對 ISO/IEC 27002：2022 的基本理解

介紹

ISO/IEC 27002 是一份指導性文件，作為實施 ISO/IEC 27001資訊安全管理系統 （ISMS）時，選擇控制措施時的參考。最新版 ” ISO/IEC 27002:2022 資訊安全、網路安全和隱私保護--資訊安全控制 “ 已於 2022 年 2 月公布。

簡而言之，更新后的版本，將標準的安全控制整合到四個新類別（即組織、人員、實體環境和技術）中。少部分有新的控制措施被加入，並且有幾個被修改或合併——所有這些都是為了支援組織適應現代資訊安全環境日新月變的風險環境。


《ISO/IEC 27002：2022》實作指引有什麼新內容？

控制措施從目前的 114 個減少到 93 個控制措施。

眾所周知，ISO/IEC 27002：2013 包含 114 項控制措施，分為 14 類。

ISO/IEC 27002：2022 "實作指引"現已重組，包含 93 項控制，分為 4 類：

    1. 組織控制措施 （37）
    2. 人員控制措施 （8 ）
    3. 實體環境控制措施 （14 ）
    4. 技術控制措施 （34 ）


從 ISO/IEC 27002：2013 標準中刪除的少數控制措施清單（可能用於重複性或更好地對齊到其他領域）

    1. A.5.1.2 資訊安全政策之審查 Review of the policies for information security
    2. A.6.2.1 行動裝置政策 Mobile device policy
    3. A.8.1.2 資產擁有權 Ownership of assets
    4. A.8.2.3 資產處理 Handling of assets
    5. A.9.4.3 通行碼(密碼)管理系統 Password management system
    6. A.11.1.6 交付及裝卸區 Delivery and loading areas
    7. A.11.2.5 資產之攜出 Removal of assets
    8. A.11.2.8 無人看管之使用者設備 Unattended user equipment
    9. A.12.4.2 日誌資訊之保護 Protection of log information
    10. A.12.5.1 對運作中系統之軟體安裝 Installation of software on operational systems
    11. A.13.2.3 電子傳訊 Electronic messaging
    12. A.14.1.2 在公共網路上確保應用服務的安全 Securing application services on public networks
    13. A.14.1.3 保護應用服務交易 Protecting application services transactions
    14. A.14.2.9 系統驗收測試 System acceptance testing
    15. A.16.1.3 通報資訊安全弱點 Reporting information security weaknesses
    16. A.18.2.3 技術遵循性審查 Technical compliance review


加入少部分「新」控制措施，來應對技術和行業最佳實踐的實作

    1. 威脅情報 Threat intelligence
    2. 身份管理 Identity management
    3. 用於雲服務的資訊安全性 Information security for use of cloud services
    4. 資訊和通信技術的業務連續性 ICT readiness for business continuity
    5. 實體環境安全監控 Physical security monitoring
    6. 用戶端點設備 User endpoint devices
    7. 配置管理 Configuration management
    8. 信息刪除 Information deletion
    9. 數據遮罩 Data masking
    10. 數據洩漏預防 Data leakage prevention
    11. 網路過濾 Web filtering
    12. 安全編碼 Secure coding


對於現有 ISO/IEC 27001：2013 標準要求是否有影響？

由於 ISO/IEC 27002 是實作指引，目前不會對 ISO/IEC 27001 有任何影響。我們必須等待 "ISO/IEC 27001" 得到相應的更新或修訂。

ISO/IEC 27001：2013 目前尚未作出修訂的決定，但可能在不久的將來。


但組織而言，現階段需要從內部考慮以下幾個方面：

    • 資訊安全團隊成員需要根據新的 ISO/IEC 27002 所提出的 93項控制措施所有領域，進行結構性的審查。
    • 在現有和新的 ISO/IEC 27002 執行實作指引之間進行差異分析，並盡可能與現有文件調適。
    • 在確認差異與需求後，更改既有或準備「新政策和程序」。資訊安全團隊成員，只需在標準最終版本公布後，才需要對所有文件進行評估。
    • 讓資通訊 (ICT)、風險和安全管理人員，以及所有關注方之間（視需要），「意識」到 ISO/IEC 27002 修訂與調整的事實。


其他控制整合與修改：

有少部分的控制措施，可能會修改或整合成為主要控制措施之一。

以下是幾個例子：

    • 資產清冊被修改為「資訊清冊和其他相關資產」。
    • 可接受的資產使用更改為「可接受地使用資訊和其他相關資產」。
    • 加密控制和金鑰管理等政策修改為「加密控制使用」。
    • 事件記錄更名為"記錄"。
    • 管理和操作員日誌集成為「監控活動」。
    • 信息傳遞政策和程式、資訊傳遞協定等作為「信息傳遞」的主要控制。


更多詳情，請參閱 - https://www.iso.org/standard/75652.html


Last modified: Wednesday, 2 March 2022, 12:41 PM