ISO 27001 Annex A: 93 kontrole u četiri teme

Annex A je popis sigurnosnih kontrola koji prati normu ISO 27001. Dok glavni dio norme propisuje kako postaviti sustav upravljanja, Annex A nudi katalog konkretnih kontrola iz kojih tvrtka bira one koje smanjuju njezine rizike. U reviziji iz 2022. broj kontrola smanjen je i preuređen u četiri teme. Ovaj tekst objašnjava kako je Annex A organiziran i kako se kontrole biraju.

Ovo je dio našeg pregleda sigurnosnog programa. Odabir i uvođenje kontrola vodimo kroz upravljanje, rizik i usklađenost.

Što je Annex A

Annex A je popis referentnih kontrola, dok njihov detaljan opis daje prateća norma ISO/IEC 27002. Važno je razumjeti da Annex A nije popis obaveza koje sve treba ispuniti. To je katalog iz kojeg tvrtka odabire kontrole relevantne za svoje rizike. Izbor i obrazloženje zapisuju se u Izjavu o primjenjivosti.

Četiri teme

Revizija iz 2022. preuredila je kontrole u četiri jasne teme.¹

Kako se kontrole biraju

Izbor kontrola izravno proizlazi iz procjene rizika. Za svaki utvrđen rizik tvrtka razmatra koje ga kontrole iz Annexa A smanjuju i koje će uvesti. Ako neka kontrola nije primjenjiva, to se smije, ali se mora obrazložiti. Tako Annex A povezuje rizike s konkretnim mjerama, a ne ostavlja sigurnost na razini dobrih namjera.

1. 01
   Procijenite rizike

   Utvrdite čemu je tvrtka izložena i koliko.
2. 02
   Povežite s kontrolama

   Za svaki rizik razmotrite koje kontrole iz Annexa A ga smanjuju.
3. 03
   Odlučite o primjenjivosti

   Odredite koje kontrole uvodite, a koje ne i zašto.
4. 04
   Dokumentirajte izbor

   Zapišite odluke u Izjavu o primjenjivosti (SoA).

Što je donijela revizija 2022.

Prijašnja verzija imala je više kontrola raspoređenih u 14 područja. Revizija iz 2022. spojila je i osuvremenila kontrole te ih svela na 93 u četiri teme, uz nove kontrole za teme poput sigurnosti u oblaku i praćenja prijetnji. Cilj je bio jasniji i suvremeniji okvir, bliži današnjim rizicima.

Kako Raptoric pomaže

Pomažemo povezati vaše rizike s pravim kontrolama iz Annexa A i pripremiti dokumentaciju za reviziju, kroz upravljanje, rizik i usklađenost. Dogovorite uvodni razgovor.