標準簡介
ISO/IEC 27002:2022 是由 國際標準化組織 (ISO) 發布的現行有效標準，常用於科技、金融銀行、醫療健康、政府、服務業等產業，並適用於全球等市場。
本頁整理了 ISO/IEC 27002:2022 的官方文件、目前狀態以及常見相關認證或評估機構，便於快速理解要求與落地路徑。
實施路線圖
定義信息安全控制範圍
識別 ISO/IEC 27002:2022 覆蓋的產品、服務、場所、系統、團隊、司法轄區和相關方。確認責任人、邊界、適用義務、文件和證據期望，範圍包括組織、人員、物理和技術信息安全控制，包括訪問控制、威脅情報、雲服務、供應商關係、事件管理和安全開發。
評估差距並排列風險優先級
將當前實踐與預期的信息安全控制方法進行比較。審查控制選擇、實施指南、屬性、適用性聲明映射、責任人、監控、指標、例外和風險處置關聯，並按法律暴露、安全影響、客戶承諾、運營依賴以及審覈或市場準入準備度排列差距優先級。
實施控制和記錄
部署所需程序、技術控制、評審關口、培訓、供應商流程、報告路徑和運行記錄。維護控制設計、SoA 映射、政策、訪問評審、日誌、供應商評估、事件記錄、安全開發證據、備份測試和控制監控結果作爲可追溯證據。
評審、審覈並改進
開展內部評審、管理報告、審覈、糾正措施和變更評估。當產品、服務、供應商、技術、法規、事件或相關方期望變化時刷新項目。
合規檢查清單
checklist 範圍與治理
checklist 控制與證據
checklist 監控與改進
常見問題解答
誰需要 ISO/IEC 27002:2022？
expand_more
ISO/IEC 27002:2022 最適用於爲 ISMS 或風險處置項目選擇和實施安全控制的組織。具體範圍取決於產品、服務、司法轄區、客戶承諾，以及組織是否需要認證、符合性證據、監管準備或內部治理。
ISO/IEC 27002:2022 是否可認證？
expand_more
ISO/IEC 27002 是指南，通常用於支持 ISO/IEC 27001 認證，而不是單獨認證。
實施時應先關注什麼？
expand_more
先定義範圍和義務，再建立當前狀態差距評估。早期最重要的工作是確認責任、受影響資產或過程、風險準則、客戶或法律驅動因素，以及組織必須能夠提供的證據。
ISO/IEC 27002:2022 需要哪些證據？
expand_more
有用證據包括控制設計、SoA 映射、政策、訪問評審、日誌、供應商評估、事件記錄、安全開發證據、備份測試和控制監控結果。證據應進行版本控制，能夠追溯到責任人，並關聯風險、義務、控制、決策和糾正措施。
項目應多久評審一次？
expand_more
應按計劃週期評審，並在產品、服務、供應商、運行環境、事件、客戶承諾或法規變化時評審。高風險領域應採用更頻繁的監控和管理報告。