Frissül az ISO 27002

​Hamarosan érkezik a ISO 27002 frissített változata, amely számos olyan területet is lefed, amik a szabvány első változatának megjelenése óta váltak dominánsá az informatikában.
 

Minden bizonnyal az ISO 27000-es sorozat nevezhető ma a legismertebb IT biztonsági szabványcsaládnak, mely lehetőséget biztosít szervezeti akkreditációra, ugyanakkor vállalatok ezrei alkalmazzák szerte a világon IT biztonsági keretrendszerük alapköveként.
 
A 27001-es és a 27002-es szabvány utolsó, 2013-as verzióinak publikálása óta számos új technológiai trend látott napvilágot. Az automatizálást még inkább támogató, üzleti szoftverek fejlesztése és az eddigi elavult rendszerek korszerűsítése időről időre biztonsági kihívások elé állítják a technikai szakembereket, a vezetőket, valamint a felhasználókat, és időszerűvé teszik a szabványcsalád korszerűsítését.
 
A 27001-es szabvány alapvetően két részből áll: az első az Információbiztonsági Irányítási Rendszer, mint a biztonsági szervezet és vezetői folyamatok összességének kerete, valamint a hozzá kapcsolódó elvárások együttese. A második rész a konkrét IT biztonsági követelmények - azaz kontrollok - listája kategóriánként. Az ISO 27002, melynek frissített változatát jövő hónapban publikálják, részleteiben ismerteti, és javaslatot tesz ezen biztonsági kontrollok alkalmazására. Az ISO 27002 2013-as változata összesen 114 kontrollt tartalmaz 14 biztonsági témában.
 
A 2022-es megújult változatban a 114 kontroll tartalmilag továbbra is a szabvány részét képezi, azonban az egymáshoz szorosan kapcsolódó követelményeket összevonták, így a kontrollok száma 93-ra csökken. A kontrollokat a technológiai térben bekövetkezett trendeknek köszönhetően kiegészítik további témakörökkel, mint például "Threat Intelligence", felhőbiztonság, távmunka biztonsága, adatszivárgások megelőzése, adatmaszkolás stb. Ezek a kiegészítések tükrözik az előző években megjelent szabályozói elvárásokat és a pandémia alatt tapasztalt biztonsági kihívásokat. Mindemellett néhány kontroll kikerült a szabványból, mint például a "Vagyonelemek eltávolítása" (Removal of assets), illetve számos követelmény átdolgozásra, kiegészítésre kerül például a jogosultságkezelés területén.
 
14 helyett négy kontroll kategória
 
A 2022 februárban megjelenő új csoportosítás a kontrollokat 4 kategóriába sorolja az eddigi 14 helyett:

• Szervezeti Kontrollok (Oraganisational Controls)
• Személyi Kontrollok (People Controls)
• Fizikai Kontrollok (Physical Controls)
• Technológiai Kontrollok (Technological Controls)

 
Minden kontroll attribútumokkal fog rendelkezni. Ilyen attribútumok a kontroll típusa, a CIA (bizalmasság - sértetlenség - rendelkezésre állás) biztonsági követelmények hármasára történő hatása és a kontroll biztonsági doménje (pl. irányítás és ökoszisztéma, védelem, ellenálló képesség stb.). Ez alapul szolgálhat a különböző IT biztonsági keretrendszerek közötti átjárhatóságnak, valamint segít az IT területen kevésbé jártas munkatársaknak is az egyes követelmények üzleti hatásainak megértésében.
 

"Az új ISO szabvány implementálásához szükségessé válhat a teljes IT biztonsági irányítási rendszer újragondolása, valamint a szabályzatok és a kapcsolódó dokumentumok aktualizálása. Feltételezhetően a 2022-es kiadás módosításai hatással lesznek a szabványcsalád további tagjaira is, ezért pl. az ISO 27001 megújult verziója is valószínűsíthető a közeljövőben. Azonban várhatóan lesz egy rövid átmeneti időszak, amikor az akkreditáló szervezetek még elfogadják a 2013-as változat által előírt követelményeket a tanúsításhoz"

- mondta el Dr. Barta Gergő, a Deloitte technológiai tanácsadás üzletágának menedzsere.