Efectos de la nueva ISO 27002:2022
Impacto de la nueva ISO 27002:2022 en los SGSI certificados
ISO 27002:2022 es una nueva norma que establece los requisitos de las mejores prácticas para la seguridad de la información. Sustituye a la versión anterior de 2013, está completamente reestructurada y contiene muchos requisitos nuevos en materia de seguridad de la información. Puede encontrar un resumen de los cambios aquí.
¿Cuáles son las implicaciones de esta nueva ISO 27002:2022 para un sistema de gestión de la seguridad de la información (SGSI) certificado según la norma ISO/IEC 27001?
Como sabe, la ISO/IEC 27001:2017 incluye la ISO/IEC 27002:2013, por lo que el cambio de la 27002 no influye en un SGSI certificado según la ISO/IEC 27001:2017: El certificado ISO/IEC 27001 sigue siendo válido.
Pero: la ISO/IEC 27001 también se convertirá; probablemente todavía en 2022. Los cambios serán relativamente manejables en la norma, porque en esencia, el anexo normativo se referirá a la nueva ISO/IEC 27002:2022.
El cambio de normas de certificación es un procedimiento bien establecido: En todo el mundo, todos los organismos acreditados presentarán una solicitud de cambio de su acreditación para este fin. En el proceso de acreditación se examina el llamado concepto de transición, que establece cómo se informará a los clientes certificados sobre las innovaciones, cómo se formará a los auditores y certificadores, cómo se adaptarán las plantillas y qué plazos se aplican. A continuación, una vez completada la acreditación y emitido un nuevo certificado de acreditación, los certificados ISO/IEC 27001:2017 existentes se migran uno a uno. El pistoletazo de salida de esta fase es la disponibilidad de una nueva norma de certificación ISO/IEC 27001:2022.
Hasta entonces, sin embargo, se puede aprovechar el tiempo para familiarizarse con la nueva ISO/IEC 27002:2022. Después de todo, los cambios son bastante exigentes. Le mantendremos al día en este canal.
Excursus
¿Afecta este cambio también a los catálogos de seguridad informática?
¿A los operadores de redes de electricidad y gas, así como para los operadores de sistemas energéticos?
La respuesta es un poco más complicada:
En primer lugar, los dos programas de evaluación de la conformidad se refieren a «la versión actual respectiva» de las normas. Esto hace innecesaria la adaptación en el caso concreto de que cambie una norma.
Además, en ambos programas se definen períodos de transición: dos años después de la publicación.
Otra característica especial: ambos programas de evaluación de la conformidad hacen referencia a la norma ISO 27019:2017 en lo que respecta a los requisitos de la industria energética, que especifica aún más los requisitos de la norma ISO 27002:2013. Desgraciadamente, la adaptación del 27019 no se espera hasta 2024/2025, así que hasta entonces -lo has adivinado- se supone que una tabla de mapeo ayudará.
