ISO27001是一種信息安全管理體系(Information Security Management System, ISMS)標(biāo)準(zhǔn)，是世界上廣泛應(yīng)用的、通用及可證明的信息安全管理框架之一，旨在通過采取一系列信息安全管理制度、流程和控制措施，確保組織能夠最大限度地保護(hù)其信息資產(chǎn)和利益。

01

2022與2013版的主要區(qū)別

ISO/IEC27001:2022版本于2022年10月發(fā)布，新版發(fā)生了較大的變化，標(biāo)題也由《信息技術(shù)-安全技術(shù)-信息安全管理體系要求》改為《信息安全-網(wǎng)絡(luò)安全-隱私保護(hù)-信息安全管理體系要求》，具體改變包括：

1）正文框架的變化

標(biāo)準(zhǔn)正文的框架性要求沒有出現(xiàn)較大變化，主要是增加6.3變更計劃，對9.2內(nèi)部審計和9.3管理評審進(jìn)行了調(diào)整，對第10章兩個子條款的順序進(jìn)行了互換，其他個別條款進(jìn)行了微調(diào)。

2）附錄A控制項的核心變化

2022版對附錄A中信息安全控制框架結(jié)構(gòu)進(jìn)行了重新構(gòu)建，2013版的14個安全控制域合并后總結(jié)歸納為人員、物理、技術(shù)、組織四大主題，這樣的分類更加簡單，更加方便組織對安全控制項進(jìn)行選擇歸類，以加強(qiáng)信息安全控制措施的實施。

3）新增11個安全控制項

2022版的控制項相比2013版，從114個變?yōu)?3個，其中新增11個控制項，更新58個控制項，合并24個控制項。

新版增加了11個安全控制項，新增加的控制項主要集中在組織控制和技術(shù)控制兩個主題：

--組織控制主題中增加了威脅情報、云服務(wù)以及業(yè)務(wù)連續(xù)性的控制點。

--技術(shù)控制主題主要是增加了關(guān)于數(shù)據(jù)安全、配置管理、信息刪除、數(shù)據(jù)防泄漏、數(shù)據(jù)屏蔽、監(jiān)控活動、網(wǎng)站過濾、安全編碼等控制點。

--物理控制主題增加了物理安全監(jiān)控。

總之，為了適應(yīng)數(shù)字化轉(zhuǎn)型以及組織面臨的安全風(fēng)險，2022版更強(qiáng)調(diào)了信息安全管理（ISMS）的規(guī)范性和適用性，更適應(yīng)當(dāng)前的信息安全發(fā)展趨。

技術(shù)驅(qū)動，因為云計算、移動互聯(lián)的使用，使得組織的工作方式發(fā)生了很大的變化，也帶來了無邊界、零信任等新的技術(shù)概念。在新版標(biāo)準(zhǔn)中新增了7個技術(shù)控制的控制項，包括數(shù)據(jù)安全、云服務(wù)安全、配置管理、安全編碼等管理控制。

管理流程，由于外在環(huán)境與內(nèi)部業(yè)務(wù)都在發(fā)生劇烈的變化，信息安全管理流程需要去適應(yīng)業(yè)務(wù)的變化，管理流程應(yīng)更加彈性的實施并開展監(jiān)督活動。 新版標(biāo)準(zhǔn)從技術(shù)驅(qū)動、管理流程、適應(yīng)與多方協(xié)調(diào)帶來了信息安全管理新范式。

4）新增控制措施屬性 2022版還有一個重大的變化就是對控制措施增加了5個屬性，分別為控制類型、信息安全屬性、網(wǎng)絡(luò)概念、運營能力和安全域。

組織可以使用屬性來創(chuàng)建不同的視圖，這些視圖是從主題的不同角度來對控制進(jìn)行不同的分類。每個控制都與具有相應(yīng)屬性值的五個屬性相關(guān)聯(lián)。屬性可用于在不同的視圖中為不同的受眾篩選、排序或呈現(xiàn)控制。可以通過特定屬性值過濾來創(chuàng)建視圖，例如下圖是糾正性的控制視圖。

02

重大控制點變化解讀

1）加強(qiáng)業(yè)務(wù)連續(xù)性管理

ICT為業(yè)務(wù)連續(xù)性做好準(zhǔn)備是業(yè)務(wù)連續(xù)性管理和信息安全管理的一個重要組成部分，以確保在中斷期間能夠繼續(xù)實現(xiàn)組織的目標(biāo)。

在業(yè)務(wù)連續(xù)性和ICT連續(xù)性規(guī)劃方面，有必要根據(jù)與正常運行條件相比的中斷類型來調(diào)整信息安全要求。作為在業(yè)務(wù)連續(xù)性管理中執(zhí)行的業(yè)務(wù)影響分析和風(fēng)險評估的一部分，應(yīng)考慮維護(hù)可用性的需要，還應(yīng)考慮失去信息機(jī)密性和完整性的后果并確定其優(yōu)先級。

2）加強(qiáng)云服務(wù)的信息安全管理

加強(qiáng)管理云服務(wù)供應(yīng)鏈的信息安全，其中云服務(wù)提供商依賴于軟件開發(fā)商、電信服務(wù)提供商、硬件提供商等，定義實施流程和程序，以管理云服務(wù)供應(yīng)鏈相關(guān)的信息安全風(fēng)險。

另外，還應(yīng)關(guān)注云環(huán)境的安全配置、云上數(shù)據(jù)的備份、日志記錄、云環(huán)境的時鐘同步、云環(huán)境的測試等安全問題。

3）加強(qiáng)個人數(shù)據(jù)、隱私保護(hù)等數(shù)據(jù)安全管理

從《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》到《個人信息保護(hù)法》，國家加強(qiáng)了對個人信息保護(hù)及企業(yè)數(shù)據(jù)合規(guī)的監(jiān)管，數(shù)據(jù)安全的保護(hù)變得越來越重要。

審核編輯：黃飛