Az új szabvány szerint lehet tanúsítványt szerezni átállással vagy új rendszer kidolgozással.
A jelenleg érvényes tanúsítványokról két éven belül át kell állni az új tanúsítványokra.

Változások az új ISO 27001:2022-ben

A legfontosabb változás már a címében benne van, miután bevette az érvényességi területe alá a személyes adatok védelmét azaz a „Privacy”-t.

„Információbiztonság, kiberbiztonság és a személyes adatok védelme” - Követelmények

Az ISO 27001:2022 főbb változásai a következők:

• Az A. melléklet hivatkozik az ISO/IEC 27002:2022 szabványban szereplő kontrollokra, amely tartalmazza az adott kontroll címét és kontrollt magát.

Az új információbiztonsági irányítási rendszer kialakításakor / átalakításakor ki kell alakítani és be kell vezetni a kiberbiztonság és a személyes adatok védelme érdekében előírt felügyeleti kontrollokat.

Változások az ISO 27001:2022-ben

Az eddigi szabvány 114 kontrollt tartalmazott 14 területen
az új 27001:2022 szabvány 93 kontrollt tartalmaz 4 területen: 

• 5. fejezet – Szervezet – 37 kontroll
• 6. fejezet – Emberi erőforrások – 8 kontroll
• 7. fejezet – Fizikai biztonság – 14 kontroll
• 8. fejezet – Technológiai biztonság – 34 kontroll.

Ezek között 12 teljesen új kontroll lesz, ami a megváltozott technológiai körülmények miatt lett szükséges, melyek a következők:

• Fenyegetések kezelése
• Információbiztonság a felhőszolgáltatások használatához
• Személyazonosság-kezelés  
• Info-kommunikációs felkészültség az üzletmenet folytonosságához  
• Fizikai biztonság felügyelete  
• Felhasználói végponti eszközök  
• Konfigurációkezelés 
• Információtörlés kezelése  
• Adatmaszkolás
• Adatszivárgás megelőzése  
• Webszűrés 
• Biztonságos kódolás

Az egyes kontrollok kategórizálását elősegítendő, öt jellemzővel (#hashtag taxonómia) látták el őket, melyek: 

• A kontoll típusa (#megelőző, #felderítő, #javító)
• Információbiztonsági tulajdonságok (#bizalmasság, #integritás, #rendelkezésre állás)
• Kiberbiztonsági koncepciók (#azonosítás, #védelem, #észlelés, #reagálás, #helyreállítás) ezáltal a NIST Cybersecurity Framework öt „funkcionalitásával” kerül összhangba (lásd: NIST 800-170)
• Működési képességek (#irányítás, #IT eszközkezelés, #információvédelem, stb) 
• Biztonsági domain-ek (#irányítás és ökoszisztéma, #védelem, #ellenálló képesség)

Ezek javaslatok, lehet más kategóriákat is használni.

16 kontrollt töröltek, mivel azok megkettőződtek, vagy jobban illeszkednek más kontrollok alá:

• Az információbiztonságra vonatkozó politikák felülvizsgálata  
• Mobileszköz-szabályzat
• Eszközök tulajdonjoga  
• Eszközök kezelése  
• Jelszókezelési rendszer  
• Kézbesítési és rakodási területek  
• Eszközök eltávolítása  
• Felügyelet nélküli felhasználói berendezések  
• A naplóinformációk védelme  
• A szoftverek telepítésének korlátozása  
• Elektronikus üzenetküldés  
• Az alkalmazásszolgáltatások védelme nyilvános hálózatokon  
• Az alkalmazásszolgáltatások tranzakcióinak védelme  
• Rendszerátvételi tesztek Információbiztonsági hiányosságok jelentése 
• Technikai megfelelőség felülvizsgálata.

Van néhány kontroll, amelyeket módosítottak és integráltak, hogy egyetlen fő vezérlőelemmé váljanak. Néhány példa: 

• A "Vagyon leltár" "Információs és egyéb kapcsolódó eszközök (assets) leltár" névre módosul.  
• "Az eszközök elfogadható használata" "Az információs és egyéb kapcsolódó eszközök (assets) elfogadható használata" -ra módosult.  
• A kriptográfiai ellenőrzésekre és kulcskezelésre stb. vonatkozó irányelv „A kriptográfiai felügyelet használata" címre változott.  
• Az eseménynaplózás átnevezése "Naplózás"-ra.  
• A rendszergazdai és üzemeltetői naplózás "Monitoring tevékenységek" címre változott.
• Az információátadási irányelvek és eljárások, az információátadásról szóló megállapodás stb. az "Információátadás" alatt egy fő kontrollban egyesítve.

Cégünk vállalja az új 27001:2022 szabvány követelményeinek való megfelelésre történő átállás elősegítését, dokumentáció átdolgozását, belső auditok megtartását, külső auditra történő felkészítést, valamint partnet tanúsítónkkal a tanúsítás megszervezését és kivitelezését.

2022.10.28