Di mana maklumat disimpan, siapa boleh mengaksesnya, cara perkhidmatan luar diuruskan dan siapa bertindak balas terhadap insiden ialah persoalan keselamatan maklumat harian. ISMS menghubungkan rawatan risiko, kawalan dan bukti pelaksanaan.
Edisi semasa dan peralihan
Asas semasa ialah ISO/IEC 27001:2022 bersama Pindaan 1:2024. Edisi 2022 menggantikan edisi 2013 dan mengekalkan klausa 4–10 serta pendekatan berasaskan risiko. Perubahan utama termasuk penyusunan semula kawalan Lampiran A dan penjelasan perancangan perubahan, interaksi proses, peranan, objektif dan kajian semula pengurusan. ISO/IEC 27001 menetapkan keperluan ISMS; ISO/IEC 27002:2022 memberikan panduan pelaksanaan kawalan keselamatan maklumat.
Tarikh akhir peralihan bagi organisasi yang diperakui kepada edisi 2013 ialah 31 Oktober 2025 menurut IAF MD 26:2023. Tempoh peralihan sejarah itu telah tamat. Organisasi yang masih menggunakan edisi lama perlu mengesahkan keperluan semasa dan urusan permohonan dengan badan pensijilan. Sijil tidak membuktikan semua sistem bebas kerentanan atau semua undang-undang privasi dan keselamatan siber telah dipatuhi.
Pindaan 2024 meminta organisasi menentukan sama ada perubahan iklim ialah isu yang berkaitan dan menyatakan pihak berkepentingan mungkin mempunyai keperluan berkaitan iklim. Nilai senario haba, banjir, bekalan kuasa atau tapak sandaran jika berkaitan; ini tidak secara automatik mewajibkan setiap organisasi membuat inventori karbon.
Lampiran A dan rawatan risiko
Edisi 2022 menyusun semula Lampiran A daripada 114 kawalan dalam 14 domain kepada 93 kawalan dalam empat tema. Pengurangan bilangan tidak bermaksud kawalan sedia ada boleh dibuang tanpa semakan. Empat tema ialah kawalan organisasi, manusia, fizikal dan teknologi. Sebelas kawalan baharu meliputi risikan ancaman, perkhidmatan awan, kesiapsiagaan ICT untuk kesinambungan, pemantauan fizikal, konfigurasi, pemadaman maklumat, penyamaran data, pencegahan kebocoran, aktiviti pemantauan, penapisan web dan pengekodan selamat.
Pilih kawalan berdasarkan penilaian risiko dan keputusan rawatan. Statement of Applicability (SoA) merekodkan kawalan yang diperlukan, status pelaksanaan dan sebab dimasukkan atau dikecualikan. Pastikan SoA selaras dengan pelan rawatan dan bukti operasi. Atribut ISO/IEC 27002 membantu mengelaskan kawalan tetapi tidak dengan sendirinya mewujudkan medan SoA wajib.
Langkah pelaksanaan yang dicadangkan
- Sahkan skop ISMS, aset maklumat, lokasi, kebergantungan dan keperluan pihak berkepentingan.
- Tetapkan kriteria risiko dan nilai kerahsiaan, integriti, ketersediaan, kewajipan undang-undang serta kesan perniagaan.
- Pilih tindakan rawatan dan kawalan Lampiran A yang terpakai; rekodkan keputusan dalam pelan dan SoA.
- Tetapkan pemilik dan sumber, laksanakan kawalan dan simpan bukti seperti semakan akses, semakan pembekal, ujian sandaran, latihan insiden dan latihan pekerja.
- Pantau prestasi dan perubahan; nilai semula risiko apabila sistem, pembekal atau tujuan perniagaan berubah.
- Jalankan audit dalaman dan kajian semula pengurusan, tutup tindakan pembetulan dan selaraskan pensijilan dengan badan bebas.
Maklumat untuk disediakan
Skop ISMS dan rajah sistem; daftar aset maklumat dan pembekal; penilaian serta pelan rawatan risiko; rekod akses, sandaran, insiden dan latihan; SoA semasa; serta kewajipan undang-undang atau kontrak. Persetujui akses dan pengekalan sebelum berkongsi contoh sensitif.
Skop perkhidmatan
Boleh dibincangkan semakan skop dan jurang, pemudahcaraan penilaian risiko, penyelarasan SoA, latihan, audit dalaman dan persediaan audit luar. Hasil, jadual dan yuran dipersetujui selepas keperluan difahami. Keputusan pensijilan dibuat oleh badan pensijilan bebas.