Het verschil in ISO 27001-versies
IPraktisch gezien is er tussen 2013 en 2017 heel weinig veranderd ISO 27001
normen, op een paar kleine cosmetische punten en een kleine naamswijziging na.
De laatst gepubliceerde versie van de ISMS-standaard is – BS EN ISO/IEC 27001: 2017.
De ISO versie van de standaard (2013) werd niet beïnvloed door de publicatie uit 2017 en de wijzigingen geen eventuele nieuwe eisen introduceren.
Voor wie op zoek is naar een UKAS geaccrediteerd ISO 27001-certificeringUKAS accrediteert de ISO-norm, dus er zijn geen wijzigingen die uw certificeringsstatus beïnvloeden en daarom worden er door deze herziening geen extra transitieactiviteiten geïntroduceerd.
De wijziging uit 2017 werd geïntroduceerd om de goedkeuring door CEN/CENELEC voor de EN-aanduiding (“Europese norm”) aan te geven.
de bijgewerkte BS neemt echter wel twee eerder uitgebrachte corrigenda/amendementen op ISO 27001:2013 op, met name in clausule 6.1.3 en bijlage A, clausule 8.1.
Laten we eens kijken naar wat deze corrigenda behandelden:
Rectificatie 1: ISO/IEC 27001:2013/Cor.1:2014(en) - gepubliceerd 2014
A.8.1.1 (Inventaris van activa), vervangt de objectieve tekst van de controle van:
“Activiteiten die verband houden met informatie en informatieverwerkingsfaciliteiten moeten worden geïdentificeerd en er moet een inventaris van deze activa worden opgesteld en bijgehouden.”
tot:
"Informatie, andere aan informatie gerelateerde activa en informatieverwerkingsfaciliteiten moeten worden geïdentificeerd en er moet een inventaris van deze activa worden opgesteld en bijgehouden."
De wijziging maakte expliciet dat informatie zelf ook als een actief moet worden beschouwd en in de inventaris moet worden opgenomen.
Voor degenen die ISMS.online gebruiken , houden de richtlijnen in subparagraaf A.8.1.1, samen met onze virtuele ISO 27001-coach , hier volledig rekening mee.
In tegenstelling tot sommige oudere tools op de markt, gebruikt ISMS.online een op informatieactiva gebaseerde aanpak voor risicobeheer, zodat u er zeker van kunt zijn dat deze belangrijke wijziging is meegenomen.
Lees meer over hoe u een inventaris van uw activa kunt opstellen.
Klik om een grotere afbeelding te bekijken van hoe we het ISMS.online-platform gebruiken voor ISO 27001
Rectificatie 2: ISO/IEC 27001:2013/Cor.2:2015(en) – gepubliceerd op 1/12/2015
Dit bracht wijzigingen in de subclausule met zich mee. 6.1.3 (Behandeling van informatiebeveiligingsrisico's), en specifiek naar punt d), over de Verklaring van Toepasselijkheid (SoA). Het was slechts een cosmetische aanpassing, waarbij de vereiste inhoud voor een SoA van de hoofdparagraaf werd gescheiden in afzonderlijke opsommingstekens, waardoor het duidelijker werd dat een SoA ten minste vier elementen moet bevatten:
De noodzakelijke beheersmaatregelen voor de implementatie van de risicobehandeling op het gebied van informatiebeveiliging , waarbij niet alleen rekening wordt gehouden met de maatregelen in bijlage A, maar ook met de door de organisatie zelf ontworpen maatregelen indien nodig, en met andere maatregelen die uit andere bronnen zijn geïdentificeerd (bijvoorbeeld maatregelen uit de NIST SP 800-documentenreeks).
Rechtvaardiging voor het opnemen van deze controles
De status van de controles (bijvoorbeeld geïmplementeerd of niet)
De rechtvaardiging voor het uitsluiten van een van de controles uit bijlage A.
Het opstellen en actueel houden van de toepassingsverklaring volgens ISO 27001 wordt vaak beschouwd als een van de meest tijdrovende taken binnen de norm. Lees ons artikel ' Toepassingsverklaring vereenvoudigd' voor meer informatie.
Klik hier om een grotere afbeelding te bekijken van hoe we onze Verklaring van Toepasselijkheid beheren op het ISMS.online-platform.
Hoe je de veranderingen aanpakt
/software-features/Met ISMS.online zijn de correctiepunten verwerkt, zowel in de richtlijnen als in de tools die u kunt gebruiken om uw ISO 27001-implementatie te versnellen en de doorlopende beheertijd van uw ISMS te verkorten.
