ISO/IEC 27002新版本出台，快来看看有哪些更新？

新版国际标准ISO/IEC 27002:2022《信息安全、网络安全和隐私保护-信息安全控制》已于2022年2月15日正式发布，在这篇文章中，我们将介绍与ISO/IEC 27002:2013相比，新版本控制的主要变化，同时也包括组织如何使用它们。

章节结构发生变化

2013版总共有18个章节，2022版现在只有8个章节，以及两个附录：

ISO/IEC 27002:2013章节结构

1. 范围

2. 规范性引用文件

3. 术语和定义

4. 标准结构

5. 信息安全策略

6. 信息安全组织

7. 人力资源安全

8. 资产管理

9. 访问控制

10. 密码

11. 物理和环境安全

12. 运行安全

13. 通信安全

14. 系统获取、开发和维护

15. 供应商关系

16. 信息安全事件管理

17. 业务连续性管理的信息安全方面

18. 符合性

ISO/IEC 27002:2022章节结构

1. 范围

2. 规范性引用文件

3. 术语和定义及缩略语

4. 标准结构

5. 组织控制

6. 人员控制

7. 物理控制

8. 技术控制

附录A 使用属性

附录B 与ISO/IEC27002:2013的对应关系

新结构使我们更容易理解这些控制的适用性以及责任的指定。

控制数量发生变化

新版本将控制数量从114个减少到93个。此外，ISO/IEC 27002:2022中，删除了一个级别的副标题。

以“访问控制”为例

ISO/IEC 27002:2013

9访问控制

9.1访问控制的业务要求

9.1.1访问控制策略

ISO/IEC 27002:2022

5组织控制

5.15访问控制

控制属性

我们认为，这是ISO/IEC 27002:2022的最大价值，因为它提供了一种标准化的方法来从不同的视角对控制进行整理和筛选，以满足不同组织的需求。

每个控制的属性选项如下

1.控制类型：预防、检测和纠正

2.信息安全属性: 保密性、完整性和可用性

3.网络安全概念：识别、保护、检测、响应和恢复

4.运行能力：治理、资产管理、信息保护、人力资源安全、物理安全、系统和网络安全、应用安全、安全配置、身份和访问管理、威胁和脆弱性管理、连续性、供应商关系安全、法律符合性、信息安全事件管理以及信息安全保障

5.安全域: 治理和生态系统、保护、防御和恢复能力

这些属性简化了ISO/IEC 27002:2022控制与其他类似安全框架（如NIST风险管理框架）的结合。

新添加的控制

ISO/IEC 27002:2022新添加了11个控制，分别是：

5.7威胁情报

5.23云服务使用的信息安全

5.30信息和通信技术(ICT)业务连续性准备

7.4物理安全监视

8.9配置管理

8.10信息删除

8.11数据屏蔽

8.12数据防泄漏

8.16监视活动

8.23网页过滤

8.28安全编码

重命名的控制

23个控制的名称被更改，以便于理解。

例如：

“控制12.7.1信息系统审计控制”改为“8.34审计测试期间的信息系统保护。

“控制15.1.3信息和通信技术供应链”改为“5.21管理ICT供应链中的信息安全”

...

这些变化有助于将重点放在业务流程和活动的信息安全方面，减少了实施和维护信息安全管理体系的工作量。

删除的控制

尽管ISO/IEC 27002:2022减少了控制的数量，但在新版本中没有删除相关控制，只是为了更好便于理解而进行了合并。

合并的控制

57项控制合并为24项控制。 

例如：

“控制5.1.1信息安全策略”和“5.1.2信息安全策略审查”合并为“5.1信息安全策略”

“控制11.1.2物理入口控制”和“1 1.1.6交接区”合并为7.2物理入口。

...

拆分的控制

仅有一个控制被拆分:

“18.2.3技术合规性评审”被拆分为“5.36符合信息安全政策、规则和标准”和“8.8项符合技术漏洞管理”。

保持不变的控制

35个控制保持不变，仅改变其编号。

对组织信息安全管理体系的影响

如果组织已经根据ISO/IEC 27001实施了信息安全管理系统，现在不必太担心，无论新版本带来了哪些变化，对于经过认证的组织来说，将有一个为期2年的过渡期，并且只有在ISO/IEC 27001被正式更新来与这些新控制保持一致之后，该过渡期才会开始。

一旦这些新的控制措施成为ISO/IEC 27001附录A的一部分，组织将需要遵循以下步骤：

1. 审查风险处理并确保其与新结构和控制编号一致。

2. 在适用性声明中对齐控制列表。

3. 更新您的策略和规程，并可能编写与新控制措施相关的新文档。

由于标准中的这一变更涉及12个新的控制，因此在风险处理和文档编制方面的一致性将是组织面临的最大工作，但可能不需要在技术和规程方面进行重大更改。