ISO/IEC 27001:2022 · Annex A, Table A.1
Τα 93 controls του ISO/IEC 27001:2022 Annex A ένα προς ένα: ποια ρύθμιση του Microsoft 365 τα υποστηρίζει, πού είναι το τεκμήριο και τι μένει εκτός.
Το Annex A του ISO/IEC 27001:2022 έχει 93 controls σε τέσσερις ενότητες: Organizational (A.5), People (A.6), Physical (A.7) και Technological (A.8). Εδώ θα βρείτε κάθε control χωριστά, με πέντε στοιχεία: τι αφορά, ποια ρύθμιση ή εργαλείο της Microsoft το υποστηρίζει, πού βρίσκει ο ελεγκτής το τεκμήριο, ποιο άρθρο της ΚΥΑ 1689/2025 αντιστοιχεί θεματικά και ποιο άρθρο του blog το εξηγεί στην πράξη. Τα 11 controls που προστέθηκαν στην έκδοση 2022 σημειώνονται.
Το Microsoft 365 δεν καλύπτει τα πάντα. Οι φυσικοί έλεγχοι της ενότητας A.7, το ανθρώπινο δυναμικό και η ασφαλής ανάπτυξη λογισμικού είναι σε μεγάλο βαθμό εκτός, και σημειώνονται ως τέτοια. Όπου το control καλύπτεται από προϊόν Microsoft με ξεχωριστή άδεια, αναφέρεται ρητά.
Οι τίτλοι των controls είναι οι επίσημοι του προτύπου, στα αγγλικά, όπως τους χρησιμοποιούν οι ελεγκτές. Οι περιγραφές στα ελληνικά είναι δικές μου. Το κείμενο των controls δεν αναπαράγεται: για τη διατύπωσή τους χρειάζεστε το ίδιο το πρότυπο. Η σελίδα δεν αντικαθιστά τη Δήλωση Εφαρμοσιμότητας, και η πιστοποίηση δίνεται μόνο από διαπιστευμένο φορέα.
Αν είστε βασική ή σημαντική οντότητα στην Ελλάδα, δείτε και τον οδηγό ΚΥΑ 1689/2025 με Microsoft 365 και την Οδηγία NIS2.
Τα ίδια 93 controls σε Excel, με στήλες για κατάσταση, υπεύθυνο, τεκμήριο και ημερομηνία ελέγχου.
Κατεβάστε το checklist (.xlsx)Η αντιστοίχιση είναι επαγγελματική ερμηνεία. Μια ρύθμιση υποστηρίζει ένα control, δεν αποδεικνύει από μόνη της συμμόρφωση. Οι τίτλοι είναι οι επίσημοι του προτύπου και οι περιγραφές είναι δικές μας· το κείμενο των controls δεν αναπαράγεται. Για τη διατύπωση κάθε control ισχύει το ISO/IEC 27001:2022.
Τελευταία ενημέρωση: 02/10/2026
Εγκεκριμένες πολιτικές ασφάλειας πληροφοριών, που κοινοποιούνται και αναθεωρούνται.
Ορισμός και ανάθεση ρόλων και αρμοδιοτήτων ασφάλειας.
Διαχωρισμός καθηκόντων που συγκρούονται μεταξύ τους.
Η διοίκηση απαιτεί από όλο το προσωπικό να εφαρμόζει τις πολιτικές ασφάλειας.
Καθορισμένες επαφές με τις αρμόδιες αρχές.
Συμμετοχή σε επαγγελματικές ομάδες και φόρουμ ασφάλειας.
Συλλογή και ανάλυση πληροφοριών για απειλές.
Η ασφάλεια ενσωματώνεται στη διαχείριση των έργων.
Κατάλογος πληροφοριών και λοιπών αγαθών, με ιδιοκτήτη.
Κανόνες αποδεκτής χρήσης πληροφοριών και αγαθών.
Επιστροφή των αγαθών κατά τη λήξη της απασχόλησης ή της σύμβασης.
Διαβάθμιση των πληροφοριών ανάλογα με τις ανάγκες προστασίας τους.
Σήμανση των πληροφοριών σύμφωνα με το σχήμα διαβάθμισης.
Κανόνες για τη μεταφορά πληροφοριών εντός και εκτός οργανισμού.
Κανόνες ελέγχου φυσικής και λογικής πρόσβασης.
Διαχείριση ολόκληρου του κύκλου ζωής των ταυτοτήτων.
Διαχείριση των στοιχείων ελέγχου ταυτότητας (κωδικοί, κλειδιά).
Απόδοση, αναθεώρηση, τροποποίηση και αφαίρεση δικαιωμάτων πρόσβασης.
Διαχείριση των κινδύνων από τη χρήση προϊόντων και υπηρεσιών προμηθευτών.
Απαιτήσεις ασφάλειας μέσα στις συμβάσεις με τους προμηθευτές.
Διαχείριση των κινδύνων ασφάλειας στην αλυσίδα εφοδιασμού ΤΠΕ.
Παρακολούθηση και αναθεώρηση των υπηρεσιών των προμηθευτών.
Διαδικασίες για την απόκτηση, χρήση, διαχείριση και έξοδο από υπηρεσίες cloud.
Σχεδιασμός και προετοιμασία για τη διαχείριση περιστατικών.
Αξιολόγηση των συμβάντων και απόφαση για το αν είναι περιστατικά.
Αντιμετώπιση των περιστατικών σύμφωνα με τις τεκμηριωμένες διαδικασίες.
Αξιοποίηση της γνώσης από τα περιστατικά για τη βελτίωση των μέτρων.
Διαδικασίες για τον εντοπισμό, τη συλλογή και τη διαφύλαξη τεκμηρίων.
Διατήρηση της ασφάλειας πληροφοριών κατά τη διάρκεια διατάραξης.
Ετοιμότητα των ΤΠΕ με βάση τους στόχους επιχειρησιακής συνέχειας.
Εντοπισμός και τήρηση των νομικών, κανονιστικών και συμβατικών απαιτήσεων.
Προστασία των δικαιωμάτων πνευματικής ιδιοκτησίας.
Προστασία των αρχείων από απώλεια, καταστροφή, παραποίηση και μη εξουσιοδοτημένη πρόσβαση.
Τήρηση των απαιτήσεων για την ιδιωτικότητα και την προστασία των προσωπικών δεδομένων.
Ανεξάρτητη ανασκόπηση της ασφάλειας πληροφοριών σε προγραμματισμένα διαστήματα.
Τακτικός έλεγχος της συμμόρφωσης με τις πολιτικές και τα πρότυπα.
Τεκμηριωμένες διαδικασίες λειτουργίας, διαθέσιμες σε όσους τις χρειάζονται.
Έλεγχος ιστορικού των υποψηφίων πριν από την πρόσληψη.
Οι συμβάσεις εργασίας αναφέρουν τις ευθύνες για την ασφάλεια πληροφοριών.
Ευαισθητοποίηση, εκπαίδευση και κατάρτιση του προσωπικού.
Πειθαρχική διαδικασία για παραβιάσεις της πολιτικής ασφάλειας.
Ευθύνες που παραμένουν μετά τη λήξη ή την αλλαγή της απασχόλησης.
Συμφωνίες εμπιστευτικότητας για προσωπικό και τρίτους.
Μέτρα ασφάλειας για την εργασία εκτός των εγκαταστάσεων.
Μηχανισμός για την αναφορά συμβάντων ασφάλειας από το προσωπικό.
Περίμετροι ασφάλειας για τους χώρους με πληροφορίες και συστήματα.
Έλεγχοι εισόδου στους ασφαλείς χώρους.
Φυσική ασφάλεια γραφείων, αιθουσών και εγκαταστάσεων.
Συνεχής παρακολούθηση των χώρων για μη εξουσιοδοτημένη φυσική πρόσβαση.
Προστασία από φυσικές και περιβαλλοντικές απειλές.
Κανόνες για την εργασία σε ασφαλείς χώρους.
Κανόνες καθαρού γραφείου και καθαρής οθόνης.
Ασφαλής τοποθέτηση και προστασία του εξοπλισμού.
Προστασία των αγαθών που βρίσκονται εκτός εγκαταστάσεων.
Διαχείριση των μέσων αποθήκευσης σε όλο τον κύκλο ζωής τους.
Προστασία από διακοπές ρεύματος και λοιπών υποστηρικτικών παροχών.
Προστασία των καλωδιώσεων ρεύματος και δεδομένων.
Σωστή συντήρηση του εξοπλισμού.
Διαγραφή των δεδομένων πριν από την απόσυρση ή την επαναχρησιμοποίηση εξοπλισμού.
Προστασία των πληροφοριών στις συσκευές των χρηστών.
Περιορισμός και διαχείριση των προνομιακών δικαιωμάτων πρόσβασης.
Περιορισμός της πρόσβασης σε πληροφορίες σύμφωνα με την πολιτική.
Έλεγχος της πρόσβασης σε πηγαίο κώδικα και εργαλεία ανάπτυξης.
Ασφαλείς τεχνολογίες και διαδικασίες ελέγχου ταυτότητας.
Παρακολούθηση και προσαρμογή της χρήσης των πόρων.
Προστασία από κακόβουλο λογισμικό, με υποστήριξη από την ευαισθητοποίηση των χρηστών.
Εντοπισμός, αξιολόγηση και αντιμετώπιση των τεχνικών ευπαθειών.
Καθορισμός, τεκμηρίωση, παρακολούθηση και αναθεώρηση των ρυθμίσεων.
Διαγραφή των πληροφοριών όταν δεν χρειάζονται πλέον.
Απόκρυψη δεδομένων σύμφωνα με την πολιτική πρόσβασης και τις νομικές απαιτήσεις.
Μέτρα αποτροπής διαρροής δεδομένων σε συστήματα, δίκτυα και συσκευές.
Αντίγραφα ασφαλείας πληροφοριών, λογισμικού και συστημάτων, με τακτικές δοκιμές.
Επαρκής εφεδρεία στις εγκαταστάσεις επεξεργασίας πληροφοριών.
Παραγωγή, αποθήκευση, προστασία και ανάλυση αρχείων καταγραφής.
Παρακολούθηση δικτύων, συστημάτων και εφαρμογών για ανώμαλη συμπεριφορά.
Συγχρονισμός των ρολογιών με εγκεκριμένες πηγές ώρας.
Περιορισμός των προγραμμάτων που μπορούν να παρακάμψουν ελέγχους συστήματος.
Ελεγχόμενη εγκατάσταση λογισμικού στα συστήματα παραγωγής.
Ασφάλεια και διαχείριση των δικτύων και των δικτυακών συσκευών.
Μηχανισμοί ασφάλειας και επίπεδα εξυπηρέτησης των δικτυακών υπηρεσιών.
Διαχωρισμός ομάδων υπηρεσιών, χρηστών και συστημάτων στα δίκτυα.
Διαχείριση της πρόσβασης σε εξωτερικούς ιστοτόπους.
Κανόνες για την αποτελεσματική χρήση κρυπτογραφίας και τη διαχείριση κλειδιών.
Κανόνες για την ασφαλή ανάπτυξη λογισμικού και συστημάτων.
Καθορισμός και έγκριση απαιτήσεων ασφάλειας για τις εφαρμογές.
Αρχές ασφαλούς αρχιτεκτονικής και σχεδιασμού συστημάτων.
Εφαρμογή αρχών ασφαλούς κώδικα στην ανάπτυξη λογισμικού.
Έλεγχοι ασφάλειας κατά την ανάπτυξη και την αποδοχή.
Εποπτεία και έλεγχος της ανάπτυξης που ανατίθεται σε τρίτους.
Διαχωρισμός των περιβαλλόντων ανάπτυξης, δοκιμών και παραγωγής.
Οι αλλαγές σε συστήματα και εγκαταστάσεις ακολουθούν διαδικασία διαχείρισης αλλαγών.
Κατάλληλη επιλογή, προστασία και διαχείριση των δεδομένων δοκιμών.
Οι έλεγχοι σχεδιάζονται ώστε να μη διαταράσσουν τα συστήματα παραγωγής.
Κανένα control δεν ταιριάζει με τα φίλτρα.