Normas TISAX, ISO 21434 e ENX VCS: Relevância e Tendências para o Setor Automotivo e de Tecnologia até 2030
Artigos
Mudanças na nova ISO/IEC 27001 e ISO/IEC 27002
A ISO/IEC 27001 está em revisão e a ISO/IEC 27002:2022 – Segurança da Informação, Cibersegurança e Proteção da Privacidade – Controles de Segurança da Informação foi lançada. A última revisão da ISO/IEC 27002 foi publicada em fevereiro de 2022, e a ISO/IEC 27001 seguirá logo em seguida. O comitê técnico conjunto da International Organization for Standardization (ISO)/International Electrotechnical Commission (IEC), ISO/IEC JTC 1, está mudando a estrutura da estrutura de controle ISO/IEC 27001/27002 após quase 20 anos.
Qual é a diferença entre ISO/IEC 27001 e ISO/IEC 27002?
As organizações podem obter a certificação ISO/IEC 27001, mas não ISO/IEC 27002. A ISO/IEC 27001 documenta os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gerenciamento de segurança da informação, enquanto a ISO/IEC 27002 é projetada para as organizações usarem como uma referência para a seleção de controles e fornece diretrizes para práticas de gestão de segurança da informação, incluindo a implementação e gestão de controles, levando em consideração o ambiente de risco de segurança da informação da organização. As organizações podem ser certificadas em padrões que contêm requisitos, mas não podem ser certificadas em padrões que fornecem orientação.
As principais mudanças na ISO/IEC 27001:2022 incluem:
- Anexo A referências aos controles na ISO/IEC 27002:2022, que inclui o título de controle e o controle;
- A nota da Cláusula 6.1.3 é revisada editorialmente, inclusive excluindo os “objetivos de controle” e substituindo “controle de segurança da informação” por “controle”
- A redação da Cláusula 6.1.3 d) é revisada para fornecer clareza e eliminar ambiguidades.
Alterações na ISO/IEC 27002:2022 A ISO/IEC 27002:2013 contém 114 controles em 14 domínios; A ISO/IEC 27002:2022 contém 93 controles em 4 domínios:
- Capítulo 5 – Organizacional (se não se enquadram em nenhum outro domínio) – 37 controles
- Capítulo 6 – Pessoas (se dizem respeito a pessoas individuais) – 8 controles
- Capítulo 7 – Físico (se dizem respeito a objetos físicos) – 14 controles
- Capítulo 8 – Tecnológico (se dizem respeito a tecnologia) – 34 controles
Existem agora 5 atributos de controle para cada controle:
- Como categorizar – preventivo, detetive, corretivo.
- Propriedades de segurança da informação – confidencialidade, integridade, disponibilidade.
- Conceitos de cibersegurança – identificar, proteger, detectar, responder, recuperar.
- Recursos operacionais – governança, gerenciamento de ativos, proteção de informações, segurança de recursos humanos, segurança física, segurança de sistemas e redes, segurança de aplicativos, configuração segura, gerenciamento de identidade e acesso, gerenciamento de ameaças e vulnerabilidades, continuidade, segurança de relacionamento com fornecedores, legal e conformidade, gerenciamento de eventos de segurança da informação, garantia de segurança da informação.
- Domínios de segurança – governança e ecossistema, proteção, defesa, resiliência.
Doze novos controles foram introduzidos na nova versão da ISO/IEC 27002:
- Inteligência de ameaças
- Gerenciamento de identidade
- Segurança da informação para uso de serviços em nuvem
- Prontidão de TIC para continuidade de negócios
- Monitoramento de segurança física
- Endpoint do usuário dispositivos
- Gerenciamento de configuração
- Exclusão de informações
- Mascaramento de dados
- Prevenção de vazamento de dados
- Filtragem da Web
- Codificação segura
Dezesseis controles foram excluídos por duplicação ou melhor alinhamento sob outros controles:
- Revisão das políticas de segurança da informação
- Política de dispositivos móveis
- Propriedade de ativos
- Manuseio de ativos
- Sistema de gerenciamento de senhas
- Áreas de entrega e carregamento
- Remoção de ativos
- Equipamentos de usuários autônomos
- Proteção de informações de log
- Restrições de software instalação
- Mensagens eletrônicas
- Protegendo serviços de aplicativos em redes públicas
- Protegendo transações de serviços de aplicativos
- Testes de aceitação do sistema
- Reportando pontos fracos de segurança da informação
- Revisão de conformidade técnica
Existem alguns controles que foram modificados e integrados para se tornarem um controle principal. Aqui estão alguns exemplos:
- “Inventário de ativos” é modificado como “Inventário de informações e outros ativos associados”.
- “Uso aceitável de ativos” alterado para “Uso aceitável de informações e outros ativos associados”.
- Política sobre controles criptográficos e gerenciamento de chaves etc. alterada para “Uso de controles de criptografia”.
- Log de eventos renomeado para “Logging”.
- Os logs do administrador e do operador foram alterados para “Atividades de monitoramento”
- Políticas e procedimentos de transferência de informações, acordo sobre transferência de informações, etc. combinados como um controle principal em “Transferência de informações”.
Alexandre de Lima Lopes
CEO da Wiseplan, mestrando em business science administration pela Florida Christian University da Florida/USA.
Compartilhe :
Aumente suas chances de sucesso com uma análise inicial gratuita.
- +55 (11) 93261-1113
- [email protected]
Imagine sua empresa ter a sua disposição um time de especialistas em Planejamento Estratégico, Gestão de TI, Segurança da Informação, LGPD, Soluções Microsoft, Governança, Compliance, Gestão da Qualidade, Continuidade de Negócios e muito mais.
Bem-vindo à empresa líder na prestação de serviços que combinam qualidade, confiabilidade e conformidade!
Newsletter
Inscreva-se em nossa newsletter para obter informações atualizadas sobre os nossos serviços e novidades do mercado.
Tradutor