ISO 27002.
Informacijos saugumo priemonių gairės: ką struktūruoja ISO 27002, kaip jį taikyti ir kokie įrodymai iš to atsiranda.
- ISO/IEC 27002:2022
- Autorius: Jonathan Bezdek
- Aktualu: 2026-10-22
- Skaitymo trukmė: 6 min.
Trumpas atsakymas.
ISO 27002 yra tarptautinės informacijos saugumo priemonių įgyvendinimo gairės. ISO/IEC 27002:2022 skirsto kontrolės priemones į organizacines, su žmonėmis susijusias, fizines ir technologines temas bei aiškina jų taikymą. Organizacijos naudoja gaires pagal savo riziką ir veiklą. Atskiro ISO 27002 sertifikavimo nėra; sertifikuojamus ISMS reikalavimus nustato ISO 27001.
ISO 27002:2022 kaip įgyvendinimo gairės.
ISO 27002 aiškina saugumo priemones, o ISO 27001 aprašo informacijos saugumo vadybos sistemos, trumpai ISMS, reikalavimus. Angliškas terminas Controls reiškia priemones saugumo rizikai paveikti. Tai apima ir organizacinius procesus, ir technines ar fizines priemones. Todėl priemonių katalogas nėra vien produktų sąrašas ar tik IT padalinio darbas.
Viešame leidėjo puslapyje ISO/IEC 27002:2022 nurodytas kaip trečiasis 2022 m. vasario leidimas ir minima pataisyta 2022 m. kovo angliška versija. Redaktorės straipsnyje SC 27 žurnalo 2022 m. gruodžio numeryje, 13–15 puslapiuose, paaiškinama 93 priemonių keturiose temose struktūra ir papildomi atributai. Ši apžvalga nepakeičia darbo su teisėtai įsigytu standartu.
Gairės taikomos savo organizacijos kontekste. IEC produkto aprašyme nurodomas ir naudojimas ISMS viduje, ir organizacijai skirtų saugumo gairių rengimas. Vien perimtas katalogas dar nenustato, kokia aplinka saugoma, kas taiko priemonę ir ar ji iš tikrųjų veikia.
Kam tinka ISO 27002.
Pagal viešą ISO aprašą ISO 27002 skirtas įvairaus dydžio ir sektorių organizacijoms. Jis gali padėti tvarkyti priemones esamoje ISMS arba būti saugumo veiklos orientyru. Sertifikavimo siekis nėra būtina sąlyga. Prieš diegiant turi būti aišku, ar reikia bendros dalykinės kalbos, geresnio įgyvendinimo, ar įrodymo konkrečiam gavėjui.
Taikant paprastai dalyvauja kelios funkcijos. Praktiškai darbus galima paskirstyti taip: saugumo atsakingieji koordinuoja pasirinkimą, paslaugos atsakingieji paaiškina atitinkamą aplinką, o veiklos padaliniai įgyvendina priemones. Pirkimų, personalo, pastatų eksploatavimo ir kūrimo funkcijos įtraukiamos tiek, kiek konkreti priemonė liečia jų procesus. Tai darbo organizavimo rekomendacija, o ne standarte nustatytas visuotinis vaidmenų paskirstymas.
ISO 27002 kontrolės priemonės kaip darbo pagrindas.
Priemones struktūruoja keturios temos; pasirinkimas ir atributai padeda jas taikyti. Toliau šešios darbo sritys susieja šią struktūrą su praktiniais sprendimais; jos nėra šeši oficialūs standarto skyriai ar visas priemonių sąrašas.
Organizacinė atsakomybė.
Organizacinės priemonės sudaro atskirą temą. Praktiškai išsiaiškinkite, kur priimamas, patvirtinamas ir peržiūrimas sprendimas. Suprantama tvarka susieja saugomą paslaugą su atsakinga funkcija; vien politikos dokumento buvimas šio ryšio dar nepaaiškina.
Žmonės ir darbo procesai.
Su žmonėmis susijusios priemonės nagrinėja saugumą žmonių ir jų darbo kontekste. Taikydami patikrinkite, kokie kasdienio darbo įvykiai inicijuoja veiksmą ir kas jį atlieka. Mokymui ir vaidmens pakeitimui reikia skirtingo įgyvendinimo, net jei abu lydi tas pats padalinys.
Fizinė aplinka.
Fizinės priemonės skirtos aplinkai, kurioje naudojama informacija ir ją palaikantys ištekliai. Praktiškai apibrėždami ribas atskirkite savo vietas nuo paslaugų teikėjų paslaugų. Pavyzdžiui, duomenų centro įrodymas automatiškai neatsako į įrenginių tvarkymo jūsų biure klausimus.
Technologinis įgyvendinimas.
Technologinės priemonės sudaro ketvirtąją temą. Taikydami pirmiausia aprašykite, kokias sistemas ir informaciją turi apimti techninė priemonė. Tada galima patikrinti, ar dera konfigūracija, veiklos procesas ir stebėsena. Įjungta funkcija yra patikros pradžia, o ne išsami veiksmingumo išvada.
Susiekite pasirinkimą su rizika.
Taikymas turėtų remtis nagrinėjamos veiklos apsaugos poreikiu ir rizika. Praktinė rekomendacija – užfiksuoti, koks sprendimas pagrindžia priemonę ir į kokias priklausomybes atsižvelgta. Taip lieka aišku, kodėl dviem paslaugoms gali reikėti skirtingo įgyvendinimo, nors naudojamos tos pačios gairės.
Naudokite atributus aiškiems vaizdams kurti.
Pagal redaktorės straipsnį atributai leidžia skirtingais pjūviais peržiūrėti priemonių visumą. Tokius vaizdus naudokite, pavyzdžiui, derinant saugumo organizavimo ir veiklos atsakingųjų darbą. Rūšiavimas palengvina orientavimąsi; jis nepakeičia nei taikymo sprendimo, nei priemonės įgyvendinimo ar veiksmingumo įrodymo.
ISO 27002 taikymas veikloje.
Pasirinkite valdomą aprėptį.
Pradėkite apibrėždami vieną paslaugą, jos informaciją, sistemas ir dalyvius, kad vėlesnis įgyvendinimas turėtų patikrinamas ribas.
Užfiksuokite sprendimo pagrindą.
Aprašykite aktualią riziką ir verslo, teisinius ar sutartinius reikalavimus prieš pasitelkdami tinkamas priemonių įgyvendinimo gaires.
Skaitykite gaires jų kontekste.
Remdamiesi teisėtai įsigytu standartu patikrinkite, kurios rekomendacijos tinka jūsų aplinkai, ir nelaikykite trumpo aprašo visa įgyvendinimo specifikacija.
Nustatykite įgyvendinimą ir atsakomybę.
Sutarkite, kas turi vykti nagrinėjamoje veikloje, kas už tai atsako ir su kokiu esamu procesu darbas susijęs.
Patikrinkite teiginį įrodymais.
Pasirinkite įrašus ar bandymus, kurie iš tikrųjų apima aprašytą sritį, ir užfiksuokite rezultatą, patikros datą bei reikalingus tolesnius veiksmus.
Iš naujo vertinkite pokyčius.
Nustatykite tinkamas peržiūros priežastis, pavyzdžiui, paslaugos pakeitimą ar incidentą, ir su atitinkamais atsakingaisiais atnaujinkite įgyvendinimo sprendimą.
Įrodymas be ISO 27002 sertifikato.
Pagal ISO produkto DUK atskiras sertifikavimas pagal ISO 27002 nenumatytas. Jei reikia sertifikuoto ISMS įrodymo, nagrinėkite ISO 27001 ir konkrečią sertifikavimo aprėptį. Pati ISO tokio sertifikavimo neatlieka; pagal ISO puslapį apie sertifikavimą tai daro išorinės įstaigos. Todėl šioms įgyvendinimo gairėms nėra ir bendros sertifikato galiojimo trukmės.
Savo įrodymų darbui rekomenduojamas aiškus teiginys: kokį įgyvendinimą kokioje aplinkoje reikia įrodyti? Procedūra gali aprašyti numatytą darbo būdą, o įrašas – parodyti jo atlikimą. Bandymas tikrina konkretų lūkestį. Šie įrodymų tipai gali vienas kitą papildyti, tačiau atsako į skirtingus klausimus.
Prieš perduodami įrodymą patikrinkite jo kilmę, laikotarpį ir aprėptį. Dabartinis nustatymas neįrodo istorinio veikimo; imtis automatiškai nepaaiškina kiekvienos išimties. Dokumentuokite ribotą aprėptį ir iš jos kylantį darbą, užuot iš vieno dokumento išvedę visapusišką saugumo ar atitikties garantiją.
Ryšys su kitomis sistemomis.
ISO 27001 aprašo ISMS reikalavimus, o ISO 27002 padeda įgyvendinti jos priemones. IT-Grundschutz pateikia atskirą BSI metodiką su standartais ir sąvadu. Subjektų, kuriems taikomas BSIG, teisines pareigas reikia tikrinti atskirai; įgyvendinimo gairių naudojimas nepatvirtina NIS2 atitikties.
„Secani“ sistemoje.
„Secani“ turi redakcinį ISO/IEC 27002:2022 darbo katalogą su profilio duomenimis, be kita ko, apie debesijos paslaugas, programinės įrangos kūrimą ir mobilųjį darbą. Katalogas skirtas struktūruotam darbui ir nėra oficialus standarto tekstas. Sprendimus dėl taikymo reikia pagrįsti; redakcinė pagalbinė priemonė nepakeičia savarankiško kompetentingo vertinimo.
Pradėkite nuo atsekamo įgyvendinimo.
Pasirinkite paslaugą, kurios atsakingi asmenys ir priklausomybės žinomi. Užfiksuokite konkretų saugumo sprendimą su jo priežastimi, numatytu įgyvendinimu ir tinkamu tikrinimo būdu. Tada su dalyviais išsiaiškinkite, ar šis aprašymas atitinka tikrąją kasdienę veiklą. Tik tada prasminga perkelti šį požiūrį kitoms paslaugoms.
Dažniausi klausimai.
Ne. ISO 27002 yra įgyvendinimo gairės; sertifikuotam informacijos saugumo vadybos sistemos įrodymui taikomas reikalavimų standartas ISO 27001.
Ne. Konkretus įgyvendinimas priklauso nuo nagrinėjamos aplinkos konteksto ir rizikos; bendras atskaitos pagrindas nereiškia vienodo veiklos modelio visoms organizacijoms.
Ne. Atributai leidžia skirtingais pjūviais peržiūrėti priemones ir padeda jas tvarkyti; jie nepakeičia sprendimo dėl taikymo ar įgyvendinimo įrodymo.
Ne. Suprantama politika ar veiklos procesas gali palaikyti kelias priemones, jei išlieka atsekami kiekvienos jų įgyvendinimas ir atsakomybė.
Atsekamai tvarkykite priemones.
Tvarkykite riziką, atsakomybę ir įrodymus „Secani“ sistemoje.
Šiame puslapyje paaiškinamos įgyvendinimo gairės. Lemiamą reikšmę turi teisėtai įsigyti standartai ir konkretus taikymo kontekstas.