对比

ISO 27001 与 GDPR：隐私法中的安全条款

ISO/IEC 27001:2022 · GDPR · 数据截至 2026-10-27

按 Paul Gillet · 更新于 2026-10-17

GDPR 是一部隐私法，ISO 27001 是一项安全标准。二者的交汇点在于those条款中规定的安全义务：完整性与保密性（第 5(1)(f) 条）、通过设计实现数据保护（第 25 条）、处理者（第 28 条）、处理安全（第 32 条）、违规通知（第 33–34 条）、影响评估（第 35 条）以及数据保护官（第 37–39 条）。ControlMapping 仅映射上述条款，由于不存在官方对照映射，所有 GDPR 关联均为编辑说明。

从 ISO 27001 对应到 GDPR 的安全条款，几乎所有内容均已覆盖：信息安全管理体系（ISMS）可为您提供基于风险的安全措施，事件管理可为违规通知提供支撑，供应商控制可覆盖处理者，职责也有据可查。例外是数据保护官的职位（第 38 条），ISO 未涉及该内容。

从 GDPR 对应到 ISO 27001，附录 A 的大部分内容已映射或属弱相关，但 GDPR 并不要求建立管理体系，因此 ISMS 条款、物理安全以及若干技术控制（终端设备、容量、日志记录）显示为本站数据中无映射。GDPR 还要求诸多超出本站范围的内容，例如合法性基础、透明度和数据主体权利；ISO/IEC 27701 则将 ISMS 扩展至隐私管理领域。

核心要点

ISO 27001 可为 GDPR 第 32 条提供有力证据，但并不等同于满足 GDPR 合规要求。
在事件处理流程中补充违规通知程序（须在 72 小时内通知监管机构）。
如需开展隐私管理，可在 ISMS 之上参考 ISO/IEC 27701。

下载此对比（CSV）在差距分析中打开 →

已有 ISO 27001 → 需要 GDPR

13 项要求

12 项已映射 · · 1 项无映射在差距视图中打开 →

在 13 项 GDPR 要求中，12 项可映射到 ISO 27001 中的内容，0 项仅弱相关，1 项在本站数据中无映射。

GDPR 是一部隐私法：此处仅映射其与安全相关的条款，所有映射均为编辑判断。

可能需要新增工作：GDPR 项要求在 ISO 27001 中没有对应映射 (1)

GDPR	要求	匹配	ISO 27001	证据
Requirements · 1
Art.38	Position of the data protection officer	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。

已映射 (12)

GDPR	要求	匹配	ISO 27001	证据
Requirements · 12
Art.5	Principles relating to processing of personal data	编辑说明	A.5.14 A.8.10 A.8.11+3	相同主题：数据保护 (编辑推荐)
Art.24	Responsibility of the controller	编辑说明	Clause 6.1.1 Clause 6.1.3 A.5.37+1	相同主题：风险管理, 治理政策 (编辑推荐)
Art.25	Data protection by design and by default	编辑说明	A.8.25 A.8.26 A.8.28+5	相同主题：安全开发 (编辑推荐)
Art.28	Processor	编辑说明	A.5.19 A.5.20 A.5.21+2	相同主题：供应链风险, 供应商风险管理 (编辑推荐)
Art.29	Processing under the authority of the controller or processor	编辑说明	A.6.1 A.6.4 A.8.16	相同主题：内部威胁 (编辑推荐)
Art.30	Records of processing activities	编辑说明	A.5.9 A.5.11 A.7.14	相同主题：资产管理 (编辑推荐)
Art.32	Security of processing	编辑说明	A.8.24 A.5.16 A.5.18+6	相同主题：加密, 访问控制 (编辑推荐)
Art.33	Notification of a personal data breach to the supervisory authority	编辑说明	A.5.5 A.5.24 A.5.25+2	相同主题：报告, 事件响应 (编辑推荐)
Art.34	Communication of a personal data breach to the data subject	编辑说明	A.5.5 A.5.26 A.6.8+2	相同主题：报告, 沟通与恢复 (编辑推荐)
Art.35	Data protection impact assessment	编辑说明	Clause 6.1.2 Clause 6.1.3	相同主题：风险评估 (编辑推荐)
Art.37	Designation of the data protection officer	编辑说明	A.5.2 A.5.4	相同主题：角色与职责 (编辑推荐)
Art.39	Tasks of the data protection officer	编辑说明	A.5.2 A.5.4 A.6.3+1	相同主题：角色与职责, 意识与培训 (编辑推荐)

已有 GDPR → 需要 ISO 27001

123 项要求

47 项已映射 · · 29 项无映射在差距视图中打开 →

在 123 项 ISO/IEC 27001:2022 要求中，47 项可映射到 GDPR 中的内容，47 项仅弱相关，29 项在本站数据中无映射。

可能需要新增工作：ISO 27001 项要求在 GDPR 中没有对应映射 (29)

ISO 27001	要求	匹配	GDPR	证据
A.5 Organizational controls · 2
A.5.6	Contact with special interest groups	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.5.35	Independent review of information security	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7 Physical controls · 8
A.7.1	Physical security perimeters	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.2	Physical entry	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.3	Securing offices, rooms and facilities	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.5	Protecting against physical and environmental threats	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.6	Working in secure areas	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.8	Equipment siting and protection	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.11	Supporting utilities	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.7.12	Cabling security	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.8 Technological controls · 3
A.8.1	User endpoint devices	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.8.6	Capacity management	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
A.8.15	Logging	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
ISMS clauses 4–10 · 16
Clause 4.1	Understanding the organization and its context	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 4.3	Determining the scope of the ISMS	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 4.4	Information security management system	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 5.1	Leadership and commitment	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 5.3	Organizational roles, responsibilities and authorities	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 6.2	Information security objectives and planning to achieve them	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 6.3	Planning of changes	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 7.5.1	General	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 7.5.2	Creating and updating	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 7.5.3	Control of documented information	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 8.2	Information security risk assessment	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 8.3	Information security risk treatment	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 9.2.1	General	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 9.2.2	Internal audit programme	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 10.1	Continual improvement	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。
Clause 10.2	Nonconformity and corrective action	本站数据中无映射	—	本站数据中没有映射到 GDPR 的内容。

请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (47)

ISO 27001	要求	匹配	GDPR	证据
A.5 Organizational controls · 12
A.5.3	Segregation of duties	弱相关	Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5	仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.5.7	Threat intelligence	弱相关	Art.35(1)Art.35(7)	仅共享 CSF ID.RA-03, ID.RA-05, ID.RA-06：属相关关系，并非映射
A.5.8	Information security in project management	弱相关	Art.30(1)	仅共享 CSF ID.AM-08：属相关关系，并非映射
A.5.10	Acceptable use of information and other associated assets	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2	仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.5.12	Classification of information	弱相关	Art.5(1)(e)Art.5(1)(f)Art.30(1)+3	仅共享 CSF PR.DS-01, ID.AM-08：属相关关系，并非映射
A.5.13	Labelling of information	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3	仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.5.17	Authentication information	弱相关	Art.25(2)Art.32(1)(b)	仅共享 CSF PR.AA-05：属相关关系，并非映射
A.5.27	Learning from information security incidents	弱相关	Art.33(1)Art.33(5)	仅共享 CSF ID.IM-04, RS.MA-01, RS.MA-02：属相关关系，并非映射
A.5.28	Collection of evidence	弱相关	Art.33(1)Art.33(5)Art.34(1)	仅共享 CSF RS.MA-01, RS.MA-02, RC.CO-03：属相关关系，并非映射
A.5.32	Intellectual property rights	弱相关	Art.24(2)	仅共享 CSF GV.PO-02：属相关关系，并非映射
A.5.33	Protection of records	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.5.34	Privacy and protection of PII	弱相关	Art.24(2)	仅共享 CSF GV.PO-02：属相关关系，并非映射
A.6 People controls · 4
A.6.2	Terms and conditions of employment	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5	仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.6.5	Responsibilities after termination or change of employment	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5	仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.6.6	Confidentiality or non-disclosure agreements	弱相关	Art.29 Art.32(4)Art.37(1)+1	仅共享 CSF GV.RR-04, GV.RR-03：属相关关系，并非映射
A.6.7	Remote working	弱相关	Art.24(2)Art.25(2)Art.28(1)+3	仅共享 CSF GV.PO-01, PR.AA-05, PR.PS-01：属相关关系，并非映射
A.7 Physical controls · 5
A.7.4	Physical security monitoring	弱相关	Art.29 Art.32(4)	仅共享 CSF DE.CM-03：属相关关系，并非映射
A.7.7	Clear desk and clear screen	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.7.9	Security of assets off-premises	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.7.10	Storage media	弱相关	Art.5(1)(e)Art.5(1)(f)Art.30(1)+3	仅共享 CSF PR.DS-01, ID.AM-08：属相关关系，并非映射
A.7.13	Equipment maintenance	弱相关	Art.30(1)	仅共享 CSF ID.AM-08：属相关关系，并非映射
A.8 Technological controls · 19
A.8.2	Privileged access rights	弱相关	Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3	仅共享 CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02…：属相关关系，并非映射
A.8.4	Access to source code	弱相关	Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3	仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.8.5	Secure authentication	弱相关	Art.25(2)Art.32(1)(b)	仅共享 CSF PR.AA-01, PR.AA-05：属相关关系，并非映射
A.8.7	Protection against malware	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.8.9	Configuration management	弱相关	Art.28(1)	仅共享 CSF PR.PS-01：属相关关系，并非映射
A.8.12	Data leakage prevention	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.8.17	Clock synchronization	弱相关	Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3	仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03：属相关关系，并非映射
A.8.18	Use of privileged utility programs	弱相关	Art.25(2)Art.32(1)(b)	仅共享 CSF PR.AA-05：属相关关系，并非映射
A.8.19	Installation of software on operational systems	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.8.20	Networks security	弱相关	Art.5(1)(e)Art.5(1)(f)Art.28(1)+3	仅共享 CSF PR.DS-02, PR.IR-01：属相关关系，并非映射
A.8.21	Security of network services	弱相关	Art.28(1)	仅共享 CSF PR.IR-01：属相关关系，并非映射
A.8.22	Segregation of networks	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3	仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射
A.8.23	Web filtering	弱相关	Art.28(1)	仅共享 CSF PR.IR-01：属相关关系，并非映射
A.8.27	Secure system architecture and engineering principles	弱相关	Art.32(1)(b)Art.32(1)(c)	仅共享 CSF PR.IR-03：属相关关系，并非映射
A.8.30	Outsourced development	弱相关	Art.5(2)	仅共享 CSF GV.OV-03：属相关关系，并非映射
A.8.31	Separation of development, test and production environments	弱相关	Art.25(1)	仅共享 CSF PR.PS-06：属相关关系，并非映射
A.8.32	Change management	弱相关	Art.5(2)	仅共享 CSF GV.OV-03：属相关关系，并非映射
A.8.33	Test information	弱相关	Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.8.34	Protection of information systems during audit testing	弱相关	Art.5(2)	仅共享 CSF GV.OV-03：属相关关系，并非映射
ISMS clauses 4–10 · 7
Clause 4.2	Understanding the needs and expectations of interested parties	弱相关	Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5	仅共享 CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10…：属相关关系，并非映射
Clause 7.1	Resources	弱相关	Art.37(1)Art.39(1)	仅共享 CSF GV.RR-03：属相关关系，并非映射
Clause 7.2	Competence	弱相关	Art.37(1)Art.39(1)	仅共享 CSF GV.RR-01, GV.RR-02, GV.RR-03：属相关关系，并非映射
Clause 8.1	Operational planning and control	弱相关	Art.28(1)Art.32(1)(b)	仅共享 CSF GV.SC-01, GV.SC-03, RC.RP-04：属相关关系，并非映射
Clause 9.3.1	General	弱相关	Art.28(1)	仅共享 CSF PR.PS-01：属相关关系，并非映射
Clause 9.3.2	Management review inputs	弱相关	Art.28(1)	仅共享 CSF PR.PS-01：属相关关系，并非映射
Clause 9.3.3	Management review results	弱相关	Art.28(1)	仅共享 CSF PR.PS-01：属相关关系，并非映射

已映射 (47)

ISO 27001	要求	匹配	GDPR	证据
A.5 Organizational controls · 23
A.5.1	Policies for information security	编辑说明	Art.24(2)	相同主题：治理政策 (编辑推荐)
A.5.2	Information security roles and responsibilities	编辑说明	Art.37(1)Art.39(1)	相同主题：角色与职责 (编辑推荐)
A.5.4	Management responsibilities	编辑说明	Art.37(1)Art.39(1)	相同主题：角色与职责 (编辑推荐)
A.5.5	Contact with authorities	编辑说明	Art.33(1)Art.34(1)	相同主题：报告 (编辑推荐)
A.5.9	Inventory of information and other associated assets	编辑说明	Art.30(1)	相同主题：资产管理 (编辑推荐)
A.5.11	Return of assets	编辑说明	Art.30(1)	相同主题：资产管理 (编辑推荐)
A.5.14	Information transfer	编辑说明	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)	相同主题：数据保护 (编辑推荐)
A.5.15	Access control	编辑说明	Art.25(2)Art.32(1)(b)	相同主题：访问控制 (编辑推荐)
A.5.16	Identity management	编辑说明	Art.25(2)Art.32(1)(b)	相同主题：访问控制 (编辑推荐)
A.5.18	Access rights	编辑说明	Art.25(2)Art.32(1)(b)	相同主题：访问控制 (编辑推荐)
A.5.19	Information security in supplier relationships	编辑说明	Art.28(1)Art.28(3)	相同主题：供应链风险, 供应商风险管理 (编辑推荐)
A.5.20	Addressing information security within supplier agreements	编辑说明	Art.28(1)Art.28(3)	相同主题：供应商风险管理 (编辑推荐)
A.5.21	Managing information security in the ICT supply chain	编辑说明	Art.28(1)	相同主题：供应链风险 (编辑推荐)
A.5.22	Monitoring, review and change management of supplier services	编辑说明	Art.28(1)Art.28(3)	相同主题：供应商风险管理 (编辑推荐)
A.5.23	Information security for use of cloud services	编辑说明	Art.28(1)	相同主题：云安全 (编辑推荐)
A.5.24	Information security incident management planning and preparation	编辑说明	Art.33(1)Art.33(5)	相同主题：事件响应 (编辑推荐)
A.5.25	Assessment and decision on information security events	编辑说明	Art.33(1)Art.33(5)	相同主题：事件响应 (编辑推荐)
A.5.26	Response to information security incidents	编辑说明	Art.33(1)Art.33(5)Art.34(1)	相同主题：事件响应, 沟通与恢复 (编辑推荐)
A.5.29	Information security during disruption	编辑说明	Art.32(1)(b)Art.32(1)(c)	相同主题：业务连续性, 恢复规划 (编辑推荐)
A.5.30	ICT readiness for business continuity	编辑说明	Art.32(1)(b)Art.32(1)(c)	相同主题：业务连续性, 恢复规划, 灾难恢复 (编辑推荐)
A.5.31	Legal, statutory, regulatory and contractual requirements	编辑说明	Art.5(2)	相同主题：合规 (编辑推荐)
A.5.36	Compliance with policies, rules and standards for information security	编辑说明	Art.5(2)	相同主题：合规 (编辑推荐)
A.5.37	Documented operating procedures	编辑说明	Art.24(2)	相同主题：治理政策 (编辑推荐)
A.6 People controls · 4
A.6.1	Screening	编辑说明	Art.29 Art.32(4)	相同主题：内部威胁 (编辑推荐)
A.6.3	Information security awareness, education and training	编辑说明	Art.39(1)(b)	相同主题：意识与培训 (编辑推荐)
A.6.4	Disciplinary process	编辑说明	Art.29 Art.32(4)	相同主题：内部威胁 (编辑推荐)
A.6.8	Information security event reporting	编辑说明	Art.33(1)Art.34(1)	相同主题：报告 (编辑推荐)
A.7 Physical controls · 1
A.7.14	Secure disposal or re-use of equipment	编辑说明	Art.30(1)	相同主题：资产管理 (编辑推荐)
A.8 Technological controls · 12
A.8.3	Information access restriction	编辑说明	Art.25(2)Art.32(1)(b)	相同主题：访问控制 (编辑推荐)
A.8.8	Management of technical vulnerabilities	编辑说明	Art.32(1)(d)	相同主题：漏洞管理 (编辑推荐)
A.8.10	Information deletion	编辑说明	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)	相同主题：数据保护 (编辑推荐)
A.8.11	Data masking	编辑说明	Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)	相同主题：数据保护 (编辑推荐)
A.8.13	Information backup	编辑说明	Art.32(1)(c)	相同主题：备份与恢复 (编辑推荐)
A.8.14	Redundancy of information processing facilities	编辑说明	Art.32(1)(b)Art.32(1)(c)	相同主题：业务连续性, 灾难恢复 (编辑推荐)
A.8.16	Monitoring activities	编辑说明	Art.29 Art.32(4)	相同主题：内部威胁 (编辑推荐)
A.8.24	Use of cryptography	编辑说明	Art.32(1)(a)Art.34(3)(a)	相同主题：加密 (编辑推荐)
A.8.25	Secure development life cycle	编辑说明	Art.25(1)	相同主题：安全开发 (编辑推荐)
A.8.26	Application security requirements	编辑说明	Art.25(1)	相同主题：安全开发 (编辑推荐)
A.8.28	Secure coding	编辑说明	Art.25(1)	相同主题：安全开发 (编辑推荐)
A.8.29	Security testing in development and acceptance	编辑说明	Art.25(1)	相同主题：安全开发 (编辑推荐)
ISMS clauses 4–10 · 7
Clause 5.2	Policy	编辑说明	Art.24(2)	相同主题：治理政策 (编辑推荐)
Clause 6.1.1	General	编辑说明	Art.24(1)Art.32(2)	相同主题：风险管理 (编辑推荐)
Clause 6.1.2	Information security risk assessment	编辑说明	Art.35(1)Art.35(7)	相同主题：风险评估 (编辑推荐)
Clause 6.1.3	Information security risk treatment	编辑说明	Art.24(1)Art.32(2)Art.35(1)+1	相同主题：风险管理, 风险评估 (编辑推荐)
Clause 7.3	Awareness	编辑说明	Art.39(1)(b)	相同主题：意识与培训 (编辑推荐)
Clause 7.4	Communication	编辑说明	Art.34(1)	相同主题：沟通与恢复 (编辑推荐)
Clause 9.1	Monitoring, measurement, analysis and evaluation	编辑说明	Art.5(2)	相同主题：合规 (编辑推荐)

常见问题

ISO 27001 能否使您符合 GDPR 合规要求？

不能。它有助于履行安全义务，尤其是第 32 条相关义务，但 GDPR 还涵盖合法处理、透明度、数据主体权利等更多内容。

要求编号和标题均按各框架官方发布的英文原文显示。

对照映射已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明在不存在对照表时的 ControlMapping 判断；会显示理由 · 弱相关仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。方法说明 · 下载数据 · 报告错误.