22 ISACA个人信息保护能力成熟度评估最佳实践指南》概述 conv.docxVIP

ISACA个人信息保护能力成熟度评估最佳实践指南

2 ISACA个人信息保护能力成熟度评估最佳实践指南

目录

3 摘要

4 ISACA个人信息保护能力成熟度评估指南

4/编制背景

5/编制方法论

5/主要内容

6/评估目的

6/评估范围

7 致谢

8 关于ISACA

?2023ISACA?.Allrightsreserved.

3 ISACA个人信息保护能力成熟度评估最佳实践指南

摘要

根据个人信息保护相关法律法规要求，并结合不同行业的最佳实践，ISACA兼顾个人信息保护要求与不

同行业监管要求的同时，寻求数据要素利用与隐私保护的平衡，为组织个人信息保护能力成熟度评估项目落

地提供一个最佳实践指南，为组织开展个人信息保护能力成熟度评估工作提供协助和实用工具。

?2023ISACA?.Allrightsreserved.

4 ISACA个人信息保护能力成熟度评估最佳实践指南

ISACA个人信息保护能力成熟度评估最佳实践指南

一、编制背景

我国已将数据列为新型生产要素，大力推进数据产权、流通交易、收益分配和安全治理，解决数据资源

开发利用不足和无序滥用的矛盾，针对个人信息的非法采集、滥用、泄露等严峻形势，不断强化对个人信息

保护的监管与执法力度，并进行制度创新的探索。近年来，继欧盟《一般数据保护条例》（General Data

Protection Regulation，GDPR）之后，全球个人信息保护立法盛行。2021年8月20日，十三届全国人大

常委会第三十次会议表决通过《中华人民共和国个人信息保护法》（PersonalInformationProtection

Law,PIPL，以下简称“个保法”），自2021年11月1日起施行。它是中国第一部有关个人信息保护的

综合性专门立法。个保法不仅适用于中华人民共和国境内，也适用于境外，涉及数据出境等具体问题。

《个保法》是为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，而根据宪法制定的

法规。该法规定了巨额的行政罚款，最高可达人民币五千万元或者上一年度营业额百分之五的罚款。

同时《个保法》也提出了针对组织内部个人信息保护实践开展定期审计的要求，而通过开展个人信息保

护能力成熟度评估可以很好地支持审计的合规要求，落实完善组织内部个人信息保护机制，持续对个人信息

处理活动进行监督和管理。开展个人信息保护能力成熟度评估，是组织约束自身行为和配合监督管理的重要

手段，有助于及时预防和制止违法的个人信息处理活动，充分地维护个人信息主体权益，也有助于企业更好

满足《个保法》的相关法律合规要求。但是由于我国当前对个人信息保护的合规要求较为分散，使得组织在

开展个人信息保护能力成熟度评估工作中面临着巨大的挑战。

ISACA中国技术委员会汇聚不同行业、不同领域的专家学者的专业知识，以及多位专家在个人信息保护

能力成熟度评估实践中的经验，并在兼顾个人信息保护要求与不同行业监管要求的同时，寻求数据要素利用

与隐私保护的平衡，为组织个人信息保护能力成熟度评估项目落地提供一个最佳实践指南。

?2023ISACA?.Allrightsreserved.

5 ISACA个人信息保护能力成熟度评估最佳实践指南

二、编制方法论

《ISACA个人信息保护能力成熟度评估最佳实践指南》（以下简称“本指南”）根据个人信息保护相

关法律法规要求，并结合不同行业的最佳实践，为组织个人信息保护能力成熟度评估工作提供通用最佳实

践指南，以协助组织开展个人信息保护能力成熟度评估工作。请注意，由于不同行业监管要求存在差异，

因此组织在开展个人信息保护能力成熟度评估工作时，还需要根据自身所在行业监管要求，对本指南的内

容进行定制化修改。

三、主要内容

本指南提供完整的个人信息保护能力成熟度评估最佳实践指南。个人信息保护能力成熟度评估除了涉

及广义范围对个人信息处理者应履行的义务要求外，还涉及狭义范围（或传统）对个人信息生命周期的安

全管理和安全技术的要求。为了便于组织更好地落实对上述内容的评估工作，本指南分为“基于个人信息

生命周期的安全管理”和“个人信息日常安全运营和保障”两个部分，每部分均针对特定评估重点进行说

明并提供相关指导建议和最佳实践：

- 《ISACA个人信息保护能力成熟度评估最佳实践指南（上）——基于个人信息生命周期的安全管理》

侧重于对组织个人信息生命周期的安全保障能力成熟度进行评估，涵盖个人信息治理框架、个人信息

收集、个人信息传输、个人信息存储、个人信息使用、个人信息删除六个领域，包括了20个控制目

标，共计71个控制点。

- 《ISACA个人信息保护能力成熟度评估最佳实践指南（下）——个人信息日常安全运营和保障》侧重

于对组织履行个人信息处