Aktualizacja ISO/IEC 27002 i jej wpływ na ISO/IEC 27001

Aktualizacja ISO/IEC 27002 i jej wpływ na ISO/IEC 27001

Nagły rozwój technologii, obowiązek zapewniania bezpieczeństwa informacji przestały już być przepowiednią nadchodzących zmian, a rzeczywistością, na którą trzeba odpowiednio zareagować i zaktualizować metody funkcjonujące w strukturach organizacyjnych.

 

Wymagania rynku, organizacji oraz klientów w zakresie zapewniania bezpieczeństwa informacji będą tylko rosły, nieubłagalnie wypychając z rynku firmy, którym zabrakło refleksu oraz elastyczności w działaniu.

 

Na dzisiejszym rynku istnieje wiele schematów oraz rozwiązań dotyczących bezpieczeństwa informacji. Pomimo dużej dostępności nowych technologii, firmy decydują się na wdrożenie standardów z serii ISO/IEC 27000, ponieważ organy regulacyjne, klienci i inni interesariusze wywierają na nich rosnącą presję, aby udowodniły solidność swoich mechanizmów kontroli bezpieczeństwa.

 

Zgodność z międzynarodowym standardem pokazuje, że organizacje wkładają wysiłek i zaangażowanie w bezpieczeństwo oraz poprawiają swoją postawę bezpieczeństwa poprzez dobrze zdefiniowany proces ciągłego doskonalenia. Chociaż certyfikacja ISO/IEC 27001 pozostaje nieobowiązkowa dla większości organizacji, coraz częściej zaczynają  one dostrzegać wartość i korzyści, jakie niesie ze sobą certyfikacja SZBI.

 

Czym jest ISO/IEC 27002?

ISO/IEC 27002 to międzynarodowy standard używany, jako odniesienie przy wyborze i wdrażaniu środków kontroli bezpieczeństwa informacji. Zawiera wskazówki dotyczące najlepszych praktyk, które pomagają organizacjom w wyborze, wdrażaniu i zarządzaniu technikami kontroli bezpieczeństwa informacji, jak zabezpieczenia: organizacyjne, dotyczące pracowników, fizyczne i technologiczne.

 

ISO/IEC 27002 nie można w pełni oddzielić od standardu ISO/IEC 27001. Załącznik A z ISO/IEC 27001 zawiera zarys dla każdego rodzaju zabezpieczenia, ISO/IEC 27002 zagłębia się w szczegóły, w jaki sposób te punkty mogą być wdrożone. Dlatego, wraz z ISO/IEC 27001, ISO/IEC 27002 służy jako podstawa do opracowania skutecznego systemu zarządzania bezpieczeństwem informacji, który będzie służył Twojej firmie. Będzie rósł wraz z firmą, funkcjonując w sposób praktyczny, wykazując skuteczność działań podjętych przez kierownictwo. Norma ISO/IEC 27002 została poddana przeglądowi i aktualizacji, poniższy artykuł wyjaśnia kluczowe zmiany, które są zapowiadane w najnowszej wersji, która ma zostać opublikowana pod koniec roku.

 

Główne zmiany w ISO/IEC 27002

Główną różnicą między aktualnym projektem normy, a wersją 2013 jest struktura zestawu zabezpieczeń informacji. Podczas gdy większość metod kontroli ISO/IEC 27002 pozostaje niezmieniona, zabezpieczenia zostały przegrupowane z 14 kategorii do 4 szerokich kategorii, które obejmują Organizacje, Ludzi, Fizyczne aspekty i Techniki. Liczba zabezpieczeń w nowej wersji została zmniejszona z 114 do 93, poprzez:

  • Usunięcie 3 technik zabezpieczeń
  • Konsolidacje 48 technik zabezpieczeń w 19
  • Wprowadzenie 11 nowych technik zabezpieczeń
  • Bez zmian pozostało 61 technik zabezpieczeń

 

Nowe techniki bezpieczeństwa

W najnowszej wersji normy ISO/IEC 27002 wprowadzono 11 nowych kontroli. Najnowsze zabezpieczenia odzwierciedlają ewolucję praktyk przemysłowych. Transformacja cyfrowa, wraz z rosnącym ryzykiem cyberzagrożeń, przyspieszyła zmiany w ISO/IEC 27002. Jej nowa wersja będzie obejmować kontrole dotyczące analizy zagrożeń, usług w chmurze i bezpiecznego kodowania, aby odzwierciedlić szybko rozwijającą się technologię.

 

Nowe techniki bezpieczeństwa

 

5.7 Analiza zagrożeń8.11 Maskowanie danych
5.2.3 Bezpieczeństwo informacji przy korzystaniu z usług w chmurze8.12 Zapobieganie wyciekom danych
5.30 Gotowość teleinformatyczna do zapewnienia ciągłości działania8.16 Monitorowanie baz danych
7.4 Monitorowanie bezpieczeństwa fizycznego8.22 Filtrowanie sieci
8.9 Zarządzanie konfiguracją8.28 Bezpieczne kodowanie
8.10 Usuwanie informacji 

 

Połączone techniki zabezpieczeń

Część zabezpieczeń uległa konsolidacji w pojedynczy element, ponieważ działają one na tych samych podstawowych zasadach.  Na przykład zabezpieczenia od A.12.4.1 do A.12.4.3. W wersji 2013, które dotyczą dzienników, zostały skategoryzowane w Logowaniu, aby zminimalizować ich powielanie. Szersza struktura eliminuje zbytnią mnogość i powtarzalność. Pozwala użytkownikom na efektywne zbadanie problematyki i bezpośrednie działania wdrożeniowe. Nowa struktura jest mniej nakazowa i daje organizacjom autonomię w odkrywaniu możliwości realizacji celów kontroli.

 

Połączone techniki bezpieczeństwa

5.1. Polityki bezpieczeństwa informacji5.1.1, 5.1.28.1 Urządzenia końcowe użytkownika6.2.1, 11.2.8
5.9. Inwentaryzacja informacji i innych powiązanych aktywów8.1.1, 8.1.28.8 Zarządzanie podatnościami technicznymi12.6.1, 18.2.3
5.14 Transfer informacji13.2.1, 13.2.2, 13.2.38.15 Logowanie12.4.1, 12.4.2, 12.4.3
5.15 Kontrola dostępów9.1.1, 9.1.28.24 Zabezpieczenia kryptograficzne10.1.1, 10.1.2, 18.1.5
5.16 Zarządzanie tożsamościami9.2.1, 9.4.38.25 Bezpieczny cykl rozwoju14.1.1, 14.2.1
5.17 Informacje uwierzytelniające9.2.4, 9.3.18.26 Wymagania bezpieczeństwa aplikacji14.1.2, 14.1.3
5.18 Prawa dostępu9.2.2, 9.2.5, 9.2.68.29 Testowanie bezpieczeństwa w fazie rozwoju i akceptacji14.2.8, 14.2.9
5.22 Nadzór przegląd i zmiany w zarządzaniu usługami dostawców15.2.1, 15.2.28.31 Rozdzielenie środowisk deweloperskich, testowych i produkcyjnych12.1.4, 14.2.6
5.29 Bezpieczeństwo informacji w czasie zakłóceń17.1.1, 17.1.2, 17.1.38.32 Zmiany w zarządzaniu12.1.2, 14.2.2, 14.2.3, 14.2.4
7.10 Nośniki8.3.1, 8.3.2, 8.3.3  

 

Usunięte techniki bezpieczeństwa

W celu uniknięcia powtórzeń oraz zwiększenia autonomii organizacji, poniżej wymienione techniki bezpieczeństwa zostały usunięte:

 

Usunięte techniki bezpieczeństwa

8.2.3 Postępowanie z aktywami11.2.5 Wynoszenie aktyw
16.1.3 Zgłaszanie słabości związanych z bezpieczeństwem informacji 

 

Jak nowa wersja ISO/IEC 27002 wpływa na ISO/IEC 27001?

Ponieważ ISO/IEC 27002 zasadniczo rozszerza załącznik A ISO/IEC 27001, aktualizacja ISO/IEC 27002 nieuchronnie wpłynie na ISO/IEC 27001. Oczekuje się, że zmiany te zostaną odzwierciedlone w załączniku A do ISO/IEC 27001 po oficjalnym wydaniu zaktualizowanej normy ISO/IEC 27002, by zapewnić spójność obydwu standardów.

Jak to wpływa na organizacje, które mają już certyfikat ISO/IEC 27001?

Obecnie nie ma to wpływu na organizacje, które już utrzymują certyfikowany SZBI do czasu opublikowania aktualizacji ISO/IEC 27002 oraz nowego załącznika A ISO/IEC 27001. Zazwyczaj organizacje otrzymują okres karencji, zanim będą zobowiązane do wdrożenia zmian wprowadzonych w nowej wersji normy ISO/IEC 27001.

W przypadku organizacji, które zamierzają certyfikować swój ISMS, zmiany, o których mowa, nie zaburzają całego przedsięwzięcia.

Z kolei organizacje, które zamierzają dopiero wdrożyć i certyfikować swój ISMS powinny zapoznać się wstępną wersją ISO/IEC 27002 i w oparciu o nią przygotować się do certyfikacji.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.