Mitä eroa on ISO 27001:2013 ja ISO 27001:2017?

Ero ISO 27001 -versioissa

IKäytännössä hyvin vähän on muuttunut vuosien 2013 ja 2017 välillä ISO 27001 standardeja lukuun ottamatta muutamia pieniä kosmeettisia kohtia ja pientä nimenmuutosta.

ISMS-standardin viimeisin julkaistu versio on – BS EN ISO/IEC 27001: 2017.

- ISO vuoden 2013 julkaisu ja muutokset eivät vaikuttaneet standardin versioon (2017). älä ottaa käyttöön uusia vaatimuksia.

Niille, jotka etsivät UKAS akkreditoitu ISO 27001 -sertifikaatti, UKAS akkreditoi ISO-standardin, joten sertifiointiin ei ole tehty muutoksia, joten tämä versio ei lisää siirtymätoimia.

Vuoden 2017 muutos otettiin käyttöön osoittamaan, että CEN/CENELEC on hyväksynyt EN-merkinnän ("eurooppalainen standardi").

Päivitetty BS sisältää kuitenkin kaksi aiemmin julkaistua korjausta/muutosta ISO 27001:2013:een, erityisesti kohtaan 6.1.3 ja liitteen A kohtaan 8.1.

Katsotaanpa, mitä nämä korjaukset kattoivat:

Oikaisu 1: ISO/IEC 27001:2013/Cor.1:2014(en) - julkaistu 2014

A.8.1.1 (Omaisuusluettelo), korvaa ohjausobjektin tavoitetekstin seuraavista:

"Tietoon ja tietojenkäsittelylaitteisiin liittyvä omaisuus on tunnistettava ja niistä laadittava ja ylläpidettävä luettelo."

että:

”Tiedot, muu tietoon liittyvä omaisuus ja tietojenkäsittelylaitteet on tunnistettava ja näistä varoista on laadittava luettelo ja sitä on ylläpidettävä."

Muutos teki sen selväksi tiedot myös itseään on pidettävä omaisuuseränä ja sisällytettävä varastoon.

Niille, jotka käyttävät ISMS.online, annetut ohjeet Alakohta A.8.1.1 sekä meidän ISO 27001 Virtual Coach, ota tämä täysin huomioon.

Toisin kuin eräät markkinoiden vanhemmat työkalut, ISMS.online käyttää tietoomaisuuteen perustuva lähestymistapa riskienhallintaan joten voit olla varma, että tämä tärkeä muutos on käsitelty.

Lue lisää Kuinka kehittää omaisuusluettelo.

Napsauta nähdäksesi suuremman kuvan siitä, kuinka käytämme ISMS.online-alustaa ISO 27001:lle

Oikaisu 2: ISO/IEC 27001:2013/Cor.2:2015(en) – julkaistu 1

Tämä sisälsi muutoksia alalausekkeeseen. 6.1.3 (Tietoturvariskien käsittely) ja erityisesti kohtaan d) soA (SoA). Se oli vain kosmeettinen säätö, jolla erotettiin varmenteen vaadittu sisältö pääkappaleesta erillisiksi luodeiksi, mikä teki selvemmäksi, että SoA:n on sisällettävä vähintään neljä elementtiä:

• Tarvittavat valvontatoimenpiteet täytäntöönpanoa varten tietoturvariskien käsittely, ottaen huomioon liitteen A lisäksi myös organisaation tarpeen mukaan suunnittelemat hallintalaitteet sekä muut mistä tahansa lähteestä tunnistetut (esim. NIST SP 800 -sarjan asiakirjojen ohjaukset)

• Perustelut näiden tarkastusten sisällyttämiselle

• Hallintalaitteiden tila (esim. toteutettu tai ei)

• Perustelut minkä tahansa poissulkemiselle Liite A valvonta

ISO 27001:n soveltuvuusselvitystä pidetään usein yhtenä standardin vaativimmista tehtävistä sekä luomisessa että ajan tasalla pitämisessä. Voit lukea artikkelimme, Ilmoitus soveltuvuudesta yksinkertaistettuna lisätietoja.

Napsauta nähdäksesi suuremman kuvan siitä, kuinka ylläpidämme Ilmoitus soveltuvuudesta ISMS.online-alustalla

Kuinka kohdata muutokset

/software-features/Kanssa ISMS.online, Oikaisukohdat on sisällytetty sekä ohjeiden että työkalujen osalta, joita käytät ISO 27001 -toteutuksen nopeuttamiseen ja lyhentää ISMS:n jatkuvaa hallintaa.