ISO 27002.
Οι κατευθυντήριες γραμμές για μέτρα ασφάλειας πληροφοριών: τι οργανώνει το ISO 27002, πώς εφαρμόζεται και ποια τεκμήρια προκύπτουν.
- ISO/IEC 27002:2022
- Από Jonathan Bezdek
- Ενημέρωση: 22/10/2026
- Χρόνος ανάγνωσης: 7 λεπτά
Σύντομη απάντηση.
Το ISO 27002 είναι ο διεθνής οδηγός υλοποίησης μέτρων ασφάλειας πληροφοριών. Το ISO/IEC 27002:2022 οργανώνει τα μέτρα σε οργανωτικά, ανθρώπινα, φυσικά και τεχνολογικά θέματα και εξηγεί την εφαρμογή τους. Οι οργανισμοί χρησιμοποιούν τις οδηγίες ανάλογα με τους κινδύνους και τη λειτουργία τους. Δεν υπάρχει αυτοτελής πιστοποίηση ISO 27002· τις πιστοποιήσιμες απαιτήσεις ΣΔΑΠ περιλαμβάνει το ISO 27001.
Το ISO 27002:2022 ως οδηγός υλοποίησης.
Το ISO 27002 εξηγεί μέτρα ασφάλειας, ενώ το ISO 27001 περιγράφει απαιτήσεις για σύστημα διαχείρισης ασφάλειας πληροφοριών, ΣΔΑΠ. Ο αγγλικός όρος Controls σημαίνει μέτρα που επηρεάζουν τους κινδύνους ασφάλειας. Περιλαμβάνει οργανωτικές διαδικασίες καθώς και τεχνικές ή φυσικές προβλέψεις. Επομένως, ένας κατάλογος μέτρων δεν περιγράφει ούτε απλή λίστα προϊόντων ούτε αποκλειστικά την εργασία ενός τμήματος πληροφορικής.
Η δημόσια σελίδα του εκδότη αναφέρει το ISO/IEC 27002:2022 ως τρίτη έκδοση του Φεβρουαρίου 2022 και παραπέμπει σε διορθωμένη αγγλική έκδοση του Μαρτίου 2022. Το άρθρο της συντάκτριας στο SC-27-Journal, τεύχος Δεκεμβρίου 2022, εξηγεί στις σελίδες 13 έως 15 τη δομή με 93 μέτρα σε τέσσερα θέματα και τα συμπληρωματικά γνωρίσματα. Αυτός ο προσανατολισμός δεν αντικαθιστά τη χρήση του νομίμως αποκτημένου προτύπου.
Οι κατευθυντήριες γραμμές εφαρμόζονται στο πλαίσιο του ίδιου του οργανισμού. Η περιγραφή προϊόντος της IEC αναφέρει τόσο τη χρήση μέσα σε ΣΔΑΠ όσο και την ανάπτυξη οδηγιών ασφάλειας προσαρμοσμένων στον οργανισμό. Ένας υιοθετημένος κατάλογος από μόνος του δεν καθορίζει ποιο περιβάλλον προστατεύεται, ποιος λειτουργεί ένα μέτρο ή αν αυτό λειτουργεί πραγματικά.
Για ποιους είναι κατάλληλο το ISO 27002.
Σύμφωνα με τη δημόσια περιγραφή του ISO, το ISO 27002 απευθύνεται σε οργανισμούς διαφορετικών μεγεθών και κλάδων. Μπορεί να υποστηρίζει την εργασία μέτρων ενός υπάρχοντος ΣΔΑΠ ή να λειτουργεί ως προσανατολισμός για την ασφάλεια. Η επιδίωξη πιστοποίησης δεν αποτελεί προϋπόθεση. Πριν από την εισαγωγή πρέπει να είναι σαφές αν χρειάζεται κοινή επαγγελματική γλώσσα, καλύτερη υλοποίηση ή τεκμηρίωση προς συγκεκριμένο αποδέκτη.
Στην εφαρμογή συμμετέχουν συνήθως πολλές λειτουργίες. Ως πρακτική κατανομή εργασίας, οι υπεύθυνοι ασφάλειας μπορούν να συντονίζουν την επιλογή, οι υπεύθυνοι υπηρεσιών να εξηγούν το σχετικό περιβάλλον και οι επιχειρησιακές μονάδες να αναλαμβάνουν την υλοποίηση. Προμήθειες, ανθρώπινο δυναμικό, διαχείριση κτιρίων και ανάπτυξη συμμετέχουν όταν το συγκεκριμένο μέτρο αφορά τις διαδικασίες τους. Αυτή η κατανομή είναι σύσταση οργάνωσης εργασίας και όχι καθολικός ορισμός ρόλων από το πρότυπο.
Τα μέτρα ISO 27002 ως βάση εργασίας.
Τέσσερα θέματα οργανώνουν τα μέτρα· η επιλογή και τα γνωρίσματα βοηθούν στην εφαρμογή τους. Οι ακόλουθοι έξι τομείς εργασίας συνδέουν αυτή τη δομή με πρακτικές αποφάσεις, χωρίς να αποτελούν έξι επίσημα κεφάλαια του προτύπου ή πλήρη κατάλογο μέτρων.
Οργανωτική ευθύνη.
Τα οργανωτικά μέτρα αποτελούν ξεχωριστό θέμα. Για την πρακτική υλοποίηση, διευκρινίστε πού λαμβάνεται, εγκρίνεται και επανεξετάζεται μια απόφαση. Μια κατανοητή ρύθμιση συνδέει την προστατευόμενη υπηρεσία με την αρμόδια λειτουργία· η απλή ύπαρξη εγγράφου πολιτικής δεν εξηγεί ακόμη αυτή τη σχέση.
Άνθρωποι και ροές εργασίας.
Τα ανθρώπινα μέτρα εξετάζουν την ασφάλεια σε σχέση με τους ανθρώπους και την εργασία τους. Κατά την εφαρμογή, εξετάστε ποια συμβάντα της καθημερινής εργασίας ενεργοποιούν μια ενέργεια και ποιος την αναλαμβάνει. Η εκπαίδευση και η αλλαγή ρόλου χρειάζονται διαφορετική υλοποίηση, ακόμη και αν υποστηρίζονται από την ίδια επιχειρησιακή μονάδα.
Φυσικό περιβάλλον.
Τα φυσικά μέτρα αφορούν το περιβάλλον όπου χρησιμοποιούνται πληροφορίες και υποστηρικτικά μέσα. Κατά την πρακτική οριοθέτηση, διακρίνετε τις δικές σας εγκαταστάσεις από υπηρεσίες παρόχων. Για παράδειγμα, ένα τεκμήριο για το κέντρο δεδομένων δεν απαντά αυτόματα στα ερωτήματα διαχείρισης συσκευών στο δικό σας γραφείο.
Τεχνολογική υλοποίηση.
Τα τεχνολογικά μέτρα αποτελούν το τέταρτο θέμα. Για την εφαρμογή, περιγράψτε πρώτα ποια συστήματα και πληροφορίες πρέπει να καλύπτει μια τεχνική πρόβλεψη. Έπειτα μπορεί να ελεγχθεί αν συντονίζονται διαμόρφωση, διαδικασία λειτουργίας και παρακολούθηση. Μια ενεργοποιημένη λειτουργία είναι αφετηρία εξέτασης, όχι πλήρης διαπίστωση αποτελεσματικότητας.
Σύνδεση επιλογής με τον κίνδυνο.
Η εφαρμογή πρέπει να ξεκινά από τις ανάγκες προστασίας και τους κινδύνους της εξεταζόμενης λειτουργίας. Ως πρακτική σύσταση, καταγράψτε ποια απόφαση στηρίζει ένα μέτρο και ποιες εξαρτήσεις λήφθηκαν υπόψη. Έτσι παραμένει κατανοητό γιατί δύο υπηρεσίες μπορεί να χρειάζονται διαφορετικές υλοποιήσεις παρότι χρησιμοποιούν την ίδια οδηγία ως αναφορά.
Χρήση γνωρισμάτων για κατανοητές προβολές.
Σύμφωνα με το άρθρο της συντάκτριας, τα γνωρίσματα επιτρέπουν διαφορετικές προβολές του συνόλου μέτρων. Χρησιμοποιήστε τέτοιες προβολές, για παράδειγμα, στον συντονισμό μεταξύ οργάνωσης ασφάλειας και υπευθύνων λειτουργίας. Η ταξινόμηση διευκολύνει την πλοήγηση· δεν αντικαθιστά ούτε την απόφαση εφαρμογής ούτε την απόδειξη ότι ένα μέτρο έχει υλοποιηθεί ή είναι αποτελεσματικό.
Εφαρμογή του ISO 27002 στη λειτουργία.
Επιλέξτε διαχειρίσιμο εύρος.
Ως πρακτική αφετηρία, οριοθετήστε μια υπηρεσία μαζί με τις πληροφορίες, τα συστήματα και τους συμμετέχοντές της, ώστε η μετέπειτα υλοποίηση να έχει επαληθεύσιμα όρια.
Καταγράψτε τη βάση αποφάσεων.
Περιγράψτε σχετικούς κινδύνους και επιχειρηματικές, νομικές ή συμβατικές απαιτήσεις πριν χρησιμοποιήσετε κατάλληλες οδηγίες για την εργασία μέτρων.
Διαβάστε τις οδηγίες στο σύνολό τους.
Εξετάστε βάσει του νομίμως αποκτημένου προτύπου ποιες υποδείξεις ταιριάζουν στο περιβάλλον σας και μην αντιμετωπίζετε μια σύντομη περιγραφή ως πλήρη απαίτηση υλοποίησης.
Καθορίστε υλοποίηση και ευθύνη.
Συμφωνήστε τι πρέπει να συμβαίνει στην εξεταζόμενη λειτουργία, ποιος ευθύνεται γι’ αυτό και με ποια υφιστάμενη διαδικασία συνδέεται η εργασία.
Επαληθεύστε τη δήλωση με αποδεικτικά στοιχεία.
Επιλέξτε αρχεία ή δοκιμές που καλύπτουν πράγματι το περιγραφόμενο εύρος και καταγράψτε αποτέλεσμα, ημερομηνία ελέγχου και αναγκαίες επακόλουθες ενέργειες.
Επαναξιολογήστε τις αλλαγές.
Ορίστε κατάλληλους λόγους επανεξέτασης, όπως μια αλλαγμένη υπηρεσία ή ένα περιστατικό, και επικαιροποιήστε την απόφαση υλοποίησης με τους εμπλεκόμενους υπευθύνους.
Τεκμηρίωση χωρίς πιστοποιητικό ISO 27002.
Σύμφωνα με τις συχνές ερωτήσεις προϊόντος του ISO, δεν προβλέπεται αυτοτελής πιστοποίηση κατά ISO 27002. Όποιος χρειάζεται πιστοποιημένη απόδειξη ΣΔΑΠ εξετάζει το ISO 27001 και το συγκεκριμένο εύρος πιστοποίησης. Ο ίδιος ο ISO δεν διενεργεί τέτοιες πιστοποιήσεις· σύμφωνα με τη σελίδα πιστοποίησης του ISO, τις αναλαμβάνουν εξωτερικοί φορείς. Γι’ αυτό ο οδηγός υλοποίησης δεν έχει γενική διάρκεια ισχύος πιστοποιητικού.
Για την εσωτερική εργασία τεκμηρίωσης συνιστάται σαφής διατύπωση: ποια υλοποίηση πρέπει να αποδειχθεί και σε ποιο περιβάλλον; Μια διαδικασία μπορεί να περιγράφει τον προβλεπόμενο τρόπο εργασίας, ενώ ένα αρχείο αποδεικνύει την εκτέλεσή της. Μια δοκιμή εξετάζει μια συγκεκριμένη προσδοκία. Αυτές οι μορφές αποδεικτικών στοιχείων μπορούν να αλληλοσυμπληρώνονται, αλλά απαντούν σε διαφορετικά ερωτήματα.
Πριν κοινοποιήσετε ένα τεκμήριο, εξετάστε την προέλευση, την περίοδο και το εύρος του. Μια τρέχουσα ρύθμιση δεν αποδεικνύει ιστορική λειτουργία· ένα δείγμα δεν εξηγεί αυτόματα κάθε εξαίρεση. Τεκμηριώστε την περιορισμένη κάλυψη και την εργασία που προκύπτει, αντί να συνάγετε από ένα έγγραφο πλήρη διαβεβαίωση ασφάλειας ή συμμόρφωσης.
Σχέση με άλλα πλαίσια.
Το ISO 27001 περιγράφει απαιτήσεις για το ΣΔΑΠ, ενώ το ISO 27002 υποστηρίζει την εργασία μέτρων μέσα σε αυτό. Το IT-Grundschutz παρέχει δική του μεθοδολογία BSI με πρότυπα και επιτομή. Οι νόμιμες υποχρεώσεις των οντοτήτων που υπάγονται στο BSIG παραμένουν αντικείμενο χωριστής εξέτασης· η χρήση οδηγού υλοποίησης δεν επιβεβαιώνει συμμόρφωση με τη NIS2.
Στο Secani.
Το Secani περιλαμβάνει συντακτικά επεξεργασμένο κατάλογο εργασίας για το ISO/IEC 27002:2022 με στοιχεία προφίλ, μεταξύ άλλων για υπηρεσίες νέφους, ανάπτυξη λογισμικού και κινητή εργασία. Ο κατάλογος εξυπηρετεί τη δομημένη διαχείριση και δεν αποτελεί επίσημο κείμενο προτύπου. Οι αποφάσεις εφαρμοσιμότητας χρειάζονται αιτιολόγηση· το συντακτικά επεξεργασμένο βοήθημα δεν αντικαθιστά αυτοτελή ουσιαστική εξέταση.
Ξεκινήστε με επαληθεύσιμη υλοποίηση.
Επιλέξτε μια υπηρεσία με γνωστούς υπευθύνους και εξαρτήσεις. Καταγράψτε μια συγκεκριμένη απόφαση ασφάλειας μαζί με τον λόγο της, την προβλεπόμενη υλοποίηση και μια κατάλληλη οδό ελέγχου. Έπειτα διευκρινίστε με τους συμμετέχοντες αν αυτή η περιγραφή αντιστοιχεί στην πραγματική εργασία. Μόνο τότε μπορεί η προσέγγιση να μεταφερθεί ουσιαστικά σε άλλες υπηρεσίες.
Συχνές ερωτήσεις.
Όχι. Το ISO 27002 είναι οδηγός υλοποίησης· για πιστοποιημένη απόδειξη συστήματος διαχείρισης ασφάλειας πληροφοριών, το σχετικό πρότυπο απαιτήσεων είναι το ISO 27001.
Όχι. Η συγκεκριμένη υλοποίηση εξαρτάται από το πλαίσιο και τους κινδύνους του εξεταζόμενου περιβάλλοντος· μια κοινή αναφορά δεν συνεπάγεται ίδιο λειτουργικό μοντέλο για όλους τους οργανισμούς.
Όχι. Τα γνωρίσματα επιτρέπουν διαφορετικές προβολές μέτρων και βοηθούν στην οργάνωση· δεν αντικαθιστούν απόφαση εφαρμοσιμότητας ούτε απόδειξη υλοποίησης.
Όχι. Μια κατανοητή πολιτική ή επιχειρησιακή διαδικασία μπορεί να υποστηρίζει περισσότερα μέτρα, εφόσον η εκάστοτε υλοποίηση και ευθύνη παραμένουν σαφείς.
Διαχειριστείτε τεκμηριωμένα τα μέτρα.
Οργανώστε κινδύνους, ευθύνες και τεκμήρια στο Secani.
Αυτή η σελίδα παρουσιάζει τον οδηγό υλοποίησης. Καθοριστικά είναι τα νομίμως αποκτημένα πρότυπα και το συγκεκριμένο πλαίσιο εφαρμογής.