Principali modifiche
La ISO/IEC 27001:2022 non è una versione completamente rivista. Le sue principali modifiche comprendono:
- i riferimenti, nell’Allegato A, ai controlli della ISO/IEC 27002:2022, che includono le informazioni relative al titolo del controllo e al controllo;
- le note al punto 6.1.3 c) sono state riviste, con l’eliminazione degli obiettivi di controllo e l’utilizzo di “controllo di sicurezza delle informazioni” in sostituzione di “controllo”;
- la formulazione del punto 6.1.3 d) è stata riorganizzata per eliminare potenziali ambiguità.
Impatto
L’impatto delle modifiche introdotte dalla ISO/IEC 27001:2022 si limita all’introduzione di un nuovo Allegato A perché:
- la ISO/IEC 27001:2013/COR 2:2015 è già stata pubblicata e implementata;
- l’Allegato A è normativo.
I requisiti della ISO/IEC 27001 che utilizzano l’insieme di controlli di riferimento dell’Allegato A sono il processo di confronto tra i controlli di sicurezza delle informazioni stabiliti dall’organizzazione e quelli dell’Allegato A (6.1.3 c)) e la produzione di una Dichiarazione di Applicabilità (6.1.3 d)).
Confrontando i controlli di sicurezza delle informazioni necessari con quelli dell’Allegato A, l’organizzazione può verificare che nessun controllo di sicurezza delle informazioni necessario dell’insieme di riferimento dell’Allegato A sia stato omesso inavvertitamente. Tale confronto potrebbe non portare alla scoperta di controlli di sicurezza delle informazioni necessari omessi inavvertitamente. Tuttavia, qualora vengano individuati controlli di sicurezza delle informazioni necessari omessi inavvertitamente, l’organizzazione dovrebbe aggiornare i propri piani di trattamento dei rischi per includere i controlli di sicurezza delle informazioni aggiuntivi necessari e attuarli. Come indicato sopra, l’impatto della ISO/IEC 27001:2022 sulle organizzazioni che hanno implementato un Sistema di Gestione della Sicurezza delle Informazioni non dovrebbe essere significativo.
Referuar: IAF