ISO 27001

Το πρότυπο ISO/IEC 27001:2013 Information technology – Security techniques άλλαξε στις 25/10/2022 την έκδοση του, σε ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection – Information security controls.

Η νέα έκδοση του προτύπου δεν επιφέρει την ολοκληρωτική αλλαγή του και ο αντίκτυπος των αλλαγών περιορίζεται σε ένα νέο Annex A το οποίο μεταβάλει τα γκρουπ ελέγχων από 14 σε 4 και το σύνολο των ελέγχων από 114 σε 93 εκ των οποίων τα 11 είναι νέα, 24 έχουν δημιουργηθεί από την σύμπτυξη ήδη υπαρχόντων και τα 58 αφορούν ανανεωμένα controls.

Περίοδος Μετάβασης

Βάσει της απόφασης του International Accreditation Forum (IAF MD 26:2022) καθορίστηκε τριετής μεταβατική περίοδος για την εφαρμογή του νέου προτύπου ISO/IEC 27001:2022.

Η περίοδος μετάβασης ξεκινά από την ημέρα έκδοσης του νέου προτύπου (25/10/2022) και τελειώνει 36 μήνες αργότερα (31/10/2025), όπου πλέον τα πιστοποιητικά βάσει του ISO/IEC 27001:2013 θα πάψουν να ισχύουν. Tα πιστοποιητικά δε που έχουν εκδοθεί με το πρότυπο ISO/IEC 27001:2013, θα παύσουν να ισχύουν ή θα ανακληθούν στις 31/10/2025

Οι αρχικές πιστοποιήσεις και επαναπιστοποιήσεις με το πρότυπο ISO/IEC 27001:2013 μπορούν υλοποιούνται μέχρι την 30/04/2024 και τα πιστοποιητικά αυτά θα λήγουν υποχρεωτικά στις 31/10/2025.

Οι πιστοποιημένοι μας πελάτες με ISO/IEC 27001:2013, έχουν την δυνατότητα να μεταβούν στο νέο πρότυπο ISO/IEC 27001:2022 είτε κατά τη διάρκεια των ετήσιων επιθεωρήσεων επιτήρησης, είτε με ξεχωριστή επιθεώρηση, ενώ οι ημερομηνίες λήξης των ανανεωμένων πιστοποιητικών δεν θα αλλάξουν εφόσον γίνει η μετάβαση.

Απαιτήσεις μετάβασης

Εφόσον ο πελάτης το επιθυμεί, οι επιθεωρήσεις μετάβασης στο νέο Πρότυπο μπορούν να υλοποιηθούν είτε συνδυαστικά σε μια προγραμματισμένη επιθεώρηση επιτήρησης/επαναπιστοποίησης ή σε μια ξεχωριστή επιθεώρηση. Η επιθεώρηση μετάβασης, δεν θα βασίζεται μόνο στον έλεγχο τεκμηρίωσης, αλλά θα δίνει βάση στον έλεγχο των τεχνολογικών ελέγχων (technological controls) που περιγράφονται στο Παράρτημα Α του Προτύπου.

Οι επιπρόσθετες ανθρωποημέρες επιθεώρησης για την μετάβαση στο νέο Πρότυπο είναι κατ’ελάχιστο 0,5 εφόσον η επιθεώρηση υλοποιηθεί συνδυαστικά με επιθεώρηση επαναπιστοποίησης ή 1, εφόσον η επιθεώρηση υλοποιηθεί συνδυαστικά με επιθεώρηση επιτήρησης ή ξεχωριστή επιθεώρηση.

Η επιθεώρηση μετάβασης θα πρέπει κατ’ελάχιστο να περιλαμβάνει τα κάτωθι:

• Εκτεταμένη ανάλυση αποκλίσεων (GAP Analysis) του ISO/IEC 27001:2022 όπως επίσης και της ανάγκης για αλλαγές στο ΣΔΑΠ του πελάτη
• Την επικαιροποίηση της Δήλωσης Εφαρμοστικότητας (Statement of Applicability)
• Της επικαιροποίησης (όπου απαιτείται) του πλάνου αντιμετώπισης κινδύνων (Risk treatment plan)
• Την εφαρμογή κι αποτελεσματικότητα των νέων ή/και τροποποιημένων ελέγχων ασφάλειας πληροφοριών (information security controls) που έχουν επιλεγεί από τον πελάτη.

Εφόσον η επιθεώρηση μετάβασης ολοκληρωθεί επιτυχώς, το σχετικό πιστοποιητικό θα επικαιροποιηθεί σε σχέση με τη συμμόρφωση με το ISO/IEC 27001:2022, ωστόσο η ημερομηνία λήξης του υφιστάμενου κύκλου πιστοποίησης, δεν θα αλλάξει.