为什么远程口译必须符合 ISO 27001 标准

ISO 27001认证是验证远程口译平台是否真正能够保护敏感的口语对话（而非仅仅声称能够做到这一点）的最明确方法。对于任何购买口译服务以处理机密或受监管内容的机构而言，ISO 27001认证都应是供应商评估清单上的首要考虑因素，而非事后才想起的因素。. 

这篇文章解释了该认证涵盖的内容，为什么它对口译比对大多数软件类别更重要， Interprefy 为获得该认证做了哪些工作，以及在完全相信任何供应商的合规性声明之前应该检查哪些内容。 

什么是 ISO 27001？ 

ISO 27001，正式名称为 ISO/IEC 27001，是信息安全管理的国际标准。它规定了信息安全管理体系（ISMS）的要求：一套结构化的、持续审查的政策、程序和控制措施，用于保护信息的机密性、完整性和可用性。

现行标准 ISO/IEC 27001:2022 将其要求归纳为 93 项控制措施，涵盖组织、人员、物理和技术四大主题。这种范围划分至关重要，因为仅凭良好的加密措施不足以获得认证。组织必须证明其在访问控制、员工培训、供应商管理、事件响应和物理安全方面均采取了同样严格的管理措施，并且必须向独立的、经认可的认证机构提供证明，而不仅仅是口头承诺。.

为什么 ISO 27001 很重要

第三方验证是区分真正安全态势与营销宣传的关键所在，这种区别在翻译领域比在大多数软件类别中更为重要。大多数安全讨论都集中在静态数据上：文件、记录、数据库。而口译平台处理的是更难以控制的实时、未经编辑的人类语音，其中往往包含对话中最敏感的内容，因为口译员通常是对话中唯一的第三方，而这些对话原本只会在同一房间内的两个人之间进行。要更深入地了解这些风险如何具体应用于人工智能驱动的口译，请参阅我们关于 自动语音翻译应符合哪些安全标准的指南。

• 加强安保

远程口译平台必须确保实时音视频流传输安全，管理客户机构外部译员的访问权限，并确保所有录音均按照既定策略进行存储和删除。认证要求将这些功能纳入持续审查的风险管理流程，而非一次性设置。.

• 高级标准

93 项控制措施涵盖组织、人员、物理和技术安全保障，通过对它们进行评估，使平台能够与金融、医疗保健和政府技术领域使用的相同基准进行比较，而不是采用定制或自行定义的安全策略。.

• 可信流程

只有当经认可的审核员通过直接证据确认管理体系符合标准要求，而非仅凭自我评估问卷，才能授予认证。法律诉讼、并购谈判、政府会议和临床咨询都依赖于这一认证链在每个环节（而不仅仅是数据库层面）的有效运作。.

ISO 27001能为您带来哪些好处？

对于购买口译服务的机构而言，认证意味着三个实际的好处：更好地保护个人信息、更有效地保护知识产权，以及确保平台的防御措施能够保持最新状态，而不是在上线后就停滞不前。.

• 个人信息安全

参与者和译员数据（包括实时对话的内容）通过传输中和静态加密、基于角色的访问控制以及身份验证措施（例如单点登录、SAML 2.0 和双因素身份验证）进行保护，从而限制谁可以访问事件数据。.

• 知识产权保护

从并购谈判到未公开的产品细节，所有涉及机密讨论的内容都要求所有能够访问直播流的人员都必须遵守明确的义务。这意味着，口译员和辅助人员在访问任何活动直播流之前都必须签署保密协议，这并非出于礼貌，而是一种书面记录的控制措施。.

• 定期系统更新

管理体系的维护依赖于持续监控，而非每年一次的审查。获得认证的机构每年接受监督审核，并大约每三年进行一次全面的重新认证审核，同时辅以定期的独立渗透测试和专职信息安全官的监督。.

 了解更多关于 Interprefy 安全方面的信息 

ISO 27001认证究竟需要什么

获得 ISO 27001 认证并非自封的荣誉。它需要经过两阶段的外部审核：首先是对已记录的政策和风险评估进行初步审查，然后是对这些政策在实践中是否得到切实执行的深入评估。只有当经认可的审核员确认信息安全管理体系 (ISMS) 符合标准要求后，才能授予认证，但这并非终点。获得认证的组织每年都要接受监督审核，并且大约每三年还要接受一次全面的再认证审核，因此该证书反映的是一种持续的状态，而非一次性的成就。.

Interprefy 已多次完成此流程，并自 2021 年 11 月起持有 ISO 27001 认证。审核员报告称，在整个评估过程中未发现任何不符合项，使其成为口译技术领域首批获得该认证的公司之一。相比证书本身，审核历史才是更有价值的指标：它表明管理体系已通过外部机构的测试，并被证实有效。

 您可以 查看 Interprefy 当前的 ISO 27001 证书，包括其范围和认证机构。 

Interprefy 如何在实践中应用 ISO 27001

实际上，认证奠定了框架；而具体的操作细节则体现在日常运营中。Interprefy 使用 TLS 1.2 和 AES-256-GCM 加密技术保护传输中的数据，采用基于角色的访问控制来限制事件数据的访问权限，并为企业客户提供单点登录、SAML 2.0 和双因素身份验证。译员和支持人员在访问任何事件流之前都必须签署保密协议，并且该平台会定期接受独立的渗透测试。一位专门的信息安全官负责监督信息安全管理体系 (ISMS) 的持续监控，正是这种监控确保了认证的有效性，而非一成不变。

这些措施并不能完全消除风险。但它们为评估口译供应商的机构提供了比承诺更具体的保障：一个经过外部审计、每年审核的系统，该系统专为保护口译所承载的那种实时、敏感的沟通内容而构建。

 除了信息安全之外，Interprefy 还参与了 ISO 口译平台技术委员会 (ISO/TC 37/SC 5) 的工作，该委员会制定了 ISO 24019，即同声传译平台的国际标准。 

评估供应商认证时应注意哪些方面 

并非所有关于 ISO 27001 合规性的声明都具有同等效力，因此，比起网站底部的徽章，更应该仔细核查细节。有三件事需要直接向供应商确认：一是证书的具体范围，因为有些机构只认证企业的部分业务，而非所购买的平台；二是认证机构的身份和资质，因为只有来自公认的独立审核机构的认证才具有效力；三是最近一次监督审核的日期，因为一份几年前的证书，如果没有持续审核的证据，其可信度远低于表面看起来。我们的 合同核对清单 涵盖了除认证之外，所有值得向口译或笔译供应商提出的更广泛的信任信号。