ISO 27001:2017 – Le maggiori modifiche apportate

La  nuova versione della ISO/IEC 27001:2017 ha introdotto alcune novità.

In seguito vengono elencate le principali modifiche apportate con la versione del mese di ottobre 2013:

• la struttura della norma segue l’Annex SL della Direttiva ISO,
• esige maggiore integrazione dell’Information Security con i processi dell’organizzazione,
• i requisiti relativi al Management Committement sono stati revisionati e sono stati ragruppati nel requisito Leadership (cap. 5),
• il capitolo relativo alle definizioni è stato sopresso in quanto saranno trattate nella norma ISO 27000 (attualmente in revisione),
• è stato introdotto il requisito relativo al Contex of the organization (cap. 4),
• il requisito relativo alle Azioni Preventive è stato inglobato nel req. 6.1 Actions to address risks and opportunities, I requisiti relativi al Risk Assessment e al Risk Treatment sono meno prescrittivi e fanno riferimento all’approccio della norma ISO 31000:2018 Risk Management,
• il Risk Assessment non focalizza più l’Asset, ma l’Informazione e non si parla più del Asset Owner, ma del Risk Owner,
• il Risk Treament identifica Controlli applicabili che derivano dal Risk Assessment e possono essere scelti da qualsiasi sorgente; non è più limitato ai Controlli dell’Annex A. In ogni caso un confronto con i Controlli dell’Annex A è comunque necessario,
• i requisiti relativi allo Statement of Applicability (SoA) non sono cambiati. Il SoA dovrà dichiarare i Controlli dell’Annex A che risultano applicabili e i Controlli che risultano non applicabili. E’ richiesta la giustificazione non solo dei Controlli non applicabili, ma anche quelli applicabili,
• è posta maggiore enfasi sulla definizione e pianificazione degli obiettivi IS,
• il requisito Performance evaluation (cap. 10) va oltre lavalutazione dell’efficacia dei Controlli e si estende alla valutazione dell’efficacia dell’ISMS,
• L’Annex A è stato revisionato completamente.