Zmiany w ISO 27002: Jak zoptymalizować 93 nowe kontrole w praktyce wdrożenia

Nowa struktura ISO 27002: cztery grupy zamiast czternastu sekcji

AITekst opracowany z wykorzystaniem sztucznej inteligencji. Zasady i ograniczenia

Główna zmiana w ISO 27002:2022 dotyczy struktury kategorii, która z 2013 roku przeszła transformację z czternastu sekcji na cztery grupy tematyczne.

Dawna organizacja wymagała przeszukiwania 14 odrębnych działów, co znacząco utrudniało nawigację w dokumentacji ISMS. Przekształcenie 14 sekcji → 4 grupy (organizacyjne, ludzie, fizyczne, technologiczne) ma na celu ułatwienie implementacji oraz lepszą przejrzystość dokumentacji.

Nowa struktura kategorii umożliwia bardziej intuicyjne mapowanie ryzyk oraz szybsze przygotowanie dokumentacji do audytu. Zamiast rozprzestrzeniania się pomiędzy czternastoma odrębnymi działami, implementatorzy skupiają się teraz na czterech głównych obszarach, co znacząco redukuje czas potrzebny na przegląd wytycznych.

Rozbicie kontroli na grupy tematyczne umożliwia szybkie odnalezienie potrzebnych wytycznych w ramach jednego dokumentu.

Organizacyjne stanowią najliczniejszą część (37 kontroli), co odzwierciedla rosnącą rolę zarządzania ryzykiem w nowej wersji normy. Ludzkie kontrole ograniczono do 8 pozycji, koncentrując się na kluczowych obszarach: weryfikacja kandydatów, szkolenia i procedury wypowiedzenia. Fizyczne zabezpieczenia utrzymały średnią liczbę kontroli (14), obejmując strefy, kontrolę dostępu fizycznego, ochronę sprzętu. Technologiczne (34 kontrole) koncentrują się na kryptografii, logach, backupach i bezpiecznym kodowaniu.

Przejście z ISO 27002:2013 do ISO 27002:2022 to nie tylko zmiana struktury, ale i liczby kontroli. W wersji 2013 roku obowiązywało 114 kontroli, a w 2022 r. ich liczba zmniejszyła się do 93. Część została skonsolidowana, redundancje usunięte, a struktura uproszczona.

Organizacje muszą przeprowadzić mapowanie kontroli, aby zidentyfikować, które z 93 nowych pozycji mają zastosowanie w ich specyfice biznesowej. Aktualizacja deklaracji stosowania (SoA) wymaga precyzyjnego dopasowywania wymagań do istniejących procesów. Okres przejściowy do 31 października 2025 roku daje organizacjom czas na adaptację.

ISO/IEC 27002:2022 to norma zawierająca katalog kontroli bezpieczeństwa informacji, opublikowana w lutym 2022 roku.

Przekształcenie 114 kontroli z 2013 do 93 w 2022 oznacza, że 57 z 24 scalonych elementów wymaga ręcznej weryfikacji przez organizację. To fundamentalne wyzwanie dla firm, które chcą zachować ciągłość certyfikacji ISO 27001.

Mapowanie kontroli: jak przekształcić 114 pozycji z w 93 z

Transformacja normy ISO 27002 od wersji 2013 do 2022 wymaga systematycznego dopasowywania wymagań, aby zachować spójność systemu zarządzania bezpieczeństwem informacji. Mapowanie kontroli przebiega w trzech głównych kategoriach: 57 kontroli zostało scalonych, 35 pozostało bez zmian zmieniając jedynie numerację, a 11 stanowi nowych wymagań. Całkowite zmniejszenie liczby pozycji wynika z usunięcia redundancji i lepszej organizacji tematycznej. Dla organizacji proces mapowania kontroli jest krytycznym krokiem w aktualizacji dokumentacji ISO 27001.

Jednym z najważniejszych elementów mapowania kontroli jest nowa kontrola bezpieczeństwa informacji przy korzystaniu z usług w chmurze (punkt 5.23). Ta pozycja odpowiada współczesnym wymogom cyfrowej transformacji organizacji, gdzie praca zdalna i chmurowe rozwiązania stały się standardem. Mapowanie kontroli wymaga uzasadnienia tej nowej pozycji jako istotnej dla oceny ryzyka, zwłaszcza gdy organizacja wykorzystuje usługi SaaS lub IaaS. Drugim przykładem jest punkt 8.23 dotyczący filtrowania stron internetowych, który odzwierciedla rosnącą liczbę zagrożeń wykrywanych podczas przeglądania sieci. Trzeba podkreślić, że 35 pozycji z 2013 pozostało bez zmian, co ułatwia początkowy etap mapowania kontroli. Organizacje mogą zaktualizować jedynie numerację, zachowując istniejące środki zabezpieczające. Dla 11 nowych kontroli wymaga się przeprowadzenia analizy ryzyka i uzasadnienia ich włączenia do systemu zarządzania. Bezpieczeństwo informacji przy korzystaniu z usług w chmurze stało się fundamentalne dla organizacji pracujących w modelu hybrydowym. Filtrowanie stron internetowych chroni przed malware rozprzestrzenianym się przez przeglądarki. Praktyczne wskazówki dla organizacji przy aktualizacji mapowania zaczynają się od inwentaryzacji istniejących 114 kontroli z 2013 i ich klasyfikacji według funkcji. Następnie dla każdej z nich należy odnaleźć odpowiadającą pozycję w nowej strukturze 93 kontroli z 2022, stosując metody dopasowywania wymagań. Ostatnim krokiem jest uzasadnienie wszelkich wykluczeń lub połączeń kontroli w dokumentacji projektowej. Organizacje powinny zaplanować sesję szkoleniową dla zespołu ISMS na temat nowej struktury 93 kontroli, ponieważ całkowite przekształcenie wymaga świadomego podejścia.

Mapowanie kontroli to proces szczegółowego dopasowywania wymagań pomiędzy wersjami normy, który musi uwzględniać wszystkie 114 pozycje z.

Atrybuty kontroli: pięć filarów kategoryzacji w praktyce

Każda z 93 kontroli w ISO 27002:2022 opiera się na pięciu atrybutach kontrolnych, które stanowią podstawę do ich klasyfikacji i implementacji. Te atrybuty umożliwiają precyzyjne dopasowanie środków bezpieczeństwa do specyfiki organizacji oraz efektywną dokumentację systemu zarządzania bezpieczeństwem informacji.

Typ kontroli klasyfikuje środki jako zapobiegawcze (prewencyjne), wykrywające (monitoringowe) lub korygujące (naprawcze). Kontrola 5.7 Analiza zagrożeń jest typu zapobiegawczego, ponieważ pozwala zidentyfikować luki zanim zostaną wykorzystane. Właściwości bezpieczeństwa określają, które z trzech filarów - poufność, integralność, dostępność - są chronione danym środkiem. Funkcje NIST CSF mapują kontrolę na pięć funkcji: identyfikację, ochronę, wykrywanie, reagowanie, odtwarzanie.

Zdolności operacyjne opisują, jakie czynności musi wykonywać organizacja, a domeny wskazują, do której grupy (organizacyjne, ludzie, fizyczne, technologiczne) dana kontrola należy. Przykładem jest kontrola 8.23 Filtrowanie stron, która łączy charakter wykrywający z funkcją wykrywania z ram NIST CSF oraz domeną technologiczną.

W praktyce bank stosuje kontrolę dostępu fizycznego jako środek zapobiegawczy, chroniący poufność danych klientów oraz łączący się z funkcją ochrony w klasyfikacji według NIST CSF. Szpital implementuje szyfrowanie danych jako kontrolę korygującą, gdyż odtwarza integralność po incydencie. Centra danych wykorzystują monitorowanie logów jako kontrolę wykrywającą, powiązaną z funkcją reagowania.

Tabela ilustruje, jak pięć atrybutów kontrolnych umożliwia szybkie zestawienie środków bezpieczeństwa według ich charakterystyki i zastosowania. Analiza ryzyka w organizacji może wykorzystać tę klasyfikację do priorytetyzacji środków o najwyższej wartości prewencyjnej.

Praktyczne zastosowanie atrybutów przejawia się wypełnianiu deklaracji stosowania (SoA). Kontrola 8.23 wymaga precyzyjnego opisania typu jako wykrywającego, powiązania z funkcją wykrywania z ram NIST CSF oraz wskazania domeny technologicznej. Taki opis tworzy uzasadnienie kontrol, które stanowi istotny element dokumentacji ISMS.

Czy każdy atrybut kontrolny musi być uwzględniony w SoA?

Tak, każdy atrybut kontrolny stanowi obowiązkowy element opisu w deklaracji stosowania, ponieważ umożliwia przejrzyste mapowanie atrybutów na konkretne pola w systemie zarządzania ryzykiem organizacji. To mapowanie atrybutów jest niezbędne dla pełnej wersji audytowej systemu.

Jak odróżnić kontrolę zapobiegawczą od wykrywającej?

Kontrola zapobiegawcza działa przed wystąpieniem zagrożenia, np. analiza zagrożeń, podczas gdy kontrola wykrywająca reaguje po jego wykryciu, np. monitorowanie logów. Rozróżnienie to jest fundamentalne dla prawidłowego projektu środków bezpieczeństwa.

Czy domeny bezpieczeństwa są obligatoryjne przy każdej kontrolce?

Tak, każda kontrola musi być przypisana do jednej z czterech domen: organizacyjne, ludzie, fizyczne lub technologiczne. To przypisanie umożliwia analizę pokrycia środków w ramach strategii bezpieczeństwa organizacji.

Jak radzić sobie z kontrolką, która chroni wiele właściwości?

Niektóre środki, jak szyfrowanie danych, chronią jednocześnie poufność i integralność. W takich przypadkach należy w dokumentacji wymienić wszystkie dotknięte właściwości bezpieczeństwa oraz przypisać kontrolę do odpowiedniej domeny.

Aktualizacja SoA i ryzyka dla 11 nowych kontroli

Aktualizacja Oświadczenia Stosowalności (SoA) stanowi istotny krok w implementacji ISO 27002:2022, gdyż 11 nowych kontroli wymaga dedykowanej analizy ryzyka. Organizacje posiadające certyfikat ISO 27001:2013 muszą zakończyć przejściowy okres do 31 października 2025 r., aby zintegrować zmiany w systemie zarządzania bezpieczeństwem informacji. Praktyczna realizacja wymaga precyzyjnego dopasowywania wymagań oraz dokumentowania decyzji o wykluczeniu zabezpieczeń, które nie mają zastosowania w danej organizacji.

Proces aktualizacji SoA rozpoczyna się od powiązania kontrolne pomiędzy wersją 2013 a 2022 roku. Należy przeprowadzić mapowanie 114 pozycji zmniejszono do 93, co umożliwia identyfikację zduplikowanych lub scalonych elementów. Dla każdej z 93 kontroli organizacja musi sporządzić deklarację stosowania, odrzucając tylko te pozycje, które mają wyłącznie charakter teoretyczny w danym kontekście działalności. Wszystkie decyzje wymagają uzasadnienia, daty podjęcia oraz oznaczenia odpowiedzialnej osoby zgodnie z wymogami ISO/IEC 27001:2022 dotyczącymi dokumentacji systemu zarządzania.

Kolejnym etapem jest analiza ryzyka dla 11 nowych pozycji, w tym dla bezpieczeństwa informacji przy korzystaniu z usług w chmurze (punkt 5.23) oraz filtrowania stron internetowych (8.23). Procedura oceny ryzyka opiera się na formule: Ryzyko = Prawdopodobieństwo × Skutki, gdzie obie zmienne wartościujemy w skali 1-5. Identyfikacja zagrożeń wymaga uwzględnienia takich scenariuszy jak wyciek danych przez dostawcę lub nieautoryzowany dostęp do zasobów chmurowych, a następnie dobór odpowiednich środków kontrolnych.

Dokumentowanie decyzji o wykluczeniu kontrolnym wymaga spełnienia czterech elementów: uzasadnienie (np. brak korzystania z usług chmurowych), data podjęcia decyzji, odniesienie do odpowiedniej sekcji w dokumentacji oraz oznaczenie odpowiedzialnej osoby. Wszelkie wykluczenia należy archiwizować w systemie zarządzania dokumentami, co umożliwia ich późniejsze weryfikowanie podczas przeglądów systemu zarządzania. Regularny przegląd listy wykluczonych kontroli raz w roku pozwala zweryfikować ich aktualność w miarę zmian organizacyjnych i technologicznych.

Przejście z 2013: okres przejściowy do 31 października

Organizacje certyfikowane w wersji ISO 27001:2013 znajdowały się w okresie przejściowym do 31 października 2025 roku, po którym mogą utrzymywać jedynie certyfikaty zgodne z najnowszą wersją normy. Termin ten oznacza koniec możliwości korzystania z przestarzałej struktury 114 kontroli, które zostały zastąpione przez 93 pozycje w wersji 2022. Przekroczenie tego okresu przejściowego skutkowałoby utratą ważności certyfikatu oraz naruszeniem wymogów akredytowanych jednostek certyfikujących, które mogą odmówić przedłużenia aktualizacji dokumentacji. Proces audytu przejścia przeprowadzany jest przez akredytowaną jednostkę certyfikującą i wymaga spełnienia czterech istotnych warunków. Pierwszym z nich jest mapowanie kontroli z 2013 na nową strukturę 2022, gdzie każda z 114 pozycji musi zostać odwzorowana na odpowiednik w 93 nowych regulacjach. Drugim elementem jest aktualizacja deklaracji stosowania (SoA), która musi precyzyjnie wskazywać, które z 93 kontroli są realizowane, a które wymagają uzasadnionej rezygnacji. Trzecią fazą jest ocena ryzyk dla 11 nowych mechanizmów bezpieczeństwa, które nie istniały w poprzedniej wersji standardu. Ostatnim wymogiem jest aktualizacja dokumentacji polityk i procedur zgodnie z nową klasyfikacją tematyczną. Organizacje zaczynające przygotowania w 2024 roku powinny podążać za czteroletnim harmonogramem. Q1 2024 to analiza luk w istniejących kontrolach oraz przygotowanie szczegółowej mapy przejścia, co pozwala wcześnie zidentyfikować potencjalne problemy. W Q2 2024 następuje główne dopasowywanie wymagań oraz aktualizacja deklaracji stosowania, co wymaga współpracy z działami bezpieczeństwa. Q3 2024 to przeprowadzenie oceny ryzyk dla 11 nowych kontroli oraz aktualizacja dokumentacji polityk, a w Q4 2024 - wewnętrzny przegląd przed przygotowaniem się do audytu przejścia.

Nowa struktura normy 2022 wprowadza istotne zmiany w podziale kontroli. Cztery główne grupy tematyczne zastąpiły 14 sekcji, a każda z 93 pozycji została rozbudowana o pięć atrybutów: typ (zapobiegawcza, wykrywająca, korygująca), właściwości (poufność, integralność, dostępność), funkcje cyberbezpieczeństwa, zdolności operacyjne oraz domeny działania. Z kolei 57 kontrolek zostało scalonych w 24 grupy, co oznacza eliminację redundancji, a 11 nowych mechanizmów adresuje współczesne zagrożenia takie jak bezpieczeństwo w chmurze czy filtrowanie stron. Całkowita liczba pozostałych bez zmian pozycji wynosi 35, z czego 37 to kontrolki organizacyjne, 8 to elementy związane z ludźmi, 14 to kontrolki fizyczne i 34 to reguły technologiczne.

FAQ: najczęstsze pytania o zmiany w ISO 27002

Poniżej znajdują się odpowiedzi na najważniejsze pytania organizacji przejściowych z ISO 27002:2013 na wersję 2022 r.

Jakie są główne różnice między ISO 27002: a ISO 27002:?

Istotna zmiana polega na redukcji 114 kontroli (2013) → 93 kontrole (2022) - 21 pozycji zostało usuniętych lub scalonych. Nowa struktura normy opiera się na czterech grupach tematycznych zamiast czternastu sekcji, co wymaga ponownego dopasowania istniejących procedur do nowej klasyfikacji.

Czy mogę wykluczyć wszystkie kontrole fizyczne w organizacji w pełni zdalnej?

Tak, organizacje w pełni zdalne mogą wykluczyć kontrolki fizyczne tylko wtedy, gdy udokumentują, że pracownicy pracują wyłącznie z urządzeń spersonalizowanych w prywatnych lokalizacjach. Przykładem jest wykluczenie kontroli 12.3 (strefy fizyczne), gdy nie ma biur. Zgodnie z normą: „Organizacje mogą wykluczyć kontrole, które nie mają zastosowania w ich organizacji”.

Jak długo trwa proces aktualizacji certyfikatu ISO 27001?

Proces aktualizacji certyfikatu trwa 6-12 miesięcy od momentu przystąpienia do przejścia. Kluczowe etapy to: mapowanie kontroli (1-2 miesiące), aktualizacja SoA (2-3 miesiące), ocena ryzyk dla 11 nowych kontroli (1-2 miesiące) oraz audyt przejścia przez akredytowaną jednostkę certyfikującą (1 miesiąc).

Jakie są konsekwencje niezaktualizowania systemu zarządzania bezpieczeństwem informacji?

Trzy istotne konsekwencje to: utrata ważności certyfikatu po 31 października 2025, nieprzestrzeganie wymogów DORA dla podmiotów obowiązanych oraz ryzyko kar administracyjnych z DPDI. Organizacje muszą przejść na nową wersję normy ISO 27001 z 2022 roku, aby utrzymać ważność certyfikatów.

Czy nowe kontrole wymagają dodatkowego budżetu?

Trzy obszary wymagają dodatkowych środków: szkolenia dla personelu w zakresie nowych kontroli technologicznych (34 pozycje), wdrożenie narzędzi do filtrowania stron internetowych (kontrola 8.23) oraz rozwój dokumentacji procesów dla 11 nowych kontroli. Szacuje się, że koszt szacuje się na 5-15% rocznego budżetu bezpieczeństwa.

Jakie dokumenty należy zaktualizować w pierwszej kolejności?

Priorytetowa kolejność aktualizacji to: 1) Oświadczenie o Stosowalności (SoA) - wymaga uzasadnienia zastosowania 93 kontroli, 2) Polityki bezpieczeństwa - muszą odnosić się do nowej struktury 4 grup, 3) Procedury operacyjne - zwłaszcza te związane z chmurą (5.23) i filtrowaniem stron (8.23). Każda pozycja musi zawierać odniesienie do atrybutów kontroli: typ, właściwości, funkcje cyberbezpieczeństwa.