се основава на оценка на рисковете и специфичните бизнес нужди на организацията.
5. Privacy by design – препоръчва се интегрирането на мерки за защита на личните данни още на етапа на проектиране на услуги и информационни системи.

 
Основни източници на изисквания за PII защита
Организациите, използващи ISO/IEC 27018, трябва да се ръководят от три основни източника:

1. Правни и договорни изисквания – закони, регулации и договорни задължения.
2. Оценка на рискове – идентифициране, оценка и управление на рисковете за PII.
3. Корпоративни политики – вътрешни стандарти и практики, които могат да надхвърлят минималните законови изисквания.

 
Жизнен цикъл на PII и защита
ISO/IEC 27018 подчертава, че личните данни имат естествен жизнен цикъл – от създаване, обработка и съхранение до изтриване. Стандартът изисква прилагане на подходящи мерки за защита на PII във всички етапи на неговия жизнен цикъл.
 
Ползи от прилагането на ISO/IEC 27018:2025
Прилагането на стандарта носи множество предимства за облачните доставчици и техните клиенти:

• Подсилва доверието чрез съответствие с глобални принципи за поверителност.
• Изяснява роли и отговорности между доставчици и клиенти.
• Улеснява спазването на законови и договорни изисквания.
• Подобрява прозрачността и възможностите за одит.
• Подкрепя внедряването на privacy-by-design при разработката на облачни услуги.

 
ISO/IEC 27018:2025 предоставя актуализирана, всеобхватна рамка за защита на лични данни в публични облачни среди. Третото издание отразява съвременните тенденции в информационната сигурност и киберсигурността и осигурява практическа и надеждна база за облачните доставчици, които искат да гарантират безопасността и поверителността на личната информация на своите клиенти.
Прилагането на този стандарт не само подпомага спазването на регулации, но и укрепва доверието в облачните услуги, което е от съществено значение в глобалния дигитален свят.