科技的進步為社會帶來快速變遷與便利性，同時衍生「資訊安全」這項課題。企業在推動資安防護管理上，普遍採用國際資訊安全管理標準ISO 27001，提供在管理與執行層面上遵循與稽核的方向。現行版本ISO 27001：2013已使用9年，而ISO 27002:2022也已於2月發布新版，官方預計於今年推出最新版，在新版推出前一起來複習ISO 27001認證重點吧!
ISO 27001 資訊安全管理系統（Information Security Management System，ISMS），共包含2套標準：
- ISO 27001:2013：資訊安全管理系統：要求 (Information technology-Security techniques- Information security management systems- Requirements)，可供實際驗證。
- ISO 27002:2022：資訊安全管理系統：指南、一般原則 (Information technology-Security techniques — Code of practice for information security controls)，完全對應ISO27001:2013的附錄A，包含具體的指引參考，提供實踐最佳方式。
ISO/ IEC 27001系列改版歷程
新版 ISO/ IEC 27002改版重點
從架構來看，新版ISO/IEC 27002 在管控項目數量上減少，新版透過管控類型的聚焦取代堆疊式的規範，進而強化企業在資訊安全管控上的有效性。
一、標題命名更改:
以ISO 27001:2013為例，其採用的名稱為「資訊科技—安全技術—資訊安全管理系統—要求」，將改為「資訊安全、網路安全及隱私保護」，英文全名是「Information Security, Cybersecurity and Privacy protection」。新版標準在涵蓋廣度將增加資訊安全、網路安全與隱私的保護，以更符合現代的資安管理需求。
二、變動與新增控制要求的內容:
新版ISO/IEC 27002 之管控項目從原先的114個控制項降為 93 個控制項，其中包含新增 11 項新控制。將管控項目大幅度的打散重整並新增強化資安管控有效性，再調整不適用當前環境的內容。
新版劃分四大主題闡述管控重點，分別為組織控制（organizational，37控制項）、人員控制（poople，8控制項）、實體控制（physical，14控制項) 、技術控制（technological，34控制項）共 93 個控制項。管控項目集中在組織及技術兩大面向上，而人員及實體主要延續至 2013年版內容之A7人力資源及 A11實體與環境安全。
新版將控制措施有了更好的整併，因此內容更為廣泛與深入，也更符合現在所有企業面臨的風險，用更宏觀的角度來看待這些控制措施的運用。
三、新定義5類屬性，使組織更有效運用控制措施：
控制要求原先主要連結資訊安全三要素:機密性、完整性與可用性（CIA），新定義則是讓每一個控制要求關聯到5個不同定義的屬性值，有助於搜尋與過濾分類。
這5種新出現的控制屬性分別是：
- 控制類型（Control Types）：威脅發生前中後保護、偵測與矯正等
- 資安特性（Information Security Properties）：機密性、完整性與可用性（CIA）
- 網路安全（Cybersecurity oncepts）：識別、保護、偵測、回應與復原（NIST CSF）
- 執行能力（Operational Capabilities）：資產管理、人力資源安全、實體安全、系統與網路安全、應用程式安全、威脅與弱點管理、資安事件管理等15項
- 安全領域（Security Domain）：治理生態系統、防護、防禦與韌性。這方面對應的是，組織所需要的資安領域、專業能力、服務或產品。
5類屬性標籤提供不同視角，讓組織更有效運用這些控制措施。除了每一項控制措施都會預設5組屬性，亦有自定義的彈性與步驟，組織可依據需求定義自有屬性值，建立更多檢視角度來看控制措施的要求。同時也提供彈性，讓組織可定義自有屬性值。
新版ISO/ IEC 27001動向
ISO/IEC 27002 為ISO/IEC 27001提供更詳細的指引，兩者關係如同課本與參考書，而ISO/IEC 27002:2022修訂也將反映在ISO/IEC 27001的附件A，從ISO 27002的改變來看，可以發現框架部分出現大幅度調整，從原先的14個章節統整為組織、人員、實體與技術之4大面向，而國內政府也提出從策略、管理、技術與認知面向推動資安。以現況來看，可看出資安控制措施的內容朝向更符合全球威脅與資安的現況。
ISO 27001相當重視企業或組織對於資訊是否有完整的風險評估與管理規劃，為了讓資訊安全管理達到最大效益，在所有可能的風險內做好預先的規劃與防範，確保資訊的安全與穩定性，同時減少資安運行過程的疏漏點，讓企業客戶營運不中斷，達到永續經營的目標。
透過 ISO 27001 標準，能協助組織管理與降低資訊上所面臨的各種威脅與風險，是現今國際科技大廠上游供應鏈廠商稽核要點之一。
企業通過 ISO 27001 認證的好處
當企業通過ISO 27001的認證，即表示企業的資訊安全管理已建立一套有效的管理體系作為保障。而ISO 27001 認證的好處有以下四點：
- 提高公司運作的安全：保護公司的商業機密，讓企業能夠安全運作不受干擾。透過資安風險評估導入資訊安全管理系統及 ISO 27002要求建立資訊管理制度。
- 增進公司信譽：當企業對於資訊安全管理的能力提升時，客戶對於企業的信任度就會提升，連帶的也能夠維持公司的信譽。而企業間電子商務往來的信用度也能有所提升，建立起網站和貿易夥伴間的信任，為用戶提供基礎的設備管理。
- 加強企業競爭力：消除客戶不信任感，提升與企業的競爭力。
- 符合國際法律規範：可向政府證明企業對相關法規的符合性，通過認證可確保企業在蒐集、使用、保存資料時，能符合法律的規範，如：個人資料保護法 。若企業有意進軍國際，更有通過ISO27001的必要性。
參考資料:ISO、BSI
相關文章: ISO 27001:2013資訊安全管理系統
ISO 27001資訊安全管理系統輔導與驗證
競爭力企管顧問有限公司
全台免付費專線：0800 800 248
LINE線上諮詢：
Views: 1436