Załącznik B — mapowanie na ISO/IEC 27002:2013
Załącznik informacyjny. Mapowanie numerów jest faktem z normy; opis — omówieniem.
Po co to mapowanie
Organizacje, które budowały SZBI na wydaniu 2013, potrzebują przenieść swoją Deklarację Stosowania, polityki i procedury na nową numerację. Załącznik B normy pokazuje, jak zabezpieczenia z obu wydań sobie odpowiadają.
- Wydanie 2013 miało 114 zabezpieczeń w 14 rozdziałach (A.5–A.18), wydanie 2022 ma 93 w 4 tematach.
- Każde z 114 dawnych zabezpieczeń ma odpowiednik w nowym wydaniu — nic nie zniknęło, wiele połączono.
- 11 zabezpieczeń jest nowych i nie ma odpowiednika w 2013 (★).
- Jedno dawne zabezpieczenie może trafić do dwóch nowych: 18.2.3 (przegląd zgodności technicznej) odpowiada zarówno 5.36, jak i 8.8.
Typowe pułapki przy migracji
- Zmiana zakresu, nie tylko numeru. Np. 5.23 (chmura) nie ma odpowiednika — wcześniej chmurę obejmowały ogólnie zabezpieczenia dostawców. Połączone zabezpieczenia (np. 8.32 z czterech dawnych) mają szerszy zakres niż każde z osobna.
- Nowe zabezpieczenia wymagają uzasadnienia w SoA — także jeśli są wyłączone.
- Polityki i procedury często cytują stare numery (np. „A.12.4.1”). Warto je zaktualizować przy pierwszym przeglądzie.
Tabela mapowania 2022 → 2013
| 2022 | Zabezpieczenie | 2013 |
|---|---|---|
| 5.1 | Polityki bezpieczeństwa informacji | 5.1.1, 5.1.2 |
| 5.2 | Role i odpowiedzialności w zakresie bezpieczeństwa informacji | 6.1.1 |
| 5.3 | Rozdzielenie obowiązków | 6.1.2 |
| 5.4 | Obowiązki kierownictwa | 7.2.1 |
| 5.5 | Kontakt z organami | 6.1.3 |
| 5.6 | Kontakt z grupami specjalistycznymi | 6.1.4 |
| 5.7 ★ | Analiza zagrożeń (threat intelligence) | nowe |
| 5.8 | Bezpieczeństwo informacji w zarządzaniu projektami | 6.1.5, 14.1.1 |
| 5.9 | Inwentaryzacja informacji i innych powiązanych aktywów | 8.1.1, 8.1.2 |
| 5.10 | Dopuszczalne użycie informacji i innych powiązanych aktywów | 8.1.3, 8.2.3 |
| 5.11 | Zwrot aktywów | 8.1.4 |
| 5.12 | Klasyfikacja informacji | 8.2.1 |
| 5.13 | Oznaczanie informacji | 8.2.2 |
| 5.14 | Przekazywanie informacji | 13.2.1, 13.2.2, 13.2.3 |
| 5.15 | Kontrola dostępu | 9.1.1, 9.1.2 |
| 5.16 | Zarządzanie tożsamością | 9.2.1 |
| 5.17 | Informacje uwierzytelniające | 9.2.4, 9.3.1, 9.4.3 |
| 5.18 | Prawa dostępu | 9.2.2, 9.2.5, 9.2.6 |
| 5.19 | Bezpieczeństwo informacji w relacjach z dostawcami | 15.1.1 |
| 5.20 | Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami | 15.1.2 |
| 5.21 | Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT | 15.1.3 |
| 5.22 | Monitorowanie, przegląd i zarządzanie zmianami usług dostawców | 15.2.1, 15.2.2 |
| 5.23 ★ | Bezpieczeństwo informacji przy korzystaniu z usług chmurowych | nowe |
| 5.24 | Planowanie i przygotowanie zarządzania incydentami bezpieczeństwa informacji | 16.1.1 |
| 5.25 | Ocena zdarzeń bezpieczeństwa informacji i decyzja | 16.1.4 |
| 5.26 | Reagowanie na incydenty bezpieczeństwa informacji | 16.1.5 |
| 5.27 | Wyciąganie wniosków z incydentów bezpieczeństwa informacji | 16.1.6 |
| 5.28 | Gromadzenie dowodów | 16.1.7 |
| 5.29 | Bezpieczeństwo informacji podczas zakłóceń | 17.1.1, 17.1.2, 17.1.3 |
| 5.30 ★ | Gotowość ICT do zapewnienia ciągłości działania | nowe |
| 5.31 | Wymagania prawne, ustawowe, regulacyjne i umowne | 18.1.1, 18.1.5 |
| 5.32 | Prawa własności intelektualnej | 18.1.2 |
| 5.33 | Ochrona zapisów | 18.1.3 |
| 5.34 | Prywatność i ochrona danych osobowych | 18.1.4 |
| 5.35 | Niezależny przegląd bezpieczeństwa informacji | 18.2.1 |
| 5.36 | Zgodność z politykami, zasadami i standardami bezpieczeństwa informacji | 18.2.2, 18.2.3 |
| 5.37 | Udokumentowane procedury eksploatacyjne | 12.1.1 |
| 6.1 | Weryfikacja kandydatów | 7.1.1 |
| 6.2 | Warunki zatrudnienia | 7.1.2 |
| 6.3 | Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji | 7.2.2 |
| 6.4 | Postępowanie dyscyplinarne | 7.2.3 |
| 6.5 | Obowiązki po zakończeniu lub zmianie zatrudnienia | 7.3.1 |
| 6.6 | Umowy o zachowaniu poufności | 13.2.4 |
| 6.7 | Praca zdalna | 6.2.2 |
| 6.8 | Zgłaszanie zdarzeń bezpieczeństwa informacji | 16.1.2, 16.1.3 |
| 7.1 | Fizyczne granice bezpieczeństwa | 11.1.1 |
| 7.2 | Fizyczne wejście | 11.1.2, 11.1.6 |
| 7.3 | Zabezpieczenie biur, pomieszczeń i obiektów | 11.1.3 |
| 7.4 ★ | Monitorowanie bezpieczeństwa fizycznego | nowe |
| 7.5 | Ochrona przed zagrożeniami fizycznymi i środowiskowymi | 11.1.4 |
| 7.6 | Praca w strefach chronionych | 11.1.5 |
| 7.7 | Czyste biurko i czysty ekran | 11.2.9 |
| 7.8 | Rozmieszczenie i ochrona sprzętu | 11.2.1 |
| 7.9 | Bezpieczeństwo aktywów poza siedzibą | 11.2.6 |
| 7.10 | Nośniki danych | 8.3.1, 8.3.2, 8.3.3, 11.2.5 |
| 7.11 | Media i instalacje wspierające | 11.2.2 |
| 7.12 | Bezpieczeństwo okablowania | 11.2.3 |
| 7.13 | Konserwacja sprzętu | 11.2.4 |
| 7.14 | Bezpieczna utylizacja lub ponowne użycie sprzętu | 11.2.7 |
| 8.1 | Urządzenia końcowe użytkowników | 6.2.1, 11.2.8 |
| 8.2 | Uprawnienia uprzywilejowane | 9.2.3 |
| 8.3 | Ograniczenie dostępu do informacji | 9.4.1 |
| 8.4 | Dostęp do kodu źródłowego | 9.4.5 |
| 8.5 | Bezpieczne uwierzytelnianie | 9.4.2 |
| 8.6 | Zarządzanie pojemnością | 12.1.3 |
| 8.7 | Ochrona przed złośliwym oprogramowaniem | 12.2.1 |
| 8.8 | Zarządzanie podatnościami technicznymi | 12.6.1, 18.2.3 |
| 8.9 ★ | Zarządzanie konfiguracją | nowe |
| 8.10 ★ | Usuwanie informacji | nowe |
| 8.11 ★ | Maskowanie danych | nowe |
| 8.12 ★ | Zapobieganie wyciekom danych | nowe |
| 8.13 | Kopie zapasowe informacji | 12.3.1 |
| 8.14 | Redundancja środków przetwarzania informacji | 17.2.1 |
| 8.15 | Rejestrowanie zdarzeń | 12.4.1, 12.4.2, 12.4.3 |
| 8.16 ★ | Monitorowanie działań | nowe |
| 8.17 | Synchronizacja zegarów | 12.4.4 |
| 8.18 | Używanie uprzywilejowanych programów narzędziowych | 9.4.4 |
| 8.19 | Instalowanie oprogramowania w systemach eksploatowanych | 12.5.1, 12.6.2 |
| 8.20 | Bezpieczeństwo sieci | 13.1.1 |
| 8.21 | Bezpieczeństwo usług sieciowych | 13.1.2 |
| 8.22 | Podział sieci | 13.1.3 |
| 8.23 ★ | Filtrowanie stron internetowych | nowe |
| 8.24 | Stosowanie kryptografii | 10.1.1, 10.1.2 |
| 8.25 | Bezpieczny cykl życia wytwarzania | 14.2.1 |
| 8.26 | Wymagania bezpieczeństwa aplikacji | 14.1.2, 14.1.3 |
| 8.27 | Bezpieczna architektura i zasady inżynierii systemów | 14.2.5 |
| 8.28 ★ | Bezpieczne programowanie | nowe |
| 8.29 | Testy bezpieczeństwa w wytwarzaniu i odbiorze | 14.2.8, 14.2.9 |
| 8.30 | Wytwarzanie zlecone na zewnątrz | 14.2.7 |
| 8.31 | Rozdzielenie środowisk rozwojowych, testowych i produkcyjnych | 12.1.4, 14.2.6 |
| 8.32 | Zarządzanie zmianami | 12.1.2, 14.2.2, 14.2.3, 14.2.4 |
| 8.33 | Dane testowe | 14.3.1 |
| 8.34 | Ochrona systemów informacyjnych podczas testów audytowych | 12.7.1 |