ISO 27001:2013 og ISO 27001:2017 hva er forskjellen?

Forskjellen i ISO 27001-versjoner

IRent praktisk har svært lite endret seg mellom 2013 og 2017 ISO 27001 standarder bortsett fra noen få mindre kosmetiske poeng og en liten navneendring.

Den siste publiserte versjonen av ISMS-standarden er – BS EN ISO/IEC 27001:2017.

De ISO versjonen av standarden (2013) ble ikke påvirket av 2017-publikasjonen og endringene ikke innføre eventuelle nye krav.

For de som søker en UKAS akkreditert ISO 27001-sertifisering, UKAS akkrediterer ISO-standarden, så det er ingen endringer som påvirker sertifiseringsstatusen din, og derfor introduseres ingen ytterligere overgangsaktiviteter av denne revisjonen.

2017-endringen ble introdusert for å indikere godkjenning av CEN/CENELEC for EN-betegnelsen ("europeisk standard").

Den oppdaterte BS inneholder imidlertid to tidligere utstedte rettelser/endringer til ISO 27001:2013, spesifikt i klausul 6.1.3 og vedlegg A klausul 8.1.

La oss ta en titt på hva disse Corrigenda dekket:

Rettelse 1: ISO/IEC 27001:2013/Cor.1:2014(no) – publisert 2014

A.8.1.1 (Inventar av eiendeler), erstatter kontrollens måltekst fra:

«Eiendeler knyttet til informasjons- og informasjonsbehandlingsanlegg skal identifiseres, og en oversikt over disse eiendelene skal utarbeides og vedlikeholdes.»

til:

«Informasjon, andre eiendeler knyttet til informasjon og informasjonsbehandlingsanlegg skal identifiseres og en fortegnelse over disse eiendelene skal utarbeides og vedlikeholdes.»

Endringen gjorde det eksplisitt informasjon i seg selv må også anses som en eiendel og inkluderes i varelageret.

For de som bruker ISMS.online, veiledningsnotatene gitt i Underklausul A.8.1.1, sammen med vår ISO 27001 Virtual Coach, ta dette i betraktning fullt ut.

I motsetning til noen av de eldre verktøyene på markedet, ISMS.online bruker en informasjonsaktiva-basert tilnærming til risikostyring slik at du kan være sikker på at denne viktige endringen har blitt behandlet.

Les mer om Hvordan utvikle en aktivabeholdning.

Klikk for å se et større bilde av hvordan vi bruker ISMS.online-plattformen for ISO 27001

Rettelse 2: ISO/IEC 27001:2013/Cor.2:2015(no) – publisert 1/12/2015

Dette innebar endringer i underklausul. 6.1.3 (Informasjonssikkerhetsrisikobehandling), og spesifikt til punkt d), om Anvendelseserklæringen (SoA). Det var bare en kosmetisk justering, som skilte det nødvendige innholdet for en SoA fra hovedavsnittet i atskilte kuler, noe som gjorde det tydeligere at en SoA må inneholde minst fire elementer:

• De nødvendige kontrollene for å implementere behandling av informasjonssikkerhetsrisiko, vurderer ikke bare de i vedlegg A, men også kontroller utformet av organisasjonen etter behov, samt andre identifisert fra en hvilken som helst kilde (f.eks kontroller fra NIST SP 800-serien med dokumenter)

• Begrunnelse for å inkludere disse kontrollene

• Kontrollens status (f.eks. implementert eller ikke)

• Begrunnelsen for å ekskludere noen av Vedlegg A kontrollerer

ISO 27001 Statement of Applicability regnes ofte som en av de mer tyngende oppgavene i standarden, både for å lage og holde seg oppdatert. Du kan lese artikkelen vår, Anvendelseserklæring forenklet for å lære mer.

Klikk for å se et større bilde av hvordan vi vedlikeholder vår Anvendelseserklæring i ISMS.online-plattformen

Hvordan takle endringene

/software-features/With ISMS.online, har Corrigendum-elementene blitt innlemmet, både når det gjelder veiledningen og verktøyene du vil bruke for å raskere implementeringen av ISO 27001 og redusere den pågående administrasjonstiden for ISMS.