一、前言
ISO27001是一种信息安全管理体系(Information Security Management System, ISMS)标准，是世界上广泛应用的、通用及可证明的信息安全管理框架之一，旨在通过采取一系列信息安全管理制度、流程和控制措施，确保组织能够最大限度地保护其信息资产和利益。ISO27001从诞生到现在经历了20多年，始终秉承“源于业务，高于业务”的观念。经过多年的演变和发展，ISO27001变成了一种真正普遍适用、普遍认可和与时俱进的标准，其也带来了持续不断的影响。
在2022年10月，ISO（国际标准化组织）更新发布了《ISO/IEC 27001:2022信息安全-网络安全-隐私保护-信息安全管理体系要求》，旨在帮助组织建立必要的信息安全管理过程，确保组织信息资产的保密性、可用性和完整性，并增强相关方对组织信息安全风险管理的信心。本文就新版发生的变化展开深入解读。
二、2022版与2013版的主要区别
ISO/IEC27001:2022版本于2022年10月发布，新版发生了较大的变化，标题也由《信息技术-安全技术-信息安全管理体系要求》改为《信息安全-网络安全-隐私保护-信息安全管理体系要求》，具体改变包括：
1）正文框架的变化
标准正文的框架性要求没有出现较大变化，主要是增加6.3变更计划，对9.2内部审计和9.3管理评审进行了调整，对第10章两个子条款的顺序进行了互换，其他个别条款进行了微调。
2）附录A控制项的核心变化
2022版对附录A中信息安全控制框架结构进行了重新构建，2013版的14个安全控制域合并后总结归纳为人员、物理、技术、组织四大主题，这样的分类更加简单，更加方便组织对安全控制项进行选择归类，以加强信息安全控制措施的实施。
|