ISO/IEC 27002:2005 je sbírka nejlepších bezpečnostních praktik a může být využita jako kontrolní seznam všeho správného, co je nutno pro bezpečnost informací v organizaci udělat. Aktuální verze normy "ISO/IEC 27002:2005 Information technology - Security techniques - Code of practice for information security management" je mezinárodně přijatý standard, sbírka nejlepších praktik z oblasti bezpečnosti informací.
Cenová informace
11 základních oddílů
Norma obsahuje celkem 11 základních oddílů bezpečnosti, které jsou dále rozděleny do 39 kategorií bezpečnosti (počet je uvedený v závorce za názvem oddílu).
- Bezpečnostní politika (1)
- Organizace bezpečnosti (2)
- Klasifikace a řízení aktiv (2)
- Bezpečnost lidských zdrojů (3)
- Fyzická bezpečnost a bezpečnost prostředí (2)
- Řízení komunikací a řízení provozu (10)
- Řízení přístupu (7)
- Vývoj, údržba a rozšíření informačního systému (6)
- Zvládání bezpečnostních incidentů (2)
- Řízení kontinuity činností organizace (1)
- Soulad s požadavky (3)
39 cílů opatření
11 hlavních oddílů ISO/IEC 27002:2005 definuje 39 cílů (kontrolních) opatření pro ochranu informačních aktiv proti narušení jejich důvěrnosti, dostupnosti a integrity. V podstatě tyto cíle opatření zahrnují funkční požadavky pro architekturu bezpečnosti informací organizace.
Cíle opatření poskytují kvalitní základ pro definici sady "axiomů" pro bezpečnostní politiku. Ne všechny jsou aplikovatelné v každé organizaci a mohou se objevit požadavky na jejich přeformulování či přizpůsobení podle aktuálních potřeb organizace. Nicméně většina z nich je obecně použitelná.
100vky specifických opatření
ISO/IEC 27002 také popisuje nejlepší praktiky pro zajištění bezpečnosti informací, které by organizace měla vzít úvahu pro zajištění kontrolních cílů. Nová verze normy obsahuje 133 "základních" opatření (v předchozí verzi normy to bylo 127), které se, ale ve skutečnosti dále rozpadají na stovky specifických bezpečnostních opatření.
Popis opatření je strukturován následovně:
Norma nepřikazuje, která opatření musí být bezpodmínečně aplikována, ale ponechává rozhodnutí na organizaci. Vhodná opatření jsou vybírána na základě hodnocení rizik a jejich implementace je závislá na konkrétní situaci. Cílem není implementovat vše, co norma popisuje, ale spíše naplnit všechny aplikovatelné cíle opatření.
Tento přístup zajišťuje, že norma je široce aplikovatelná a dává uživatelům velkou flexibilitu při implementaci. Nicméně toto přináší obtíže při certifikaci, kdy může být složité posoudit, zda jsou aktuální bezpečnostní opatření plně v souladu s normou. Navíc certifikace se týká zavedení ISMS a organizace je tak certifikována podle ISO/IEC 27001, které obsahuje shrnutí opatření z ISO/IEC 27002 vedle procesů k hodnocení rizik a výběru bezpečnostních opatření.
Infocentrum
Řešení
CRAMM
Řešení > ISMS/27000 > ISO/IEC 27000 > ISO 27002 
