Като отчита бързо променящата се среда на киберсигурността, ISO актуализират стандартите за сигурност на информацията. По-рано тази година беше публикувана новата версия на ISO/IEC 27002:2022. Стандартът ISO/IEC 27001, който предоставя изисквания за създаване, внедряване, поддържане и непрекъснато подобряване на система за управление на сигурността на информацията (ISMS), е с текущата действаща версия от 2013, като се изключат корекциите от 2014 г. и 2015 г. ISO/IEC 27001 е един от най-широко използваните в световен мащаб стандарти за информационна сигурност. Сертифицирането съгласно неговите изисквания е прието в 168 страни по света и забавянето е донякъде изненадващо – от почти десетилетие не е актуализиран. През настоящата 2022 г. се очаква Международната организация по стандартизация (ISO) да пусне нова версия на стандарта ISO/IEC 27001.

Какво се променя
По отношение на критичните елементи, необходими за сертифициране по ISO 27001:2013 – клаузи от 4 до 10, не се очакват промени в предстоящата версия от 2022 г. Публикуваният през февруари тази година ISO 27002:2022 по същество отразява всички контроли от Приложение А в ISO 27001 и предоставя много подробни насоки за прилагането им. В новата версия на ISO/IEC 27001 се очаква контролите в Приложение A да съответстват на тези в ISO 27002:2022. Така че ISO/IEC 27002:2022 може да се разглежда като полезно ръководство за това какво да се очаква.
Важно е да се подчертае, че за разлика от задължителните клаузите на ISO/IEC 27001, които трябва да бъдат изпълнени, за да се извърши сертифициране, контролите по ISO 27002 не са задължителни в целия си набор, задължителни са само референтни общи контроли за информационна сигурност, за които можете да прочетете тук.
Като извършат оценка на риска, организациите могат да определят кои контроли трябва се отнасят до техния обхват и трябва да се изпълнят. Изборът се ръководи от необходимостта да се намалят рискове от анализа, описан в точка 6 в ISO/IEC 27001:2013, която не се променя.
Промените в контролите от ISO/IEC 27001 са направени с цел привеждане на стандарта в съответствие със актуалните нужди на технологичните индустрии.

График за промени в ISO 27001
Новата версия на стандарта ISO/IEC 27001 се очаква през октомври на 2022 година.
Ако приемем, че промяната следва типичния модел на новите версии на стандарта ISO, акредитационните органи ще предоставят от 12 до 24‑месечен гратисен период, който ще осигури време за актуализиране на процеси и документация, провеждане на обучение на служители и т.н.
Това означава, че ако вашата ISMS вече е сертифицирана, надзорните одити, планирани за 2022 г., ще бъдат съгласно версията от 2013 г. Ако в момента планирате първоначално сертифициране и получаване сертификат за ISMS през 2022 г. или началото на 2023 г., по време на одитите ще се прилага версията от 2013 година.
Организациите трябва да планират въвеждане на елементите на новия стандарт едва през 2023 г. и преминаване изцяло към новата версия от средата към втората половина на 2023 г. в зависимост от датите на сертифициране. Вероятно стандартът от 2013 г. ще отпадне напълно през 2024 г.