ISO/IEC 27001: 2022 換版不求人秘笈-蜜桃麻豆www久久國產(chǎn)精品免費(fèi)_他抱著她插得很舒服
- 報(bào)價(jià)
- 請(qǐng)來電詢價(jià)
- 聯(lián)系手機(jī)
- 17764573265
在2025年10月25日之前，所有ISO/IEC 27001: 2013認(rèn)證證書，都必須換版成ISO/IEC 27001:2022認(rèn)證證書。
以前我也說過很多次，很多人，特別是那些只關(guān)注ISO/IEC 27001附錄A的那些人，面對(duì)ISO/IEC27001新版標(biāo)準(zhǔn)是一臉懵逼，以為新版變化很大，換版會(huì)有很多工作量。這些人之所以會(huì)有這樣的想法，是因?yàn)樗麄儽旧頉]對(duì)標(biāo)準(zhǔn)進(jìn)行理解，只看表面的文字和結(jié)構(gòu)。
由于以上的原因，很多人，這其中包括很多咨詢顧問，面對(duì)新版標(biāo)準(zhǔn)的換版，根本講不清楚要做哪些具體的工作，可能還是拿著以前的那套資料繼續(xù)進(jìn)行忽悠，畢竟這種事情之前就是這樣做的（很多資料還是ISO/IEC27001: 2005版的）。
ISO/IEC 27001:2022新版標(biāo)準(zhǔn)整個(gè)框架是沒有變化的（雖然附錄A的結(jié)構(gòu)變化很大，但是主要內(nèi)容變化不多），這就決定了，換版工作不會(huì)有太多的工作量，而僅僅是局部的微調(diào)，包括體系文件和運(yùn)行記錄的微調(diào)。
要確定換版工作的內(nèi)容，我們首先需要確定ISO/IEC 27001:2022新版標(biāo)準(zhǔn)變化比較大的條款，這些條款會(huì)直接影響到企業(yè)的實(shí)施，而對(duì)于哪些輕微變化的條款，不會(huì)影響到企業(yè)信息安全管理體系實(shí)施的，則在換版過程中不需要關(guān)注。
| ISO/IEC 27001:2022變化較大的條款（會(huì)影響實(shí)施的） | ||
| 序號(hào) | 條款 | 變化描述 |
| 1 | 6.3 變更的策劃 | 新增條款 |
| 2 | 9.3 管理評(píng)審 | 增加了c) |
| 3 | 10.1持續(xù)改進(jìn) | 10.1和10.2位置對(duì)調(diào) |
| 4 | 10.2 不符合及糾正措施 | 10.1和10.2位置對(duì)調(diào) |
| 5 | A.5.7 威脅情報(bào) | 新增的控制項(xiàng) |
| 6 | 5.23 使用云服務(wù)的信息安全 | 新增的控制項(xiàng) |
| 7 | A.5.30 信息與通信技術(shù)（ICT）的業(yè)務(wù)連續(xù)性準(zhǔn)備 | 新增的控制項(xiàng) |
| 8 | A.7.4 物理安全監(jiān)視 | 新增的控制項(xiàng) |
| 9 | A.8.9 配置管理 | 新增的控制項(xiàng) |
| 10 | A.8.10 信息刪除 | 新增的控制項(xiàng) |
| 11 | A.8.11 數(shù)據(jù)脫敏 | 新增的控制項(xiàng) |
| 12 | A.8.12 數(shù)據(jù)泄露防護(hù) | 新增的控制項(xiàng) |
| 13 | A.8.16 監(jiān)視活動(dòng) | 新增的控制項(xiàng) |
| 14 | A.8.23 網(wǎng)頁過濾 | 新增的控制項(xiàng) |
| 15 | A.8.28 安全編碼 | 新增的控制項(xiàng) |
確定了以上變化較大的條款后，接下來，我們便是要確定換版的應(yīng)對(duì)對(duì)策。
| ISO/IEC 27001:2022變化較大的條款換版應(yīng)對(duì)對(duì)策 | ||
| 序號(hào) | 條款 | 換版應(yīng)對(duì)對(duì)策 |
| 1 | 6.3 變更的策劃 | 新增《信息安全變更管理程序》，若原來有相應(yīng)的文件，只要在文件增加信息安全管理體系變更（如文件、職責(zé)和權(quán)限、流程等）的流程即可，然后按照文件輸出相應(yīng)的記錄。 |
| 2 | 9.3 管理評(píng)審 | 修改《管理評(píng)審管理程序》，在輸入內(nèi)容中增加 9.3c）要求的內(nèi)容，同時(shí)更新相關(guān)記錄，如管理評(píng)審計(jì)劃，管理評(píng)審報(bào)告等 |
| 3 | 10.1持續(xù)改進(jìn) | 舊版10.1是不符合及糾正措施，需要更新信息安全管理手冊(cè)，內(nèi)審檢查表中的條款號(hào) |
| 4 | 10.2 不符合及糾正措施 | 舊版10.2是持續(xù)改進(jìn)，需要更新信息安全管理手冊(cè)，內(nèi)審檢查表中的條款號(hào) |
| 5 | A.5.7 威脅情報(bào) | 新增《威脅情報(bào)管理程序》，并輸出相應(yīng)的記錄，如威脅情報(bào)分析報(bào)告，威脅情報(bào)涉及的資產(chǎn)整改記錄等 |
| 6 | 5.23 使用云服務(wù)的信息安全 | 在《采購和供應(yīng)鏈管理程序》中，增加云服務(wù)這類特殊供應(yīng)商的管理要求，并輸出相應(yīng)的記錄 |
| 7 | A.5.30 信息與通信技術(shù)（ICT）的業(yè)務(wù)連續(xù)性準(zhǔn)備 | 在《業(yè)務(wù)連續(xù)性安全管理程序》中增加ICT連續(xù)性準(zhǔn)備要求，如機(jī)房火災(zāi)、機(jī)房斷電，服務(wù)器硬件故障，服務(wù)器系統(tǒng)故障等應(yīng)急方案的制定，演練要求等 |
| 8 | A.7.4 物理安全監(jiān)視 | 在《物理和環(huán)境安全管理程序》中，增加對(duì)物理區(qū)域的安全監(jiān)視要求 |
| 9 | A.8.9 配置管理 | 新增《配置安全管理規(guī)范》，明確配置安全管理的類型，流程等要求，并輸出相應(yīng)的記錄 |
| 10 | A.8.10 信息刪除 | 在《數(shù)據(jù)安全管理規(guī)范》中，增加信息刪除要求 |
| 11 | A.8.11 數(shù)據(jù)脫敏 | 在《數(shù)據(jù)安全管理規(guī)范》中，增加數(shù)據(jù)脫敏要求 |
| 12 | A.8.12 數(shù)據(jù)泄露防護(hù) | 在《數(shù)據(jù)安全管理規(guī)范》中，增加數(shù)據(jù)防泄漏要求 |
| 13 | A.8.16 監(jiān)視活動(dòng) | 在《基礎(chǔ)設(shè)施使用和運(yùn)維安全管理程序》中，增加監(jiān)視活動(dòng)要求 |
| 14 | A.8.23 網(wǎng)頁過濾 | 在《網(wǎng)絡(luò)安全管理程序》中，增加網(wǎng)頁過濾要求，并輸出過濾網(wǎng)頁清單等記錄 |
| 15 | A.8.28 安全編碼 | 在《軟件開發(fā)安全管理程序》中，增加安全編碼要求，并輸出各類編碼語言的安全編碼規(guī)范，代碼檢測(cè)記錄等 |
在換版過程中，除了要有以上的應(yīng)對(duì)策略外，由于新版附錄A的結(jié)構(gòu)，相較于舊版，全部被打亂了，所以與附錄A有關(guān)的相關(guān)記錄，如適用性聲明（SOA），內(nèi)審檢查表等，必須重新進(jìn)行更新。
因?yàn)樵谛畔踩L(fēng)險(xiǎn)評(píng)估中，會(huì)使用到適用性聲明（SOA），所以如果風(fēng)險(xiǎn)評(píng)估的記錄中涉及到了附錄A的條款號(hào)，也必須對(duì)風(fēng)險(xiǎn)評(píng)估的記錄進(jìn)行更新。
以上的換版的應(yīng)對(duì)策略，僅僅對(duì)一些原先舊版做的比較完善的企業(yè)有效，如果原來舊版就是搗糨糊，如像上篇文章寫道的
ISO/IEC27001咨詢輔導(dǎo)服務(wù)的四個(gè)層次，僅僅獲得了“層次一”的效果，不建議使用以上應(yīng)對(duì)策略進(jìn)行進(jìn)行換版，建議重新尋找可靠的咨詢進(jìn)行全面的提升輔導(dǎo)（純粹想拿證的企業(yè)除外）。
項(xiàng)目申報(bào)，資質(zhì)辦理等
為中小企業(yè)提供浙江省及杭州市各部門產(chǎn)業(yè)政策信息咨詢，通過多維度結(jié)構(gòu)化處理數(shù)據(jù)，為中小企業(yè)量身打造實(shí)時(shí)、精準(zhǔn)、高效的咨詢服務(wù)平臺(tái)?。?！...