ISO 27002.
Насоки за мерки за информационна сигурност: какво подрежда ISO 27002, как да го прилагате и какви доказателства възникват.
- ISO/IEC 27002:2022
- От Jonathan Bezdek
- Актуално към: 22.10.2026 г.
- Време за четене: 7 мин.
Кратък отговор.
ISO 27002 е международното ръководство за прилагане на мерки за информационна сигурност. ISO/IEC 27002:2022 подрежда контролите в организационни, свързани с хората, физически и технологични теми и обяснява прилагането им. Организациите използват насоките според рисковете и дейността си. Самостоятелно сертифициране по ISO 27002 няма; изискванията към СУИС, подлежащи на сертифициране, се съдържат в ISO 27001.
ISO 27002:2022 като ръководство за прилагане.
ISO 27002 пояснява мерки за сигурност, докато ISO 27001 описва изисквания към система за управление на информационната сигурност, съкратено СУИС. Английското понятие Controls означава мерки за въздействие върху рисковете за сигурността. Те включват организационни процедури, както и технически или физически мерки. Затова каталогът с мерки не описва нито само списък с продукти, нито единствено работата на ИТ отдел.
Публичната страница на издателя посочва ISO/IEC 27002:2022 като трето издание от февруари 2022 г. и отбелязва коригирана английска версия от март 2022 г. Статията на редакторките в SC-27 Journal, брой декември 2022 г., обяснява на страници 13–15 структурата с 93 мерки в четири теми и допълващите атрибути. Тази ориентация не замества работата със законно придобития стандарт.
Насоките се прилагат в контекста на собствената организация. Продуктовото описание на IEC посочва както използване в СУИС, така и разработване на специфични за организацията политики за сигурност. Самото възприемане на каталог още не определя коя среда се защитава, кой поддържа дадена мярка или дали тя действително работи.
За кого е подходящ ISO 27002.
Според публичното описание на ISO стандартът ISO 27002 е предназначен за организации с различен размер и от различни сектори. Той може да подпомага работата по мерките на съществуваща СУИС или да служи за ориентация в работата по сигурността. Стремежът към сертифициране не е предпоставка за това. Преди внедряването трябва да е ясно дали са нужни общ професионален език, по-добро прилагане или доказателство пред конкретен получател.
В прилагането обикновено участват няколко функции. Като практическо разпределение на работата отговорниците за сигурността могат да координират избора, отговорниците за услугите да обясняват засегнатата среда, а специализираните звена да поемат изпълнението. Снабдяването, човешките ресурси, сградната експлоатация и разработката се включват, доколкото конкретната мярка засяга процесите им. Това разпределение е препоръка за организация на работата, а не общовалидно назначаване на роли от стандарта.
Контролите на ISO 27002 като работна основа.
Четири теми структурират мерките; изборът и атрибутите подпомагат прилагането им. Следните шест работни области свързват тази структура с практически решения, без да представляват шест официални глави на стандарта или пълен списък с мерки.
Организационна отговорност.
Организационните мерки образуват самостоятелна тема. За практическото прилагане изяснете къде се взема, одобрява и проверява решение. Разбираемо правило свързва защитената услуга с компетентната функция; самото наличие на документ с политика още не обяснява тази връзка.
Хора и работни процеси.
Мерките, свързани с хората, разглеждат сигурността в контекста на хората и тяхната работа. При прилагането проверете кои събития в ежедневната дейност задействат действие и кой го поема. Обучение и промяна на роля се нуждаят от различно изпълнение, дори когато се придружават от едно и също звено.
Физическа среда.
Физическите мерки се отнасят до средата, в която се използват информацията и поддържащите средства. При практическото определяне на границите разграничете собствените обекти от услугите на доставчици. Доказателство за центъра за данни например не отговаря автоматично на въпросите за работата с устройства в собствения офис.
Технологично прилагане.
Технологичните мерки образуват четвъртата тема. За прилагането първо опишете кои системи и информация трябва да обхване техническата мярка. След това може да се провери дали конфигурацията, оперативният процес и наблюдението са съгласувани. Активирана функция е отправна точка за проверка, а не пълно заключение за ефективността.
Свързване на избора с риска.
Прилагането трябва да изхожда от потребността от защита и рисковете на разглежданата дейност. Като практическа препоръка документирайте какво решение обосновава дадена мярка и кои зависимости са отчетени. Така остава проследимо защо две услуги могат да се нуждаят от различно изпълнение, въпреки че една и съща насока служи за ориентация.
Използване на атрибути за разбираеми изгледи.
Според статията на редакторките атрибутите позволяват различни изгледи към набора от мерки. Използвайте такива изгледи например за координация между организацията по сигурността и отговорниците за експлоатацията. Подреждането улеснява ориентацията; то не замества нито решението за прилагане, нито доказателството, че мярката е приложена или ефективна.
Прилагане на ISO 27002 в оперативната работа.
Изберете управляем обхват.
Като практическо начало определете услуга с нейната информация, системи и участници, така че последващото прилагане да има проверими граници.
Документирайте основата за решението.
Опишете относимите рискове и бизнес, законовите или договорните изисквания, преди да използвате подходящи насоки за работата по мерките.
Четете насоките в контекст.
Проверете в законно придобития стандарт кои насоки са подходящи за Вашата среда и не третирайте кратко описание като пълно изискване за изпълнение.
Определете изпълнението и отговорността.
Съгласувайте какво трябва да се случва в разглежданата дейност, кой отговаря и към кой съществуващ процес се свързва работата.
Проверете твърдението с доказателства.
Изберете записи или тестове, които действително обхващат описания обхват, и документирайте резултата, датата на проверка и необходимите последващи мерки.
Преоценявайте промените.
Определете подходящи поводи за преглед, например променена услуга или инцидент, и актуализирайте решението за прилагане със засегнатите отговорници.
Доказване без сертификат ISO 27002.
Според продуктовите често задавани въпроси на ISO не е предвидено самостоятелно сертифициране по ISO 27002. Който се нуждае от сертифицирано доказателство за СУИС, разглежда ISO 27001 и конкретния обхват на сертифициране. Самата ISO не извършва такива сертифицирания; според страницата на ISO за сертифициране това се поема от външни органи. Затова за ръководството за прилагане няма и общ срок на сертификат.
За собствената работа по доказване е препоръчително ясно твърдение: какво изпълнение в коя среда трябва да бъде доказано? Процедура може да описва планирания начин на работа, докато запис показва извършването му. Тест от своя страна проверява конкретно очакване. Тези видове доказателства могат да се допълват, но отговарят на различни въпроси.
Преди предоставяне на доказателство проверете произхода, периода и обхвата му. Текуща настройка не доказва историческа експлоатация; извадка не обяснява автоматично всяко изключение. Документирайте ограниченото покритие и произтичащата работа, вместо да извеждате от един документ пълна гаранция за сигурност или съответствие.
Мястото на другите рамки.
ISO 27001 описва изисквания към СУИС, а ISO 27002 подпомага работата по мерките в нея. IT-Grundschutz предлага собствена методика на BSI със стандарти и сборник. Законовите задължения на обхванатите субекти по BSIG трябва да се проверяват отделно; използването на ръководство за прилагане не потвърждава съответствие с NIS2.
В Secani.
Secani съдържа редакционен работен каталог по ISO/IEC 27002:2022 с данни в профила наред с друго за облачни услуги, разработване на софтуер и мобилна работа. Каталогът служи за структурирана работа и не е официален текст на стандарта. Решенията за приложимост се нуждаят от обосновка; редакционното помощно средство не замества самостоятелна експертна проверка.
Започнете с проследимо изпълнение.
Изберете услуга с известни отговорници и зависимости. Документирайте конкретно решение за сигурност с повода, предвиденото изпълнение и подходящ начин за проверка. След това изяснете с участниците дали описанието съответства на действителната работа. Едва тогава подходът може смислено да се пренесе към други услуги.
Източници.
Често задавани въпроси.
Не. ISO 27002 е ръководство за прилагане; за сертифицирано доказателство за система за управление на информационната сигурност относимият стандарт с изисквания е ISO 27001.
Не. Конкретното изпълнение се определя от контекста и рисковете на разглежданата среда; обща отправна точка не означава идентичен оперативен модел за всички организации.
Не. Атрибутите позволяват различни изгледи към мерките и помагат за подреждането им; те не заместват решение за приложимост или доказателство за изпълнение.
Не. Разбираема политика или оперативна процедура може да подпомага няколко мерки, когато съответното изпълнение и отговорност остават проследими.
Работете по мерките с ясна проследимост.
Подредете рисковете, отговорностите и доказателствата в Secani.
Тази страница представя ръководството за прилагане. Определящи са законно придобитите стандарти и конкретният контекст на използване.