ISO/IEC 27018:2025 е международен стандарт, който предоставя насоки за защита на личната информация за идентифициране (Personally Identifiable Information – PII) при използването на публични облачни услуги. Той е част от семейството на стандартите ISO/IEC 27000 и е насочен към доставчици на облачни услуги, които обработват лични данни от името на свои клиенти и действат като обработващи лични данни (PII processors).
Актуалното издание от 2025 г. (Edition 3) заменя ISO/IEC 27018:2019 и е съобразено с ISO/IEC 27002:2022, както и със съвременните добри практики за информационна сигурност и защита на личните данни в облачна среда.
 
Какво представлява ISO/IEC 27018:2025
ISO/IEC 27018:2025 предоставя допълнителни мерки и насоки, специфични за публичните облачни услуги, които надграждат общите контроли за информационна сигурност. Стандартът се прилага в ситуации, при които доставчикът действа като обработващ по инструкции на клиента (PII processor). Той не обхваща случаите, в които доставчикът е администратор за свои цели (напр. account data).
Основният фокус е върху:

• защитата на поверителността на личните данни в облака;
• ясно разграничение на ролите между доставчик и клиент;
• прозрачност и отчетност при обработването на PII.

 
Защо ISO/IEC 27018 е важен за облачните услуги
С увеличаващото се използване на публични облачни платформи защитата на личните данни е ключов фактор за доверие, регулаторно съответствие и устойчиво развитие. Стандартът ISO/IEC 27018:2025:

• Определя ясни контролни цели и мерки за защита на лични данни в публични облачни среди;
• ISO/IEC 27018:2025 е създаден да се използва заедно с ISO/IEC 27002 и подпомага СУСИ по ISO/IEC 27001, което улеснява интегрирането му в съществуваща система за управление на сигурността на информацията;
• Дава насоки в подкрепа на принципи като privacy by design (и при необходимост – privacy by default в зависимост от контекста);
• Подпомага доставчиците на облачни услуги при адресиране на приложими законови и регулаторни изисквания, включително тези, произтичащи от GDPR, в зависимост от конкретния контекст и роли при обработването.

Важно е да се отбележи, че прилагането на ISO/IEC 27018 само по себе си не гарантира GDPR съответствие, но представлява силна основа за изграждане на ефективни технически и организационни мерки за защита на личните данни.
 
Кой трябва да прилага ISO/IEC 27018:2025
Стандартът е предназначен за всички типове организации, предоставящи публични облачни услуги като PII processors:

• обработват лични данни по възлагане на свои клиенти;
• предоставят инфраструктура, платформи или софтуер като услуга (Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Software as a Service (SaaS);
• желаят да повишат нивото на сигурност и защита на личните данни в облака;
• искат да демонстрират прилагане на международно признати добри практики пред клиенти и партньори.

Насоките в ISO/IEC 27018 могат да бъдат полезни и за организации в ролята на администратори на лични данни, особено при избора и управлението на отношенията с облачни доставчици.
 
Ползи от прилагането на ISO/IEC 27018:2025
Прилагането на стандарта носи редица предимства за организациите, които използват или предоставят облачни услуги:

• Повишено доверие и прозрачност по отношение на обработването на лични данни;
• По-ясно дефинирани роли и отговорности между клиент и доставчик;
• По-добра готовност за одити и оценки на съответствие;
• Лесна интеграция със система за управление на сигурността на информацията по ISO/IEC 27001;
• Подобрено управление на риска, свързан със защитата на личните данни в облака.

 
Как CONSEJO може да ви помогне
CONSEJO подпомага организации при внедряване и прилагане на международни стандарти за информационна сигурност и защита на личните данни. Нашият екип предлага:

• Оценка на готовността за прилагане на ISO/IEC 27018:2025;
• Разработване и актуализиране на политики и процедури за защита на личните данни в публични облачни услуги;
• Интеграция на ISO/IEC 27018 с ISO/IEC 27001;
• Подготовка за одити, оценки на съответствие и демонстриране на прилагани мерки пред клиенти и партньори.

Свържете се с нас, за да изградим надежден и устойчив подход към защитата на личните данни в облачната среда.