ISO 27002.
Tietoturvatoimenpiteiden ohjeet: mitä ISO 27002 jäsentää, miten sitä sovelletaan ja millaista näyttöä syntyy.
- ISO/IEC 27002:2022
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 5 min.
Lyhyt vastaus.
ISO 27002 on kansainvälinen tietoturvatoimenpiteiden toteutusohje. ISO/IEC 27002:2022 ryhmittelee hallintakeinonsa organisatorisiin, henkilöstöön liittyviin, fyysisiin ja teknologisiin aiheisiin ja selittää niiden soveltamisen. Organisaatiot hyödyntävät ohjeita riskiensä ja toimintansa mukaan. Erillistä ISO 27002 -sertifiointia ei ole. Sertifioitavat tietoturvan hallintajärjestelmän vaatimukset sisältyvät ISO 27001:een.
ISO 27002:2022 toteutusohjeena.
ISO 27002 selittää turvallisuustoimenpiteitä, kun taas ISO 27001 kuvaa tietoturvan hallintajärjestelmän eli ISMS:n vaatimukset. Englannin Controls tarkoittaa turvallisuusriskeihin vaikuttavia hallintakeinoja. Niihin kuuluvat organisatoriset menettelyt sekä tekniset ja fyysiset järjestelyt. Hallintakeinoluettelo ei siksi kuvaa pelkkää tuoteluetteloa tai vain IT-osaston työtä.
Julkinen julkaisijasivu esittää ISO/IEC 27002:2022:n kolmantena painoksena helmikuulta 2022 ja mainitsee korjatun englanninkielisen version maaliskuulta 2022. Toimittajien artikkeli SC 27 Journalin joulukuun 2022 numeron sivuilla 13–15 selittää 93 hallintakeinon rakenteen neljässä aiheessa ja täydentävät attribuutit. Tämä yleiskuva ei korvaa laillisesti hankitun standardin käyttöä.
Ohjeita sovelletaan oman organisaation toimintaympäristössä. IEC:n tuotekuvaus mainitsee sekä käytön tietoturvan hallintajärjestelmässä että organisaatiokohtaisten turvallisuusohjeiden kehittämisen. Pelkkä käyttöön otettu luettelo ei vielä määritä suojattavaa ympäristöä, toimenpiteen ylläpitäjää tai sen todellista toimivuutta.
Kenelle ISO 27002 sopii.
ISO:n julkisen kuvauksen mukaan ISO 27002 on tarkoitettu eri kokoisille organisaatioille ja eri toimialoille. Se voi tukea nykyisen tietoturvan hallintajärjestelmän toimenpidetyötä tai ohjata turvallisuustyötä. Sertifioinnin tavoittelu ei ole edellytys. Ennen käyttöönottoa on hyvä selvittää, tarvitaanko yhteistä asiantuntijakieltä, parempaa toteutusta vai näyttöä tietylle vastaanottajalle.
Soveltamiseen osallistuu yleensä useita toimintoja. Käytännön työnjaossa turvallisuusvastaavat voivat koordinoida valintaa, palveluvastaavat selittää asianomaisen ympäristön ja toimintayksiköt vastata toteutuksesta. Hankinta, henkilöstöhallinto, kiinteistötoiminnot ja kehitys otetaan mukaan, kun toimenpide koskee niiden prosesseja. Tämä työnjako on työn järjestämistä koskeva suositus eikä standardin yleispätevä roolimiehitys.
ISO 27002:n hallintakeinot työn perustana.
Neljä aihetta jäsentää toimenpiteet. Valinta ja attribuutit auttavat soveltamisessa. Seuraavat kuusi työaluetta yhdistävät tämän rakenteen käytännön päätöksiin. Ne eivät esitä kuutta virallista standardilukua eivätkä täydellistä toimenpideluetteloa.
Organisatorinen vastuu.
Organisatoriset toimenpiteet muodostavat oman aiheensa. Selvittäkää käytännön toteutusta varten, missä päätös tehdään, hyväksytään ja arvioidaan. Ymmärrettävä järjestely yhdistää suojattavan palvelun vastuulliseen toimintoon. Pelkkä ohjeasiakirjan olemassaolo ei vielä selitä tätä yhteyttä.
Ihmiset ja työnkulut.
Henkilöstöön liittyvät toimenpiteet tarkastelevat turvallisuutta ihmisten ja heidän työnsä yhteydessä. Arvioikaa soveltamisessa, mitkä arjen tapahtumat käynnistävät toimenpiteen ja kuka sen hoitaa. Koulutus ja roolin muutos edellyttävät eri toteutuksia, vaikka sama toimintayksikkö tukisi molempia.
Fyysinen ympäristö.
Fyysiset toimenpiteet koskevat ympäristöä, jossa tietoja ja tukivälineitä käytetään. Erottakaa käytännön rajauksessa omat toimipaikat palveluntarjoajien palveluista. Konesalia koskeva näyttö ei esimerkiksi automaattisesti vastaa omassa toimistossa käytettävien laitteiden käsittelyä koskeviin kysymyksiin.
Teknologinen toteutus.
Teknologiset toimenpiteet muodostavat neljännen aiheen. Kuvatkaa soveltamista varten ensin, mitkä järjestelmät ja tiedot teknisen järjestelyn on tarkoitus kattaa. Sen jälkeen voidaan arvioida määritysten, toimintamenettelyn ja valvonnan yhteensopivuus. Käyttöön otettu ominaisuus on arvioinnin lähtökohta, ei kattava vaikuttavuuslausunto.
Yhdistäkää valinta riskiin.
Soveltamisen on hyvä perustua tarkasteltavan toiminnan suojaustarpeeseen ja riskeihin. Käytännön suosituksena kirjatkaa, mihin päätökseen toimenpide perustuu ja mitkä riippuvuudet huomioitiin. Näin säilyy jäljitettävänä, miksi kaksi palvelua voi tarvita erilaisen toteutuksen, vaikka sama ohje toimisi viitteenä.
Hyödyntäkää attribuutteja ymmärrettävissä näkymissä.
Toimittajien artikkelin mukaan attribuutit mahdollistavat eri näkymät toimenpidekokonaisuuteen. Käyttäkää näkymiä esimerkiksi turvallisuusorganisaation ja toiminnasta vastaavien koordinointiin. Lajittelu helpottaa navigointia. Se ei korvaa soveltamispäätöstä eikä osoita toimenpiteen toteutusta tai vaikuttavuutta.
ISO 27002:n soveltaminen toiminnassa.
Valitkaa hallittava laajuus.
Rajatkaa käytännön aluksi palvelu tietoineen, järjestelmineen ja osallistujineen, jotta myöhemmällä toteutuksella on todennettava raja.
Kirjatkaa päätösperusta.
Kuvatkaa olennaiset riskit sekä liiketoiminta-, laki- ja sopimusvaatimukset ennen sopivien ohjeiden hyödyntämistä toimenpidetyössä.
Lukekaa ohjeet kokonaisuudessaan.
Arvioikaa laillisesti hankitusta standardista, mitkä ohjeet sopivat ympäristöönne. Älkää käsitelkö lyhyttä kuvausta täydellisenä toteutusvaatimuksena.
Määrittäkää toteutus ja vastuu.
Sopikaa, mitä tarkasteltavassa toiminnassa tehdään, kuka siitä vastaa ja mihin nykyiseen prosessiin työ liittyy.
Arvioikaa väite todisteilla.
Valitkaa tallenteet tai testit, jotka todella kattavat kuvatun laajuuden, ja kirjatkaa tulos, tarkastuspäivä sekä tarvittavat jatkotoimet.
Arvioikaa muutokset uudelleen.
Määrittäkää sopivat arvioinnin käynnistimet, kuten palvelun muutos tai poikkeama, ja päivittäkää toteutuspäätös asianomaisten vastuuhenkilöiden kanssa.
Näyttö ilman ISO 27002 -sertifikaattia.
ISO:n tuotteen usein kysyttyjen kysymysten mukaan erillistä ISO 27002 -sertifiointia ei ole. Sertifioitua tietoturvan hallintajärjestelmän näyttöä tarvitsevan tulee tarkastella ISO 27001:tä ja konkreettista sertifioinnin soveltamisalaa. ISO itse ei suorita näitä sertifiointeja. ISO:n sertifiointisivun mukaan ne kuuluvat ulkoisille elimille. Toteutusohjeella ei siksi ole myöskään yleistä sertifikaatin voimassaoloaikaa.
Omaan todentamistyöhön suositellaan selkeää väitettä: mikä toteutus missä ympäristössä on tarkoitus osoittaa? Menettely voi kuvata suunnitellun toimintatavan, kun taas tallenne osoittaa sen toteuttamisen. Testi puolestaan arvioi konkreettista odotusta. Nämä todistetyypit voivat täydentää toisiaan, mutta vastaavat eri kysymyksiin.
Tarkistakaa todisteen alkuperä, ajanjakso ja laajuus ennen sen luovuttamista. Nykyinen asetus ei osoita aiempaa toimintaa, eikä otos automaattisesti selitä kaikkia poikkeuksia. Dokumentoikaa rajallinen kattavuus ja siitä seuraava työ sen sijaan, että yhdestä asiakirjasta johdettaisiin kattava turvallisuus- tai vaatimustenmukaisuuslupaus.
Suhde muihin viitekehyksiin.
ISO 27001 kuvaa tietoturvan hallintajärjestelmän vaatimukset, ja ISO 27002 tukee sen toimenpidetyötä. IT-Grundschutz tarjoaa BSI:n oman menetelmän standardeineen ja kompendiumeineen. Soveltamisalaan kuuluvien toimijoiden BSIG-lain lakisääteiset velvollisuudet on arvioitava erikseen. Toteutusohjeen käyttö ei vahvista NIS2-vaatimustenmukaisuutta.
Secanissa.
Secani sisältää toimituksellisen ISO/IEC 27002:2022-työluettelon sekä profiilitiedot muun muassa pilvipalveluille, ohjelmistokehitykselle ja liikkuvalle työlle. Luettelo palvelee jäsenneltyä käsittelyä eikä ole virallinen standarditeksti. Soveltamispäätökset tarvitsevat perustelut. Toimituksellinen apuväline ei korvaa itsenäistä asiantuntija-arviota.
Aloittakaa jäljitettävästä toteutuksesta.
Valitkaa palvelu, jonka vastuuhenkilöt ja riippuvuudet tunnetaan. Kirjatkaa konkreettinen turvallisuuspäätös perusteineen, aiottu toteutus ja sopiva tarkastuspolku. Selvittäkää sitten osallistujien kanssa, vastaako kuvaus todellista käytäntöä. Vasta tämän jälkeen lähestymistapa voidaan mielekkäästi siirtää muihin palveluihin.
Lähteet.
- ISO/IEC 27002:2022: standardin julkinen sivu ja usein kysytyt kysymykset
- ISO/IEC 27001:2022: tietoturvan hallintajärjestelmän vaatimukset ja sertifiointi
- ISO/IEC SC 27 Journal, Vol. 2, Issue 2: toimittajien artikkeli, s. 13–15
- IEC: ISO/IEC 27002:2022, painos ja käyttötarkoitus
- ISO: sertifiointi ja ulkoiset sertifiointielimet
Usein kysytyt kysymykset.
Ei. ISO 27002 on toteutusohje. Tietoturvan hallintajärjestelmän sertifioituun osoittamiseen soveltuva vaatimusstandardi on ISO 27001.
Ei. Konkreettinen toteutus määräytyy tarkasteltavan ympäristön toimintaympäristön ja riskien mukaan. Yhteinen viite ei tarkoita samanlaista toimintamallia kaikille organisaatioille.
Eivät. Attribuutit mahdollistavat erilaisia näkymiä toimenpiteisiin ja auttavat jäsentelyssä. Ne eivät korvaa soveltamispäätöstä eivätkä toteutuksen osoittamista.
Ei. Ymmärrettävä ohje tai toimintamenettely voi tukea useita toimenpiteitä, kunhan kunkin toteutus ja vastuu säilyvät jäljitettävinä.
Käsitelkää toimenpiteitä jäljitettävästi.
Jäsentäkää riskit, vastuut ja todisteet Secanissa.
Tämä sivu antaa yleiskuvan toteutusohjeesta. Ratkaisevia ovat laillisesti hankitut standardit ja konkreettinen soveltamisympäristö.