Annex A е частта от ISO/IEC 27001, която повечето хора си представят, когато чуят „ISO 27001“ — списъкът с мерки за сигурност. В версията от 2022 г. контролите са 93, подредени в четири теми. Ето какво означава това на практика.
Четирите теми
| Тема | Брой | За какво се отнася |
|---|---|---|
| A.5 Организационни | 37 | Политики, роли, доставчици, инциденти, съответствие |
| A.6 Свързани с хората | 8 | Наемане, обучение, напускане, работа от разстояние |
| A.7 Физически | 14 | Помещения, оборудване, носители, кабели |
| A.8 Технологични | 34 | Достъп, архиви, логове, криптиране, разработка |
A.5 — Организационни (37)
Това е „скелетът“ на системата: политика за информационна сигурност (5.1), роли и отговорности, класификация на информацията, управление на достъпа, отношения с доставчиците, управление на инциденти (5.24–5.28), правни и договорни изисквания. Тук попадат и новите контроли за разузнаване на заплахи (5.7), сигурност при използване на облачни услуги (5.23) и готовност на ИКТ за непрекъсваемост на дейността (5.30).
A.6 — Хората (8)
Проверка при наемане (6.1), условия на трудовия договор (6.2), осведоменост и обучение (6.3), дисциплинарен процес (6.4), задължения след напускане (6.5), споразумения за поверителност (6.6), работа от разстояние (6.7) и докладване на събития (6.8). Малко на брой, но точно тук се случват повечето пробиви.
A.7 — Физически (14)
Периметър и контрол на достъпа до помещенията, наблюдение на физическата сигурност (7.4 — нов контрол), чисто бюро и чист екран (7.7), защита на оборудването, носители на информация, кабели и сигурно бракуване (7.14).
A.8 — Технологични (34)
Най-голямата група за ИТ екипа: крайни устройства (8.1), привилегирован достъп (8.2), автентикация (8.5), защита от зловреден софтуер (8.7), управление на уязвимости (8.8), архивиране (8.13), логове (8.15), криптография (8.24) и сигурна разработка.
Кои 11 контрола са нови в 2022 г.?
- 5.7 Разузнаване на заплахи
- 5.23 Сигурност на информацията при облачни услуги
- 5.30 Готовност на ИКТ за непрекъсваемост
- 7.4 Наблюдение на физическата сигурност
- 8.9 Управление на конфигурациите
- 8.10 Изтриване на информация
- 8.11 Маскиране на данни
- 8.12 Предотвратяване на изтичане на данни
- 8.16 Наблюдение на дейностите
- 8.23 Уеб филтриране
- 8.28 Сигурно програмиране
Преходният период от версията от 2013 г. приключи на 31 октомври 2025 г. — днес всички сертификати са по ISO/IEC 27001:2022.
Задължителни ли са всички 93 контрола?
Не. Това е най-честото погрешно разбиране. Стандартът изисква да направите оценка на риска и въз основа на нея да решите кои контроли са приложими. Решението се документира в Декларацията за приложимост (SoA) — за всеки от 93-те контрола пишете дали се прилага, защо, и ако не се прилага — защо.
Например фирма без собствена разработка може обосновано да изключи част от контролите за сигурно програмиране. Фирма без физически офис ще прилага физическите контроли много по-ограничено.
Задължителни са клаузите 4–10 на стандарта — контекст, лидерство, планиране, поддръжка, дейност, оценяване и подобряване. Annex A е каталог, от който избирате според риска си.
Откъде да започнете?
- Gap анализ — къде сте днес спрямо стандарта.
- Регистър на активите и оценка на риска — какво защитавате и от какво.
- SoA — кои контроли прилагате.
- Внедряване — първо контролите с най-голям ефект: MFA, архиви, управление на достъпа, обучение.
Най-честата грешка е да се започне от документите. Започнете от риска — документите ще следват.