標準名稱定位角度觀察 2021年10月24日

ISO27002:2021 DIS Information security, cybersecurity and privacy protection — Information security controls，包含了「Cybersecurity」與個資隱私保護的要求（Privacy protection）

（顧問群合計輔導上百個資訊安全專案），快速聯繫 Lindid:wanhung1911 ，email:joestar@wanhung.com.tw、電話：(02)2901-9371

ISO27002從控制項（Controls)角度觀察

ISO27002:2021 DIS草案版 (四大類別)合計 93個要求

ISO27002轉版改版新增條文說明

Threat intelligence與ISO27001:2013年的要求對應:
- ISO 27001:2013主條文外部議題
- 資安事故的學習(與證據之搜集)
- 事件存錄（log)
- 資通安全管理法-資通安全情資分享
- BSIMM Threat model

Identity management與ISO27001:2013年的要求對應:
- 秘密鑑別資訊管理
- 通行碼 (password)管理
- 使用者註冊&註銷
- 行動裝置之政策

ICT readiness for business continuity與ISO27001:2013年的要求對應:
- 規劃資訊安全營運持續
- 通報資訊安全事件

Information security for use of cloud services與ISO27001:2013年的要求對應:
- 網路控制措施

Physical security monitoring與ISO27001:2013年的要求對應:
- 設備安置及保護
- 無人看管之使用者設備

User endpoint devices與ISO27001:2013年的要求對應:
- 軟體安裝的限制
- 運作中系統的軟體安裝
- 防範惡意程式
- 技術脆弱之管理
- 資訊稽核之控制
- 網路控制
- 網路區隔
- 資產攜出
- 遠距工作

Configuration management與ISO27001:2013年的要求對應:
- 變更管理
- 資訊備份
- 文件化資訊的控制
- 紀錄之保護
- 保全系統工程原則
- 系統變更控制程序
- 運作平台變更後之應用的技術審查

Information deletion與相關要求對應:
- 個資法: 個資依保留週期刪除
- ISO27001:2013中的媒體汰除
- ISO27001:2013資產的處置
- ISO27001:2013可移除之媒體的管理
- ISO27001:2013設備汰除或再使用
- 、 ISO27701:2019中 PII 暫存檔的處置

Data masking與ISO27001:2013年的要求對應:
- ISO27001:2013保全系統工程原則
- ISO27001:2013個人可識別資訊之隱私及保護
- ISO27701:2019中 PII 處理後的去識別化與刪除
- ISO27701:2019中 PII 最小化的目標
- ISO27701:2019預設隱私的保護與設計

Data leakage prevention與ISO27001:2013年的要求對應:
- 電子傳訊
- 密碼式控制措施之政策
- 網路控制
- 網路區隔
- 可移除式媒體的管理
- 行動裝置的管理
- 事件存錄
- 管理者及操作者日誌

Web filtering與ISO27001:2013年的要求對應:
- 對網路及網路服務之存取

Secure coding與相關要求對應:
- ISO27001:2013保全系統工程原則
- ISO27001:2013系統安全測試
- ISO27001:2013技術脆弱之管理
- ISO27001:2013保全開發政策
- ISO27701:2019 PII 處理後的去識別化與刪除
- ISO27701:2019最小化的目標
- ISO27701:2019預設隱私的保護與設計
- BSIMM Attack Models
- 資安事件/事故回饋
- 官方SDK 的 Secure API