ISO 27001:2022: què canvia respecte a la versió de 2013

Si la vostra empresa tenia ISO 27001 amb la versió de 2013, a hores d’ara ja haurà passat a la de 2022 o haurà perdut el certificat: la transició va acabar el 31 d’octubre de 2025. I si esteu pensant a certificar-vos ara, tot el que trobeu sobre l’annex A de 2013 està desfasat. En aquest article resumim què va canviar de veritat, amb enllaç a les fonts, i què significa en la pràctica per a una empresa de programari.

L’estructura de l’annex A

ISO/IEC 27001 té dues parts: els requisits del sistema de gestió (clàusules 4 a 10) i l’annex A, la llista de controls de referència. L’annex A s’alinea amb ISO/IEC 27002, la guia que explica cada control, i la versió de 2022 en va heretar la nova organització.

Segons el butlletí tècnic d’UKAS, l’entitat d’acreditació del Regne Unit, els controls d’ISO/IEC 27002:2022 són 93, dels quals 11 són nous, organitzats en quatre temes; a més, 24 s’han fusionat i 58 s’han actualitzat.

Menys controls no vol dir menys exigència: molts s’han fusionat. Canvia la manera d’agrupar-los, i això obliga a refer la Declaració d’Aplicabilitat.

Els 11 controls nous

Estos són els onze controls que no existien el 2013 (la llista coincidix en les publicacions de les entitats de certificació, com la de SGS):

1. Intel·ligència d’amenaces. Recollir i analitzar informació sobre amenaces per a actuar en conseqüència.
2. Seguretat de la informació en l’ús de serveis en el núvol. Com es contracten, s’usen, es gestionen i s’abandonen.
3. Preparació de les TIC per a la continuïtat del negoci. Que els sistemes puguen recuperar-se dins dels objectius fixats.
4. Vigilància de la seguretat física. Supervisió de les instal·lacions per a detectar accessos no autoritzats.
5. Gestió de la configuració. Configuracions de seguretat definides, documentades i revisades.
6. Eliminació d’informació. Esborrar la informació quan ja no es necessita.
7. Emmascarament de dades. Ocultar dades, sobretot personals, quan no cal veure-les.
8. Prevenció de fugues de dades. Mesures per a detectar i evitar que la informació isca sense permís.
9. Activitats de supervisió. Vigilar xarxes, sistemes i aplicacions per a detectar comportaments anòmals.
10. Filtratge web. Controlar l’accés a llocs externs per a reduir l’exposició a contingut maliciós.
11. Codificació segura. Aplicar principis de desenvolupament segur en escriure programari.

Per a una empresa de programari, els que més faena solen donar són la gestió de la configuració, les activitats de supervisió i la codificació segura. Són controls molt tècnics: no es resolen amb una política en un document, cal poder mostrar la infraestructura com a codi, la vigilància amb les seues alertes i el procés de revisió del codi.

La fi de la transició: 31 d’octubre de 2025

La norma es va publicar el 25 d’octubre de 2022. El Fòrum Internacional d’Acreditació (IAF) va fixar un període de transició de tres anys, i segons el calendari publicat per UKAS, el 31 d’octubre de 2025 havia d’estar completada la transició de tots els clients certificats.

És a dir, hui un certificat ISO 27001 vàlid és de la versió de 2022. Si un proveïdor us mostra un certificat de 2013, no està en vigor.

L’esmena de 2024: el canvi climàtic

Al febrer de 2024 es va publicar l’esmena ISO/IEC 27001:2022/Amd 1:2024, part d’una actualització que ISO va aplicar a les seues normes de sistemes de gestió. Afig dues frases:

• En la clàusula 4.1 (context de l’organització): l’organització ha de determinar si el canvi climàtic és una qüestió pertinent.
• En la clàusula 4.2 (parts interessades): una nota que recorda que les parts interessades poden tindre requisits relacionats amb el canvi climàtic.

No afig controls. En la pràctica, es resol deixant constància en l’anàlisi del context de si el clima afecta la vostra seguretat de la informació (per exemple, la disponibilitat d’un centre de dades davant de fenòmens extrems) i per què.

Què significa en la pràctica

Si comenceu ara amb ISO 27001, partiu directament de la versió de 2022 amb la seua esmena. Els passos habituals són:

1. Definir l’abast del sistema de gestió.
2. Analitzar els riscos i decidir com tractar-los.
3. Redactar la Declaració d’Aplicabilitat amb els 93 controls: quins s’apliquen, quins no i per què.
4. Implantar el que falta i reunir evidències.
5. Auditoria interna i revisió per la direcció abans de l’auditoria de certificació, que la fa una entitat de certificació acreditada.

Si a més treballeu amb el sector públic, l’ENS compartix molt de terreny amb ISO 27001; ho expliquem en l’article sobre l’ENS per a proveïdors del sector públic. I si els vostres clients us pregunten per NIS2, en què és NIS2 i a qui afecta contem en quin punt està a Espanya.

En l’adequació a l’ENS i ISO 27001 expliquem com us preparem i acompanyem fins a l’auditoria, i en l’auditoria de fiabilitat i seguretat, com revisem la part tècnica d’una plataforma. Si voleu saber quant us falta per a la versió de 2022, escriviu-nos un correu.

Preguntes freqüents

Encara val un certificat ISO 27001:2013?

No. El període de transició va acabar el 31 d’octubre de 2025, i els certificats que no van passar a la versió de 2022 van deixar de ser vàlids en aquesta data.

Cal aplicar els 93 controls?

No necessàriament. Cal revisar-los tots en la Declaració d’Aplicabilitat i justificar quins s’apliquen i quins no, segons la vostra anàlisi de riscos.

L’esmena de 2024 obliga a mesurar la petjada de carboni?

No. Demana determinar si el canvi climàtic és una qüestió pertinent per al vostre sistema de gestió i tindre en compte si les parts interessades tenen requisits sobre el clima. No afig controls ni mesuraments concrets.

Qui emet el certificat ISO 27001?

Una entitat de certificació acreditada, després d’una auditoria de certificació. Nosaltres us preparem per a aquesta auditoria i us hi acompanyem; el certificat no l’emetem nosaltres.

Referències

• ISO: ISO/IEC 27001:2022, fitxa de la norma (en anglés).
• ISO: ISO/IEC 27001:2022/Amd 1:2024, esmena sobre el canvi climàtic (en anglés).
• UKAS: Transition arrangements for ISO/IEC 27001:2022 (en anglés): nombre de controls i calendari de la transició.
• SGS: Key changes in ISO/IEC 27002:2022 (en anglés): llista dels 11 controls nous.