Τελική περίοδος στο ημερολόγιο μετάβασης ISO/IEC 27001:2022
Η περίοδος έως την οποία οι οργανισμοί που είναι πιστοποιημένοι κατά την αναθεώρηση του 2013 πρέπει να ολοκληρώσουν τους ελέγχους μετάβασης.
Το ISO/IEC 27001:2022 αναδιοργάνωσε το σύνολο ελέγχων του συστήματος διαχείρισης ασφάλειας πληροφοριών: οι έλεγχοι συγκεντρώθηκαν σε τέσσερα θέματα και προστέθηκαν τρέχοντα θέματα απειλών. Για τους πιστοποιημένους οργανισμούς, η μετάβαση δεν σημαίνει ανακατασκευή του συστήματος αλλά αντιστοίχιση του συνόλου ελέγχων στη νέα δομή.
Στο επίκεντρο της μετάβασης βρίσκεται η επικαιροποίηση της Δήλωσης Εφαρμοσιμότητας (SoA): ο λόγος εφαρμογής ή μη κάθε ελέγχου επαναιτιολογείται βάσει της νέας δομής. Η αξιολόγηση κινδύνου αποτελεί τη βάση αυτής της αιτιολόγησης.
Όταν λήξει η περίοδος μετάβασης, τα πιστοποιητικά που εκδόθηκαν βάσει της παλιάς έκδοσης χάνουν την ισχύ τους. Για οργανισμούς που αφήνουν την υπόθεση για την τελευταία περίοδο, το σημείο συμφόρησης είναι συνήθως το ραντεβού ελέγχου και όχι η τεκμηρίωση.
Το παράθυρο μετάβασης έχει κλείσει
Η περίοδος που ορίστηκε από το IAF MD 26 για τη μετάβαση στο ISO/IEC 27001:2022 ήταν 36 μήνες και αυτό το παράθυρο έχει κλείσει: τα πιστοποιητικά ISO/IEC 27001:2013 χωρίς ολοκληρωμένη μετάβαση έπρεπε να λήξουν ή να αποσυρθούν μετά τις 31 Οκτωβρίου 2025.
Δηλαδή, ένα έγκυρο πιστοποιητικό συστήματος διαχείρισης ασφάλειας πληροφοριών σήμερα πρέπει να έχει εκδοθεί σύμφωνα με το ISO/IEC 27001:2022. Ένα πιστοποιητικό που αναφέρεται στην έκδοση του 2013 δεν θεωρείται τρέχουσα απόδειξη συμμόρφωσης.
Το χρονοδιάγραμμα είχε επίσης ενδιάμεσους σταθμούς: η ετοιμότητα των φορέων διαπίστευσης να αξιολογήσουν την έκδοση του 2022 και η έναρξη διεξαγωγής αρχικής πιστοποίησης και επαναπιστοποίησης αποκλειστικά βάσει της έκδοσης του 2022 από τους φορείς πιστοποίησης αποτελούσαν μέρος αυτής της διαδικασίας.
Τι κάνει ένας οργανισμός που έχασε τη μετάβαση
Ένα ληγμένο πιστοποιητικό δεν μπορεί να διασωθεί με "μετάβαση"· η διαδικασία εκτελείται ως νέα πιστοποίηση. Αυτό σημαίνει πλήρη κύκλο ελέγχου αντί για έλεγχο επιτήρησης, και μεγαλύτερο χρονοδιάγραμμα.
Εν τω μεταξύ η εμπορική πλευρά συνεχίζει να λειτουργεί: η παρουσίαση ενός ξεπερασμένου πιστοποιητικού ως έγκυρου προκαλεί αποτυχία στη δέουσα επιμέλεια πελατών, συμβατικές διαφορές και προβλήματα στην αξιολόγηση προμηθευτών.
Η δομή που εισήγαγε η έκδοση του 2022
Η αναθεώρηση του 2022 αναδιοργάνωσε τους ελέγχους του Παραρτήματος Α: οι έλεγχοι συγκεντρώθηκαν σε τέσσερα θέματα και προστέθηκαν νέοι έλεγχοι. Η Δήλωση Εφαρμοσιμότητας (SoA) πρέπει να ανασυγκροτηθεί βάσει αυτής της νέας δομής.
Στην πράξη το δυσκολότερο κομμάτι δεν είναι η αντιστοίχιση των υπαρχόντων ελέγχων στη νέα αρίθμηση, αλλά η καθιέρωση μιας πράγματι λειτουργικής πρακτικής για τους νέους ελέγχους. Η αντιστοίχιση είναι εργασία πίνακα· η εφαρμογή είναι εργασία διαδικασίας.
Τι διασφαλίζει ένα σύστημα διαχείρισης ασφάλειας πληροφοριών
Ένα πιστοποιητικό συστήματος διαχείρισης ασφάλειας πληροφοριών δεν δείχνει ότι ο οργανισμός δεν θα υποστεί ποτέ παραβίαση· δείχνει ότι ο οργανισμός γνωρίζει τα πληροφοριακά του περιουσιακά στοιχεία, έχει αξιολογήσει τους κινδύνους του και λειτουργεί τους ελέγχους που έχει επιλέξει.
Ο πυρήνας του συστήματος είναι η εκτίμηση κινδύνου και η επιλογή ελέγχων. Ο κατάλογος ελέγχων στο παράρτημα του προτύπου δεν είναι κατάλογος υποχρεώσεων: ο οργανισμός αποφασίζει ποιους ελέγχους θα εφαρμόσει βάσει της εκτίμησης κινδύνου του και γράφει την αιτιολόγηση για όσους δεν εφαρμόζει.
Αυτό το έγγραφο αιτιολόγησης είναι το στοιχείο που εξετάζεται περισσότερο σε έναν έλεγχο: η μη εφαρμογή ενός ελέγχου δεν είναι ελάττωμα· η παράλειψη αιτιολόγησής του είναι.
Τι να κάνετε στην τελευταία περίοδο μιας μετάβασης
Στην τελευταία περίοδο μιας μετάβασης, δύο κίνδυνοι εμφανίζονται μαζί: το πρόγραμμα του ελεγκτή σφίγγει και ο χρόνος που απομένει για το κλείσιμο τυχόν μη συμμόρφωσης που βρέθηκε μειώνεται. Όταν οι δύο συνδυάζονται, η εγκυρότητα του πιστοποιητικού μπορεί να διακοπεί.
Το έργο που πρέπει να γίνει σε αυτή την τελευταία περίοδο επομένως δεν είναι η έναρξη νέας άσκησης, αλλά πρώτα ο σαφής προσδιορισμός της τρέχουσας κατάστασης: ποιες ρήτρες πληρούνται, ποια αρχεία λείπουν, πότε μπορεί να ληφθεί ραντεβού ελέγχου.
Η αναδιοργάνωση του συνόλου ελέγχων είναι το πιο ορατό έργο της μετάβασης: οι έλεγχοι αντιστοιχίζονται στη νέα ομαδοποίηση και η δήλωση εφαρμοσιμότητας ανανεώνεται βάσει αυτής της δομής. Τεχνικά πρόκειται για άσκηση αντιστοίχισης· οι ίδιοι οι έλεγχοι δεν χρειάζεται να ανακατασκευαστούν.
Τι πρέπει να γίνει;
- 1Ελέγξτε την ημερομηνία λήξης του πιστοποιητικού σας και τον χρόνο μετάβασης που απομένει.
- 2Αναδιοργανώστε τη Δήλωση Εφαρμοσιμότητας βάσει της νέας δομής ελέγχων.
- 3Κλείστε νωρίς το ραντεβού για τον έλεγχο μετάβασης.
Αυτό το άρθρο είναι ενημερωτικού χαρακτήρα και δεν αποτελεί νομική γνωμοδότηση. Ο τρόπος με τον οποίο ένας κανονισμός εφαρμόζεται στο προϊόν σας εξαρτάται από τα τεχνικά χαρακτηριστικά του προϊόντος και την αγορά-στόχο· το ακριβές πεδίο καθορίζεται μόνο με εξέταση του προϊόντος.