ISO/IEC 27701

La ISO/IEC 27701 surgió como extensión de las ISO/IEC 27001 y 27002, añadiendo requisitos de privacidad a un sistema de gestión de seguridad de la información. Su edición más reciente se reestructuró para poder usarse también como norma de sistema de gestión independiente, compatible con la familia 27001. Usa el término PII (información de identificación personal) y separa los controles para responsables de los controles para encargados.

Los controles abarcan las condiciones de recolección y tratamiento, las obligaciones frente a las personas, la privacidad desde el diseño y por defecto, y la comunicación, transferencia y divulgación de datos. Sus anexos relacionan los controles con el RGPD y otros marcos, lo que ayuda a mostrar cómo el sistema apoya obligaciones legales, aunque la certificación por sí sola no prueba el cumplimiento de ninguna ley.

Los auditores evalúan la conformidad mediante muestreo de evidencias y registro de no conformidades, el mismo método usado en la ISO/IEC 42001, y ambos sistemas de gestión pueden compartir procesos como la evaluación de riesgos, la auditoría interna y la revisión por la dirección. Ejemplo: un encargado de servicios en la nube busca la certificación 27701 para responder a las evaluaciones de sus clientes.