2024年1月26日，ISO國際標(biāo)準(zhǔn)化組織發(fā)布了新版ISO/IEC 27040:2024信息技術(shù)-安全技術(shù)-存儲安全國際標(biāo)準(zhǔn)，替代了之前發(fā)布的ISO/IEC 27040:2015版標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)主要帶來以下變化：
截圖來源：ISO/IEC 27040:2024 - Information technology — Security techniques — Storage security
數(shù)據(jù)要素正在成為數(shù)字經(jīng)濟深化發(fā)展的核心引擎，是打造未來企業(yè)的原生驅(qū)動力和企業(yè)重要資產(chǎn)。越來越多的信息被數(shù)字化，越來越多的產(chǎn)品、服務(wù)、流程以數(shù)字化方式呈現(xiàn)，數(shù)據(jù)呈現(xiàn)出海量高速增長態(tài)勢，數(shù)據(jù)存儲作為數(shù)據(jù)生命周期管理中最重要的環(huán)節(jié)之一，組織面臨著如何實施數(shù)據(jù)存儲保護和安全措施以應(yīng)對數(shù)字資產(chǎn)被破壞的挑戰(zhàn)，包括法規(guī)的遵從性、數(shù)據(jù)泄露、故意破壞或其他惡意事件等。ISO/IEC 27040國際標(biāo)準(zhǔn)為組織中的存儲安全系統(tǒng)建立、實施和維護提供了指南，特別支持符合以ISO/IEC 27001信息安全管理系統(tǒng)(ISMS)的要求為基礎(chǔ)的存儲安全控制。
新版標(biāo)準(zhǔn)主要變化
001、控制項四個類別的要求之上進行擴充
標(biāo)準(zhǔn)的條款結(jié)構(gòu)與 ISO/IEC 27001:2022 附錄 A保持一致，存儲安全控制項從組織、人員控制、物理控制、技術(shù)控制四個類別的要求之上進行擴充。ISO/IEC 27040:2024標(biāo)準(zhǔn)結(jié)構(gòu)如下：
002、加入了存儲安全控制基線集的要求，且使用副標(biāo)題
在原ISO/IEC 27040:2015版標(biāo)準(zhǔn)中，存儲安全控制項多為指南性要求;而在新標(biāo)準(zhǔn)匯總，加入了存儲安全控制基線集的要求，為了幫助識別這些基準(zhǔn)控制和關(guān)鍵指導(dǎo)，標(biāo)準(zhǔn)中使用了副標(biāo)題。這些副標(biāo)題包括一個帶有描述的控制標(biāo)簽?？刂茦?biāo)簽采用xx-yyyy-cnn的形式展示，將存儲安全控制項被分成要求(R)和指南(G)兩個部分，在組織控制(OC)、物理控制(PC)和技術(shù)控制(TC)章節(jié)分別加入了要求(R)部分，這些要求(R)需在存儲系統(tǒng)安全控制中進行滿足。
|
控制類別 |
要求（R） |
指南（G） |
|
OC-組織控制 |
2 |
11 |
|
SC-人員控制 |
0 |
2 |
|
PC-物理控制 |
1 |
4 |
|
TC-技術(shù)控制 |
30 |
137 |
003、調(diào)整了儲存技術(shù)，增加新的控制方案
由于存儲技術(shù)升級迭代，新版中對存儲技術(shù)進行了調(diào)整，增加了新的控制方案，如新增了“10.14.4存儲快照”、“10.15數(shù)據(jù)歸檔和存儲”的存儲技術(shù)控制要求。
004、細(xì)化說明數(shù)據(jù)加密傳輸要求
數(shù)據(jù)加密傳輸要求方面，進一步進行了細(xì)化說明，如TLS，IP Security。
005、刪除指導(dǎo)方案
刪除了 ISO/IEC 27040:2015附錄 A 中關(guān)于清理不同類型介質(zhì)上存儲數(shù)據(jù)的指導(dǎo)方案，取而代之的是在標(biāo)準(zhǔn)10.6.3章節(jié)中增加了推薦采用 IEEE 2883中適用的不同介質(zhì)的數(shù)據(jù)清理方案。
006、刪除存儲安全控制措施
刪除了 ISO/IEC 27040:2015附錄 B中通過確定優(yōu)先次序選擇適當(dāng)?shù)拇鎯Π踩刂拼胧〈氖遣捎眯聵?biāo)準(zhǔn)附錄 A 中總結(jié)的包含的要求和指南兩類控制項。
建設(shè)ISO 27040存儲安全管理體系
中企檢測認(rèn)證網(wǎng)提供iso體系認(rèn)證機構(gòu)查詢，檢驗檢測、認(rèn)證認(rèn)可、資質(zhì)資格、計量校準(zhǔn)、知識產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺。中企檢測認(rèn)證網(wǎng)為檢測行業(yè)相關(guān)檢驗、檢測、認(rèn)證、計量、校準(zhǔn)機構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實驗室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測、認(rèn)證、商標(biāo)、專利、知識產(chǎn)權(quán)、版權(quán)法律法規(guī)知識資訊，包括商標(biāo)注冊、食品檢測、第三方檢測機構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請、知識產(chǎn)權(quán)、檢測法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測認(rèn)證網(wǎng)為檢測認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測、認(rèn)證、知識產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識。
本文內(nèi)容整合網(wǎng)站：中國政府網(wǎng)、百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！
