歡迎訪問:晟尚集團lvsechanpinISO體系認證網(wǎng)
當(dāng)前位置:關(guān)于我們> 常見問題>

ISO27001和ISO27002認證之間的區(qū)別

發(fā)布日期:2022-10-10 瀏覽次數(shù):0

ISO/IEC 27001 和 ISO/IEC 27002認證幾乎沒有區(qū)別,主要區(qū)別在于 ISO 27002 更加精確和詳細,現(xiàn)在的問題是,當(dāng) ISO 27002 涵蓋所有內(nèi)容時,為什么還需要 ISO 27001?


首先,組織不能通過 ISO 27002 認證,認證需要管理標(biāo)準(zhǔn),而 ISO 27002不是管理標(biāo)準(zhǔn),在這里,解釋了 ISO 27001 和 ISO 27002 是什么以及它們之間的主要區(qū)別。


ISO27001標(biāo)準(zhǔn)


ISO/IEC 27001是信息安全管理系統(tǒng) (ISMS) 的規(guī)范或認證,ISMS 是一個包含一系列政策和程序的框架,包括組織信息風(fēng)險管理過程中涉及的物理、技術(shù)和法律控制。


該文件稱,制定 ISO 27001 的目的是為規(guī)劃、實施、監(jiān)控、操作、審查和改進ISMS 提供框架,本規(guī)范使用自上而下的風(fēng)險管理方法,它定義了一個六步規(guī)劃過程:


1. 引入安全策略

2. 了解 ISMS 的范圍

3. 進行風(fēng)險評估

4. 管理和減輕已識別的風(fēng)險

5. 選擇控制方法及其目標(biāo)

6. 準(zhǔn)備一份適用性聲明。


該框架包括管理責(zé)任、持續(xù)改進、內(nèi)部審計以及預(yù)防和糾正行動計劃。此外,該標(biāo)準(zhǔn)要求組織的所有部門之間進行合作。


相關(guān):ISO 27001 解釋:什么是 ISO 27007?ISO 27001 標(biāo)準(zhǔn)不強制執(zhí)行特定的信息安全控制;事實上,它提供了一個必須考慮實施的控制清單。


ISO27002認證



ISO 27002 描述了一組詳細的信息安全控制目標(biāo),并建立了安全控制的良好實踐,例如,ISO 27002 規(guī)定


  • 信息安全政策必須由組織的最高領(lǐng)導(dǎo)層指導(dǎo),并詳細介紹給所有員工。


  • 全職員工和合同員工都必須意識到他們在保護組織信息方面的作用,員工應(yīng)在受雇之前、期間和之后行使這些責(zé)任。


  • 必須確定物理和信息資產(chǎn),以確保應(yīng)用適當(dāng)?shù)谋Wo級別。


  • 為了防止未經(jīng)授權(quán)的訪問,必須限制數(shù)據(jù)和存儲設(shè)施的訪問,員工需要負責(zé)保護他們的身份驗證信息。


  • 必須通過制定政策和程序來保護信息,以滿足法律、法規(guī)和監(jiān)管義務(wù)。


許多企業(yè)以 ISO/IEC 27002 詳述的方式部署了廣泛的 ISO 27001 信息安全相關(guān)控制,對于組織而言,按照 ISO/IEC 27002 構(gòu)建其信息安全控制基礎(chǔ)架構(gòu)可能是有益的,因為:


  • 最大限度地減少任何重疊和覆蓋差距;

  • ISO/IEC 27002 與備受推崇的全球標(biāo)準(zhǔn)相得益彰;

  • 任何熟悉 ISO/IEC 標(biāo)準(zhǔn)的人都可以輕松識別;


ISO 27001 和 27002之間的區(qū)別


ISO/IEC 27001 標(biāo)準(zhǔn)詳細說明了 ISMS 規(guī)范,相比之下,ISO/IEC 27002 是一份最佳實踐指導(dǎo)文件,描述了組織如何應(yīng)用政策來確保合規(guī)性。


另一個關(guān)鍵區(qū)別是細節(jié),雖然 ISO 27001 的“附件 A”概述了 14 項安全控制,但 iso27002 為每個安全控制專門開辟了一頁,涵蓋了每個控制的目標(biāo)、其工作原理以及如何實施。


綜上所述,ISO 27001 和 27002 的區(qū)別在于:


詳細- ISO 27001概括了每個控件。它可能會提供一些關(guān)于附加標(biāo)準(zhǔn)的具體建議,例如 ISO 27002。其他標(biāo)準(zhǔn)包括ISO 27003,涵蓋 ISMS 實施指南(即 領(lǐng)導(dǎo)、規(guī)劃、運營)和ISO 27004,詳細說明 ISMS 監(jiān)控、測量、分析和評估。


認證 – ISO 27001 是一項管理標(biāo)準(zhǔn)。因此,組織只能根據(jù) ISO 27001 標(biāo)準(zhǔn)進行認證,作為管理標(biāo)準(zhǔn),ISO 27001 提供了合規(guī)要求的詳細列表。另一方面,ISO27002 提供了關(guān)于信息安全控制的最佳實踐指南。


適用性 –在實施 ISMS 時,您需要確定任何不適用于您的公司或業(yè)務(wù)的信息安全控制措施。ISO 27001 通過指定需要進行風(fēng)險評估來確定需要哪些信息安全控制來解決這個問題,ISO 27002 規(guī)定了信息安全控制目標(biāo),提供了實現(xiàn)這些目標(biāo)的最佳實踐方法。


因此,ISO 27002 是對 ISO 27001 的補充,對于確定適用于貴組織的每項控制措施,ISO 27002 都將提供必要的實施指南。


應(yīng)該使用哪個標(biāo)準(zhǔn)


如果您想在您的組織內(nèi)建立一個強大的信息安全框架,ISO 27001 將以您需要達到的要求的形式提供標(biāo)準(zhǔn);標(biāo)準(zhǔn)定義了如何運行系統(tǒng),在 ISO 27001:2013 的情況下,ISMS 是管理標(biāo)準(zhǔn)。


如果沒有ISO 27002 中提供的細節(jié),就無法實施 ISO 27001,但是,ISO 27001 的管理框架將始終與 ISO 27002 不同。


作為一項咨詢標(biāo)準(zhǔn),ISO/IEC 27002 旨在根據(jù)其特定的信息安全風(fēng)險對所有類型和規(guī)模的組織進行解釋和應(yīng)用,這種靈活性提供了大量機會以您的組織獨有的方式采用ISO 27001 信息安全控制。