信息安全认证：ISO/IEC 27001:2022新版标准预计2022年10月对外发布

新的子条款

6.3

变化的规划

9.2.1

总则

9.2.2

内部审核方案

9.3.1

总则

9.3.2

管理评审输入

9.3.3

管理评审结果

ISO/IEC FDIS 27001

ISO/IEC 27001:2013

子条款

子条款

10.1

持续改进

10.1

不符合及纠正措施

10.2

不符合及纠正措施

10.2

持续改进

条款

新文本

SGS专家解析

4.2

了解相关方的需求和期望

该组织应确定：

a) ......

b) ......

c) 这些要求中的哪些将通过信息安全管理体系来解决。

/

4.4

信息安全管理制度

该组织应建立、实施、维护并持续改进信息安全管理体系。包括所需的过程和它们之间的相互作用。按照......

这些文本也包括在其他管理体系标准中，例如：ISO 9001:2015, ISO 22301:2019。

6.2

信息安全目标和实现这些目标的规划

信息安全目标应。

a) ......;

b) ......;

c) ......;

d) 被监测；

e) ......;

f) ......;

g) 可作为文件信息提供。

对于d)，新的文本也包括在其他管理体系标准中，例如：ISO 9001:2015, ISO 22301:2019。

对于g)，它与同一条款中的 "组织应保留有关信息安全目标的文件信息 "的要求重复。据推测，它将在最终版本中被删除。

7.4

沟通

该组织应确定是否需要......沟通 ......，包括：

a) ......;

b) ......;

c) ......;

d) 如何沟通。

同时，ISO/IEC 27001:2013的第7.4条要求：

d) 由谁负责沟通；

e) 影响沟通的过程；

被删除。

8.1

运行规划和控制

该组织应通过以下方式计划、实施和控制流程......。

· 为这些过程制定标准；

· 根据标准实施对过程的控制。

新的要求也包括在其他管理体系标准中，例如：ISO 9001:2015, ISO 22301:2019。

9.1

监测、测量、分析和评价

该组织应确定：

a) ......;

b) ...... 所选择的方法应产生可比较和可重复的结果，才能被视为有效；

c) ......;

这是ISO/IEC 27001:2013条款9.1.b)中的一个备注。

9.3.2

管理评审输入

管理评审应包括对以下方面的考虑。

a) ......;

b) ......;

c) 与信息安全管理体系有关的有关各方的需求和期望的变化；

d) ......;

这些文本也包括在其他管理体系标准中，例如：ISO 9001:2015, ISO 22301:2019。

条款

ISO/IEC FDIS 27001

ISO/IEC 27001:2013

SGS专家解析

4.1 理解组织及其环境

注：确定这些问题是指建立组织的外部和内部环境

考虑在 ISO 31000:2018第5.4.1条

注：确定这些问题是指建立组织的外部和内部环境

考虑在 ISO 31000:2009第5.3条

备注中对ISO 31000的引用是根据新版的ISO 31000更新的。

5.1 领导和承诺

注："本文件中提到的 "活动 "可被广义地解释为指那些对组织存在的目的具有核心意义的活动。"

/

在ISO/IEC FDIS 27001第5.1条中增加了一个新的备注。

5.3 组织角色、责任和权力

最高管理层应确保与信息安全有关的角色的责任和权限在该组织内得到分配和沟通。

最高管理层应确保与信息安全有关的角色的责任和权限得到分配和传达。

FDIS规定，信息安全责任和权限应在组织内进行沟通。

与组织外各方的沟通在7.4中涉及。

6.1.3 信息安全风险处置

c) 注2：附录A包含列表中可能的信息安全控制。

c) 注2：附录A包含一个全面的清单控制目标和控制措施。

该说明改写为：附录A中所列的信息安全控制措施是一份可能的信息安全控制措施清单，而不是一份全面的清单。

它澄清了附录A的控制措施并非详尽无遗，可以包括额外的信息安全控制措施，正如该条款的第二个注释所指出的。

8.1 运行规划和控制

组织应计划、实施和控制满足要求所需的过程，并做到

实施第6条中确定的行动。

为了满足信息安全要求以及实现6.1 中确定的措施，组织应规划、实现和控制所需要的过程。组织还应实现为达到6. 2 中确定的信息安全目标一系列计划。

第8.1条中的句子被重新表述，但要求没有改变。

组织应确保外部提供的相关过程、产品或服务对信息安全管理体系进行控制

组织应确保外包过程是确定的和受控的。

信息安全方面的一些服务，如数据中心或云服务，被归类为外部提供而不是外包更合适。

9.1 监测、测量、分析和评价

9.2.2 内部审核方案

9.3.3 管理评审结果

应提供文件化信息作为结果的证据

组织应保留适当的文件化信息作为监视和测量结果的证据。

与文件信息要求有关的句子被重新措辞，但要求没有改变。