Vào ngày 15 tháng 2 năm 2022, thông báo được đưa ra rằng phiên bản 2022 của tiêu chuẩn ISO / IEC 27002 (ISO 27002) sẽ được xuất bản. Không chỉ vậy, tiêu chuẩn ISO 27002 mới cũng đã có mặt trên kho tiêu chuẩn ISO kể từ ngày 15 tháng 2 năm 2022.
Trong vòng chưa đầy bốn năm, ISO và đội ngũ chuyên gia và thành viên tận tâm của mình đã có thể sửa đổi một trong những tiêu chuẩn được công nhận nhất và sản xuất một phiên bản hiện đã sẵn sàng để tiêu thụ.
Chúng tôi muốn muốn giúp bạn hiểu — ở cấp độ cao — chính xác là gì trong phiên bản mới này. Trong bài viết này, chúng tôi sẽ mô tả điều đó, với nhiều thông tin sẽ đến khi chúng tôi tìm hiểu thêm.
Nhưng hãy đọc để biết bảng phân tích về những thay đổi trong ISO 27002: 2022 mới, chính thức để bạn chuẩn bị tốt hơn khi quá trình triển khai tiếp tục.
ISO 27002 là gì?
Trước khi bắt đầu, chúng ta hãy tóm tắt lại một chút thời gian để thiết lập chính xác ISO 27002 là gì.
Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) có thể xuất bản hàng nghìn tiêu chuẩn, nhưng một số tiêu chuẩn được sử dụng phổ biến nhất là tiêu chuẩn hệ thống quản lý của họ. Nếu bạn đang đọc điều này, bạn có thể biết chúng tôi muốn nói đến tiêu chuẩn nào — tiêu chuẩn ISO 9001 về quản lý chất lượng khá nổi tiếng và tất nhiên, bạn có ISO 27001 về quản lý bảo mật thông tin.
Bạn biết chúng tôi muốn nói gì, bởi vì có lẽ trước đây bạn đã được chứng nhận chống lại một hoặc cả hai, hoặc bạn đang xem xét điều đó. Nếu vậy, bạn đã hiểu một quá trình đòi hỏi nhiều lao động có thể vượt qua như thế nào. Đó là lý do tại sao, đối với một số tiêu chuẩn của họ, ISO cũng xuất bản hướng dẫn kèm theo để có thể hỗ trợ các tổ chức bước đầu thiết lập hướng ISO của họ hoặc để làm rõ thêm các yêu cầu hoặc mục tiêu kiểm soát.
ISO 27002 được thiết kế để sử dụng làm tài liệu tham khảo khi xác định và thực hiện các biện pháp kiểm soát để xử lý rủi ro an toàn thông tin trong hệ thống Quản lý An ninh Thông tin ISO 27001 (ISMS). Nó cung cấp các phương pháp thực hành tốt nhất và hỗ trợ cho những người trong số các bạn thiết kế ISMS của mình để đáp ứng các yêu cầu của tiêu chuẩn dựa trên Phụ lục A (cũng sẽ sớm được cập nhật trong phiên bản sửa đổi của ISO 27001).
Trong ISO 27002: 2022 là gì?
ISO 27001 rất phổ biến, vì cách tiếp cận toàn diện về bảo mật có thể tạo ra một số lợi thế cho một tổ chức.
Khi đó bạn có thể hình dung bản cập nhật chính thức này lên ISO 27002 quan trọng như thế nào, vì vậy hãy cùng tìm hiểu xem nó thực sự nói gì. Có một số cải tiến được bao gồm trong phiên bản 2022 của ISO 27002 và những cải tiến đó sẽ được kiểm tra trong thông tin liên lạc trong tương lai.
Ngay cả khi vẫn còn, các cập nhật quan trọng cần biết bao gồm:
- Các bộ điều khiển hiện được tổ chức thành bốn (4) danh mục hoặc chủ đề trái ngược với mười bốn (14) lĩnh vực điều khiển. 4 hạng mục bao gồm Tổ chức, Con người, Vật lý và Công nghệ.
- Tổng số kiểm soát đã bị giảm — có ít hơn 21 kiểm soát trong phiên bản 2022.
- Đã có một nỗ lực tập trung để tránh dư thừa kiểm soát . 24 điều khiển trong phiên bản 2022 bao gồm các điều khiển hợp nhất từ phiên bản 2013.
- Hiện đã có 11 biện pháp kiểm soát mới để cập nhật tiêu chuẩn cho bối cảnh an ninh thông tin và an ninh mạng hiện tại.
- Yếu tố “mục đích” đã được áp dụng cho các kiểm soát trong phiên bản 2022 , trái ngược với việc sử dụng mục tiêu kiểm soát cho một nhóm kiểm soát.
- Khái niệm “các thuộc tính đối với các biện pháp kiểm soát” đã được đưa ra với mục đích nâng cao cách tiếp cận đánh giá và xử lý rủi ro. Điều này cũng sẽ cho phép bạn tạo các chế độ xem khác nhau — tức là, các phân loại khác nhau của các điều khiển được nhìn từ một góc độ khác với các chủ đề điều khiển.
Điều đó mang lại cho chúng tôi:
- Tổng cộng 93 điều khiển trong phiên bản 2022 của 27002:
- 11 trong số đó là mới;
- 24 điều khiển được hợp nhất từ hai, ba hoặc nhiều điều khiển từ phiên bản 2013; và
- 58 kiểm soát từ phiên bản 2013 đã được xem xét và sửa đổi để phù hợp hơn với môi trường an ninh thông tin và an ninh mạng hiện tại.
Ngoài ra, phiên bản 2022 của ISO 27002 bao gồm hai phụ lục rất hữu ích:
- Phụ lục A, bao gồm hướng dẫn về việc áp dụng các thuộc tính, và
- Phụ lục B, tương ứng với ISO / IEC 27001: 2013.
Vì bạn có thể đã quen với phiên bản 2013 của tiêu chuẩn này trong tám năm qua, nên cả hai phụ lục này có thể giúp bạn kết nối sự hiểu biết của mình với tiêu chuẩn mới này đồng thời làm rõ thêm ứng dụng điều khiển mớ từ phiên bản 2022.
Nguồn: schellman.com