ISO/IEC 27001∶2022標(biāo)準(zhǔn)正式發(fā)布

10月25日，第三版ISO/IEC 27001∶2022信息安全管理體系標(biāo)準(zhǔn)正式發(fā)布，取消和替代了第二版ISO/IEC 27001∶2013，即現(xiàn)行的GB/T 22080-2016“信息技術(shù) 安全技術(shù) 信息安全管理體系 要求”，現(xiàn)有獲得ISO 27001認(rèn)證的組織將在3年內(nèi)完成標(biāo)準(zhǔn)的轉(zhuǎn)版。

ISO/IEC 27001∶2022主要變化點(diǎn)

·ISO/IEC 27001∶2022標(biāo)題改為“信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)-信息安全管理體系-要求”，與ISO/IEC 27002∶2022的標(biāo)題“信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)-信息安全控制”一致。

·所列的控制項(xiàng)從114項(xiàng)減少到93項(xiàng)。

·在ISO/IEC 27001∶2022中引入了新的子條款，如“6.3 變化的規(guī)劃”“9.2.1 總則”“9.2.2 內(nèi)部審核方案”“9.3.1 總則”“9.3.2 管理評(píng)審輸入”“9.3.3 管理評(píng)審結(jié)果”。新的子條款的引入進(jìn)一步協(xié)調(diào)了與其他管理體系標(biāo)準(zhǔn)的文件結(jié)構(gòu)，如ISO 9001∶2015、ISO 22301∶2019。

·在ISO/IEC 27001∶2022中引入了新的文本，并重新安排了一些文本，但它們只是澄清了要求，并沒(méi)有給標(biāo)準(zhǔn)增加新的要求。

·刪除了某些控制項(xiàng)。

·推出了11項(xiàng)新的控制項(xiàng)。

·合并了24項(xiàng)控制項(xiàng)。

·更新了58項(xiàng)控制項(xiàng)。

·引入了屬性的概念。

·ISO/IEC 27001∶2022附錄A的標(biāo)題改為“信息安全控制措施參考”，并且新增、刪除以及合并了一些安全控制措施，附錄A被修訂為與ISO/IEC 27002∶2022中的信息安全控制保持一致。然而，與2013年版本的情況一樣，只有控制的描述來(lái)自于ISO/IEC 27002∶ 2022。ISO/IEC 27002∶2022中的其他元素，如控制的目的和屬性，并沒(méi)有包括在ISO/IEC 27001∶2022附錄A中。變更內(nèi)容包含網(wǎng)絡(luò)安全和隱私方面，更新了控制語(yǔ)言并添加了額外指導(dǎo)。變更內(nèi)容有助于公司管理風(fēng)險(xiǎn)，確保沒(méi)有遺漏并及時(shí)跟進(jìn)。

轉(zhuǎn)版注意事項(xiàng)

ISO/IEC 27001∶2022轉(zhuǎn)版時(shí)間為3年，現(xiàn)有證書(shū)需要在2025年11月前轉(zhuǎn)版到新版本。

為順利過(guò)渡到新版本，已經(jīng)通過(guò)ISO/IEC 27001∶2013認(rèn)證的組織需要引起重視，根據(jù)新的子條款和修改后的要求修訂內(nèi)部政策，并根據(jù)ISO/IEC 27001∶2022附錄A修訂風(fēng)險(xiǎn)評(píng)估結(jié)果和風(fēng)險(xiǎn)處置計(jì)劃。ISO/IEC 27001的2024年度評(píng)審，還可以按照舊版進(jìn)行審核，但是2025年9月證書(shū)就會(huì)失效，建議各組織可以準(zhǔn)備按照新版ISO/IEC 27001∶2022進(jìn)行審核。