ISO 27002.
Infoturbemeetmete juhised: mida ISO 27002 korrastab, kuidas seda rakendada ja millised tõendid sellest tekivad.
- ISO/IEC 27002:2022
- Autor: Jonathan Bezdek
- Seisuga: 22.10.2026
- Lugemisaeg: 5 min
Lühivastus.
ISO 27002 on rahvusvaheline infoturbemeetmete rakendusjuhis. ISO/IEC 27002:2022 jaotab meetmed korralduslikeks, inimestega seotud, füüsilisteks ja tehnoloogilisteks teemadeks ning selgitab nende rakendamist. Organisatsioonid kasutavad juhiseid vastavalt oma riskidele ja tegevusele. Eraldi ISO 27002 sertifitseerimist ei ole; sertifitseeritavad ISMSi nõuded sisalduvad standardis ISO 27001.
ISO 27002:2022 rakendusjuhisena.
ISO 27002 selgitab turvameetmeid, ISO 27001 aga kirjeldab infoturbe juhtimissüsteemi ehk ISMSi nõudeid. Ingliskeelne nimetus Controls tähendab turvariskide mõjutamise meetmeid. Siia kuuluvad nii korralduslikud protseduurid kui ka tehnilised või füüsilised abinõud. Seetõttu ei kirjelda meetmekataloog pelgalt tooteloendit ega üksnes IT-osakonna tööd.
Väljaandja avalik leht nimetab ISO/IEC 27002:2022 kolmandaks väljaandeks 2022. aasta veebruarist ning toob välja parandatud ingliskeelse versiooni 2022. aasta märtsist. Toimetajate artikkel SC 27 ajakirja 2022. aasta detsembrinumbris selgitab lehekülgedel 13–15 nelja teemasse jaotatud 93 meetme struktuuri ja täiendavaid atribuute. See ülevaade ei asenda seaduslikult hangitud standardiga töötamist.
Juhiseid rakendatakse enda organisatsiooni kontekstis. IEC tootekirjeldus nimetab nii kasutamist ISMSi sees kui ka organisatsioonipõhiste turbejuhiste arendamist. Ülevõetud kataloog üksi ei määra veel, millist keskkonda kaitstakse, kes meedet käitab või kas see tegelikult toimib.
Kellele ISO 27002 sobib.
ISO avaliku kirjelduse järgi on ISO 27002 suunatud eri suuruse ja tegevusalaga organisatsioonidele. See võib toetada olemasoleva ISMSi meetmetööd või anda turbetööks suuna. Kavandatud sertifitseerimine ei ole selle eeldus. Enne juurutamist peaks olema selge, kas vajatakse ühist erialakeelt, paremat rakendamist või tõendit konkreetsele vastuvõtjale.
Rakendamisse on tavaliselt kaasatud mitu funktsiooni. Praktilise tööjaotusena võivad turbevastutajad koordineerida valikut, teenusevastutajad selgitada asjaomast keskkonda ja valdkonnad võtta üle rakendamise. Hanked, personal, hoonete haldus ja arendus kaasatakse niivõrd, kuivõrd konkreetne meede puudutab nende protsesse. See jaotus on soovitus töökorralduseks, mitte standardist tulenev üldkehtiv rollimäärang.
ISO 27002 meetmed tööalusena.
Meetmed on struktureeritud nelja teemasse; valik ja atribuudid aitavad neid rakendada. Järgmised kuus töövaldkonda ühendavad selle struktuuri praktiliste otsustega, kujutamata kuut ametlikku standardipeatükki ega täielikku meetmeloendit.
Korralduslik vastutus.
Korralduslikud meetmed moodustavad eraldi teema. Selgitage praktiliseks rakendamiseks, kus otsus tehakse, kinnitatakse ja üle vaadatakse. Arusaadav korraldus ühendab kaitstava teenuse vastutava funktsiooniga; üksnes poliitikadokumendi olemasolu ei selgita seda seost veel.
Inimesed ja tööprotsessid.
Inimestega seotud meetmed vaatlevad turvalisust inimeste ja nende töö kontekstis. Kontrollige rakendamisel, millised igapäevatöö sündmused käivitavad tegevuse ja kes selle täidab. Koolitus ja rollivahetus vajavad erinevat rakendust ka siis, kui mõlemat toetab sama valdkond.
Füüsiline keskkond.
Füüsilised meetmed puudutavad keskkonda, kus kasutatakse teavet ja toetavaid vahendeid. Praktilisel piiritlemisel eristage enda asukohti ja teenuseosutajate teenuseid. Näiteks andmekeskuse tõend ei vasta automaatselt küsimustele seadmete käsitlemise kohta enda kontoris.
Tehnoloogiline rakendamine.
Tehnoloogilised meetmed moodustavad neljanda teema. Rakendamiseks kirjeldage esmalt, milliseid süsteeme ja teavet tehniline abinõu peaks hõlmama. Seejärel saab kontrollida seadistuse, käitamisprotsessi ja seire kooskõla. Sisselülitatud funktsioon on kontrolli lähtepunkt, mitte täielik väide tõhususe kohta.
Ühendage valik riskiga.
Rakendamine peaks lähtuma vaadeldava tegevuse kaitsetarbest ja riskidest. Praktilise soovitusena talletage, milline otsus meedet toetab ja milliseid sõltuvusi arvestati. Nii jääb jälgitavaks, miks kaks teenust võivad vajada erinevaid teostusi, kuigi suunaks on sama juhis.
Kasutage atribuute arusaadavate vaadete jaoks.
Toimetajate artikli järgi võimaldavad atribuudid meetmekogumile erinevaid vaateid. Kasutage selliseid vaateid näiteks turbekorralduse ja käitamisvastutajate kooskõlastuseks. Sortimine lihtsustab navigeerimist; see ei asenda kohaldamisotsust ega tõendit meetme rakendamise või tõhususe kohta.
ISO 27002 rakendamine igapäevategevuses.
Valige hallatav ulatus.
Praktilise alustussammuna piiritlege teenus koos teabe, süsteemide ja osalistega, et hilisemal rakendamisel oleks kontrollitav piir.
Talletage otsustusalus.
Kirjeldage asjakohaseid riske ning ärilisi, õiguslikke või lepingulisi nõudeid, enne kui kasutate meetmetööks sobivaid juhiseid.
Lugege juhiseid tervikseoses.
Kontrollige seaduslikult hangitud standardi alusel, millised juhised teie keskkonda sobivad, ning ärge käsitlege lühikirjeldust täieliku rakendusnõudena.
Määrake rakendamine ja vastutus.
Leppige kokku, mis vaadeldavas tegevuses toimuma peab, kes selle eest vastutab ja millise olemasoleva protsessiga töö seostub.
Kontrollige väidet tõenditega.
Valige kirjed või testid, mis kirjeldatud ulatust tegelikult hõlmavad, ning talletage tulemus, kontrollikuupäev ja vajalikud järelmeetmed.
Hinnake muudatusi uuesti.
Määrake sobivad ülevaatuse ajendid, näiteks muutunud teenus või intsident, ning ajakohastage rakendusotsus koos asjaomaste vastutajatega.
Tõendamine ilma ISO 27002 sertifikaadita.
ISO toote KKK järgi ei ole eraldi ISO 27002 sertifitseerimist ette nähtud. Sertifitseeritud ISMSi tõendit vajades tuleb vaadelda ISO 27001 ja konkreetset sertifitseerimisulatust. ISO ise sellist sertifitseerimist läbi ei vii; ISO sertifitseerimislehe järgi teevad seda välised asutused. Seetõttu pole rakendusjuhisel ka üldist sertifikaadi kehtivusaega.
Enda tõendamistöös on soovitatav selge väide: millist rakendust millises keskkonnas tuleb tõendada? Protseduur võib kirjeldada kavandatud tööviisi, kirje aga näidata selle läbiviimist. Test uurib omakorda konkreetset ootust. Need tõendiliigid võivad üksteist täiendada, kuid vastavad eri küsimustele.
Enne tõendi jagamist kontrollige selle päritolu, perioodi ja ulatust. Praegune seadistus ei tõenda ajaloolist toimimist; valim ei selgita automaatselt iga erandit. Dokumenteerige piiratud kaetus ja sellest tulenev töö, selle asemel et tuletada ühest dokumendist täielik turbe- või vastavuslubadus.
Teiste raamistike seosed.
ISO 27001 kirjeldab ISMSi nõudeid, ISO 27002 toetab selles meetmetööd. IT-Grundschutz annab eraldi BSI metoodika koos standardite ja kompendiumiga. BSIGga hõlmatud üksuste seadusjärgseid kohustusi tuleb kontrollida eraldi; rakendusjuhise kasutamine ei kinnita vastavust NIS2-le.
Secanis.
Secani sisaldab enda koostatud ISO/IEC 27002:2022 töökataloogi profiiliandmetega muu hulgas pilvteenuste, tarkvaraarenduse ja mobiilse töö kohta. Kataloog teenib struktureeritud käsitlemist ega ole ametlik standarditekst. Kohaldatavusotsused vajavad põhjendust; enda koostatud tööabivahend ei asenda iseseisvat sisulist hindamist.
Alustage jälgitavast rakendusest.
Valige teenus, mille vastutajad ja sõltuvused on teada. Talletage konkreetne turbeotsus koos selle ajendi, kavandatud rakendamise ja sobiva kontrolliviisiga. Seejärel selgitage osalistega, kas kirjeldus vastab tegelikule tööle. Alles siis saab lähenemist mõistlikult teistele teenustele üle kanda.
Korduma kippuvad küsimused.
Ei. ISO 27002 on rakendusjuhis; infoturbe juhtimissüsteemi sertifitseeritud tõendi jaoks on asjakohane nõudestandard ISO 27001.
Ei. Konkreetne rakendamine sõltub vaadeldava keskkonna kontekstist ja riskidest; ühine viitealus ei tähenda kõigile organisatsioonidele ühesugust käitamismudelit.
Ei. Atribuudid võimaldavad meetmetele eri vaateid ja aitavad neid korrastada; need ei asenda kohaldatavusotsust ega rakendustõendit.
Ei. Arusaadav poliitika või tööprotsess võib toetada mitut meedet, kui vastav rakendamine ja vastutus jäävad jälgitavaks.
Käsitlege meetmeid jälgitavalt.
Korrastage Secanis riskid, vastutus ja tõendid.
See leht selgitab rakendusjuhist. Määravad on seaduslikult hangitud standardid ja konkreetne kasutuskontekst.