ISO IEC 27002-2022 PDF

Полное наименование и описание

ISO/IEC 27002:2022 — «Information security, cybersecurity and privacy protection — Information security controls». Международный руководящий стандарт, содержащий каталог практических мер (controls) и рекомендации по их внедрению для управления информационной безопасностью, кибербезопасностью и защите приватности. Стандарт служит справочником при выборе и реализации мер в рамках СУИБ (ISMS) и дополняет требования ISO/IEC 27001, предлагая конкретные примеры и пояснения к мерам защиты.

Аннотация

Ревизия 2022 года переработала структуру каталога мер: число контролей было оптимизировано и пересмотрено в соответствие с современными угрозами (включая облачные услуги, удалённую работу, угрозы нулевого дня и др.). Введена новая классификация мер по четырём тематическим направлениям и система атрибутов для облегчения отбора и сопоставления мер с рисками и оперативными возможностями организации.

Общая информация

• Статус: Опубликован.
• Дата публикации: Февраль 2022 (корректировка английского издания — март 2022).
• Организация-издатель: ISO и IEC (технический комитет ISO/IEC JTC 1/SC 27).
• ICS / категории: 35.030.
• Редакция / версия: Издание 3 (2022).
• Количество страниц: 152.

Область применения

Руководство предназначено для организаций любого размера и сферы деятельности, желающих выбрать, внедрить и обосновать меры информационной безопасности в рамках СУИБ или как отдельную практику управления рисками информационной безопасности. Стандарт применим как внутри контекста сертифицируемого ISO/IEC 27001, так и для общего совершенствования мер безопасности и соответствия нормативным требованиям.

Ключевые темы и требования

• Пересмотренный каталог мер: сокращение общего числа мер до 93 с реструктуризацией и объединением ранее дублировавшихся пунктов.
• Группировка по четырём темам: Organisational (организационные), People (персонал), Physical (физические) и Technological (технологические) меры.
• Введение атрибутов контроля для упрощённого фильтрования и сопоставления мер с бизнес‑контекстом и требованиями аудита.
• Добавление новых мер, отражающих современные риски (примерно 11 новых контролей, например: threat intelligence, cloud security, secure coding, data masking и др.).
• Рекомендационный характер: ISO/IEC 27002 предоставляет руководство (практики), а не обязательные требования для сертификации — организации выбирают меры на основе оценки рисков.

Применение и пользователи

Основные пользователи — специалисты по информационной безопасности, менеджеры по рискам, аудиторы, разработчики политик и процедур, консультанты по внедрению СУИБ. Стандарт полезен при подготовке Statement of Applicability, проектировании технических и организационных мер, при оценке соответствия требованиям заказчиков и регуляторов.

Связанные стандарты

Часть семейства ISO/IEC 27000. Тесно связан с ISO/IEC 27001 (требования к СУИБ), ISO/IEC 27000 (термины и основы) и другими документами серии (например, ISO/IEC 27005 по управлению рисками). ISO предлагает пакеты публикаций, объединяющие 27000/27001/27002/27005 для комплексного подхода к СУИБ.

Ключевые слова

информационная безопасность, кибербезопасность, приватность, controls, Annex A, ISMS, ISO 27001, риск‑ориентированный подход, облачная безопасность, мониторинг, защита данных.

FAQ

В: Что это за стандарт?

О: Практическое руководство по мерам информационной безопасности — каталог контролей и рекомендации по их реализации для защиты информации, кибербезопасности и приватности.

В: Что он регулирует?

О: Не регулирует в смысле законодательства; даёт рекомендации и лучшие практики по выбору и внедрению мер безопасности (организационных, людских, физических и технологических) на основе оценки рисков.

В: Кто обычно использует?

О: Команды по информационной безопасности, руководители ИТ и рисков, аудиторы, консультанты и организации, готовящиеся к сертификации по ISO/IEC 27001 или совершенствующие свой набор мер безопасности.

В: Он актуален или заменён?

О: ISO/IEC 27002:2022 — действующая (актуальная) редакция; она заменила ISO/IEC 27002:2013. Дата публикации — февраль 2022 с корректировкой английского текста в марте 2022. Рекомендации 2013 года были отозваны в пользу версии 2022.

В: Это часть серии?

О: Да — это документ семейства ISO/IEC 27000, служащий вспомогательным руководством к требованиям ISO/IEC 27001 и связанным стандартам по управлению рисками и защите информации.

В: Какие ключевые слова?

О: controls, ISMS, информационная безопасность, кибербезопасность, приватность, оценка рисков, облачная безопасность, мониторинг, защита данных.