Αναθεώρηση του προτύπου ISO/ IEC 27001

Χρονοδιάγραμμα μετάβασης από το ISO/IEC 27001:2013 στο ISO/IEC 27001:2022

Χρήσιμες Πληροφορίες για την νέα έκδοση του προτύπου ISO27001

Ως κάτοχοι ενεργού πιστοποιητικού ISO/IEC27001 θα πρέπει να οργανώσετε την αναβάθμιση του πιστοποιητικού σας στην καινούργια έκδοση του προτύπου και να προετοιμαστείτε για αυτό με τον κατάλληλο τρόπο, στις συνθήκες που έχει καθορίσει ο International Organization for Standardization (ISO) για αυτήν την εργασία.

Στην συνέχεια υπάρχουν οι απαραίτητες πληροφορίες για να ενημερωθείτε και να προγραμματίσετε τις ενέργειες σας

Χρονοδιάγραμμα μετάβασης από ISO/IEC 27001:2013 στο ISO/IEC 27001:2022

Σαν συνέπεια της πολύχρονής παρουσίας του προτύπου ISO/IEC 27001:2013, των τεχνολογικών εξελίξεων που τρέχουν με πολύ γρήγορους ρυθμούς και της σημαντικής διείσδυσης του προτύπου στην αγορά πιστοποίησης, προέκυψε η ανάγκη για την αναβάθμιση του σε νέα έκδοση.

 Από το Φεβρουάριο του 2022 ο International Organization for Standardization (ISO) είχε ανακοινώσει την τελική έκδοση αναθεώρησης του ISO27002 (που περιέχει τις κατευθυντήριες γραμμές για την υλοποίηση του 27001) και είχε προαναγγείλει την αναθεώρηση του προτύπου πιστοποίησης ISO/IEC 27001.

Η νέα έκδοση του προτύπου ISO/IEC 27001:2022 ανακοινώθηκε από τον ISO στις 25/10/2022.

Όπως συνηθίζεται στις αναθεωρήσεις των προτύπων, έχει καθοριστεί 3ετής περίοδος για την μετάβαση στο νέο πρότυπο, με τις ακόλουθες συνθήκες:

Είδος επιθεώρησης	Έκδοση προτύπου	Επιτρέπονται από	Ισχύς πιστοποιητικών έως	Σχόλια
Υπάρχουσες πιστοποιήσεις /Ανανεώσεις	ISO/IEC 27001:2013	3ετία	31/10/2025	Μετά την 31/10/2025 θα γίνει ανάκληση  για τα πιστοποιητικά με ISO/IEC 27001:2013
Αρχικές πιστοποιήσεις με την παλαιά έκδοση	ISO/IEC 27001:2013	25/10/2022	31/10/2025	Επιτρέπονται αρχικές πιστοποιήσεις με το παλαιό πρότυπο μέχρι 31/10/2023, όμως περιορίζεται η λήξη ισχύος τους μέχρι 31/10/2025 (ανεξαρτήτως 3ετίας)
Αρχικές πιστοποιήσεις με την νέα έκδοση	ISO/IEC 27001:2022	25/10/2022	3ετία	Επιτρέπονται άμεσα πιστοποιήσεις με το νέο πρότυπο. Από 01/11/2023 υποχρεωτικά με το νέο πρότυπο

---

• Δεν υπάρχουν αλλαγές στις βασικές παραγράφους 4-10
• Τα security controls έχουν αλλάξει από 114 σε 93
• Τα security controls είναι χωρισμένα σε 4 γενικούς τομείς αντί 14:
  • People (8 controls)
  • Organizational (37 controls)
  • Technological (34 controls)
  • Physical (14 controls)
• Υπάρχουν 11 καινούργια security controls που στην προηγούμενη έκδοση δεν υπήρχαν:
  • Threat intelligence
  • Information security for use of cloud services
  • ICT readiness for business continuity
  • Physical security monitoring
  • Configuration management
  • Information deletion
  • Data masking
  • Data leakage prevention
  • Monitoring activities
  • Web filtering
  • Secure coding
• Έχουν δημιουργηθεί 5 τύποι χαρακτηριστικών (attributes) που αφορούν στα security controls για την καλύτερη κατηγοριοποίηση τους:
  • Control type (preventive, detective, corrective)
  • Information security properties (confidentiality, integrity, availability)
  • Cybersecurity concepts (identify, protect, detect, respond, recover)
  • Operational capabilities (governance, asset management, etc.)
  • Security domains (governance and ecosystem, protection, defense, resilience)

Λίστα αντιπαράθεσης παραγράφων

ISO 27002:2022	ISO 27002:2013 equivalent
A.5.7 Threat intelligence	A.6.1.4 Contact with special interest groups
A.5.16 Identity management	A.9.2.1 User registration and de-registration
A.5.23 Information security for use of cloud services	A.15.x Supplier relationships
A.5.29 Information security during disruption	A.17.1.x Information security continuity
A.5.30 ICT readiness for business continuity	A.17.1.3 Verify, review and evaluate information security continuity
A.7.4 Physical security monitoring	A.9.2.5 Review of user access rights
A.8.9 Configuration management	A.14.2.5 Secure system engineering principles
A.8.10 Information deletion	A.18.1.3 Protection of records
A.8.11 Data masking	A.14.3.1 Protection of test data
A.8.12 Data leakage prevention	A.12.6.1 Management of technical vulnerabilities
A.8.16 Monitoring activities	A.12.4.x Logging and monitoring
A.8.23 Web filtering	A.13.1.2 Security of network services
A.8.28 Secure coding	A.14.2.1 Secure development policy