ISO IEC TS 27022-2021 PDF

Полное наименование и описание

ISO/IEC TS 27022:2021 — Information technology — Guidance on information security management system processes. Техническая спецификация, дающая руководство по процессной модели управления информационной безопасностью и её использованию совместно с требованиями ISO/IEC 27001.

Аннотация

Документ определяет модель процессов (process reference model, PRM) для области управления информационной безопасностью, соответствующую критериям ISO/IEC 33004. Стандарт предназначен для поддержки пользователей ISO/IEC 27001 при внедрении процессного подхода в систему управления информационной безопасностью (ISMS) и дополняет требования-ориентированный подход ISO/IEC 27003 операционным, процессным взглядом.

Общая информация

• Статус: Опубликован (Published).
• Дата публикации: март 2021 (Edition 1, 2021-03).
• Организация-издатель: ISO/IEC (разработка в рамках технического комитета ISO/IEC JTC 1/SC 27 — Information security, cybersecurity and privacy protection).
• ICS / категории: 35.030 (IT security); 03.100.70 (Management systems).
• Редакция / версия: Издание 1 (Technical Specification, Edition 1).
• Количество страниц: 43 страницы (по карточке ISO).

Область применения

Руководство предназначено для организаций и специалистов, внедряющих и эксплуатирующих ISMS на основе ISO/IEC 27001. Оно описывает процессы ISMS, их взаимосвязи и взаимодействие с мерами/контролями, обеспечивая операционную перспективу управления информационной безопасностью и помогая выровнять практики управления процессами с остальными стандартами семейства ISO/IEC 27000.

Ключевые темы и требования

• Определение и структура процессной эталонной модели (PRM) для ISMS в соответствии с критериями ISO/IEC 33004.
• Описание основных ISMS-процессов и их ролей в поддержке мер и контролей (разграничение процессов и мер/контролей).
• Рекомендации по внедрению процессного подхода в рамках требований ISO/IEC 27001 и привязке к другим стандартам семейства 27000.
• Практические указания для эксплуатации и непрерывного улучшения процессов ISMS.
• Согласование терминологии и границ процессов с целями управления информационной безопасностью.

Применение и пользователи

Стандарт полезен для менеджеров по информационной безопасности, руководителей ISMS, внутренних и внешних аудиторов, консультантов, интеграторов и специалистов по управлению процессами, которые нуждаются в практическом, процессно-ориентированном руководстве при реализации и эксплуатации ISMS на основе ISO/IEC 27001.

Связанные стандарты

Непосредственно связан с семейством ISO/IEC 27000 (включая ISO/IEC 27001 и ISO/IEC 27003) и с ISO/IEC 33004 (критерии для процессных эталонных моделей). Рекомендуется использовать в связке с ISO/IEC 27001 (требования) и ISO/IEC 27002 (рекомендации по контролям).

Ключевые слова

ISMS, процессная модель (PRM), управление информационной безопасностью, ISO/IEC 27000, процессы ISMS, процессный подход, операционные процессы, контрольные меры.

FAQ

В: Что это за стандарт?

О: Техническая спецификация, дающая руководство по процессам системы управления информационной безопасностью (ISMS) и описывающая эталонную модель процессов для поддержки ISO/IEC 27001.

В: Что он регулирует?

О: Не регламентирует требования к безопасности как таковые, а описывает процессную структуру и практики управления процессами ISMS — их назначение, взаимодействия и связь с мероприятиями/контролями.

В: Кто обычно использует?

О: Практики по информационной безопасности, руководители ISMS, аудиторы, консультанты и организации, формализующие или оптимизирующие процессы управления информационной безопасностью.

В: Он актуален или заменён?

О: На момент публикации и по данным карточки ISO стандарт опубликован в марте 2021 и числится как действующая техническая спецификация; стандарт подлежит периодическому рассмотрению в соответствии с процедурой ISO (обычный срок пересмотра — каждые 5 лет). Для подтверждения текущего статуса рекомендуется проверять карточку документа у издателя.

В: Это часть серии?

О: Да — документ входит в семейство ISO/IEC 27000 и предназначен дополнять такие публикации, как ISO/IEC 27001 (требования), ISO/IEC 27002 (рекомендации по контролям) и ISO/IEC 27003 (руководство по внедрению), а также опираться на критерии ISO/IEC 33004 для PRM.

В: Какие ключевые слова?

О: PRM, ISMS, процессный подход, информационная безопасность, ISO/IEC 27000, управление процессами, операции ISMS.