Как стандарт ISO/IEC 27001 изменился в 2022 году
Новая версия нацелена на то, чтобы организации совершенствовали киберполитику и обновляли технологии в условиях растущих рисков. Область применения стандарта, определяющая границы и применимость СМИБ, остается неизменной в обеих версиях: основные принципы и требования для внедрения эффективной СМИБ сохраняются. В основную часть стандарта внесли минорные правки, а приложение А пересмотрели полностью.
Правки внесли в название, структуру и некоторые разделы.
Название стандарта. Версия 2013 года называлась «Информационные технологии. Методы и средства обеспечения безопасности». В 2022 году ее переименовали в «Информационная безопасность, кибербезопасность и защита конфиденциальности». Новое название лучше отражает роль стандарта, а также охватывает больше технических аспектов информационной безопасности и защиты данных.
Общая структура. Теперь ISO/IEC 27001:2022 адаптирован к новой, гармонизированной структуре для стандартов систем менеджмента — она приводит такие стандарты к единым логическому виду и терминологии.
Тело стандарта. Появился пункт 6.3, который содержит требование к планированию изменений. Также обновились следующие пункты:
- 4.1 — добавилось требование в отношении изменения климата;
- 4.2 — появилось обязательство о соотношении требований заинтересованных сторон
со СМИБ организации; - 6.2 — добавились требования по мониторингу целей информационной безопасности;
- 8.1 — уточнили два требования: организация должна определить критерии для процессов пункта 6 стандарта и осуществлять контроль в соответствии с ними;
- 9.3 — появилось требование к анализу со стороны руководства. Теперь нужно учитывать изменения в потребностях заинтересованных сторон, имеющих отношение к СМИБ.
Дополнение пункта 9.3 связано с обновлением в 4.2 — в новой версии уделили больше внимания потребностям третьих сторон.
Пункты 9.2 и 9.3 разбили и выделили следующие подпункты:
- в 9.2 — «Общее» и «Программа внутреннего аудита»;
- в 9.3 — «Общее», «Вводные для анализа руководством» и «Результаты анализа руководством».
В разделе 10 поменяли местами пункты 10.1 и 10.2.
Уточнения. Остальные изменения в основной части стандарта дополняют терминологию и структуру, уточняют определенные формулировки.
В целом обновление ISO 27001 устранило дубли, объединив ряд элементов управления. Это позволит упростить процесс внедрения и обслуживания СМИБ.
Раньше приложение А называлось «Справочник контролей и средств контроля», а в стандарте 2022 года его переименовали в «Справочник контролей информационной безопасности». Также в структуре приложения появились новые группы и контроли.
Группы контролей. В предыдущей версии контроли внутри доменов разбивались на подгруппы — в стандарте 2022 года от этого отказались. Также не стали выделять цель, которая достигается, если выполнить все контроли группы.
Количество доменов сократилось с 14 до 4, чтобы сделать процесс внедрения СМИБ понятнее. Вот в какие группы теперь объединены контроли:
- организационные,
- кадровые,
- физического доступа,
- технические.
Контроли. Общее их число сократилось с 114 до 93: некоторые объединились. При этом добавилось 11 новых контролей:
- Анализ угроз (5.7). Требует собирать и анализировать информацию, касающуюся угроз информационной безопасности.
- Информационная безопасность при использовании облачных сервисов (5.23). Требует учитывать вопросы информационной безопасности на всех стадиях взаимодействия с облачными сервисами.
- Готовность ИКТ
к обеспечению непрерывности бизнеса (5.30). Требует создавать план обеспечения непрерывности ИКТ для поддержания операционной устойчивости. - Мониторинг физической безопасности (7.4). Требует на постоянной основе отслеживать несанкционированный доступ в помещения.
- Управление конфигурацией (8.9). Требует устанавливать политики для управления документированием, внедрением, мониторингом и проверкой использования конфигураций во всей сети.
- Удаление информации (8.10). Требует удалять информацию, когда она больше не нужна.
- Маскирование данных (8.11). Требует обеспечивать маскировку данных в соответствии с определенным внутри организации подходом и применимым законодательством.
- Защита от утечки данных (8.12). Требует внедрять технические меры, которые обнаруживают и предотвращают попытки раскрытия или извлечения информации.
- Действия по мониторингу (8.16). Требует выявлять аномальное поведение для предотвращения инцидентов информационной безопасности.
- Веб-фильтрация (8.23). Требует обеспечивать контроль доступа к внешним сайтам, а также принимать меры по его ограничению.
- Безопасная разработка (8.28). Требует следовать принципам создания безопасного кода.
Новая версия стандарта ISO 27001 влияет на изменение практического подхода к реализации его требований.
Понимание контекста деятельности организации
Цель пункта 4.1 — обеспечить, чтобы организация установила и поддерживала понимание внутреннего и внешнего контекста, относящегося к СМИБ. В свою очередь, цель СМИБ — выбор мер управления безопасностью, предназначенных для защиты информационных активов и гарантирующих доверие заинтересованных сторон.
Понимание потребностей и ожиданий заинтересованных сторон
В подпункте 4.2.c появилось требование по учету потребностей и ожиданий заинтересованных сторон в СМИБ. В связи с этим их участие не ограничивается только обратной связью и коммуникацией. Теперь важно знать, чего хотят от организации все заинтересованные стороны, а также выяснить, как учесть эти требования в СМИБ организации.
Хорошая практика — создать процедуру, определяющую, кто отвечает за выявление всех заинтересованных сторон, их юридических, нормативных, договорных и других требований, а также интересов. Эта процедура в том числе должна определять, кто отвечает за процесс обновления такой информации.
В итоге СМИБ становится равноправным инструментом реализации обязательств организации, и у системы появляются реальные цели обеспечения бизнес-потребностей.
Мониторинг достижения целей СМИБ
Обновление подпункта 6.2.d меняет подход к выбору метрик: они превращаются из инструмента контроля выполнения мер в средство для измерения достижения целей. Иначе говоря, это требование помогает перейти к более осмысленным метрикам для обеспечения бизнес-задач — в результате СМИБ становится ближе к бизнесу.
Планирование изменений
Организация определяет требования заинтересованных сторон, контекст деятельности, а также связывающие их процессы. Затем компании нужно выявить относящиеся к этим процессам риски. Следовательно, могут потребоваться изменения, связанные с любыми элементами процессов, например средствами контроля, ресурсами, измерениями. Поэтому в стандарте появился новый пункт 6.3.
Чтобы получить выгоду от изменений, организация должна учитывать все их типы, поскольку в новом стандарте успешные контроль и управление изменениями стали ключевыми требованиями в рамках СМИБ. Компания должна отслеживать изменения после их внесения, чтобы понять эффективность принятых мер.
Стандарт предписывает планировать изменения. Например, в план должны вноситься устранения несоответствий и улучшения процессов СМИБ после анализа. При этом нужно определять сроки и ответственных лиц, а руководство должно выделять ресурсы. Когда все изменения реализованы, СМИБ становится более адаптированной к ним.
Оперативное планирование и контроль
В связи с изменением в пункте 8.1 «Оперативное планирование и контроль» организации должны реализовать процессы как часть оперативного планирования и контроля для осуществления мер по управлению рисками информационной безопасности. Теперь необходимо определить критерии и руководить процессами в соответствии с ними. В результате СМИБ становится более управляемой.
Оценка рисков
В процессе оценки организация будет вынуждена существенно пересмотреть методики и подходы к управлению рисками, в том числе их анализ. Нужно рассмотреть новые возможные риски и пересмотреть старые, связанные с добавившимися требованиями, а также с изменениями контролей. Например, из новых контролей следует обязательство рассмотреть риски, связанные с использованием облачных сервисов, threat intelligence и т. д.
Новые контроли
Организациям потребуется рассмотреть не затронутые до этого активы, поддерживающие процессы, технологии и третьи лица. Добавленные контроли в большей мере ориентированы на полноценную непрерывность и учитывают влияние новых средств защиты, например DLP
В качестве примера приведем контроль 5.23, связанный с информационной безопасностью при использовании облачных сервисов. Он требует рассмотрения новых активов и процессов. Это влечет переоценку границ области действия, если компания ранее не рассматривала в отношении бизнес-процессов облачные ресурсы. При этом могут появиться новые третьи лица, например поставщики, и поддерживающие процессы, например изменение или прекращение использования облачного сервиса.
Внутренняя документация
Теперь компании будут рассматривать, нужно ли им разработать новые тематические политики, например политику использования облачных сервисов. Также с появлением в стандарте новых факторов, изменения нужно внести в уже существующую документацию: контекст организации, политику информационной безопасности, тематические политики, руководства и др.
Изменение заявления о применимости
Заявление о применимости (statement of applicability, SoA) описывает подход к внедрению средств контроля из приложения A. Требования к самому SoA в основном не поменялись, но компаниям необходимо пересмотреть существующие заявления о применимости, чтобы включить в них сопоставление средств контроля 2022 года. Это продемонстрирует готовность к прохождению сертификации по обновленному стандарту ISO 27001. Также пересмотр SoA поспособствует эффективному общению с заинтересованными сторонами: заявление покажет, как организация управляет информационной безопасностью.
Аудит
В процессе внутреннего аудита организации следует пересмотреть его политику и программу с учетом появления новых контролей, изменения старых. Также нужно иметь в виду план по переходу на актуальную версию стандарта. А еще — предусмотреть повышение компетенций специалистов компании по внутреннему аудиту.
Мы рекомендуем ориентироваться на более детальные предложения по выполнению требований из других стандартов ISO:
- Управлять рисками информационной безопасности по методике ISO 27005
, где подробно описано определение и применение процесса оценки таких рисков в соответствии с пунктом 6.1 стандарта ISO 27001. - Организовать выполнение контроля 5.30 по рекомендациям ISO 27031
или в форме интегрированной СМНБ согласно стандарту по управлению непрерывностью бизнеса ISO 22301 . - Организовать выполнение контроля 5.24 по управлению инцидентами по рекомендациям ISO 27035
. - Организовать выполнение контроля 5.23 «Информационная безопасность при использовании облачных сервисов» по рекомендациям ISO 27017
и ISO 19086 . - Использовать требования и рекомендации стандарта ISO 24760
для выполнения контроля 5.17 по процессам аутентификации. - Для выполнения контроля 5.19, связанного с информационной безопасностью во взаимоотношениях с поставщиками, использовать требования и рекомендации стандарта ISO 27036‑2
.
Мы проанализировали влияние изменений на СМИБ и сделали вывод, что версия ISO 27001 от 2022 года существенно лучше предыдущей. Вот как обновления стандарта отразятся на практике.
| Новое в ISO 27001:2022 | Результат применения стандарта |
|---|---|
| В отношении контекста деятельности уделяется больше внимания пониманию внутренних и внешних факторов организации, влияющих на информационную безопасность | СМИБ начнет управлять более реальными для бизнеса рисками, а за счет постановки целей и планирования станет ближе к актуальной деятельности организаций |
| В раздел «Цели информационной безопасности и планирование их достижения» добавился подпункт d, который требует отслеживать выполнение целей на протяжении всего жизненного цикла сертификации | СМИБ станет ближе к бизнесу. В сочетании с ISO 27004 |
| Новый раздел 6.3 «Планирование изменений» охватывает ранее существовавшие требования по контролю изменений | СМИБ станет более адаптированной к изменениям |
| Анализ со стороны руководства теперь должен включать в себя рассмотрение изменений в потребностях заинтересованных сторон, имеющих отношение к СМИБ организации | СМИБ станет равноправным инструментом реализации обязательств организации. А еще у СМИБ появятся реальные цели обеспечения бизнес-потребностей |
| Внедряются кардинальные требования к непрерывности бизнеса (контроль 5.30) | СМИБ станет участником анализа и минимизации простоев бизнеса |
| Внедряются требования относительно угроз, связанных с актуальными технологиями, например облачными вычислениями (контроль 5.23) | Защита конфиденциальных информационных активов и минимизация рисков утечки данных |
| Внедряются требования по аналитике угроз, threat intelligence (контроль 5.7), поскольку скорость атак увеличилась | Быстрое обнаружение и реагирование на кибератаки |
| Внедряются требования (контроль 8.12) к анализу каналов утечки (DLP) | Защита конфиденциальной информации от взлома и изменений, блокировка злонамеренных или случайных попыток редактирования или выгрузки данных |
Организации, которые примут изменения стандарта, смогут лучше защитить данные и адаптироваться к постоянно меняющемуся ландшафту угроз. В итоге компании обеспечат конфиденциальность, целостность и доступность информационных активов.
Внедрение новых контролей, связанных с технологиями, поможет организациям реализовать бизнес-задачи. ISO 27001:2022 дает конкурентное преимущество, а также позволяет снизить риск возможной потери бизнеса.
