新版ISO 27002:2022釋出，BSI助力企業全面築牢資訊保安防線

北京2022年3月2日 /美通社/ --  ISO/IEC 27002:2022已經完成修訂並正式釋出。ISO/IEC 27002資訊保安、網路安全和隱私保護-資訊保安控制為組織資訊保安標準提供指導，併為資訊保安管理提供最佳實踐。它考慮了一個企業獨特的資訊保安風險環境，透過關注組織的選擇、實施和管理的安全控制。適用於任何有資訊保安及期望通用資訊保安控制實現最佳實踐的組織。

建議企業審查其風險評估和必要的控制項，保持企業在資訊保安、雲安全和資料安全方面的最佳實踐，並確保這些實踐與新的指導意見相一致。這樣一來，企業才能更好地克服未來的風險。另外，本次修訂將觸發對ISO 27001進行更新，企業需要準備好更新相應的證書。

ISO/IEC 27002:2022 將如何 幫助企業？

• 在建立資訊保安管理體系（ISMS）的過程中，確定合適且相稱的安全控制；
• 落實資訊保安管理的最佳實踐；
• 滿足與資訊保安相關的法律、法規、監管和合同要求；
• 加強風險管理，降低出現資訊保安漏洞的可能性；
• 提高公司ISMS的可信度；
• 提高資訊保安管理體系（ISMS）的整體穩健性和韌性，加強風險管理；
• 促進實現聯合國可持續發展目標中心：目標9  -- 產業、創新和基礎設施。

BSI  資訊保安和隱私保護認證，助力組織全面築牢安全防線

在ICT領域， BSI始終處資訊保安標準的前沿，曾經制定了這一領域的世界上首個標準BS 7799，即ISO/IEC 27001資訊保安管理體系的前身。BSI從未止步於此，始終致力於解決新出現的問題，例如，隱私、網路和雲安全，這是BSI最有能力為企業提供幫助的原因所在。

ISO/IEC 27001、ISO/IEC 27701均是由國際標準化組織釋出的國際標準，是當前資訊保安管理和隱私資訊管理領域最權威的國際通用標準，在金融、網際網路、人工智慧、製造、航空運輸等各個行業有眾多最佳實踐。在過往的幾年，BSI與國內多家行業知名企業，諸如華為、榮耀、Vivo、小米主流手機廠商，及阿里巴巴、京東、百度、騰訊等網際網路領導企業均保持深度合作。

除了提供ICT領域的解決方案以外，作為一家擁有120年曆史的全球首家標準機構，BSI同時還提供以國際標準為核心的多樣化解決方案。

ISO/IEC 27002 國際標準延伸知識

1. ISO/IEC 27002:2022 是全面修訂嗎？

是的，ISO/IEC 27002:2022是對標準的全面修訂。ISO/IEC 27002:2022出版後，2013版將廢止。

2.  修訂後的 ISO/IEC 27002:2022 有哪些變化？

修訂後的ISO/IEC 27002:2022標準調整了現有控制項的結構，將列舉的安全控制項從114個減少至93個，並刪除了一些未能反映最佳實踐的控制項。在ISO/IEC 27002標準的最新版本中，新增了11個控制項，包括威脅情報、使用雲端服務的資訊保安以及資料洩露防護等。這樣一來，不管網路攻擊的性質如何變化，企業都能夠持續控制其資訊保安。

3. ISO/IEC 27002 新增了哪些內容？

01）ISO/IEC 27002已透過審查，方便企業採用該標準。此外，ISO/IEC 27002仍舊秉持其原有目標，確保不遺漏任何一個重要的控制項。將控制劃分為四大類別，分別為：技術控制、組織控制、人員控制和實體控制。
02）定義了其他控制屬性，例如：控制型別屬性：偵測、預防或矯正；網路安全屬性：基於NIST網路安全框架的識別、保護、偵測、響應和恢復功能；資訊保安屬性：機密性、完整性和可用性等。
03）可以針對不同的受眾，從不同的角度按屬性對控制項進行過濾、排序和呈現。

對 ISO/IEC 27001:2013 的影響

1. 2022 年，是否會因 ISO/IEC 27002 的修訂而對 ISO/IEC 27001 作出變更？

將對ISO/IEC 27001進行部分修訂，以更新ISO/IEC 27002:2022（修訂版）附件A中的控制項，並將2014年和2015年釋出的2份小勘誤表納入其中。

2. ISO/IEC 27001 修訂後會產生什麼影響？

需要開展過渡評估，並根據客戶的範圍、地點數量、系統以及每個公司的複雜程度為每一位客戶制定計劃，以 確保控制措施和資訊保安管理體系（ISMS）符合最新標準。

3. ISO/IEC 27002 的修訂對正在實施資訊保安管理體系（ ISMS ）或即將獲得 ISO/IEC 27001 認證的公司來說意味著什麼？

無論 公司正在實施ISO 27001標準或準備獲得認證，確保 客戶能利用修訂版中提供的指南，最大限度地發揮資訊保安管理體系（ISMS）的作用。這一點才是最重要的。 可以參考ISO 27002:2022，確定並實施 適合公司的控制項。