Aktualizacja normy ISO/IEC 27001 i ISO/IEC 27002

Nowość w bezpieczeństwie informacji - Aktualizacja norm ISO/IEC 27001 i ISO/IEC 27002

ISO/IEC 27001:2022 i ISO/IEC 27002:2022 oraz ich wpływ na Twoją organizację.

 

Zgodnie z zapowiedziami, w październiku ukazała się nowa wersja normy ISO/IEC 27001 oraz wytycznych ISO/IEC 27002.  Norma ta, by utrzymać swoją renomę globalnego wyznacznika zarządzania bezpieczeństwem informacji musi być dostosowywana do dynamicznego krajobrazu środowiska informatycznego.

 

Niezmiennie, certyfikacja ISO/IEC 27001 pozostaje drzwiami do współpracy z wieloma kontrahentami. Akredytowany certyfikat daje gwarancje kontrahentowi, że organizacja wdrożyła oraz nadzoruje system, który zapewnia bezpieczeństwo przetwarzanych informacji.

 

Co się zmienia w ISO/IEC 27001?

 

Nowe wydanie ISO 27001:2022 nie różni się diametralnie od ISO 27001:2013, ale jest kilka znaczących zmian, na które warto zwrócić uwagę:

 

Kontekst i zakres

Musisz teraz zidentyfikować „istotne” wymagania zainteresowanych stron i określić, które zostaną zrealizowane za pomocą Systemu Zarządzania Bezpieczeństwem Informacji

 

SZBI teraz wyraźnie obejmuje „Istotne procesy i ich interakcje”.

 

Planowanie

Cele bezpieczeństwa informacji muszą być teraz monitorowane i udostępniane jako „udokumentowane informacje”.

 

Pojawiła się nowa sekcja dotycząca planowania zmian w SZBI. Nie określa to żadnych procesów, które muszą być uwzględnione, więc każda organizacja powinna samodzielnie określić, w jaki sposób może wykazać, że zmiany w zakresie SZBI zostały rzeczywiście zaplanowane.

 

Wsparcie

Wymogi dotyczące określenia, kto powinien się komunikować oraz procesy, w ramach których komunikowanie powinno się odbywać, zostały zastąpione wymogiem określenia „jak się komunikować”.

 

Działania operacyjne

Wymóg planowania sposobu realizacji celów bezpieczeństwa informacji został zastąpiony wymogiem ustalenia kryteriów dla procesów realizacji działań określonych w pkt. 6 oraz kontroli tych procesów zgodnie z kryteriami.

 

Organizacje są teraz zobowiązane do kontrolowania „zewnętrznie dostarczanych procesów, produktów lub usług” istotnych dla SZBI, a nie tylko procesów.

 

Wyniki i ocena

Metody monitorowania, pomiaru, analizy i oceny skuteczności SZBI muszą być teraz porównywalne i powtarzalne.

 

Przegląd zarządzania musi teraz uwzględniać zmiany w potrzebach i oczekiwaniach zainteresowanych stron.

 

Annex A

Załącznik A został zmieniony w celu dostosowania go do normy ISO 27002:2022.

 

Co się zmienia w ISO/IEC 27002?

 

Po pierwsze, fraza „kodeks praktyk” została usunięta z tytułu zaktualizowanej normy ISO/IEC 27002. Taka forma lepiej odzwierciedla cel tego referencyjnego zestawu kontroli bezpieczeństwa informacji.

 

Sam dokument, pomimo zredukowania liczby mechanizmów kontrolnych z 114 do 93,  jest dłuższy niż poprzednia wersja. Mechanizmy kontroli zostały uporządkowane i zaktualizowane. Niektóre zostały połączone lub usunięte, 11 kontroli zostało dodanych, ukazując, że dokument rozwija się wraz ze zmieniającą się technologią.

 

Jak aktualizacja normy ISO/IEC 27001 wpłynie na organizacje wdrażające SZBI?

 

Zanim jednostki certyfikujące zaczną certyfikować normę ISO/IEC 27001:2022 upłynie co najmniej 6 miesięcy,  natomiast norma ISO/IEC 27001:2013 nie zostanie wycofana przez nadchodzące 3 lata. Dlatego organizacje nie muszą się martwić, że jakakolwiek praca, którą wykonali przy wdrożeniu SZBI poszła na marne.

 

Jednakże, w zależności od stopnia zaawansowania wdrożenia ISO/IEC 27001:2013, organizacje mogą postanowić używać nowych mechanizmów kontroli z Załącznika A z ISO/IEC 27001:2022 jako alternatywnego zestawu kontroli.

 

Jak aktualizacja normy ISO/IEC 27001 wpłynie na organizacje posiadające już certyfikat ISO 27001:2013?

 

Certyfikowane organizacje mają trzyletni okres przejściowy na dostosowanie swojego systemu zarządzania do nowej wersji ISO/IEC 27001, więc mają dużo czasu na wprowadzenie niezbędnych zmian. Nie jest jednak wskazane pozostawienie tego na ostatnią chwilę. Jeżeli w Twojej organizacji planowana jest recertyfikacja we wspomnianym okresie przejściowym, warto już teraz rozpocząć pracę zgodnie z nowym zestawem kontrolnym.

 

Jedną z zalet wdrożenia nowych mechanizmów kontrolnych jest to, że identyfikuje się je na podstawie atrybutów. Można więc skoncentrować się na wyborze tych mechanizmów, zmniejszając presję związaną z zapewnianiem zgodności. Może to pomóc lepiej zintegrować procesy bezpieczeństwa, ułatwiając zarządzanie systemem zarządzania bezpieczeństwem informacji.

 

Jakie zalety niesie za sobą certyfikacja ISO/IEC 27001:2022

 

Certyfikacja zgodnie z nową wersją standardu będzie czekała każdą organizację, która chce dostarczać swoim partnerom gwarancji, że zarządza informacjami oraz ich bezpieczeństwem w sposób kontrolowany, zgodny z najnowszymi mechanizmami bezpieczeństwa. Akredytowany certyfikat ISO/IEC 27001  stanowi potwierdzenie, że firma dąży do systematycznego realizowania swoich celów oraz potrzeb swoich klientów, przez co umacnia się jej pozycja rynkowa oraz renoma w branży. Przystosowanie i certyfikowanie systemu zgodnie z nową normą, pomoże Twojej organizacji spełnić wymagania prawne, ustawowe i regulacyjne w zakresie bezpieczeństwa informacji.

 

Szkolenia ze zmian w ISO/IEC 27001:2022

 

Jeżeli chcą Państwo dowiedzieć się więcej na temat zmian wprowadzonych w najnowszym wydaniu normy ISO/IEC 27001:2022 oraz przygotować się do aktualizacji systemu zarządzania bezpieczeństwem informacji zachęcamy do skorzystania z naszej oferty szkoleń.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.