ISO/IEC 27001∶2022標(biāo)準(zhǔn)正式發(fā)布

10月25日，第三版ISO/IEC 27001∶2022信息安全管理體系標(biāo)準(zhǔn)正式發(fā)布，取消和替代了第二版ISO/IEC 27001∶2013，即現(xiàn)行的GB/T 22080-2016“信息技術(shù) 安全技術(shù) 信息安全管理體系 要求”，現(xiàn)有獲得ISO 27001認(rèn)證的組織將在3年內(nèi)完成標(biāo)準(zhǔn)的轉(zhuǎn)版。

ISO/IEC 27001∶2022主要變化點

·ISO/IEC 27001∶2022標(biāo)題改為“信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)-信息安全管理體系-要求”，與ISO/IEC 27002∶2022的標(biāo)題“信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)-信息安全控制”一致。

·所列的控制項從114項減少到93項。

·在ISO/IEC 27001∶2022中引入了新的子條款，如“6.3 變化的規(guī)劃”“9.2.1 總則”“9.2.2 內(nèi)部審核方案”“9.3.1 總則”“9.3.2 管理評審輸入”“9.3.3 管理評審結(jié)果”。新的子條款的引入進(jìn)一步協(xié)調(diào)了與其他管理體系標(biāo)準(zhǔn)的文件結(jié)構(gòu)，如ISO 9001∶2015、ISO 22301∶2019。

·在ISO/IEC 27001∶2022中引入了新的文本，并重新安排了一些文本，但它們只是澄清了要求，并沒有給標(biāo)準(zhǔn)增加新的要求。

·刪除了某些控制項。

·推出了11項新的控制項。

·合并了24項控制項。

·更新了58項控制項。

·引入了屬性的概念。

·ISO/IEC 27001∶2022附錄A的標(biāo)題改為“信息安全控制措施參考”，并且新增、刪除以及合并了一些安全控制措施，附錄A被修訂為與ISO/IEC 27002∶2022中的信息安全控制保持一致。然而，與2013年版本的情況一樣，只有控制的描述來自于ISO/IEC 27002∶ 2022。ISO/IEC 27002∶2022中的其他元素，如控制的目的和屬性，并沒有包括在ISO/IEC 27001∶2022附錄A中。變更內(nèi)容包含網(wǎng)絡(luò)安全和隱私方面，更新了控制語言并添加了額外指導(dǎo)。變更內(nèi)容有助于公司管理風(fēng)險，確保沒有遺漏并及時跟進(jìn)。

轉(zhuǎn)版注意事項

ISO/IEC 27001∶2022轉(zhuǎn)版時間為3年，現(xiàn)有證書需要在2025年11月前轉(zhuǎn)版到新版本。

為順利過渡到新版本，已經(jīng)通過ISO/IEC 27001∶2013認(rèn)證的組織需要引起重視，根據(jù)新的子條款和修改后的要求修訂內(nèi)部政策，并根據(jù)ISO/IEC 27001∶2022附錄A修訂風(fēng)險評估結(jié)果和風(fēng)險處置計劃。ISO/IEC 27001的2024年度評審，還可以按照舊版進(jìn)行審核，但是2025年9月證書就會失效，建議各組織可以準(zhǔn)備按照新版ISO/IEC 27001∶2022進(jìn)行審核。