ISO 27002.
Îndrumări pentru măsurile de securitate a informației: ce organizează ISO 27002, cum îl aplicați și ce dovezi rezultă.
- ISO/IEC 27002:2022
- De Jonathan Bezdek
- Actualizat la: 22.10.2026
- Timp de lectură: 7 min.
Răspuns pe scurt.
ISO 27002 este ghidul internațional de implementare a măsurilor de securitate a informației. ISO/IEC 27002:2022 organizează controalele în teme organizatorice, privind persoanele, fizice și tehnologice și explică aplicarea lor. Organizațiile folosesc îndrumările potrivit riscurilor și activității lor. Nu există certificare ISO 27002 distinctă; ISO 27001 conține cerințele certificabile pentru un SMSI.
ISO 27002:2022 ca ghid de implementare.
ISO 27002 explică măsurile de securitate, în timp ce ISO 27001 descrie cerințele unui sistem de management al securității informației, pe scurt SMSI. Termenul englezesc Controls desemnează măsuri pentru influențarea riscurilor de securitate. Acestea includ atât proceduri organizatorice, cât și dispoziții tehnice sau fizice. Un catalog de măsuri nu descrie, așadar, nici o simplă listă de produse, nici doar activitatea departamentului IT.
Pagina publică a editorului prezintă ISO/IEC 27002:2022 drept a treia ediție, din februarie 2022, și menționează o versiune engleză corectată din martie 2022. Articolul redactoarelor din SC 27 Journal, ediția decembrie 2022, explică la paginile 13–15 structura cu 93 de măsuri în patru teme și atributele complementare. Această orientare nu înlocuiește lucrul cu standardul obținut legal.
Îndrumările se aplică în contextul propriei organizații. Descrierea produsului IEC menționează atât utilizarea într-un SMSI, cât și elaborarea unor politici de securitate specifice organizației. Un catalog preluat singur nu stabilește încă ce mediu este protejat, cine operează o măsură sau dacă aceasta funcționează efectiv.
Cui i se potrivește ISO 27002.
Conform descrierii publice ISO, ISO 27002 se adresează organizațiilor de diferite dimensiuni și din diferite sectoare. Poate sprijini gestionarea măsurilor într-un SMSI existent sau poate orienta activitatea de securitate. Urmărirea unei certificări nu este o condiție. Înainte de introducere, ar trebui să fie clar dacă este nevoie de un limbaj comun de specialitate, de o implementare mai bună sau de o dovadă pentru un anumit destinatar.
Aplicarea implică în mod obișnuit mai multe funcții. Ca repartizare practică, responsabilii de securitate pot coordona selecția, responsabilii de servicii pot explica mediul vizat, iar departamentele pot prelua implementarea. Achizițiile, resursele umane, administrarea clădirilor și dezvoltarea sunt implicate în măsura în care măsura concretă le afectează procesele. Această repartizare este o recomandare pentru organizarea activității, nu o atribuire universală a rolurilor prevăzută de standard.
Controalele ISO 27002 ca bază de lucru.
Patru teme structurează măsurile; selecția și atributele ajută la aplicarea lor. Cele șase domenii de lucru următoare conectează această structură cu decizii practice, fără a reprezenta șase capitole oficiale ale standardului sau o listă completă de măsuri.
Responsabilitate organizatorică.
Măsurile organizatorice formează o temă proprie. Pentru implementarea practică, clarificați unde se ia, se aprobă și se verifică o decizie. O regulă inteligibilă leagă serviciul protejat de funcția competentă; simpla existență a unui document de politică nu explică încă această legătură.
Oameni și procese de lucru.
Măsurile privind persoanele examinează securitatea în legătură cu oamenii și munca lor. La aplicare, verificați ce evenimente din activitatea zilnică declanșează o acțiune și cine o preia. O formare și o schimbare de rol necesită implementări diferite, chiar dacă ambele sunt însoțite de același departament.
Mediul fizic.
Măsurile fizice privesc mediul în care sunt utilizate informațiile și mijloacele de sprijin. La delimitarea practică, distingeți locațiile proprii de serviciile prestatorilor. De exemplu, o dovadă privind centrul de date nu răspunde automat întrebărilor privind gestionarea dispozitivelor în propriul birou.
Implementare tehnologică.
Măsurile tehnologice formează a patra temă. Pentru aplicare, descrieți mai întâi ce sisteme și informații trebuie să acopere o dispoziție tehnică. Apoi se poate verifica dacă configurația, procedura de operare și monitorizarea sunt corelate. O funcție activată este un punct de plecare pentru verificare, nu o concluzie completă asupra eficacității.
Corelați selecția cu riscul.
Aplicarea ar trebui să pornească de la necesarul de protecție și riscurile activității analizate. Ca recomandare practică, consemnați ce decizie fundamentează o măsură și ce dependențe au fost luate în considerare. Astfel rămâne trasabil de ce două servicii pot necesita implementări diferite, deși aceeași îndrumare servește drept orientare.
Utilizați atributele pentru perspective inteligibile.
Conform articolului redactoarelor, atributele permit perspective diferite asupra ansamblului măsurilor. Utilizați asemenea perspective, de exemplu, pentru coordonarea dintre organizarea securității și responsabilii operaționali. Sortarea facilitează navigarea; nu înlocuiește nici decizia de aplicare, nici dovada că o măsură este implementată sau eficace.
Aplicați ISO 27002 în activitatea operațională.
Alegeți un domeniu gestionabil.
Ca prim pas practic, delimitați un serviciu cu informațiile, sistemele și participanții săi, astfel încât implementarea ulterioară să aibă o limită verificabilă.
Consemnați baza deciziei.
Descrieți riscurile relevante și cerințele de afaceri, legale sau contractuale înainte de a utiliza îndrumările potrivite pentru gestionarea măsurilor.
Citiți îndrumările în context.
Pe baza standardului obținut legal, verificați ce indicații se potrivesc mediului dvs. și nu tratați o descriere scurtă ca pe o cerință completă de implementare.
Stabiliți implementarea și responsabilitatea.
Conveniți ce trebuie să se întâmple în activitatea analizată, cine răspunde și de ce proces existent se leagă activitatea.
Verificați afirmația cu dovezi.
Alegeți înregistrări sau teste care acoperă efectiv domeniul descris și consemnați rezultatul, data verificării și măsurile ulterioare necesare.
Reevaluați schimbările.
Stabiliți ocazii potrivite de revizuire, precum un serviciu modificat sau un incident, și actualizați decizia de implementare cu responsabilii vizați.
Dovezi fără certificat ISO 27002.
Conform întrebărilor frecvente privind produsul ISO, nu este prevăzută o certificare distinctă conform ISO 27002. Cei care au nevoie de o dovadă certificată a SMSI trebuie să analizeze ISO 27001 și domeniul concret al certificării. ISO nu realizează el însuși asemenea certificări; conform paginii ISO despre certificare, acestea sunt efectuate de organisme externe. Prin urmare, ghidul de implementare nu are nici o durată generală de valabilitate a certificatului.
Pentru propria activitate privind dovezile, se recomandă o afirmație clară: ce implementare trebuie demonstrată și în ce mediu? O procedură poate descrie modul de lucru planificat, în timp ce o înregistrare arată realizarea acestuia. Un test examinează, la rândul său, o așteptare concretă. Aceste tipuri de dovezi se pot completa, dar răspund unor întrebări diferite.
Înainte de transmiterea unei dovezi, verificați proveniența, perioada și domeniul său. O setare actuală nu dovedește operarea istorică; un eșantion nu explică automat fiecare excepție. Documentați acoperirea limitată și activitatea care rezultă din aceasta, în loc să deduceți dintr-un singur document un angajament complet de securitate sau conformitate.
Relația cu alte cadre de referință.
ISO 27001 descrie cerințele SMSI, iar ISO 27002 sprijină gestionarea măsurilor în cadrul acestuia. IT-Grundschutz oferă o metodologie BSI proprie, cu standarde și compendiu. Obligațiile legale ale entităților vizate conform BSIG trebuie verificate separat; utilizarea unui ghid de implementare nu confirmă conformitatea cu NIS2.
În Secani.
Secani conține un catalog propriu de lucru pentru ISO/IEC 27002:2022, cu date de profil privind, printre altele, serviciile cloud, dezvoltarea software și munca mobilă. Catalogul servește gestionării structurate și nu este un text oficial al standardului. Deciziile de aplicabilitate necesită justificare; instrumentul propriu nu înlocuiește o verificare independentă de specialitate.
Începeți cu o implementare trasabilă.
Alegeți un serviciu ai cărui responsabili și dependențe sunt cunoscuți. Consemnați o decizie concretă de securitate cu motivul său, implementarea prevăzută și o cale de verificare potrivită. Clarificați apoi cu participanții dacă această descriere corespunde activității practicate efectiv. Abia apoi abordarea poate fi transferată în mod util altor servicii.
Surse.
Întrebări frecvente.
Nu. ISO 27002 este un ghid de implementare; pentru o dovadă certificată a sistemului de management al securității informației, ISO 27001 este standardul relevant de cerințe.
Nu. Implementarea concretă depinde de contextul și riscurile mediului analizat; o referință comună nu înseamnă un model operațional identic pentru toate organizațiile.
Nu. Atributele permit perspective diferite asupra măsurilor și ajută la organizare; nu înlocuiesc o decizie de aplicabilitate și nici o dovadă de implementare.
Nu. O politică inteligibilă sau un proces operațional poate sprijini mai multe măsuri, dacă implementarea și responsabilitatea fiecăreia rămân trasabile.
Gestionați măsurile în mod trasabil.
Organizați riscurile, responsabilitatea și dovezile în Secani.
Această pagină explică ghidul de implementare. Standardele obținute legal și contextul concret de aplicare sunt decisive.