Mikä on liitteen F tarkoitus?
Liite F otettiin käyttöön vuoden 2025 painoksessa erityisesti tukemaan organisaatioita, jotka siirtyvät standardista ISO 27701:2019. Se tarjoaa yhteensopivuuden taaksepäin kuvaamalla jokaisen kontrollin molempiin suuntiin:
- Taulukko F.1 — Yhdistää jokaisen vuoden 2025 kontrollin sen vuoden 2019 vastineeseen/vastaaviin
- Taulukko F.2 — Yhdistää jokaisen vuoden 2019 kontrollin vuoden 2025 vastineeseen (tai merkitsee sen ei-sovellettavaksi, jos se on poistettu)
Tämä on lopullinen viite sinulle siirtymävaiheen analyysiTarkista taulukon F.2 avulla, mitä kullekin olemassa olevalle kontrollille tapahtui, ja taulukon F.1 avulla ymmärrät, mistä kukin uusi vuoden 2025 kontrolli on peräisin.
Miten vuoden 2025 jaetut tietoturvakontrollit vastaavat vuotta 2019?
29 jaettua suojauskontrollia taulukossa A.3 korvasi vuoden 2019 painoksen 6. kohdan yli 90 alakohtaa. Monet vuoden 2019 kontrollit yhdistettiin tai poistettiin, koska ne eivät sisältäneet PII-kohtaisia ohjeita.
| 2025 Ohjaus | Vuoden 2019 vastaava(t) | Ohjausnimi |
|---|---|---|
| A.3.3 Tietoturvakäytännöt | 6.2.1.1, 6.2.1.2 | Tietoturvakäytännöt |
| A.3.4 Käyttöoikeusroolit | 6.3.1.1 | Tietoturvaroolit ja -vastuut |
| A.3.5 Tietojen luokitus | 6.5.2.1 | Tietojen luokitus |
| A.3.6 Tietojen merkitseminen | 6.5.2.2 | Tietojen merkitseminen |
| A.3.7 Tiedonsiirto | 6.10.2.1, 6.10.2.2, 6.10.2.3 | Tietojen siirto |
| A.3.8 Identiteetinhallinta | 6.6.2.1 | Identiteettihallinta |
| A.3.9 Käyttöoikeudet | 6.6.2.2, 6.6.2.5, 6.6.2.6 | Käyttöoikeudet |
| A.3.10 Toimittajasopimukset | 6.12.1.1, 6.12.1.2 | Toimittajasopimukset |
| A.3.11 Tapahtumahallinta | 6.13.1.4 | Tapahtumahallinnan suunnittelu |
| A.3.12 Tietoturvapoikkeamiin reagointi | 6.13.1.5 | Reagointi tietoturvapoikkeamiin |
| A.3.13 Lakisääteiset ja sääntelyyn liittyvät vaatimukset | 6.15.1.1, 6.15.1.5 | Laki- ja säädösvaatimukset |
| A.3.14 Tietueiden suojaus | 6.15.1.3 | Tietueiden suojaus |
| A.3.15 Riippumaton arviointi | 6.15.2.1 | Riippumaton arvostelu |
| A.3.16 Käytäntöjen noudattaminen | 6.15.2.2, 6.15.2.3 | Käytäntöjen ja standardien noudattaminen |
| A.3.17 Turvallisuustietoisuus ja -koulutus | 6.4.2.2 | Tietoisuus, koulutus ja valmennus |
| A.3.18 Salassapitosopimukset | 6.10.2.4 | Salassapitosopimukset |
| A.3.19 Tyhjä työpöytä ja selkeä näyttö | 6.8.2.9 | Selkeä pöytä ja selkeä näyttö |
| A.3.20 Tallennusvälineet | 6.5.3.1, 6.5.3.2, 6.5.3.3, 6.8.2.5 | Tallennusvälineet |
| A.3.21 Laitteiden turvallinen hävittäminen | 6.8.2.7 | Turvallinen hävittäminen tai uudelleenkäyttö |
| A.3.22 Käyttäjän päätelaitteet | 6.3.2.1, 6.8.2.8 | Käyttäjän päätelaitteet |
| A.3.23 Suojattu todennus | 6.6.4.2 | Turvallinen todennus |
| A.3.24 Tietojen varmuuskopiointi | 6.9.3.1 | Tietojen varmuuskopiointi |
| A.3.25 Lokikirjaus | 6.9.4.1, 6.9.4.2, 6.9.4.3 | Hakkuu |
| A.3.26 Kryptografian käyttö | 6.7.1.1, 6.7.1.2 | Salaustekniikan käyttö |
| A.3.27 Turvallisen kehityksen elinkaari | 6.11.2.1 | Turvallinen kehityksen elinkaari |
| A.3.28 Sovelluksen tietoturva | 6.11.1.2, 6.11.1.3 | Sovelluksen suojausvaatimukset |
| A.3.29 Turvallinen järjestelmäarkkitehtuuri | 6.11.2.5 | Turvallinen järjestelmäarkkitehtuuri |
| A.3.30 Ulkoistettu kehitys | 6.11.2.7 | Ulkoistettu kehitys |
| A.3.31 Testitiedot | 6.11.3.1 | Testitiedot |
Aloita ilmainen kokeilu
Haluatko tutkia?
Rekisteröidy ilmaiseen kokeilujaksoon tänään ja pääset käyttämään kaikkia ISMS.onlinen tarjoamia yhteensopivuusominaisuuksia
Mitkä vuoden 2019 kontrollit poistettiin?
Merkittävä määrä vuonna 2019 Lauseke 6 kontrollilla ei ole suoraa vastinetta vuonna 2025. Nämä ovat kontrollitekijöitä, joissa vuoden 2019 painoksessa viitattiin ISO 27002 -standardiin, mutta ei lisätty henkilötietoja koskevaa erityisohjeistusta. Vuoden 2025 painokseen päätettiin sisällyttää vain kontrollitekijöitä, joilla on erityistä yksityisyyden suojaan liittyvää merkitystä.
Poistettujen ohjausobjektien keskeisiä luokkia ovat:
| Luokka | Vuoden 2019 säätimet poistettu | Syy |
|---|---|---|
| Tehtävien eriyttäminen | 6.3.1.2 | Ei tarvita henkilötietoihin liittyvää erityisohjeistusta |
| Yhteydenpito viranomaisiin / erityisryhmiin | 6.3.1.3, 6.3.1.4 | Johtamisjärjestelmää koskevien lausekkeiden piiriin kuuluva |
| Omaisuusluettelo ja omistajuus | 6.5.1.1-6.5.1.4 | Ei henkilötietoihin liittyviä erityisiä lisäyksiä tarvita |
| Kulunvalvontakäytäntö | 6.6.1.1, 6.6.1.2 | Katettu A.3.9 Käyttöoikeudet (Käyttöoikeudet) |
| Fyysinen turvallisuus | 6.8.1.1 – 6.8.1.6, 6.8.2.1 – 6.8.2.6 | Ei henkilötietoihin liittyviä erityisohjeita tallennusvälineiden/hävitysmateriaalien lisäksi |
| Haittaohjelmien suojaus | 6.9.2.1 | Ei tarvita henkilötietoihin liittyvää erityisohjeistusta |
| Verkkoturvallisuus | 6.10.1.1-6.10.1.3 | Ei tarvita henkilötietoihin liittyvää erityisohjeistusta |
| Haavoittuvuuden hallinta | 6.9.6.1, 6.9.6.2 | Ei tarvita henkilötietoihin liittyvää erityisohjeistusta |
| Liiketoiminnan jatkuvuus | 6.14.1.1-6.14.2.1 | Ei tarvita henkilötietoihin liittyvää erityisohjeistusta |
Tärkeää: Poistaminen ISO 27701 -standardista ei tarkoita, että nämä kontrollit olisivat merkityksettömiä. Jos organisaatiollasi on myös ISO 27001 -standardi, nämä kontrollit pysyvät merkityksellisinä kyseisen standardin mukaisesti. Ne on yksinkertaisesti jätetty pois ISO 27701:2025 -standardista, koska ne eivät vaadi henkilötietoihin liittyvää erityistä käyttöönotto-ohjeistusta.
Miten liitettä F tulisi käyttää siirtymävaiheessa?
- Aloita taulukosta F.2 — Listaa kaikki nykyiset vuoden 2019 kontrollisi ja etsi jokainen niistä. Merkitse, liittyykö se vuoden 2025 kontrolliin vai näkyykö siinä Ei mitään.
- Yhdistettyjen ohjausobjektien osalta — Varmista, että nykyinen toteutuksesi täyttää vuoden 2025 sanamuodon. Useimmat pysyvät voimassa pienin muutoksin.
- Ei-sovellettaville säätimille — Päätä, poistetaanko dokumentaatio käytöstä vai säilytetäänkö se toisen kehyksen (esim. ISO 27001) mukaisesti
- Tarkista taulukosta F.1 uudet ohjausobjektit — Kaikki vuoden 2025 kontrollit, joihin on merkitty ”Uusi” vuoden 2019 sarakkeessa, vaativat uuden käyttöönoton
- Päivitä soveltuvuuslausuntosi — Rakenna se uudelleen käyttämällä vuoden 2025 Liite A rakenne oikeilla ohjausviittauksilla
Katso täydellinen opas siirtymäprosessista ISO 27701 -siirtymäopas.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Miksi valita ISMS.online siirtymääsi varten?
ISMS.online tarjoaa työkalut, joiden avulla siirtymästäsi tulee jäsennelty ja auditoitava:
- Sisäänrakennettu vastaavuuskartoitus — Katso, miten nykyiset vuoden 2019 kontrollisi vastaavat vuoden 2025 rakennetta ilman manuaalista laskentataulukkotyöskentelyä
- Gap-analyysin seuranta — Merkitse jokainen ohjausobjekti kartoitetuksi, päivitystä vaativaksi tai uudeksi ja seuraa edistymistä valmistumiseen asti
- Soveltuvuuslausunnon rakentaja — Luo uusi käyttöoikeussopimuksesi 78 liitteen A mukaisen valvonnan perusteella ja perustele poissulkemiset
- Versiohallittu dokumentaatio — Säilytä sekä vuoden 2019 että vuoden 2025 asiakirjat siirtymäkauden ajan
- Tarkastusrata — Osoita sertifiointielimellesi tarkalleen, mikä muuttui ja milloin siirtymän aikana
UKK
Katetaanko kaikki vuoden 2019 kontrollit vuoden 2025 painoksessa?
Ei. Monilla vuoden 2019 6. pykälän mukaisilla kontrolleilla (erityisesti fyysiseen turvallisuuteen, verkkoturvallisuuteen, haittaohjelmien torjuntaan ja liiketoiminnan jatkuvuuteen liittyvillä) ei ole suoraa vastinetta vuodelle 2025, koska ne eivät sisältäneet henkilötietoja koskevia erityisohjeita. Nämä on merkitty vastaavuustaulukossa Ei sovelleta.
Onko vuonna 2025 olemassa kokonaan uusia sääntelykeinoja?
Vuoden 2025 painoksen kontrollit on pitkälti uudelleenjärjestetty vuoden 2019 sisällöstä sen sijaan, että ne olisivat täysin uusia. Kohtien 4–10 johtamisjärjestelmävaatimukset ovat kuitenkin nyt itsenäisiä (eivät ISO 27001 -standardin laajennuksia), mikä tarkoittaa, että jotkin vaatimukset, kuten erillinen tietosuojakäytäntö ja erillinen tietosuojariskien arviointiprosessi, voivat olla uusia organisaatioille, jotka aiemmin käyttivät tietoturvanhallintajärjestelmädokumentaatiotaan.
Voinko käyttää molempia versioita siirtymäkauden aikana?
Kyllä. Siirtymäkaudella (lokakuusta 2025 lokakuuhun 2028) molemmat versiot ovat voimassa. Nykyinen vuoden 2019 sertifikaattisi on voimassa sen suunniteltuun vanhenemiseen asti tai lokakuuhun 2028 asti, kumpi tulee ensin. Uusia sertifikaatteja voidaan myöntää kummankin version perusteella.
Käytä tätä vastaavuustaulukkoa vaiheittaisten ohjeidemme rinnalla kuiluanalyysiopas tunnistaaksesi, mikä on muuttunut PIMS-järjestelmässäsi.
