AS NZS ISO IEC 27002-2022 PDF

Полное наименование и описание

AS/NZS ISO/IEC 27002:2022 — Information security, cybersecurity and privacy protection — Information security controls. Это совместное австралийско‑новозеландское издание, идентично принимающее международный стандарт ISO/IEC 27002:2022 и дающее свод рекомендуемых мер (контролей) и руководство по их внедрению в организациях.

Аннотация

Стандарт предоставляет опорный набор из современных управленческих, организационных, людских, физических и технологических контролей информационной безопасности и приватности. Ревизия 2022 года реорганизовала набор контролей (уменьшение количества, введение атрибутов и новые темы), чтобы отразить современные риски кибербезопасности и облачных сервисов.

Общая информация

• Статус: Действующий (Published / Current).
• Дата публикации: ISO/IEC: 15 февраля 2022 (ISO/IEC 27002:2022); AS/NZS (совместное принятие для Австралии и Новой Зеландии): декабрь 2022 (принято/опубликовано локально в 2022 году).
• Организация-издатель: Международный оригинал — ISO/IEC (JTC 1/SC 27); локальное издание/распространение — Standards Australia / Standards New Zealand (AS/NZS).
• ICS / категории: 35.030 — информационная безопасность и связанные области.
• Редакция / версия: 3‑е издание, ISO/IEC 27002:2022 (AS/NZS эквивалент 2022).
• Количество страниц: примерно 151–152 страницы в зависимости от локального издания (ISO указывает 152, локальные магазины AS/NZS — 151).

Область применения

Руководство предназначено для организаций любого размера и сектора, которым требуется выбрать, внедрить и поддерживать информационные, кибер‑ и приватные контролы — как в рамках СУИБ (ISMS) по ISO/IEC 27001, так и отдельно для управления рисками, проектами и операциями. Стандарт даёт рекомендации по применению контролей в организационном контексте, при управлении людьми, физических объектов и технологий.

Ключевые темы и требования

• Новый/обновлённый набор контролей: всего 93 контрола (уменьшение с 114 в предыдущем издании за счёт консолидации и переработки).
• Четыре тематических раздела (themes): организационные, людские, физические и технологические контроли (Clauses 5–8).
• Введение атрибутов для каждого контроля (например: тип контрола — предотвращающий/выявляющий/корректирующий; свойства безопасности — конфиденциальность/целостность/доступность; соответствие киберконцепциям и пр.) для упрощённой фильтрации и интеграции с другими рамками.
• Добавлены новые контролы и темы, отражающие современные риски: углублённая работа с угрожающей информацией (threat intelligence), безопасная разработка (secure coding), защита облачных сервисов, обнаружение и мониторинг, конфигурационное управление, удаление информации, data‑masking, DLP, web‑фильтрация, мониторинг физической безопасности и готовность ИКТ для непрерывности бизнеса.
• Аннексы: использование атрибутов и карта соответствия с версией 2013 для облегчения миграции и соотнесения старых ссылок.

Применение и пользователи

Основные пользователи — специалисты по информационной безопасности, офицеры по кибербезопасности, менеджеры риска, консультанты, аудиторы и команды по обеспечению соответствия. Стандарт полезен для организаций, готовящихся к сертификации по ISO/IEC 27001 (как справочный каталог контролей в Annex A), а также для команд, разрабатывающих политики, процедуры и технические меры защиты. Локальные предприятия и государственные структуры в Австралии и Новой Зеландии могут применять текст AS/NZS без изменений.

Связанные стандарты

AS/NZS ISO/IEC 27002:2022 — часть семейства ISO/IEC 27000. Прямые связанные документы: ISO/IEC 27001:2022 (требования к СУИБ и Annex A, согласованный с 27002), другие отраслевые/специализированные стандарты серии (например, стандарты по аудитам, телекоммуникационным контролям и пр.). Локальные публикации AS/NZS по 27000‑серии обеспечивают совместимость и национальную доступность.

Ключевые слова

информационная безопасность, кибербезопасность, приватность, контролы, ISMS, ISO/IEC 27002:2022, AS/NZS, атрибуты контролей, облачная безопасность, мониторинг, готовность к сбоям

FAQ

В: Что это за стандарт?

О: Рекомендательный международный (и локально принятый AS/NZS) стандарт, дающий унифицированный набор контролей и практических указаний по защите информации, кибербезопасности и приватности.

В: Что он регулирует?

О: Не «регулирует» в смысле закона — предоставляет руководство по подбору и внедрению контролей (организационных, людских, физических, технологических) для управления рисками информационной безопасности и соответствия лучшим практикам.

В: Кто обычно использует?

О: Команды безопасности, менеджеры по рискам, ИТ‑администраторы, консультанты и аудиторы, а также организации, внедряющие или поддерживающие СУИБ по ISO/IEC 27001.

В: Он актуален или заменён?

О: Актуален — версия 2022 является последней редакцией, она заменила/обновила предыдущую редакцию 2013 года и является действующей ссылкой для практик и для формирования Annex A в ISO/IEC 27001:2022.

В: Это часть серии?

О: Да — входит в семейство ISO/IEC 27000 (стандарты по информационной безопасности), тесно связана с ISO/IEC 27001 и другими документами JTC 1/SC 27.

В: Какие ключевые слова?

О: информационная безопасность, кибербезопасность, приватность, контролы, ISMS, атрибуты контролей, организация, люди, физическая безопасность, технологические меры.