U listopadu 2022. godine izdana je nova verzija norme informacijske sigurnosti ISO/IEC 27001:2022. Norma definira zahtjeve za uspostavu, uvođenje, održavanje i kontinuirano poboljšanje sustava upravljanja informacijskom sigurnošću. Ova međunarodna norma, kao i ranija verzija, uključuje zahtjeve za procjenu i obradu rizika informacijske sigurnosti prilagođenih potrebama organizacije. Zahtjevi norme su opći i namijenjeni su primjeni u svim organizacijama bez obzira na vrstu, veličinu i prirodu. Isključivanje bilo kojeg zahtjeva u točkama 4.-10. nije dopušteno u slučajevima kada organizacija tvrdi da je u skladu s ovim standardom.
Prva promjena koju odmah primjećujemo je u samom nazivu norme. Dosadašnji naziv norme je Information technology — Security techniques (Informacijska tehnologija — Sigurnosne tehnike), a naziv nove norme je Information security, Cybersecurity and Privacy protection (Informacijska sigurnost, kibersigurnost i zaštita privatnosti).
Nove promjene u ISO/IEC 27001:2022 trenutno ne utječu na trenutni certifikat ISO/IEC 27001.
Tvrtke imaju prijelazno razdoblje prilagodbe novom standardu – 3 godine (listopad 2025.). Spremnost za certifikaciju u skladu s ISO/IEC 27001:2022 ovisi o akreditacijskom tijelu. Certifikacija i recertifikacija prema verziji 27001:2013 moguća je još 18 mjeseci nakon izlaska nove verzije.
Koraci koje je potrebno poduzeti za implementaciju nove verzije su:
- Organizacija bi se trebala upoznati s novom verzijom ISO/IEC 27001:2022 (prvenstveno EDUKACIJA o upravljanju ISO-om)
- Revizija Izjave o primjenjivosti (SOA)
- Revizija Plana upravljanja rizicima (s obzirom na novu strukturu i broj kontrola)
- Revizija ISO politika i postupaka (koja uključuje ažuriranje postupaka za komunikaciju, komunikacijski plan itd.)
- Revizija ciljeva (6.2.) i praćenje (9.1.)
- Revizija dokumentacije vezane za provedbu audita (plan i program)
- Revizija ulaznih podataka upravine ocjene
- Ažuriranje SW rješenja i alata (ako se zapisi sustava vode kroz SW rješenja / alate / aplikacije)
- Osvještavanje i edukacija svih zaposlenika
Postoji niz značajnih promjena u već postojećim klauzulama unutar standarda, ali postoje nove – 11 novih kontrola u Prilogu A:
- Obavještajni podaci o prijetnjama (A.5 Organizacijske kontrole)
- Informacijska sigurnost za korištenje usluga u oblaku (A.5 Organizacijske kontrole)
- Spremnost IKT-a za kontinuitet poslovanja (A.5 Organizacijske kontrole)
- Nadzor fizičke sigurnosti (A.7 Fizičke kontrole)
- Upravljanje konfiguracijom (A.8 Tehnološke kontrole)
- Brisanje informacija (A.8 Tehnološke kontrole)
- Maskiranje podataka (A.8 Tehnološke kontrole)
- Sprječavanje curenja podataka (A.8 Tehnološke kontrole)
- Aktivnosti praćenja (A.8 Tehnološke kontrole)
- Web filtriranje (A.8 Tehnološke kontrole)
- Sigurno kodiranje (A.8 Tehnološke kontrole)
Za konkretne promjene u svakoj postojećoj odredbi ili objašnjenju novih slobodno nas kontaktirajte na sales@boost.hr
