4.1 Budowa normy
ISO/IEC 27002:2022 składa się z rozdziałów wprowadzających, czterech rozdziałów z zabezpieczeniami i dwóch załączników informacyjnych.
| Rozdział | Zawartość |
|---|---|
| 1–3 | zakres, odniesienia normatywne (brak), terminy i skróty |
| 4 | budowa dokumentu, tematy i atrybuty, układ opisu zabezpieczenia |
| 5 | zabezpieczenia organizacyjne — 37 |
| 6 | zabezpieczenia dotyczące ludzi — 8 |
| 7 | zabezpieczenia fizyczne — 14 |
| 8 | zabezpieczenia technologiczne — 34 |
| Załącznik A | jak używać atrybutów i macierz atrybutów |
| Załącznik B | mapowanie na wydanie 2013 |
Razem 93 zabezpieczenia. Rozdziały 5–8 to nie „klauzule tematyczne” w stylu wydania 2013 (tam było 14 rozdziałów i 114 zabezpieczeń), tylko cztery tematy. Zasadę przydziału do tematów opisuje 4.2.
Co się zmieniło względem 2013
- 114 zabezpieczeń w 14 rozdziałach zastąpiło 93 zabezpieczenia w 4 tematach.
- 11 zabezpieczeń jest nowych (★): 5.7, 5.23, 5.30, 7.4, 8.9, 8.10, 8.11, 8.12, 8.16, 8.23, 8.28.
- Wiele dawnych zabezpieczeń połączono — np. 5.1.1 i 5.1.2 w obecne 5.1, a cztery dawne zabezpieczenia dotyczące zmian w obecne 8.32. Pełne mapowanie jest w Załączniku B.
- Wprowadzono atrybuty — pięć sposobów klasyfikowania każdego zabezpieczenia.
- Zniknęły „cele stosowania zabezpieczeń” na poziomie grup — każde zabezpieczenie ma teraz własny cel.
- Tytuł normy zmienił się na Information security, cybersecurity and privacy protection — Information security controls.
ISO/IEC 27001:2022 przejęła te same 93 zabezpieczenia do swojego Załącznika A, w skróconej formie.