求助27001转版建议

目前运行的是2013版，后面肯定要转成2022版，但没有具体思路…论坛的大佬们可否指点一下？

1.文件升级
正文新增条款和附录新增控制项，要升级到原有文件。

2.内审，内审检查表，要按新版条款编写

3.适用性声明，要按照新版附录A重新编写


主要关注这几点就可以

支持，不过关键应该是先培训升级内审员！

27001社区 发表于 2024-3-29 14:04
1.文件升级
正文新增条款和附录新增控制项，要升级到原有文件。

坛主大佬，请问对于风险评估有要求吗

583516113 发表于 2024-3-31 06:34
支持，不过关键应该是先培训升级内审员！

有道理，是需要让内审员学一下新知识了

CAT_MOON 发表于 2024-3-31 23:24
坛主大佬，请问对于风险评估有要求吗

新版变化对风险评估没有太大影响，如果你们的风险处置计划里有涉及到附录A的控制项，那就需要把这些控制项换成新版的，如果不涉及，按照以前的做就行。

以下是刚整理出来的：

ISO/IEC 27001: 2022虽然做了一些变动，也新增了一些内容，但是体系的架构没变，仅仅是ISO/IEC 27001: 2013基础上进行一些微调，因此在转版时，不会有太多的额外工作量。
要在ISO/IEC 27001: 2013基础上进行变动而符合ISO/IEC 27001: 2022的要求，主要考虑以下几个方面：
（一）文件的调整：新版正文和附录都新增了要求，如正文的6.3，以及附录新增的11个控制项，要确保这些新增要求在体系文件（如信息安全管理手册，信息安全策略，程序文件，适用性声明等）中得到体现，这可以在原有文件上修订或新增文件实现。另外，针对新版其他微调的条款，也可以对相应的文件，如信息安全管理手册，进行稍微的修改，这个不调整，也基本不会有太大影响。
（二）记录的调整：由于新版条款发生了一些变化，特别是新增的条款，因此有些记录，如内审检查表，要进行更新。
（三）风险评估的调整：新版的变化对风险评估过程没有影响，只是新版附录A的结构变化较大，也增加了11个新的控制项，因此在进行风险处置的时候需要参照新版附录A的控制项。