Seria ISO/IEC 27000

Seria ISO/IEC 27000 (znana również jako „rodzina norm ISMS” lub w skrócie „ISO27K”) obejmuje normy bezpieczeństwa informacji opublikowane wspólnie przez Międzynarodową Organizację Normalizacyjną (ISO) i Międzynarodową Komisję Elektrotechniczną (IEC).

Seria zawiera zalecenia dotyczące najlepszych praktyk w zakresie zarządzania bezpieczeństwem informacji - zarządzania ryzykiem informacyjnym poprzez kontrole bezpieczeństwa informacji - w kontekście ogólnego systemu zarządzania bezpieczeństwem informacji (ISMS), podobnego w konstrukcji do systemów zarządzania zapewniających jakość (seria ISO 9000) , ochrony środowiska (seria ISO 14000) oraz innych systemów zarządzania.

Seria ma celowo szeroki zakres i obejmuje więcej niż tylko kwestie związane z prywatnością, poufnością i IT/technicznymi/cyberbezpieczeństwem. Ma zastosowanie do organizacji wszystkich kształtów i rozmiarów. Zachęca się wszystkie organizacje do oceny ryzyka związanego z informacjami, a następnie traktowania go (zwykle przy użyciu środków kontroli bezpieczeństwa informacji) zgodnie ze swoimi potrzebami, w stosownych przypadkach korzystając ze wskazówek i sugestii. Biorąc pod uwagę dynamiczną naturę ryzyka i bezpieczeństwa informacji, koncepcja SZBI obejmuje ciągłe informacje zwrotne i działania doskonalące w celu reagowania na zmiany w zagrożeniach, słabych punktach lub skutkach incydentów.

Normy są produktem ISO/IEC JTC 1 (Wspólny Komitet Techniczny 1) SC 27 (Podkomitet 27) , międzynarodowej organizacji, która spotyka się osobiście (bezpośrednio lub wirtualnie) dwa razy w roku.

Normy ISO/IEC są sprzedawane bezpośrednio przez ISO, głównie w języku angielskim, francuskim i chińskim. Punkty sprzedaży powiązane z różnymi krajowymi organami normalizacyjnymi również sprzedają bezpośrednio przetłumaczone wersje w kilku językach.

Wczesna historia

W rozwój i utrzymanie standardów ISO27K zaangażowanych jest wiele osób i organizacji. Pierwszą normą z tej serii była norma ISO/IEC 17799:2000; było to przyspieszone śledzenie istniejącej brytyjskiej normy BS 7799 część 1:1999. Pierwsza wersja BS 7799 była częściowo oparta na podręczniku polityki bezpieczeństwa informacji opracowanym przez Royal Dutch/Shell Group na przełomie lat 80. i 90. XX wieku. W 1993 roku ówczesny Departament Handlu i Przemysłu (Wielka Brytania) zwołali zespół do przeglądu istniejących praktyk w zakresie bezpieczeństwa informacji, w celu stworzenia dokumentu norm. W 1995 roku Grupa BSI opublikowała pierwszą wersję BS 7799 . Jeden z głównych autorów BS 7799 wspomina, że ​​na początku 1993 roku „DTI postanowiło szybko zebrać grupę przedstawicieli przemysłu z siedmiu różnych sektorów: Shell ([David Lacey] i Les Riley), BOC Group (Neil Twist ), BT (Dennis Willets), Marks & Spencer (Steve Jones), Midland Bank (Richard Hackworth), Nationwide (John Bowles) i Unilever (Rolf Moulton). David Lacey przypisuje zmarłemu Donnowi B. Parkerowi jako mający „oryginalny pomysł ustanowienia zestawu kontroli bezpieczeństwa informacji” i do stworzenia dokumentu zawierającego „zbiór około stu podstawowych kontroli” pod koniec lat 80. dla „kręgu bezpieczeństwa informacji I-4, który wymyślił i założył .

Opublikowane standardy

Opublikowane normy ISO27K związane z „bezpieczeństwem informacji, cyberbezpieczeństwem i ochroną prywatności” to:

  1. ISO/IEC 27000 — Systemy zarządzania bezpieczeństwem informacji — Przegląd i słownictwo
  2. ISO/IEC 27001 — Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności — Systemy zarządzania bezpieczeństwem informacji — Wymagania. - określa wymagania dla systemu zarządzania bezpieczeństwem informacji w ten sam sformalizowany, ustrukturyzowany i zwięzły sposób, jak inne normy ISO określają inne rodzaje systemów zarządzania.
  3. ISO/IEC 27002 — Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności — Kontrola bezpieczeństwa informacji — zasadniczo szczegółowy katalog kontroli bezpieczeństwa informacji, którymi można zarządzać za pośrednictwem SZBI
  4. ISO/IEC 27003 — Wytyczne dotyczące wdrażania systemu zarządzania bezpieczeństwem informacji
  5. ISO/IEC 27004 — Zarządzanie bezpieczeństwem informacji — Monitorowanie, pomiary, analiza i ocena
  6. ISO/IEC 27005 — Wytyczne dotyczące zarządzania ryzykiem związanym z bezpieczeństwem informacji
  7. ISO/IEC 27006 — Wymagania dla jednostek prowadzących audyt i certyfikację systemów zarządzania bezpieczeństwem informacji
  8. ISO/IEC 27007 — Wytyczne dotyczące audytu systemów zarządzania bezpieczeństwem informacji (skoncentrowane na audytowaniu systemu zarządzania)
  9. ISO/IEC TR 27008 — Wytyczne dla audytorów dotyczące kontroli SZBI (skoncentrowane na kontroli kontroli bezpieczeństwa informacji)
  10. ISO/IEC 27009 — Technologia informacyjna — Techniki bezpieczeństwa — Sektorowe zastosowanie ISO/IEC 27001 — Wymagania
  11. ISO/IEC 27010 — Zarządzanie bezpieczeństwem informacji w komunikacji międzysektorowej i międzyorganizacyjnej
  12. ISO/IEC 27011 — Wytyczne zarządzania bezpieczeństwem informacji dla organizacji telekomunikacyjnych w oparciu o ISO/IEC 27002
  13. ISO/IEC 27013 — Wytyczne dotyczące zintegrowanego wdrażania ISO/IEC 27001 i ISO/IEC 20000-1
  14. ISO/IEC 27014 — Zarządzanie bezpieczeństwem informacji. (Mahncke ocenił ten standard w kontekście australijskiego e-zdrowia.)
  15. ISO/IEC TR 27015 — Wytyczne dotyczące zarządzania bezpieczeństwem informacji dla usług finansowych (obecnie wycofane)
  16. ISO/IEC TR 27016 — ekonomika bezpieczeństwa informacji
  17. ISO/IEC 27017 — Kodeks postępowania w zakresie kontroli bezpieczeństwa informacji w oparciu o ISO/IEC 27002 dla usług w chmurze
  18. ISO/IEC 27018 — Kodeks postępowania w zakresie ochrony danych osobowych (PII) w chmurach publicznych działających jako podmioty przetwarzające dane osobowe
  19. ISO/IEC 27019 — Bezpieczeństwo informacji dla sterowania procesami w przemyśle energetycznym
  20. ISO/IEC 27021 — Wymagania kompetencyjne dla specjalistów ds. systemów zarządzania bezpieczeństwem informacji
  21. ISO/IEC TS 27022 — Wytyczne dotyczące procesów systemu zarządzania bezpieczeństwem informacji — w trakcie opracowywania
  22. ISO/IEC TR 27023 — Mapowanie poprawionych wydań ISO/IEC 27001 i ISO/IEC 27002
  23. ISO/IEC 27028 — Wytyczne dotyczące atrybutów ISO/IEC 27002
  24. ISO/IEC 27031 — Wytyczne dotyczące gotowości technologii informacyjno-komunikacyjnych do zapewnienia ciągłości działania
  25. ISO/IEC 27032 — Wytyczne dotyczące cyberbezpieczeństwa
  26. ISO/IEC 27033-1 — Bezpieczeństwo sieci — Część 1: Przegląd i koncepcje
  27. ISO/IEC 27033-2 — Bezpieczeństwo sieci — Część 2: Wytyczne dotyczące projektowania i wdrażania zabezpieczeń sieci
  28. ISO/IEC 27033-3 — Bezpieczeństwo sieci — Część 3: Scenariusze sieci odniesienia — Zagrożenia, techniki projektowania i kwestie kontroli
  29. ISO/IEC 27033-4 — Bezpieczeństwo sieci — Część 4: Zabezpieczanie komunikacji między sieciami za pomocą bram bezpieczeństwa
  30. ISO/IEC 27033-5 — Bezpieczeństwo sieci — Część 5: Zabezpieczanie komunikacji w sieciach za pomocą wirtualnych sieci prywatnych (VPN)
  31. ISO/IEC 27033-6 — Bezpieczeństwo sieci — Część 6: Zabezpieczanie bezprzewodowego dostępu do sieci IP
  32. ISO/IEC 27033-7 — Bezpieczeństwo sieci — Część 7: Wytyczne dotyczące bezpieczeństwa wirtualizacji sieci
  33. ISO/IEC 27034-1 — Bezpieczeństwo aplikacji — Część 1: Wytyczne dotyczące bezpieczeństwa aplikacji
  34. ISO/IEC 27034-2 — Bezpieczeństwo aplikacji — Część 2: Ramy normatywne organizacji
  35. ISO/IEC 27034-3 — Bezpieczeństwo aplikacji — Część 3: Proces zarządzania bezpieczeństwem aplikacji
  36. ISO/IEC 27034-4 — Bezpieczeństwo aplikacji — Część 4: Walidacja i weryfikacja (w trakcie opracowywania)
  37. ISO/IEC 27034-5 — Bezpieczeństwo aplikacji — Część 5: Protokoły i struktura danych kontroli bezpieczeństwa aplikacji
  38. ISO/IEC 27034-5-1 — Bezpieczeństwo aplikacji — Część 5-1: Struktura danych protokołów i kontroli bezpieczeństwa aplikacji, schematy XML
  39. ISO/IEC 27034-6 — Bezpieczeństwo aplikacji — Część 6: Studia przypadków
  40. ISO/IEC 27034-7 — Bezpieczeństwo aplikacji — Część 7: Ramy przewidywania pewności
  41. ISO/IEC 27035-1 — Zarządzanie incydentami związanymi z bezpieczeństwem informacji — Część 1: Zasady zarządzania incydentami
  42. ISO/IEC 27035-2 — Zarządzanie incydentami związanymi z bezpieczeństwem informacji — Część 2: Wytyczne dotyczące planowania i przygotowania reakcji na incydenty
  43. ISO/IEC 27035-3 — Zarządzanie incydentami związanymi z bezpieczeństwem informacji — Część 3: Wytyczne dotyczące operacji reagowania na incydenty ICT
  44. ISO/IEC 27035-4 — Zarządzanie incydentami związanymi z bezpieczeństwem informacji — Część 4: Koordynacja (w trakcie opracowywania)
  45. ISO/IEC 27036-1 — Bezpieczeństwo informacji w relacjach z dostawcami — Część 1: Przegląd i koncepcje
  46. ISO/IEC 27036-2 — Bezpieczeństwo informacji w relacjach z dostawcami — Część 2: Wymagania
  47. bezpieczeństwa łańcucha dostaw technologii informacyjno-komunikacyjnych
  48. ISO/IEC 27036-4 — Bezpieczeństwo informacji w relacjach z dostawcami — Część 4: Wytyczne dotyczące bezpieczeństwa usług w chmurze
  49. ISO/IEC 27037 — Wytyczne dotyczące identyfikacji, gromadzenia, pozyskiwania i przechowywania dowodów cyfrowych
  50. ISO/IEC 27038 — Specyfikacja redakcji cyfrowej dokumentów cyfrowych
  51. ISO/IEC 27039 — Zapobieganie włamaniom
  52. ISO/IEC 27040 — Bezpieczeństwo przechowywania
  53. ISO/IEC 27041 — Zapewnienie dochodzenia
  54. ISO/IEC 27042 — Analiza dowodów cyfrowych
  55. ISO/IEC 27043 — Dochodzenie w sprawie incydentu
  56. ISO/IEC 27050-1 — Odkrywanie elektroniki — Część 1: Przegląd i koncepcje
  57. ISO/IEC 27050-2 — Wykrywanie elektroniczne — Część 2: Wytyczne dotyczące zarządzania i zarządzania wykrywaniem elektronicznym
  58. ISO/IEC 27050-3 — Wykrywanie elektroniczne — Część 3: Kodeks postępowania w zakresie wykrywania elektronicznego
  59. ISO/IEC 27050-4 — Odkrywanie elektroniki — Część 4: Gotowość techniczna
  60. ISO/IEC TS 27110 — Technologia informacyjna, cyberbezpieczeństwo i ochrona prywatności — Wytyczne dotyczące rozwoju ram cyberbezpieczeństwa
  61. ISO/IEC 27557 — Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności — Zastosowanie ISO 31000:2018 do zarządzania ryzykiem związanym z prywatnością w organizacji
  62. ISO/IEC 27701 — Technologia informacyjna — Techniki bezpieczeństwa — Systemy zarządzania bezpieczeństwem informacji — System zarządzania informacjami o prywatności (PIMS).
  63. ISO 27799 — Zarządzanie bezpieczeństwem informacji w zdrowiu przy użyciu ISO/IEC 27002 (wytyczne dla organizacji z branży medycznej dotyczące ochrony osobistych informacji zdrowotnych przy użyciu ISO/IEC 27002)

w przygotowaniu

  • W przygotowaniu są kolejne standardy ISO27K obejmujące takie aspekty, jak bezpieczeństwo sztucznej inteligencji/uczenia maszynowego w kryminalistyce oraz bezpieczeństwo Internetu rzeczy, podczas gdy opublikowane standardy ISO27K są rutynowo przeglądane iw razie potrzeby aktualizowane mniej więcej co pięć lat.

Zobacz też

Pobrano z „ https://en.wikipedia.org/w/index.php?title=ISO/IEC_27000-series&oldid=1140188780 ”