TP Consults and Training

ISO/IEC 27002

ISO/IEC 27002 คืออะไร

มาตรฐาน ISO/IEC 27002 ในฉบับนี้เผยแพร่เป็น ISO/IEC 27002:2013 เทคโนโลยีสารสนเทศ เทคนิคการรักษาความปลอดภัย หลักปฏิบัติสำหรับการควบคุมความปลอดภัยของข้อมูล - เป็นเอกสารแนวทางที่ใช้เป็นข้อมูลอ้างอิงสำหรับการเลือก ดำเนินการ และจัดการการควบคุมสำหรับทั้งสององค์กรที่มีระบบการจัดการความปลอดภัยของข้อมูล (ISMS) ตาม ISO/IEC 27001 โดยมีรายละเอียดใน Annex A รายการควบคุม และสำหรับองค์กรใด ๆ ที่มีแนวทางปฏิบัติที่ดีที่สุดในการรักษาความปลอดภัยของข้อมูล ซึ่งต้องการใช้การควบคุมความปลอดภัยของข้อมูลที่เป็นที่ยอมรับโดยทั่วไป

เทคโนโลยีสารสนเทศมาตรฐาน ISO/IEC 27002:2013 - เทคนิคการรักษาความปลอดภัย - หลักปฏิบัติสำหรับการควบคุมความปลอดภัยของข้อมูลได้รับการแก้ไขและคาดว่าจะเผยแพร่ในเดือนกุมภาพันธ์ปีนี้ภายใต้ชื่อ ISO/IEC 27002:2022 ความปลอดภัยของข้อมูล ความปลอดภัยทางไซเบอร์ และการปกป้องความเป็นส่วนตัว - ฉบับควบคุมความปลอดภัยข้อมูล

ทุกองค์กรที่มีระบบ ISMS หรือแนวปฏิบัติที่ดีในการรักษาความปลอดภัยข้อมูลจะต้องทำแผนและปรับปรุงการควบคุมของตนตามแนวทางใหม่ในมาตรฐาน ISO/IEC 27002 ที่อัปเดต ตามความต้องการและบริบทขององค์กร

สิ่งใหม่เกี่ยวกับมาตรฐาน ISO/IEC 27002:2022 มีอะไรบ้าง

มาตรฐาน ISO/IEC 27002:2022 ได้รับปรับปรุงแก้ไขจากมาตรฐาน BS EN ISO/IEC 27002:2017 การเปลี่ยนแปลงที่สำคัญใน ISO/IEC 27002:2022 คือ:

• การปรับเปลี่ยน หลักปฏิบัติ เพื่อสะท้อนถึงจุดประสงค์ในการเป็นข้อมูลอ้างอิงของมาตรการควบคุมความปลอดภัยของข้อมูล
• จำนวนมาตรการควบคุมความปลอดภัยลดลงจาก 114 เป็น 93 มาตรการ โดยมีการนำการควบคุมบางส่วนออกเนื่องจากไม่ได้สะท้อนถึงแนวทางปฏิบัติที่ดีที่สุดอีกต่อไป
• มีการแนะนำมาตรการควบคุมใหม่ 11 มาตรการในเวอร์ชันล่าสุด สิ่งเหล่านี้สะท้อนถึงวิวัฒนาการของเทคโนโลยีและแนวปฏิบัติทางอุตสาหกรรม ซึ่งรวมถึงข้อมูลวิเคราะห์เชิงลึก ความปลอดภัยของข้อมูลสำหรับการใช้บริการคลาวด์ และการป้องกันข้อมูลรั่วไหล
• ISO 27002 ฉบับปี 2022 ให้การอ้างอิงถึงตัวระบุการควบคุมของฉบับปี 2013 เพื่ออำนวยความสะดวกในการโอนย้ายของบริษัทไปเป็นเวอร์ชั่นล่าสุด

เหตุใดจึงต้องใช้มาตรฐาน ISO/IEC 27002:2022

มีข้อมูลอ้างอิงของมาตรการควบคุมความปลอดภัยของข้อมูลทั่วไปและแนวทางในการนำไปประยุกต์ใช้ เป็นคู่มือเสริมสำหรับมาตรฐาน ISO/IEC 27001 ที่ช่วยให้ผู้ใช้ระบุและใช้มาตรการควบคุมความปลอดภัยของข้อมูลที่เหมาะสมกับความต้องการขององค์กรมากที่สุด ซึ่งจะช่วยเสริมประสิทธิภาพให้กับวิธีการป้องกันข้อมูล