ISO 27001:2013’te 114 olan Ek-A maddeleri 2022 sürümü ile 93’e düşürülmüştür. İki sürüm arasındaki Ek-A maddeleri arasındaki değişiklikler aşağıdaki gibidir.
A.5.7 : (Yeni) Tehdit İstihbaratı; Bilgi güvenliği tehditleriyle ilgili bilgiler, tehdit istihbaratı üretmek için toplanmalı ve analiz edilmelidir.
A.5.9 : (Değişiklik) Bilgi Envanteri ve Diğer İlgili Varlıklar; Sahipler de dâhil olmak üzere bir bilgi envanteri ve diğer ilgili varlıklar geliştirilmeli ve muhafaza edilmelidir.
A.5.10 : (Değişiklik) Bilgilerin ve Diğer İlgili Varlıkların Kabul Edilebilir Kullanımı; Kabul edilebilir kullanım için kurallar ve bilgi ve diğer ilgili varlıkların işlenmesi için prosedürler tanımlanmalı, belgelenmeli ve uygulanmalıdır.
A.5.17 : (Yeni) Kimlik Doğrulama Bilgileri; Kimlik doğrulama bilgilerinin tahsisi ve yönetimi, personele kimlik doğrulama bilgilerinin uygun şekilde ele alınması konusunda tavsiyede bulunmak da dâhil olmak üzere bir yönetim süreci tarafından kontrol edilmelidir.
A.5.18 : (Değişiklik) Erişim Hakları; Bilgiye ve diğer ilgili varlıklara erişim hakları, kuruluşun konuya özel politikasına ve erişim kontrolü kurallarına uygun olarak sağlanmalı, gözden geçirilmeli, değiştirilmeli ve kaldırılmalıdır.
A.5.22 : (Değişiklik) Tedarikçi Hizmetlerinin İzlenmesi, Gözden Geçirilmesi ve Değişiklik Yönetimi; Kuruluş, tedarikçi bilgi güvenliği uygulamaları ve hizmet sunumundaki değişiklikleri düzenli olarak izlemeli, gözden geçirmeli, değerlendirmeli ve yönetmelidir.
A.5.23 : (Yeni) Bulut Hizmetlerinin Kullanımı İçin Bilgi Güvenliği; Bulut hizmetleri edinme, kullanma, yönetme ve bulut hizmetlerinden çıkış süreçleri, kuruluşun bilgi güvenliği gereksinimlerine uygun olarak oluşturulmalıdır.
A.5.24 : (Değişiklik) Bilgi Güvenliği Olay Yönetimi Planlaması ve Hazırlığı; Kuruluş, bilgi güvenliği olay yönetimi süreçlerini, rollerini ve sorumluluklarını tanımlayarak, kurarak ve ileterek bilgi güvenliği olaylarını yönetmeyi planlamalı ve hazırlamalıdır.
A.5.29 : (Değişiklik) Kesinti Sırasında Bilgi Güvenliği; Kuruluş, kesinti sırasında bilgi güvenliğini uygun bir düzeyde nasıl sürdüreceğini planlamalıdır.
A.5.30 : (Yeni) İş Sürekliliği İçin BİT Hazırlığı; Bilgi güvenliği ile ilgili yasal, yasal, düzenleyici ve sözleşmeye dayalı gereksinimler ve kuruluşun bu gereksinimleri karşılama yaklaşımı tanımlanmalı, belgelenmeli ve güncel tutulmalıdır.
A.7.4 : (Yeni) Fiziksel Güvenlik İzleme; Tesisler, yetkisiz fiziksel erişime karşı sürekli olarak izlenmelidir.
A.7.10 : (Yeni) Depolama Ortamı; Depolama ortamı, kuruluşun sınıflandırma şemasına ve işleme gereksinimlerine uygun olarak edinme, kullanım, nakliye ve imha yaşam döngüleri boyunca yönetilmelidir.
A.8.1 : (Yeni) Kullanıcı Uç Nokta Cihazları; Kullanıcı uç nokta cihazlarında saklanan, işlenen veya bunlarla erişilebilen bilgiler korunmalıdır.
A.8.9 : (Yeni) Konfigürasyon Yönetimi; Donanım, yazılım, hizmetler ve ağların güvenlik yapılandırmaları dahil olmak üzere yapılandırmaları oluşturulmalı, belgelenmeli, uygulanmalı, izlenmeli ve gözden geçirilmelidir.
A.8.10 : (Yeni) Bilgi Silme; Bilgi sistemlerinde, cihazlarda veya diğer herhangi bir depolama ortamında saklanan bilgiler, artık gerekmediğinde silinmelidir.
A.8.11 : (Yeni) Veri Maskeleme; Veri maskeleme, ilgili mevzuat dikkate alınarak, kuruluşun erişim kontrolüne ilişkin konuya özel politikasına ve diğer ilgili konuya özel politikalara ve iş gereksinimlerine uygun olarak kullanılmalıdır.
A.8.12 : (Yeni) Veri Sızıntısı Önleme; Veri sızıntısını önleme önlemleri, hassas bilgileri işleyen, depolayan veya ileten sistemlere, ağlara ve diğer tüm cihazlara uygulanmalıdır.
A.8.16 : (Yeni) İzleme Faaliyetleri; Ağlar, sistemler ve uygulamalar anormal davranışlar için izlenmeli ve olası bilgi güvenliği olaylarını değerlendirmek için uygun önlemler alınmalıdır.
A.8.23 : (Yeni) Web Filtreleme; Kötü amaçlı içeriğe maruz kalmayı azaltmak için harici web sitelerine erişim
Yönetilmelidir.
A.8.28 : (Yeni) Güvenli Kodlama; Yazılım geliştirmede güvenli kodlama ilkeleri uygulanmalıdır.
A.8.34 : (Yeni) Denetim Testleri Sırasında Bilgi Sistemlerinin Korunması; Denetim testleri ve operasyonel sistemlerin değerlendirilmesini içeren diğer güvence faaliyetleri, test eden kişi ile uygun yönetim arasında planlanmalı ve kararlaştırılmalıdır.
Commentaires