encyklopedia.space

ISO/IEC 27002 – Kodeks praktyk bezpieczeństwa informacji

ISO/IEC 27002 to międzynarodowy standard opisujący praktyki i wytyczne dotyczące zarządzania ryzykiem w obszarze bezpieczeństwa informacji. Standard pełni rolę katalogu kontroli bezpieczeństwa, które mogą być wdrażane w ramach Systemu Zarządzania Bezpieczeństwem Informacji (ISMS) lub jako elementy samodzielnych programów ochrony danych.

Historia i rozwój

Geneza ISO/IEC 27002 sięga normy brytyjskiej BS 7799‑2 (1995), opracowanej przez British Standards Institute. W 2005 roku norma została przyjęta przez Międzynarodową Organizację Normalizacyjną (ISO) oraz Międzynarodową Komisję Elektrotechniczną (IEC) pod numerem ISO/IEC 27002:2005. Następnie opublikowano kolejne wersje:

  • ISO/IEC 27002:2013 – rozbudowano i uzupełniono sekcje związane z chmurą oraz mobilnością;
  • ISO/IEC 27002:2022 – najnowsza edycja, w której liczbę kontroli zmniejszono z 114 do 93, wprowadzono nowe grupy tematyczne i silniej podkreślono podejście ryzykowne.

Zakres i cele

Standard ma na celu:

  1. Dostarczanie organizacjom praktycznych wytycznych do ochrony poufności, integralności i dostępności informacji;
  2. Ułatwianie certyfikacji zgodności z normą ISO/IEC 27001;
  3. Umożliwienie identyfikacji i wyboru adekwatnych środków kontroli.

Struktura standardu

ISO/IEC 27002 2022 podzielona jest na cztery główne domeny, które grupują pokrewne kontrole:

1. Kontrole organizacyjne
Polityki bezpieczeństwa, role i obowiązki, zarządzanie ryzykiem, ciągłość działania.
2. Kontrole ludzkie
Szkolenia, świadomość bezpieczeństwa, zarządzanie personelem, dostęp fizyczny.
3. Kontrole techniczne
Bezpieczeństwo sieci, kryptografia, zarządzanie dostępem, ochrona przed złośliwym oprogramowaniem.
4. Kontrole fizyczne i środowiskowe
Ochrona obiektów, zarządzanie sprzętem, ochrona przed awariami zasilania, środowiskowe zagrożenia.

W ramach każdej domeny znajdują się szczegółowe kontrolki (np. Kontrola A.12.6.1 – Segregacja sieci, Kontrola B.7.1.2 – Szkolenia w zakresie bezpieczeństwa), które można dopasować do specyficznych potrzeb organizacji.

Powiązania z ISO/IEC 27001

ISO/IEC 27002 jest komplementarna do ISO/IEC 27001, która definiuje wymogi dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia ISMS. Natomiast 27002 dostarcza szczegółowe rekomendacje, jak spełnić poszczególne wymagania 27001, zwłaszcza w sekcji Annex A – Kontrole. Dlatego organizacje często korzystają z obu norm jednocześnie: 27001 jako ramę zarządzania, a 27002 jako katalog praktycznych rozwiązań.

Zastosowanie w praktyce

Standard jest wykorzystywany przez:

  • przedsiębiorstwa technologii informacyjnej i telekomunikacyjne,
  • instytucje publiczne oraz agencje rządowe,
  • firmy z sektora finansowego, zdrowotnego, produkcyjnego,
  • małe i średnie firmy, które chcą zbudować solidne podstawy bezpieczeństwa.

W Polsce przyjęcie ISO/IEC 27002 obserwuje się w ramach projektów wspieranych przez Komitet Standaryzacji przy Polskim Instytucie Standaryzacji, a także w wytycznych organów nadzoru, np. NASK czy KNF.

Kluczowe zmiany w wersji 2022

W najnowszej edycji wprowadzono m.in.:

  • Nowe grupy kontrolne, takie jak Bezpieczeństwo chmury i Bezpieczeństwo aplikacji;
  • Ujednolicenie terminologii – wszystkie kontrolki opisano w formie Inspektorskiej (np. „Organizacja powinna...”), co ułatwia interpretację;
  • Większy nacisk na świadomość ryzyka oraz monitorowanie i pomiar efektywności kontroli;
  • Redukcję liczby kontroli, co upraszcza proces implementacji przy zachowaniu pełnej ochrony.

Krytyka i wyzwania

Mimo szerokiego uznania, ISO/IEC 27002 spotyka się z pewną krytyką:

  1. Ogólność – standard opisuje „co” zrobić, lecz nie zawsze precyzuje „jak” – co wymaga dodatkowych wytycznych lub doświadczenia praktycznego.
  2. Kompleksowość – szczególnie w wersjach przed 2022 r. liczba kontroli mogła przytłaczać małe organizacje.
  3. Dynamiczny charakter zagrożeń – reagowanie na nowe techniki ataku (np. ransomware, AI‑wykorzystane ataki) wymaga regularnych aktualizacji, które nie zawsze nadążają z tempem zmian.

Podsumowanie

ISO/IEC 27002 jest fundamentem zarządzania ryzykiem w obszarze informacji, dostarczając praktycznych, międzynarodowo uznanych wytycznych. Jego integracja z ISO/IEC 27001 tworzy spójną strukturę zarządzania bezpieczeństwem, umożliwiając organizacjom różnej wielkości podniesienie poziomu ochrony danych i spełnienie wymagań prawnych oraz rynkowych.

Zobacz także