转版至ISO/IEC 27001

信息安全管理体系标准ISO/IEC 27001为公司提供了管理风险和防范威胁的框架，以确保信息资产安全，从财务信息和知识产权到员工详细信息等。

如今，信息安全问题现已成为大多数公司密切关注的问题。随着新场景的出现，信息安全问题紧迫性正在发生变化。在面对越来越多的云和自动化技术应用、人工智能、网络安全、隐私、恶意软件和勒索病毒情况下，公司被迫以一种结构化且可信赖的方式重新评估他们的业务、主要风险和威胁以及相关利益相关者。

由于上一个版本发布于2013年，因此有必要推出一个新的版本，以帮助企业应对新的场景，并确保当前的安全控制到位。

修订后的ISO/IEC 27001:2022

新版ISO/IEC 27001:2022解决了公司需要处理的新场景。在新版ISO/IEC 27002中，主要变更内容在附件A中，新增、删除以及合并了一些安全控制。变更内容包含网络安全和隐私方面，更新了控制语言并添加了额外指导。变更内容有助于公司管理风险，确保没有遗漏并及时跟进。

最后一个版本于2013年发布，新版安全控制变更了很多内容也就不足为奇：新增11项，更新58项以及合并24项。新版本特为解决以下新情况：

• 云和自动化等数字技术的引入
• 近期，应用较多的技术
• 识别到网络安全和隐私风险
• 应对不断变化的威胁情况，如新兴的恶意软件和勒索病毒
• 与其他最佳实践保持一致，如NIST，COBIT等
• 更新控制语言的描述并新增额外指导

受变更影响的主要方面为：

• 领导
• 公司安全
• IT职能
• 其他支持职能
• 交付（服务提供商）

为遵循合规性，组织必须重新评估他们的风险评估并重新建立安全控制。

除控制方面的变化外，ISO/IEC 27001还与ISO高层结构（HLS）的最新更新进行了重新调整。这些变更基于ISO/IEC规定第一部分附件SL的最新版本（2022版）。然而，因2013年版是第一批采用HLS的标准之一，这些变化可以看作是微小的。

转版时间

新版ISO/IEC 27001于2022年10月25日发布。转版时间为三年。因此当前基于2013版标准认证的证书需要在2025年11月前转版到新版本。

转版审核可以在三年转版期的任何预定审核中进行，也可以作为特别转版期审核进行。

为转版进行准备

建议您尽早为转版审核做准备，并适当计划将所需的变化纳入您的管理体系。

建议的转版步骤：

• 了解新标准的内容和要求。重点关注修订后的标准所隐含的变化
• 确保您组织中的相关人员接受了培训并了解相关要求和关键变化
• 识别出为满足新要求而需要解决的差距，并制定实施计划
• 实施行动更新您的管理体系以满足新的要求

DNV服务

无论您是目前已获得ISO/IEC 27001认证，还是刚刚接触该标准，DNV都能支持您的信息安全管理体系认证和转版。作为世界领先的认证机构，我们的合作伙伴遍布全球，不论公司规模大小，我们都能满足您的信息安全和隐私需求。

如果您准备从2013版本转版至2022版本，我们可以通过以下方式支持您：

• 培训，帮助您了解修订情况，并对关键变化和转版过程有基本的了解
• 线上自我评估工具和现场/非现场差距评估，以衡量您的管理体系对新的要求的满足程度
• 转版审核，使您的认证与新版本标准保持一致

我们可以全方位支持您的需求。