دوره نهایی در تقویم گذار ISO/IEC 27001:2022
دوره‌ای که سازمان‌های گواهی‌شده طبق بازنگری ۲۰۱۳ باید ممیزی‌های گذار خود را تکمیل کنند.
استاندارد ISO/IEC 27001:2022 مجموعه کنترل‌های سیستم مدیریت امنیت اطلاعات را بازآرایی کرد: کنترل‌ها زیر چهار محور گرد آمدند و موضوعات تهدید روز افزوده شد. برای سازمان‌های دارای گواهی، انتقال به معنای بازسازی سیستم نیست بلکه تطبیق مجموعه کنترل‌ها با ساختار جدید است.
در مرکز این انتقال، به‌روزرسانی بیانیه قابلیت اجرا (SoA) قرار دارد: دلیل اعمال یا عدم اعمال هر کنترل بر اساس ساختار جدید بازتوجیه می‌شود. ارزیابی ریسک اساس این توجیه است.
با پایان دوره انتقال، گواهی‌های صادرشده بر اساس نسخه قدیمی اعتبار خود را از دست می‌دهند. برای سازمان‌هایی که کار را به آخرین دوره موکول می‌کنند، گلوگاه معمولاً نوبت ممیزی است نه مستندسازی.
پنجره انتقال بسته شده است
مدت تعیین‌شده توسط IAF MD 26 برای انتقال به ISO/IEC 27001:2022 سی‌وشش ماه بود و این پنجره بسته شده است: گواهی‌های ISO/IEC 27001:2013 که انتقال آن‌ها تکمیل نشده بود، باید پس از ۳۱ اکتبر ۲۰۲۵ منقضی می‌شدند یا لغو می‌گردیدند.
به عبارت دیگر، گواهی معتبر سیستم مدیریت امنیت اطلاعات امروز باید طبق ISO/IEC 27001:2022 صادر شده باشد. گواهی‌ای که به نسخه ۲۰۱۳ اشاره دارد، شاهد انطباق معتبر و روزآمد محسوب نمی‌شود.
این جدول زمانی نقاط عطف میانی نیز داشت: آماده‌بودن نهادهای تأیید صلاحیت برای ارزیابی نسخه ۲۰۲۲ و آغاز اجرای اعتماد اولیه و تمدید اعتماد صرفاً طبق نسخه ۲۰۲۲ توسط نهادهای صدور گواهی، بخشی از این فرایند بود.
سازمانی که فرصت انتقال را از دست داده چه می‌کند
گواهی منقضی‌شده را نمی‌توان با «انتقال» نجات داد؛ فرایند به‌صورت اعتماد جدید طی می‌شود. این یعنی یک چرخه کامل ممیزی به‌جای ممیزی مراقبتی، و جدول زمانی طولانی‌تر.
در همین حال، جنبه تجاری همچنان جریان دارد: ارائه گواهی منقضی به‌عنوان گواهی معتبر، به شکست در بررسی موشکافانه مشتری، اختلافات قراردادی و مشکل در ارزیابی تأمین‌کننده می‌انجامد.
ساختاری که نسخه ۲۰۲۲ معرفی کرد
بازنگری ۲۰۲۲ کنترل‌های پیوست A را بازآرایی کرد: کنترل‌ها زیر چهار محور گرد آمدند و کنترل‌های جدیدی افزوده شد. بیانیه قابلیت اجرا (SoA) باید بر اساس این ساختار جدید بازسازی شود.
در عمل، دشوارترین بخش تطبیق کنترل‌های موجود با شماره‌گذاری جدید نیست، بلکه ایجاد رویه‌ای واقعاً کارآمد برای کنترل‌های تازه افزوده‌شده است. تطبیق کاری جدولی است؛ اجرا کاری فرایندی.
سیستم مدیریت امنیت اطلاعات چه چیزی را تضمین می‌کند
گواهی سیستم مدیریت امنیت اطلاعات نشان نمی‌دهد سازمان هرگز دچار نقض امنیتی نخواهد شد؛ بلکه نشان می‌دهد سازمان دارایی‌های اطلاعاتی خود را می‌شناسد، ریسک‌های خود را ارزیابی کرده و کنترل‌های انتخابی خود را اجرا می‌کند.
هسته سیستم، ارزیابی ریسک و انتخاب کنترل‌هاست. فهرست کنترل‌های موجود در پیوست استاندارد فهرستی الزام‌آور نیست: سازمان بر اساس نتیجه ارزیابی ریسک خود تصمیم می‌گیرد کدام کنترل‌ها را اعمال کند و برای کنترل‌هایی که اعمال نمی‌کند توجیه می‌نویسد.
این سند توجیه، بیشترین موردبررسی در تدقیق است: اعمال‌نکردن یک کنترل عیب نیست، بی‌توجیه‌گذاشتن آن عیب است.
در دوره پایانی انتقال چه باید کرد
در دوره پایانی انتقال، دو ریسک با هم وارد عمل می‌شوند: تقویم ممیز فشرده می‌شود و زمان باقی‌مانده برای بستن هر عدم انطباق یافت‌شده کاهش می‌یابد. وقتی این دو ترکیب شوند، اعتبار گواهی ممکن است دچار وقفه شود.
بنابراین کاری که در آن دوره پایانی باید انجام شود، شروع یک کار جدید نیست بلکه ابتدا مشخص‌کردن روشن وضعیت فعلی است: کدام بندها برآورده شده‌اند، کدام سوابق ناقص است و چه زمانی می‌توان نوبت تدقیق گرفت.
بازآرایی مجموعه کنترل‌ها آشکارترین کار دوره انتقال است: کنترل‌ها به گروه‌بندی جدید نگاشت می‌شوند و بیانیه کاربردپذیری طبق این ساختار به‌روزرسانی می‌شود. از نظر فنی این یک کار نگاشتی است؛ خود کنترل‌ها نیازی به بازسازی از پایه ندارند.
چه باید کرد؟
- 1تاریخ اعتبار گواهی و زمان باقی‌مانده انتقال را بررسی کنید.
- 2بیانیه کاربردپذیری (SoA) را طبق ساختار کنترل جدید بازآرایی کنید.
- 3نوبت تدقیق انتقالی خود را زود رزرو کنید.
این نوشته جنبه اطلاع‌رسانی دارد و نظر حقوقی نیست. اینکه یک مقررات چگونه بر محصول شما اعمال می‌شود به ویژگی‌های فنی محصول و بازار هدف بستگی دارد؛ دامنه دقیق فقط با بررسی محصول تعیین می‌شود.