ISO/IEC 27001:2022 与 ISO/IEC 27002:2022 的关系
一、ISO/IEC 27001:2022
1 定义与范围
ISO/IEC 27001:2022 是信息安全管理系统（ISMS）的国际标准，提供了建立、实施、维持和不断改进信息安全管理体系的要求。这个标准旨在帮助组织通过采取适当的管理措施保护其信息资产，以确保保密性、完整性和可用性。
2 主要变化
从前一版（ISO/IEC 27001:2013）更新至2022版，主要变化可能包括结构的调整、术语的更新、以及控制目标和控制的细化和更新，以反映新兴技术和安全威胁的演变。
3 核心内容
适用性：适用于任何类型和规模的组织。
管理体系要求：包括组织的上下文、领导力、规划、支持、运行、性能评估和改进。
风险管理：核心在于识别、评估和处理信息安全风险。
信息安全控制：需结合ISO/IEC 27002中的指导选择和实施控制。
4 认证
组织可以通过第三方审核获得ISO/IEC 27001:2022的认证，证明其ISMS符合该标准的要求。
二、ISO/IEC 27002:2022
1 定义与范围
ISO/IEC 27002:2022 提供了信息安全管理的实践指导，包括信息安全控制的选择、实施和管理。它是与ISO/IEC 27001配套使用的，特别是在实施ISMS时选择适当的信息安全控制方面。
2 主要变化
2022版对先前版本（ISO/IEC 27002:2013）进行了更新，包括重新组织安全控制、引入新的控制和更新现有控制，以更好地反映当前的信息安全风险、技术和趋势。
3 核心内容
安全控制领域：根据2022版，控制被重新分组和更新，以覆盖如信息安全政策、组织信息安全、人员安全、物理和环境安全、通信安全、信息系统获取、开发和维护、信息安全事件管理等领域。
控制实践：为每个控制提供了具体的实施建议和指导。
适用性：虽然ISO/IEC 27002本身不用于认证目的，它为任何规模的组织实施ISMS提供了宝贵的指导。
三、与ISO/IEC 27001的关系
ISO/IEC 27002作为ISO/IEC 27001的支持文档，帮助组织选择、实施和管理ISO/IEC 27001要求的信息安全控制。两者紧密相关，但ISO/IEC 27001专注于ISMS的要求，而ISO/IEC 27002提供了实现这些要求的具体指导。
ISO/IEC 27001:2022 和 ISO/IEC 27002:2022 是信息安全管理领域的两个核心标准，它们一起为组织提供了一个全面的框架，用于管理和保护信息资产。ISO/IEC 27001定义了信息安全管理系统的要求，而ISO/IEC 27002提供了满足这些要求的控制和实践的指导。
