ISO 27002

2022-udgaven, med den nye titel "Information security, cybersecurity and privacy protection - Information security controls", erstattede 2013-udgavens 114 kontroller i 14 afsnit med 93 kontroller i fire temaer: organisatoriske (afsnit 5, 37 kontroller), menneskelige (afsnit 6, 8), fysiske (afsnit 7, 14) og teknologiske (afsnit 8, 34). Hver kontrol følger samme skabelon: en kontroltekst, et formål, vejledning og øvrig information. Kontrolteksterne er de samme korte formuleringer, som står i ISO/IEC 27001 anneks A, så anneks A siger hvad, mens 27002 forklarer hvorfor og hvordan.

Elleve kontroller var nye i 2022: 5.7 trusselsefterretninger, 5.23 informationssikkerhed ved brug af cloudtjenester, 5.30 IKT-parathed til driftskontinuitet, 7.4 overvågning af fysisk sikkerhed, 8.9 konfigurationsstyring, 8.10 sletning af information, 8.11 datamaskering, 8.12 forebyggelse af datalæk, 8.16 overvågningsaktiviteter, 8.23 webfiltrering og 8.28 sikker kodning. Mange ældre kontroller blev slået sammen frem for fjernet; standardens anneks B kobler hver 2022-kontrol til sine forgængere fra 2013, og det var den kobling, organisationerne brugte, da de flyttede deres SoA til den nye udgave.

En anden strukturel nyskabelse er attributter, tags i hashtag-form, der gør det muligt at se de samme kontroller fra forskellige vinkler: kontroltype (#Preventive, #Detective, #Corrective), informationssikkerhedsegenskaber (#Confidentiality, #Integrity, #Availability), cybersikkerhedsbegreber (#Identify, #Protect, #Detect, #Respond, #Recover, lånt fra funktionerne i NIST CSF), operationelle kapabiliteter og sikkerhedsdomæner. Anneks A i 27002 forklarer, hvordan man filtrerer på dem, fx for at finde alle detekterende kontroller, der understøtter tilgængelighed, og organisationer kan definere deres egne attributter.

Fordi det er vejledning, bruger 27002 "bør" hele vejen igennem og kan ikke bruges til certificering; auditoren vurderer organisationen efter 27001 og bruger 27002 som reference for, hvordan en rimelig implementering ser ud. En udbredt fejl er at behandle vejledningsteksten som en tjekliste, der skal følges ord for ord, når den egentlige forpligtelse er det risikobaserede valg, der dokumenteres i SoA'en. Sektordokumenter som ISO/IEC 27017 (cloud), 27018 (personoplysninger i offentlige clouds) og 27019 (energiforsyning) udvider kontrollerne med sektorspecifik vejledning, mens CIS Controls tilbyder et mere foreskrivende, prioriteret sæt tekniske sikringer, der kan ligge under det teknologiske tema.