本文目录导读：
CISP-PR（注册个人信息保护专业人员）认证中涉及的隐私控制框架，通常是指基于PBD（Privacy by Design，隐私设计）理念，结合国内《个人信息保护法》及国际标准（如ISO/IEC 27701）构建的一套系统性管理、技术、运营控制措施。
以下是CISP-PR知识体系中核心的隐私控制框架要点：
核心原则：隐私设计（PbD）
整个框架的顶层原则,通常包含7个基本原则：
- 主动而非被动： 预防性、主动采取措施,而非事后补救。
- 默认隐私： 系统默认设置即保护隐私（最小化收集）。
- 嵌入设计： 隐私保护是系统核心功能,非附加功能。
- 全功能正和： 隐私与业务功能并存,非零和博弈。
- 端到端安全： 全生命周期保护,从采集到删除。
- 可见与透明： 向用户清晰告知处理规则。
- 尊重用户： 以用户为中心，赋予控制权（如同意、删除权）。
核心管理控制（组织与制度）
- 组织架构：
- 明确数据保护负责人。
- 建立个人信息保护委员会或跨部门工作组。
- 划分数据控制者、处理者、受托处理者的法律责任。
- 制度体系：
- 一级文件： 个人信息保护总纲/政策。
- 二级文件： 数据分类分级、风险评估、应急响应、跨境传输等制度。
- 三级文件： 操作手册、审批表单、日志模板。
- 人员管理：
- 签署保密协议。
- 定期培训与考核。
- 最小权限与职责分离。
技术控制核心（生命周期视角）
| 生命周期阶段 | 关键控制点 | 技术/措施示例 |
|---|---|---|
| 收集 | 告知同意、最小化 | 分层同意弹窗、Cookies管理、数据脱敏采集、禁止采集非必要字段。 |
| 存储 | 保密性、完整性 | 加密（AES-256/TLS）、访问控制（RBAC/ABAC）、备份与容灾、防篡改。 |
| 使用 | 授权、不可见 | 去标识化（匿名化/假名化）、动态脱敏、数据水印、安全计算（联邦学习）。 |
| 传输 | 传输安全 | 通道加密（HTTPS/SSH）、文件加密、API安全认证。 |
| 共享 | 合规、管控 | 共享清单、隐私影响评估（PIA）、合同约束、接收方安全审查。 |
| 删除 | 不可恢复 | 安全擦除、物理销毁（硬盘）、逻辑删除复核、增量备份清理。 |
隐私影响评估（PIA/DPIA）
CISP-PR中强调PIA是框架中的强制性控制环节,用于识别高风险场景：
- 触发条件： 处理敏感个人信息、自动化决策、大规模监控、跨境传输等。
- 处理必要性
- 风险源识别（泄露、滥用、篡改）
- 现有控制措施有效性
- 剩余风险是否可接受
- 输出： 风险评估报告、整改计划、处理活动记录（ROPA）。
应急响应与事件管理
- 预案： 制定数据安全事件应急预案。
- 分级： 根据泄露规模、敏感度、影响范围分级（如一般/重大/特别重大）。
- 响应流程： 发现 -> 上报 -> 处置 -> 通知（用户/监管机构） -> 溯源 -> 改进。
- 法律要求： 内发生数据泄露后，须在72小时内通知监管机构（《个保法》要求）。
监控与审计
- 日志审计： 对数据访问、操作、导出行为进行全量记录与异常分析。
- 定期审计： 内部审计+外部第三方审计（如ISO 27701认证）。
- 合规检查： 定期对照法规更新控制措施（如个保法、数据出境新规）。
框架总结（CISP-PR视角）
一个成熟的隐私控制框架 = “制度墙” + “技术锁” + “管理门”：
- 建墙（制度）： 明确边界、规则、红线。
- 上锁（技术）： 用加密、脱敏、访问控制等锁住数据。
- 看门（管理）： 通过PIA、审计、应急、培训确保流程落地。
关键提醒： CISP-PR的考核中，非常注重“场景化应用”——比如针对APP收集非必要的相册权限，框架中应如何控制（收集阶段的最小化控制+技术上的Android权限动态申请）。
