ISO 27002.
Informācijas drošības pasākumu vadlīnijas: ko sakārto ISO 27002, kā to piemērot un kādi pierādījumi rodas.
- ISO/IEC 27002:2022
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 6 min.
Īsā atbilde.
ISO 27002 ir starptautiski informācijas drošības pasākumu ieviešanas norādījumi. ISO/IEC 27002:2022 sakārto kontroles organizatoriskajās, personāla, fiziskajās un tehnoloģiskajās tēmās un skaidro to piemērošanu. Organizācijas izmanto vadlīnijas atbilstoši saviem riskiem un darbībai. Atsevišķas ISO 27002 sertifikācijas nav; sertificējamas ISMS prasības satur ISO 27001.
ISO 27002:2022 kā ieviešanas palīglīdzeklis.
ISO 27002 skaidro drošības pasākumus, savukārt ISO 27001 apraksta informācijas drošības pārvaldības sistēmas jeb ISMS prasības. Angļu apzīmējums Controls nozīmē pasākumus drošības risku ietekmēšanai. Tie ietver gan organizatoriskus procesus, gan tehniskus vai fiziskus pasākumus. Tādēļ pasākumu katalogs neapraksta tikai produktu sarakstu vai vienīgi IT nodaļas darbu.
Izdevēja publiskajā lapā ISO/IEC 27002:2022 norādīts kā 2022. gada februāra trešais izdevums, un minēta 2022. gada marta koriģēta versija angļu valodā. Redaktoru raksts SC 27 žurnāla 2022. gada decembra izdevuma 13.–15. lappusē skaidro 93 pasākumu struktūru četrās tēmās un papildu atribūtus. Šī orientācija neaizstāj darbu ar likumīgi iegūtu standartu.
Vadlīnijas piemēro savas organizācijas kontekstā. IEC produkta aprakstā minēta gan izmantošana ISMS ietvaros, gan organizācijai atbilstošu drošības vadlīniju izstrāde. Pārņemts katalogs viens pats vēl nenosaka, kāda vide tiek aizsargāta, kurš īsteno pasākumu un vai tas patiešām darbojas.
Kam piemērots ISO 27002.
Saskaņā ar publisko ISO aprakstu ISO 27002 paredzēts dažāda lieluma un nozaru organizācijām. Tas var palīdzēt darbā ar esošas ISMS pasākumiem vai kalpot drošības darba orientācijai. Sertifikācijas mērķis tam nav priekšnoteikums. Pirms ieviešanas jābūt skaidram, vai vajadzīga kopīga profesionālā valoda, labāka ieviešana vai apliecinājums konkrētam saņēmējam.
Piemērošanā parasti iesaistītas vairākas funkcijas. Praktiskā darba sadalījumā drošības atbildīgie var koordinēt atlasi, pakalpojumu atbildīgie — izskaidrot skarto vidi, bet struktūrvienības — pārņemt ieviešanu. Iepirkumu, personālu, ēku apsaimniekošanu un izstrādi iesaista, ciktāl konkrētais pasākums skar to procesus. Šis sadalījums ir darba organizēšanas ieteikums, nevis standartā vispārēji noteikts lomu aizpildījums.
ISO 27002 kontroles kā darba pamats.
Pasākumus strukturē četras tēmas; atlase un atribūti palīdz tos piemērot. Tālāk minētās sešas darba jomas savieno šo struktūru ar praktiskiem lēmumiem, taču neveido sešas oficiālas standarta nodaļas vai pilnu pasākumu sarakstu.
Organizatoriskā atbildība.
Organizatoriskie pasākumi veido atsevišķu tēmu. Praktiskai ieviešanai noskaidrojiet, kurā posmā pieņem, apstiprina un pārbauda lēmumu. Saprotams regulējums sasaista aizsargāto pakalpojumu ar atbildīgo funkciju; politikas dokumenta esamība vien šo saikni vēl neizskaidro.
Cilvēki un darba procesi.
Personāla pasākumi aplūko drošību saistībā ar cilvēkiem un viņu darbu. Piemērojot tos, pārbaudiet, kādi ikdienas notikumi izraisa rīcību un kas to veic. Apmācībām un lomas maiņai vajadzīga atšķirīga īstenošana, pat ja abas pavada viena struktūrvienība.
Fiziskā vide.
Fiziskie pasākumi attiecas uz vidi, kurā izmanto informāciju un atbalsta līdzekļus. Praktiski norobežojot aptvērumu, nošķiriet savas darbības vietas un pakalpojumu sniedzēju pakalpojumus. Piemēram, apliecinājums par datu centru automātiski neatbild uz jautājumiem par ierīču izmantošanu savā birojā.
Tehnoloģiskā ieviešana.
Tehnoloģiskie pasākumi veido ceturto tēmu. Piemērošanai vispirms aprakstiet, kuras sistēmas un informāciju tehniskajam pasākumam jāaptver. Pēc tam var pārbaudīt, vai konfigurācija, darbības process un uzraudzība saskan. Aktivizēta funkcija ir sākumpunkts pārbaudei, nevis pilnīgs efektivitātes apliecinājums.
Sasaistīt atlasi ar risku.
Piemērošanai jāizriet no izvērtētās darbības aizsardzības vajadzībām un riskiem. Praktiski ieteicams fiksēt, kāds lēmums pamato pasākumu un kādas atkarības ņemtas vērā. Tā paliek izsekojams, kāpēc diviem pakalpojumiem var būt vajadzīga atšķirīga ieviešana, lai gan orientācijai kalpo viena vadlīnija.
Izmantot atribūtus saprotamiem skatījumiem.
Saskaņā ar redaktoru rakstu atribūti ļauj dažādi skatīt pasākumu kopumu. Izmantojiet šādus skatījumus, piemēram, saskaņošanai starp drošības organizāciju un par darbību atbildīgajiem. Kārtošana atvieglo navigāciju; tā neaizstāj ne piemērošanas lēmumu, ne pierādījumu, ka pasākums ir ieviests vai efektīvs.
ISO 27002 piemērošana darbībā.
Izvēlēties pārskatāmu aptvērumu.
Praktiski sākot darbu, norobežojiet pakalpojumu ar tā informāciju, sistēmām un dalībniekiem, lai vēlākai ieviešanai būtu pārbaudāma robeža.
Fiksēt lēmuma pamatu.
Aprakstiet būtiskos riskus un uzņēmējdarbības, juridiskās vai līgumu prasības, pirms izmantojat piemērotas vadlīnijas darbam ar pasākumiem.
Lasīt vadlīnijas kontekstā.
Izmantojot likumīgi iegūto standartu, pārbaudiet, kuri norādījumi atbilst jūsu videi, un neuzskatiet īsu aprakstu par pilnīgu ieviešanas prasību.
Noteikt ieviešanu un atbildību.
Vienojieties, kam jānotiek izvērtētajā darbībā, kurš par to atbild un ar kādu esošu procesu darbs saistās.
Pārbaudīt apgalvojumu ar pierādījumiem.
Izvēlieties ierakstus vai testus, kas faktiski aptver aprakstīto jomu, un fiksējiet rezultātu, pārbaudes datumu un nepieciešamos turpmākos pasākumus.
Atkārtoti novērtēt izmaiņas.
Nosakiet piemērotus pārskatīšanas iemeslus, piemēram, mainītu pakalpojumu vai incidentu, un atjauniniet ieviešanas lēmumu kopā ar attiecīgajiem atbildīgajiem.
Pierādījumi bez ISO 27002 sertifikāta.
Saskaņā ar ISO produkta biežākajiem jautājumiem atsevišķa ISO 27002 sertifikācija nav paredzēta. Ja nepieciešams sertificēts ISMS apliecinājums, jāaplūko ISO 27001 un konkrētais sertifikācijas aptvērums. ISO pati šādas sertifikācijas neveic; saskaņā ar ISO sertifikācijas lapu to dara ārējas iestādes. Tādēļ ieviešanas norādījumiem nav arī vispārēja sertifikāta derīguma termiņa.
Pašu darbam ar pierādījumiem ieteicams skaidrs apgalvojums: kāda ieviešana kādā vidē jāpierāda? Procedūra var aprakstīt plānoto darba veidu, savukārt ieraksts parāda tās veikšanu. Tests savukārt pārbauda konkrētu gaidu. Šie pierādījumu veidi var papildināt cits citu, bet atbild uz atšķirīgiem jautājumiem.
Pirms pierādījuma nodošanas pārbaudiet tā izcelsmi, periodu un aptvērumu. Pašreizējs iestatījums nepierāda vēsturisku darbību; izlase automātiski neizskaidro katru izņēmumu. Dokumentējiet ierobežoto aptvērumu un no tā izrietošo darbu, nevis no viena dokumenta atvasiniet pilnīgu drošības vai atbilstības solījumu.
Citu ietvaru konteksts.
ISO 27001 apraksta ISMS prasības, bet ISO 27002 palīdz darbā ar tās pasākumiem. IT-Grundschutz nodrošina patstāvīgu BSI metodiku ar standartiem un kompendiju. Aptverto struktūru likumā noteiktie pienākumi saskaņā ar BSIG jāpārbauda atsevišķi; ieviešanas norādījumu izmantošana neapliecina NIS2 atbilstību.
Secani vidē.
Secani ietver pašu izstrādātu darba katalogu ISO/IEC 27002:2022 ar profila informāciju cita starpā par mākoņpakalpojumiem, programmatūras izstrādi un attālināto darbu. Katalogs kalpo strukturētam darbam un nav oficiāls standarta teksts. Piemērojamības lēmumiem vajadzīgs pamatojums; pašu izstrādātais palīglīdzeklis neaizstāj neatkarīgu profesionālu pārbaudi.
Sāciet ar izsekojamu ieviešanu.
Izvēlieties pakalpojumu, kura atbildīgie un atkarības ir zināmi. Fiksējiet konkrētu drošības lēmumu ar tā iemeslu, paredzēto ieviešanu un piemērotu pārbaudes ceļu. Pēc tam ar dalībniekiem noskaidrojiet, vai šis apraksts atbilst faktiskajai darba praksei. Tikai tad pieeju var jēgpilni attiecināt uz citiem pakalpojumiem.
Biežākie jautājumi.
Nē. ISO 27002 ir ieviešanas norādījumi; sertificētam informācijas drošības pārvaldības sistēmas apliecinājumam attiecīgais prasību standarts ir ISO 27001.
Nē. Konkrētā ieviešana atkarīga no izvērtētās vides konteksta un riskiem; kopīga atsauce nenozīmē identisku darbības modeli visām organizācijām.
Nē. Atribūti ļauj dažādi skatīt pasākumus un palīdz tos sakārtot; tie neaizstāj piemērojamības lēmumu vai ieviešanas pierādījumu.
Nē. Saprotama politika vai darbības process var atbalstīt vairākus pasākumus, ja katra ieviešana un atbildība paliek izsekojama.
Pārvaldiet pasākumus izsekojamā veidā.
Sakārtojiet riskus, atbildību un pierādījumus Secani vidē.
Šī lapa skaidro ieviešanas norādījumus. Noteicoši ir likumīgi iegūtie standarti un konkrētais piemērošanas konteksts.