網(wǎng)絡研討會要點：加強對網(wǎng)絡威脅的防御

隨著信息安全威脅、網(wǎng)絡攻擊和數(shù)據(jù)泄露的增加，管理這些風險對企業(yè)來說從未像現(xiàn)在這樣重要。

AS/NZS ISO/IEC 27001:2023《信息安全、網(wǎng)絡安全和隱私保護 信息安全管理系統(tǒng) 要求》是世界上最著名的信息安全管理體系（ISMS）標準。作為一個全球公認的框架，該標準有助于企業(yè)建立、推廣、維護和改進信息安全、網(wǎng)絡安全和隱私保護。

澳大利亞標準局最近舉辦了一場在線活動，重點關注AS/NZS ISO/IEC 27001:2023。該活動旨在為該標準如何幫助保護組織的信息和資產(chǎn)免受網(wǎng)絡威脅提供重要參考。網(wǎng)絡研討會由澳大利亞技術委員會IT-012（信息安全、網(wǎng)絡安全和隱私保護）委員會成員、維多利亞州信息專員辦公室信息安全首席顧問Anna Harris主持。在會議期間，Harris女士介紹了該標準，并就組織如何有效管理與信息安全威脅相關的風險給出了建議。

該活動還包括現(xiàn)場問答環(huán)節(jié)，為與會者提供了提問與標準及其實施相關問題的機會。

問：一個組織是否可以在沒有獲得正式認證的情況下實施AS/NZS ISO/IEC 27001:2023？

答: 是的，組織可以采用AS/NZS ISO/IEC 27001:2023作為最佳實踐，而無需正式認證。正式認證可以為利益相關者或客戶提供獨立驗證，但不是強制性的。?

問：為什么一個組織應該考慮采用AS/NZS ISO/IEC 27001:2023，而不是ASD Essential 8？

答: ASD Essential 8專注于特定技術，主要關注微軟系統(tǒng)。它不適用于其他系統(tǒng)或非數(shù)字信息。而AS/NZS ISO/IEC 27001:2023更廣泛，涵蓋了信息安全的各個方面，使其成為一個更全面的選擇。

問：您對希望實施AS/NZS ISO/IEC 27001:2023的中小企業(yè)有什么建議？

答：中小企業(yè)應首先了解需要保護的信息。這涉及到與業(yè)務部門進行研討，以確定有價值的信息，并優(yōu)先考慮保護工作。高管的認同對于成功實施至關重要。

問：ISO 27000和ISO 27002標準是否免費提供？

答：是的，ISO 27000提供了概述和術語詞匯，可以免費下載。ISO 27000系列中的其他標準不是免費的。

問：AS/NZS ISO/IEC 27001:2023將如何與操作技術（OT）系統(tǒng)標準協(xié)調(diào)？

答：如果OT系統(tǒng)采用管理系統(tǒng)標準（MSS），則可以使用相同的結構應用AS/NZS ISO/IEC 27001:2023。如果沒有，因為AS/NZS ISO/IEC 27001:2023它是通用的標準，所以適用于所有類型的信息，，包括OT環(huán)境。

問：是否最好將AS/NZS ISO/IEC 27001:2023與COBIT 5一起應用于IT風險管理？

答：AS/NZS ISO/IEC 27001:2023和COBIT 5都涉及IT風險管理，但它們的用途不同。COBIT 5是一個整體的IT治理框架，而AS/NZS ISO/IEC 27001:2023是一個全面的信息安全框架。關鍵是要了解您的具體需求，并從任一標準中應用必要的控制措施。AS/NZS ISO/IEC 27001:2023涵蓋了更廣泛的信息安全，而不僅僅是IT系統(tǒng)上的電子信息，而COBIT 5則更廣泛地關注IT治理。

問：ISO 27017和ISO 27018是否仍然是更新后的ISO 27000系列的一部分？

答：是的，涵蓋云服務控制的ISO 27017和專注于公共云中個人信息的ISO 27018仍然是ISO 27000系列的一部分。

問：AS/NZS ISO/IEC 27001:2023和IEC 62443之間有什么區(qū)別，為什么承包商可以同時使用這兩種標準？

答：IEC 62443側(cè)重于工業(yè)自動化和控制系統(tǒng)（IACS），而AS/NZS ISO/IEC 27001:2023描述了一種用于業(yè)務系統(tǒng)的信息安全管理系統(tǒng)。承包商可能會使用這兩種標準來涵蓋更廣泛的安全控制，特別是如果他們?yōu)樗?、天然氣或電力等公用事業(yè)以及公司/企業(yè)環(huán)境的客戶提供服務。IEC 62443強調(diào)需要與AS/NZS ISO/IEC 27001:2023實踐保持一致，指出IACS安全風險可能會對健康、安全和環(huán)境產(chǎn)生影響，應與現(xiàn)有風險管理實踐相結合。

?問：如果我的組織將IT外包，那么采用AS/NZS ISO/IEC 27001:2023有什么好處？

答：即使外包IT服務，組織仍然對其信息負責。AS/NZS ISO/IEC 27001:2023有助于組織管理與外包信息相關的風險，包括硬拷貝和口頭信息。

問：在獲得AS/NZS ISO/IEC 27001:2023認證后，是否還需要ISO 27002認證？

答：否，AS/NZS ISO/IEC 27001:2023認證包括ISO 27002中詳細說明的要求。這是一個涵蓋管理體系和具體控制的認證。

問：如果AS/NZS ISO/IEC 27001:2023的修訂版包括氣候行動，將如何參考？

答：如果在2024年最終確定，該修訂版將被稱為ISO 27001:2023 Amd 1:2024。它將包括與2023年版一起閱讀的補充內(nèi)容。

問：在供應鏈和分包商中應用AS/NZS ISO/IEC 27001:2023需要深入到什么程度？

答：應用的深度取決于與供應鏈共享信息的風險和價值。更關鍵的信息可能需要對更廣泛的供應鏈進行更深入的審查、更嚴格的控制和定期審計。

問：我們?nèi)绾卧u估云托管應用程序的安全控制？

答：同樣，控制的評估和測試類型將取決于云托管應用程序處理的信息、其對業(yè)務的價值及其相關風險。評估云應用程序的安全控制可能涉及旁聽、檢查、滲透測試以及與第三方的定期審查。與云提供商的溝通對于理解和管理風險至關重要。

問：AS/NZS ISO 27001:2023和ISO/IEC 27001:2022之間有什么區(qū)別？

答：AS/NZS ISO 27001:2023完全采用了國際ISO/IEC 27001:2022標準。這意味著AS/NZS ISO/IEC 27001:2022的內(nèi)容、要求和指南與ISO 27001:2023相同。這確保了澳大利亞的組織在信息安全管理系統(tǒng)方面遵循與世界各地相同的國際標準。