ISO 27002.
Az információbiztonsági intézkedések iránymutatásai: mit rendez az ISO 27002, hogyan alkalmazható, és milyen bizonyítékok keletkeznek belőle.
- ISO/IEC 27002:2022
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 6 perc
Rövid válasz.
Az ISO 27002 az információbiztonsági intézkedések nemzetközi megvalósítási útmutatója. Az ISO/IEC 27002:2022 szervezeti, személyi, fizikai és technológiai témákba rendezi kontrolljait, és ismerteti alkalmazásukat. A szervezetek kockázataikhoz és működésükhöz igazítva használják az iránymutatásokat. Önálló ISO 27002 tanúsítás nincs; az ISMS tanúsítható követelményeit az ISO 27001 tartalmazza.
Az ISO 27002:2022 mint megvalósítási útmutató.
Az ISO 27002 biztonsági intézkedéseket ismertet, míg az ISO 27001 az információbiztonság-irányítási rendszer, röviden ISMS, követelményeit írja le. Az angol Controls megnevezés a biztonsági kockázatokat befolyásoló intézkedéseket jelenti. Ide a szervezeti folyamatok éppúgy beletartoznak, mint a technikai vagy fizikai megoldások. Az intézkedéskatalógus ezért sem puszta terméklista, sem kizárólag az informatikai részleg munkájának leírása.
A kiadó nyilvános oldala az ISO/IEC 27002:2022-t 2022. februári harmadik kiadásként jelöli, és 2022. márciusi javított angol változatot említ. Az SC 27 Journal 2022. decemberi számában a szerkesztői cikk a 13–15. oldalon ismerteti a négy témába rendezett 93 intézkedést és a kiegészítő attribútumokat. Ez a tájékozódás nem helyettesíti a jogszerűen beszerzett szabvánnyal végzett munkát.
Az iránymutatásokat a saját szervezet környezetében alkalmazzák. Az IEC termékleírása az ISMS-en belüli felhasználást és a szervezetre szabott biztonsági iránymutatások kidolgozását is megnevezi. Egy átvett katalógus önmagában még nem határozza meg, milyen környezetet védenek, ki működtet egy intézkedést, vagy az ténylegesen működik-e.
Kinek megfelelő az ISO 27002?
Az ISO nyilvános leírása szerint az ISO 27002 különböző méretű és ágazatú szervezeteknek szól. Támogathatja egy meglévő ISMS intézkedési munkáját, vagy útmutatást adhat a biztonsági munkához. Ennek nem előfeltétele a tervezett tanúsítás. A bevezetés előtt tisztázni kell, hogy közös szaknyelvre, jobb megvalósításra vagy egy meghatározott címzettnek szóló igazolásra van-e szükség.
Az alkalmazásban rendszerint több funkció vesz részt. Gyakorlati munkamegosztásként a biztonsági felelősök koordinálhatják a kiválasztást, a szolgáltatásfelelősök bemutathatják az érintett környezetet, a szakterületek pedig átvehetik a megvalósítást. A beszerzést, a személyügyet, az épületüzemeltetést és a fejlesztést akkor vonják be, ha a konkrét intézkedés érinti folyamataikat. Ez a felosztás munkaszervezési ajánlás, nem a szabványból származó általános szerepkiosztás.
Az ISO 27002 kontrolljai mint munkaalap.
Négy téma strukturálja az intézkedéseket; a kiválasztás és az attribútumok segítik alkalmazásukat. A következő hat munkaterület ezt a struktúrát kapcsolja össze gyakorlati döntésekkel, anélkül hogy hat hivatalos szabványfejezetet vagy teljes intézkedéslistát jelentene.
Szervezeti felelősség.
A szervezeti intézkedések önálló témát alkotnak. A gyakorlati megvalósításhoz tisztázza, hol hozzák, hagyják jóvá és vizsgálják felül a döntést. Egy érthető szabályozás összekapcsolja a védett szolgáltatást az illetékes funkcióval; egy szabályzatdokumentum puszta megléte még nem magyarázza el ezt az összefüggést.
Emberek és munkafolyamatok.
A személyi intézkedések az emberekkel és munkájukkal összefüggésben vizsgálják a biztonságot. Alkalmazáskor vizsgálja meg, mely napi események váltanak ki cselekvést, és ki végzi azt. Egy képzés és egy szerepváltás eltérő megvalósítást igényel, még ha ugyanaz a szakterület támogatja is mindkettőt.
Fizikai környezet.
A fizikai intézkedések azt a környezetet érintik, ahol az információkat és a támogató eszközöket használják. A gyakorlati lehatárolásnál különböztesse meg a saját telephelyeket és a szolgáltatók teljesítését. Egy adatközpontról szóló igazolás például nem válaszolja meg automatikusan a saját irodai eszközkezelés kérdéseit.
Technológiai megvalósítás.
A technológiai intézkedések alkotják a negyedik témát. Az alkalmazáshoz először írja le, mely rendszereket és információkat kell lefednie a technikai megoldásnak. Ezután ellenőrizhető, hogy a konfiguráció, az üzemeltetési folyamat és a felügyelet összhangban van-e. Egy bekapcsolt funkció a vizsgálat kiindulópontja, nem teljes hatékonysági állítás.
A kiválasztás összekapcsolása a kockázattal.
Az alkalmazásnak a vizsgált működés védelmi szükségletéből és kockázataiból kell kiindulnia. Gyakorlati ajánlásként rögzítse, milyen döntés alapozza meg az intézkedést, és milyen függőségeket vettek figyelembe. Így követhető marad, miért igényelhet két szolgáltatás eltérő megvalósítást, miközben ugyanaz az iránymutatás szolgál támpontul.
Attribútumok használata érthető nézetekhez.
A szerkesztői cikk szerint az attribútumok eltérő nézeteket tesznek lehetővé az intézkedésállományról. Használja ezeket például a biztonsági szervezet és az üzemeltetési felelősök egyeztetéséhez. A rendezés segíti az eligazodást; sem az alkalmazási döntést, sem az intézkedés megvalósításának vagy hatékonyságának igazolását nem helyettesíti.
Az ISO 27002 alkalmazása a működésben.
Átlátható terjedelem kiválasztása.
Gyakorlati kezdésként határoljon le egy szolgáltatást információival, rendszereivel és résztvevőivel együtt, hogy a későbbi megvalósításnak ellenőrizhető határa legyen.
A döntési alap rögzítése.
Írja le a releváns kockázatokat és üzleti, jogi vagy szerződéses követelményeket, mielőtt megfelelő iránymutatásokat használ az intézkedési munkához.
Az iránymutatások összefüggő olvasása.
A jogszerűen beszerzett szabvány alapján vizsgálja meg, mely útmutatások illenek a környezetéhez, és ne kezeljen egy rövid leírást teljes megvalósítási előírásként.
A megvalósítás és felelősség meghatározása.
Állapodjanak meg arról, minek kell történnie a vizsgált működésben, ki felel érte, és milyen meglévő folyamathoz kapcsolódik a munka.
Az állítás ellenőrzése bizonyítékokkal.
Válasszon a leírt terjedelmet ténylegesen lefedő feljegyzéseket vagy teszteket, és rögzítse az eredményt, a vizsgálat dátumát és a szükséges további intézkedéseket.
A változások újraértékelése.
Határozzon meg megfelelő felülvizsgálati kiváltó okokat, például szolgáltatásváltozást vagy incidenst, és az érintett felelősökkel aktualizálja a megvalósítási döntést.
Igazolás ISO 27002 tanúsítvány nélkül.
Az ISO termék-GYIK szerint nem létezik önálló ISO 27002 szerinti tanúsítás. Akinek tanúsított ISMS-igazolásra van szüksége, az az ISO 27001-et és a konkrét tanúsítási terjedelmet vizsgálja. Maga az ISO nem végez ilyen tanúsítást; az ISO tanúsítási oldala szerint ezt külső szervezetek végzik. A megvalósítási útmutatóhoz ezért általános tanúsítvány-érvényesség sem tartozik.
A saját igazolási munkához világos állítás javasolt: milyen megvalósítást, mely környezetben kell bizonyítani? Egy eljárás a tervezett munkamódot írhatja le, míg egy feljegyzés a végrehajtását mutatja. Egy teszt viszont konkrét elvárást vizsgál. Ezek a bizonyítéktípusok kiegészíthetik egymást, de eltérő kérdésekre válaszolnak.
Bizonyíték átadása előtt ellenőrizze annak eredetét, időszakát és terjedelmét. Egy aktuális beállítás nem bizonyít korábbi működést; egy mintavétel nem magyaráz meg automatikusan minden kivételt. Dokumentálja a korlátozott lefedettséget és az ebből következő munkát, ahelyett hogy egyetlen iratból teljes biztonsági vagy megfelelőségi vállalást vezetne le.
Más keretrendszerek elhelyezése.
Az ISO 27001 az ISMS követelményeit írja le, az ISO 27002 a benne végzett intézkedési munkát támogatja. Az IT-Grundschutz saját BSI-módszertant ad szabványokkal és kompendiummal. A BSIG szerinti érintett szervezetek jogszabályi kötelezettségeit továbbra is külön kell vizsgálni; egy megvalósítási útmutató használata nem igazol NIS2-megfelelőséget.
A Secaniban.
A Secani saját szerkesztésű munkakatalógust tartalmaz az ISO/IEC 27002:2022-höz, többek között a felhőszolgáltatásokra, szoftverfejlesztésre és mobil munkára vonatkozó profiladatokkal. A katalógus strukturált feldolgozásra szolgál, és nem hivatalos szabványszöveg. Az alkalmazhatósági döntések indoklást igényelnek; a saját szerkesztésű segédlet nem helyettesíti az önálló szakmai vizsgálatot.
Induljon követhető megvalósítással.
Válasszon olyan szolgáltatást, amelynek felelősei és függőségei ismertek. Rögzítsen egy konkrét biztonsági döntést annak kiváltó okával, tervezett megvalósításával és megfelelő ellenőrzési útjával. Ezután tisztázza a résztvevőkkel, megfelel-e ez a leírás a tényleges gyakorlatnak. Csak ezután érdemes a megközelítést további szolgáltatásokra átvinni.
Gyakori kérdések.
Nem. Az ISO 27002 megvalósítási útmutató; az információbiztonság-irányítási rendszer tanúsított igazolásához az ISO 27001 az irányadó követelményszabvány.
Nem. A konkrét megvalósítás a vizsgált környezethez és kockázataihoz igazodik; a közös referencia nem jelent azonos működési modellt minden szervezetnek.
Nem. Az attribútumok az intézkedések különböző nézeteit teszik lehetővé és segítik a rendezést; nem helyettesítik az alkalmazhatósági döntést és a megvalósítás igazolását.
Nem. Egy érthető szabályzat vagy működési folyamat több intézkedést is támogathat, ha az adott megvalósítás és felelősség követhető marad.
Dolgozzon követhetően az intézkedésekkel.
Rendezze a kockázatokat, felelősséget és bizonyítékokat a Secaniban.
Ez az oldal a megvalósítási útmutatót mutatja be. A jogszerűen beszerzett szabványok és a konkrét alkalmazási környezet az irányadók.