ISO 27001:2022

Το ISO 27001:2022 απευθύνεται σε επιχειρήσεις όλων των μεγεθών και τομέων δραστηριότητας, καθώς και σε δημόσιους και ιδιωτικούς οργανισμούς, που επιδιώκουν την ενίσχυση της πληροφοριακής τους ασφάλειας και την προστασία των δεδομένων τους, με έμφαση στην κυβερνοασφάλεια, προκειμένου να αντιμετωπίσουν τους αυξανόμενους κινδύνους που σχετίζονται με την ψηφιακή ασφάλεια και τις κυβερνοεπιθέσεις.

Οι τροποποιήσεις που έχει φέρει το ISO 27001:2022 περιλαμβάνουν την αναθεώρηση των απαιτήσεων με βάση τις σύγχρονες απειλές κυβερνοεπιθέσεων, την ενίσχυση της διαχείρισης κινδύνων σε όλα τα επίπεδα, την αύξηση της παρακολούθησης και της βελτίωσης του ISMS, την ενσωμάτωση της προστασίας της ιδιωτικότητας και την ενίσχυση της διαφάνειας και της ευθύνης σε όλα τα επίπεδα.

Συγκεκριμένα, οι αλλαγές που επιφέρει το νέο πρότυπο είναι οι εξής:

• Αλλαγή στο όνομα του προτύπου, όπου η αναθεωρημένη έκδοση του 2022 έχει τίτλο “Information security, cybersecurity and privacy protection – Information security management systems – Requirements” σε αντίθεση με την έκδοση 2013 που είχε τίτλο “Information technology – Security techniques – Information security management systems – Requirements”
• Ο αριθμός σελίδων στην αναθεωρημένη έκδοση του προτύπου είναι 19, σε αντίθεση με τη προηγούμενη έκδοση του προτύπου που ήταν 23
• Στο Clause2 έχει προστεθεί η παράγραφος c
• Στο Clause 4.4 έχει προστεθεί η φράση “including the processes needed and their interactions”
• Στο Clause2 έχουν προστεθεί 2 νέες παράγραφοι, οι παράγραφοι d και g
• Το Clause3 Planning of changes είναι νέα προσθήκη στην αναθεωρημένη έκδοση του προτύπου
• Στο Clause4 έχει προστεθεί η παράγραφος d, με ταυτόχρονη κατάργηση των παραγράφων d και e της προηγούμενης έκδοσης
• To Clause 8.1 έχει εμπλουτιστεί
• Το Clause2 που αφορά το internal audit, “σπάει” στα 9.2.1 και 9.2.2
• Το Clause3 που αφορά το management review, “σπάει” στα 9.3.1, 9.3.2 και 9.2.3
• Έχουν αντιστραφεί τα Clauses1 και 10.2. Πλέον το Clause 10.1 αφορά το Continual improvement και το2 το Nonconformity and corrective action

Οι αλλαγές στο ISO/IEC 27002:2022 περιλαμβάνουν:

• Τα Security Controls είναι πλέον 93, σε σχέση με τα 114 της προηγούμενης έκδοσης
• Τα Sections των Security Controls, του Annex A, είναι πλέον 4, σε σχέση με τα 14 της προηγούμενης έκδοσης:
  1. People (8 controls)
  2. Organizational (37 controls)
  3. Technological (34 controls)
  4. Physical (14 controls)
• Τα 11 νέα Security Controls που προστέθηκαν στο Annex A είναι:
  1. Threat intelligence
  2. Information security for use of cloud services
  3. ICT readiness for business continuity
  4. Physical security monitoring
  5. Configuration management
  6. Information deletion
  7. Data masking
  8. Data leakage prevention
  9. Monitoring activities
  10. Web filtering
  11. Secure coding
• Τα Security Controls έχουν πλέον 5 τύπους χαρακτηριστικών “attributes” για να είναι πιο εύκολη η κατηγοριοποίησή τους:
  1. Control type (preventive, detective, corrective)
  2. Information security properties (confidentiality, integrity, availability)
  3. Cybersecurity concepts (identify, protect, detect, respond, recover)
  4. Operational capabilities (governance, asset management, etc.)
  5. Security domains (governance and ecosystem, protection, defence, resilience)

Το GDPR και το ISO 27001:2022 συσχετίζονται, καθώς αφορούν και τα δύο την προστασία των προσωπικών δεδομένων και την ασφάλεια των πληροφοριών:

• Προστασία Προσωπικών Δεδομένων: Το GDPR και το ISO 27001:2022 έχουν ως στόχο την προστασία των προσωπικών δεδομένων. Το GDPR καθορίζει τις νομικές απαιτήσεις που πρέπει να τηρούν οι επιχειρήσεις για την επεξεργασία των προσωπικών δεδομένων, ενώ το ISO 27001:2022 παρέχει ένα πλαίσιο διαχείρισης ασφάλειας πληροφοριών που μπορεί να εφαρμοστεί για την προστασία αυτών των δεδομένων.
• Συμμόρφωση και Διαχείριση Κινδύνων: Το GDPR και το ISO 27001:2022 απαιτούν από τις επιχειρήσεις να αναγνωρίζουν και να διαχειρίζονται τους κινδύνους που σχετίζονται με την επεξεργασία των προσωπικών δεδομένων και την ασφάλεια των πληροφοριών.
• Εσωτερικός Έλεγχος και Παρακολούθηση: Το GDPR και το ISO 27001:2022 προωθούν την υλοποίηση ενός συστήματος εσωτερικού ελέγχου και παρακολούθησης για τη διασφάλιση της συμμόρφωσης και της αποτελεσματικής λειτουργίας των διαδικασιών ασφάλειας και προστασίας δεδομένων.

Επομένως, η συμμόρφωση με το ISO 27001:2022 μπορεί να βοηθήσει τις επιχειρήσεις να επιτύχουν συμμόρφωση με το GDPR, παρέχοντας ένα ολοκληρωμένο πλαίσιο για την προστασία των προσωπικών δεδομένων και την ασφάλεια των πληροφοριών.

Η επιχείρηση που θα προχωρήσει στην εφαρμογή Συστήματος Ασφάλειας Πληροφοριών κατά το πρότυπο ISO 27001:2022, θα αποκομίσει πολλαπλά οφέλη, μεταξύ των οποίων είναι:

• Βελτίωση της Ασφάλειας Πληροφοριών: Το ISO 27001:2022 παρέχει ένα ολοκληρωμένο πλαίσιο για την ανάπτυξη, εφαρμογή και διατήρηση ενός συστήματος διαχείρισης ασφάλειας πληροφοριών (ISMS), το οποίο ενισχύει την αντίληψη και τη διαχείριση των ασφαλειών πληροφοριών σε μια επιχείρηση.
• Προστασία των Δεδομένων: Μέσω του ISO 27001:2022, οι επιχειρήσεις μπορούν να ενισχύσουν την προστασία των δεδομένων τους, συμπεριλαμβανομένων των προσωπικών δεδομένων, και να μειώσουν τους κινδύνους διαρροής ή απώλειας δεδομένων.
• Συμμόρφωση με Νομικές Απαιτήσεις: Η υλοποίηση του ISO 27001:2022 βοηθά τις επιχειρήσεις να επιτύχουν συμμόρφωση με τις νομικές απαιτήσεις περί ασφάλειας πληροφοριών και προστασίας δεδομένων, όπως το GDPR.
• Ενίσχυση Εμπιστοσύνης: Η πιστοποίηση στο ISO 27001:2022 δείχνει στους πελάτες, τους εταίρους και τους ενδιαφερόμενους ότι η επιχείρηση λαμβάνει σοβαρά μέτρα για την προστασία των πληροφοριών τους.
• Βελτίωση Διαδικασιών: Η υλοποίηση του ISO 27001:2022 προωθεί τη βελτίωση των διαδικασιών και των πρακτικών διαχείρισης ασφάλειας πληροφοριών μέσα στην επιχείρηση, βοηθώντας την να λειτουργεί αποτελεσματικότερα και πιο ασφαλώς.
• Μείωση Κινδύνων: Με την αναγνώριση και τη διαχείριση των κινδύνων ασφάλειας πληροφοριών, οι επιχειρήσεις μειώνουν τον κίνδυνο παραβιάσεων και πιθανών αρνητικών επιπτώσεων.

Κατά την ανάληψη έργου ανάπτυξης Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών κατά το πρότυπο ISO 27001:2022 από την ISOEXPERTS ακολουθούνται τα παρακάτω βήματα:

• Καταγραφή και αξιολόγηση υφιστάμενης κατάστασης
• Διενέργεια Αξιολόγησης Επικινδυνότητας
• Σχεδιασμός και ανάπτυξη του Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών
• Ενημέρωση – Εκπαίδευση εφαρμογή
• Πιλοτική εφαρμογή του Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών
• Πιστοποίηση του Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών

Όλα τα πιστοποιητικά σύμφωνα με το ISO/IEC 27001:2013 θα λήξουν ή θα ανακληθούν μετά τη λήξη της μεταβατικής περιόδου, δηλαδή στις 31 Οκτωβρίου 2025.

Οι Φορείς Πιστοποίησης θα πρέπει να σταματήσουν να διενεργούν αρχικές επιθεωρήσεις ή επιθεωρήσεις επαναπιστοποίησης σύμφωνα με το ISO/IEC 27001:2013 μετά τις 30 Απριλίου 2024 (δηλαδή 18 μήνες μετά την έκδοση του προτύπου ISO/IEC 27001:2022). Είναι σημαντικό να σημειωθεί ότι τα πιστοποιητικά που θα εκδίδονται κατά τη διάρκεια της μεταβατικής περιόδου θα λαμβάνουν υπόψη την ανωτέρω καταληκτική ημερομηνία (31 Οκτωβρίου 2025).

Μετά την 30ή Απριλίου 2024, θα πραγματοποιούνται επιθεωρήσεις πιστοποίησης και επαναπιστοποίησης, και θα εκδίδονται πιστοποιητικά (νέες πιστοποιήσεις/επαναπιστοποιήσεις) αποκλειστικά σύμφωνα με το πρότυπο ISO/IEC 27001:2022.

Η μετάβαση στο νέο πρότυπο ISO/IEC 27001:2022 πρέπει να ολοκληρωθεί έως τις 31/10/2025 και μπορεί να γίνει μέσω Επιτήρησης, Επαναπιστοποίησης ή Έκτακτης Επιθεώρησης. Σε περίπτωση που η μετάβαση γίνει μέσω Επιτήρησης ή Έκτακτης Επιθεώρησης, η ημερομηνία λήξης του πιστοποιητικού θα παραμείνει η ίδια με αυτή που είχε οριστεί στην προηγούμενη έκδοση του προτύπου (τρία χρόνια από την ημερομηνία έκδοσης). Σε περίπτωση μετάβασης μέσω Επαναπιστοποίησης, θα εκδίδεται νέο πιστοποιητικό με νέα τριετία. Σημειώστε ότι η Έκτακτη Επιθεώρηση απαιτεί επιπλέον χρόνο και χρεώνεται ως ειδική επιθεώρηση.