Opracowanie standardu ISO27002
Z przyjemnością informujemy, że zakończyliśmy prace nad opracowaniem standardu ISO/IEC 27002!
Jest to kluczowy krok w kierunku podniesienia poziomu bezpieczeństwa informacji oraz zgodności z międzynarodowymi standardami.
Opracowanie przepisałem. Pierwotna wersja (2025-02-16) w dużej mierze odtwarzała tekst normy i miała błędy: źle opisane atrybuty zabezpieczeń (norma ma pięć ich typów), dwa różne formaty stron, puste załączniki A i B, a kilka zabezpieczeń było źle przetłumaczonych — np. operational systems jako „systemy operacyjne” (8.19, 8.34) czy zgłaszanie „incydentów” zamiast zdarzeń (6.8).
Teraz to omówienie własnymi słowami: każde zabezpieczenie ma cel, wytyczne, tabelę atrybutów, przykłady z praktyki i powiązania z ISO/IEC 27001. Nie zastępuje tekstu normy — ten trzeba kupić w ISO lub PKN.
📌 Czym jest ISO/IEC 27002?
ISO/IEC 27002 to katalog zabezpieczeń bezpieczeństwa informacji z wytycznymi, jak je wdrażać.
To uzupełnienie ISO/IEC 27001: tamta norma stawia wymagania i na jej zgodność się certyfikuje, a 27002 podpowiada, jak te wymagania spełnić. Wydanie 2022 opisuje 93 zabezpieczenia w czterech tematach:
✔️ Organizacyjne — 37 (np. polityki, kontrola dostępu, dostawcy, usługi chmurowe, incydenty)
✔️ Dotyczące ludzi — 8 (np. weryfikacja kandydatów, szkolenia, umowy o poufności, praca zdalna)
✔️ Fizyczne — 14 (np. strefy chronione, monitorowanie obiektów, nośniki danych)
✔️ Technologiczne — 34 (np. uwierzytelnianie, podatności, kopie zapasowe, logi, sieci, kryptografia)
Każde zabezpieczenie ma też atrybuty — m.in. czy jest prewencyjne, wykrywające czy korygujące i którą z właściwości (poufność, integralność, dostępność) chroni. Pozwalają one przefiltrować katalog pod własne potrzeby.
🔗 Sprawdź dokument tutaj:
Jeśli znajdziesz błąd w opracowaniu, napisz.