ISO/IEC 27001:2022 過渡日曆的最後時期

IAF MD 26 為轉換至ISO/IEC 27001:2022所訂定的期限為36個月，此窗口已經關閉：未完成轉換的ISO/IEC 27001:2013證書須於2025年10月31日後失效或被撤銷。

換言之，如今有效的資訊安全管理系統證書必須依ISO/IEC 27001:2022核發。引用2013年版本的證書不再被視為現行的符合性證明。

此時程亦包含若干中間里程碑：認證機構須準備好評估2022年版本，且驗證機構開始僅依2022年版本進行初次驗證與重新驗證，皆為此流程的一部分。

過期的證書無法透過「轉換」挽救；此流程須以全新驗證方式進行。這意味著須經歷完整稽核週期而非監督稽核，時程也更長。

與此同時，商業活動仍在持續進行：將過期證書當作有效證書提出，會導致客戶盡職調查失敗、合約爭議以及供應商評估上的問題。

2022年修訂重新整理了附錄A的控制措施：控制措施歸併為四大主題，並新增控制措施。適用性聲明（SoA）必須依此新結構重新建構。

在實務上，最困難之處並非將現行控制措施對應至新編號，而是為新增的控制措施建立真正可運作的實務做法。對應是表格作業；落實則是流程作業。

信息安全管理体系证书并不表明组织永远不会发生安全事件;它表明组织了解自身的信息资产、已评估其风险,并运行其所选择的控制措施。

该体系的核心是风险评估和控制措施的选择。标准附录中的控制清单并非强制清单:组织根据风险评估结果决定应用哪些控制措施,并对未应用的措施撰写理由说明。

该理由说明文件是审核中被审查最多的项目:不应用某项控制并非缺陷,不加说明地不应用才是缺陷。

在过渡期的最后阶段,两种风险会同时出现:审核员的日程变得紧张,而关闭已发现不符合项所剩的时间也在缩短。两者叠加时,证书的有效性可能会中断。

因此,在最后阶段要做的工作不是开始新的工作,而是先清楚确定当前状况:哪些条款已满足、哪些记录缺失、审核预约何时可以安排。

重新组织控制集是过渡中最明显的工作:将控制措施映射到新的分组,并根据该结构更新适用性声明。从技术上讲,这是一项映射工作;控制措施本身无需从头重建。