Version 2022 von der ISO 27001

Die internationale Norm ISO 27001 hat eine Überarbeitung durchlaufen und wichtige Verbesserungen durchlaufen. Das International Accreditation Forum (IAF) hat im Oktober 2022 die neue und verbesserte ISO/IEC 27001:2022 veröffentlicht, welche die bisherige Version ISO 27001:2013 ersetzt. In diesem Beitrag werden die wichtigsten Änderungen, Besonderheiten und Herausforderungen vorgestellt, die mit der neuen ISO 27001 Version aus 2022 einhergehen.

Die aktuelle ISO 27001:2022 trägt nach der Überarbeitung nicht mehr den Namen "Information technology – Security techniques – Information security management systems – Requirements", sondern wurde in "Information security, cybersecurity and privacy protection — Information security management systems — Requirements" geändert. Dabei wurde "privacy protection", nun offiziell in den Titel der Norm aufgenommen.

Strukturänderung

Die Struktur wurde in vier Schlüsselbereiche zusammengefasst
Organisatorisch, menschlich, physisch und technologisch anstelle von 14 in der vorherigen Ausgabe.

Neue Controls

Die Anzahl der aufgeführten Kontrollen wurde von 114 auf 93 reduziert
Einige Kontrollen wurden zusammengelegt, einige wurden entfernt, neue wurden eingeführt und andere aktualisiert.

Neue Maßnahmen

• A.5.7 Bedrohungsanalyse,
• A.5.23 Informationssicherheit bei der Nutzung von Cloud-Diensten,
• A.5.30 IKT-Bereitschaft für die Geschäftskontinuität,
• A.7.4 Überwachung der physischen Sicherheit,
• A.8.9 Konfigurationsmanagement,
• A.8.10 Löschung von Informationen,
• A.8.11 Datenmaskierung,
• A.8.12 Verhinderung von Datenlecks,
• A.8.16 Überwachung von Aktivitäten,
• A.8.23 Web-Filterung und
• A.8.28 Sichere Verschlüsselung.

jede Maßnahme in wurde zusätzlich in fünf verschiedene Attribute eingestuft:

• Controlltyp,
• Eigenschaft der Informationssicherheit,
• Cybersicherheitskonzepte,
• Operative Fähigkeiten und
• Sicherheitsdomänen.

Visualisierung der Änderungen zur Version 2022

Quelle: Übersicht der Änderungen von Version 2017 zur 2022

Handlungsempfehlungen

Obwohl die Veränderungen deutlich sind, bedeutet dies nicht, dass wir uns komplett neu mit dem Thema Informationssicherheit auseinandersetzen müssen oder große Änderungen an einem bereits bestehenden Informationssicherheits-Managementsystem (ISMS) vornehmen müssen. Stattdessen spiegeln sie lediglich längst überfällige Anpassungen an das zunehmende Verständnis von Informationssicherheit wider.