- Se ISO 27002:2022 Kontrol 5.37 for mere information.
- Se ISO 27001:2013 Bilag A 12.1.1 for mere information.
Hvad er formålet med ISO 27001:2022 Annex A 5.37?
ISO 27001:2022 Anneks A 5.37 beskriver informationssikkerhed som en operationel aktivitet, hvor dens bestanddele udføres og/eller administreres af enkeltpersoner.
Bilag A 5.37 beskriver de operationelle procedurer for vedligeholdelse af en organisations informationssikkerhedsfacilitet i henhold til dens dokumenterede behov for at sikre, at den forbliver effektiv og sikker.
Hvem har ejerskab til bilag A 5.37?
Bilag A 5.37 dækker forskellige omstændigheder, der kan involvere flere afdelinger og jobroller. Når det er sagt, er det sikkert at antage, at de fleste af procedurerne vil påvirke IKT-personale, udstyr og systemer.
Et medlem af den øverste ledelse, der er ansvarlig for alle IKT-relaterede aktiviteter, såsom IT-chefen , bør være ansvarlig for ejerskabet af bilag A 5.37.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om bilag A 5.37
Informationssikkerhedsrelaterede procedurer bør udvikles baseret på fem centrale operationelle overvejelser:
- Forekomster af en aktivitet udført af en eller flere personer på samme måde.
- Når en aktivitet udføres sjældent.
- Når der er procedurer, der risikerer at blive glemt.
- Nye aktiviteter, som medarbejderne ikke kender til og derfor har en højere risiko.
- Når ansvaret for at udføre en aktivitet overdrages til en anden medarbejder eller gruppe af medarbejdere.
Hvor disse tilfælde opstår, bør driftsprocedurerne klart skitsere, hvad der skal gøres i disse situationer:
- Personer, der er ansvarlige – uanset om de er etablerede eller nye operatører.
- Retningslinjer for opretholdelse af sikkerhed under installation og konfiguration af relaterede forretningssystemer.
- Gennem hele aktiviteten, hvordan information behandles.
- BUDR-planer og implikationer i tilfælde af datatab eller en katastrofehændelse (se Bilag A 8.13).
- Der bør være en forbindelse mellem afhængigheder og ethvert andet system, herunder planlægning.
- Der skal være en klar procedure for håndtering af "håndteringsfejl" eller diverse hændelser, der kan opstå (se Bilag A 8.18).
- Der bør være en komplet liste over personale, der skal kontaktes i tilfælde af forstyrrelser, sammen med klare eskaleringsprocedurer.
- Driftsvejledninger for evt lagringsmedier forbundet med aktiviteten (se Bilag A 7.10 og Bilag A 7.14).
- I tilfælde af en systemfejl, hvordan genstartes og genoprettes.
- Logning af revisionsspor, inklusive system- og hændelseslogfiler (se Bilag A 8.15 og Bilag A 8.17).
- Observationssystemer for aktiviteter på stedet, der finder sted (se Bilag A 7.4).
- Et robust overvågningssystem, der tager højde for den operationelle kapacitet, ydeevne og sikkerhed for aktiviteten.
- For at opretholde optimale præstationsniveauer er det vigtigt at vide, hvad der skal gøres for at opretholde aktiviteten.
Ovenstående tilgange bør underkastes periodiske og/eller ad hoc-revisioner, når og når det er påkrævet. Alle ændringer i procedurerne bør ratificeres af ledelsen omgående for at sikre alle informationssikkerhedsaktiviteter, der udføres i organisationen.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Hvad er ændringerne fra ISO 27001:2013?
ISO 27001:2022 Bilag A 5.37 erstatter ISO 27001:2013 Bilag A 12.1.1 ('Dokumenterede driftsprocedurer').
ISO 27001:2022 Bilag A 5.37 udvider ISO 27001:2013 Bilag A 12.1.1 ved at tilbyde et meget bredere sæt af omstændigheder, der vil berettige overholdelse af en dokumenteret procedure.
ISO 27001:2013 Anneks A 12.1.1 beskriver informationsbehandlingsaktiviteter såsom computeropstart og -nedlukning, backup, vedligeholdelse af udstyr og mediehåndtering. I modsætning hertil udvider ISO 27001:2022 Anneks A 5.37 kontrollens omfang til generelle aktiviteter, der ikke er begrænset til specifikke tekniske funktioner.
Bortset fra nogle få mindre tilføjelser, såsom kategorisering af de personer, der er ansvarlige for en aktivitet, indeholder ISO 27001:2022 Annex A 5.37 de samme generelle vejledningspunkter som ISO 27001:2013 Annex A 12.1.1
Tabel over alle ISO 27001:2022 bilag A kontroller
I tabellen nedenfor finder du flere oplysninger om hver enkelt ISO 27001:2022 Annex A Control.
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Organisatoriske kontroller | Bilag A 5.1 |
Bilag A 5.1.1 Bilag A 5.1.2 |
Politikker for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.2 | Bilag A 6.1.1 | Informationssikkerhedsroller og -ansvar |
| Organisatoriske kontroller | Bilag A 5.3 | Bilag A 6.1.2 | Adskillelse af opgaver |
| Organisatoriske kontroller | Bilag A 5.4 | Bilag A 7.2.1 | Ledelsesansvar |
| Organisatoriske kontroller | Bilag A 5.5 | Bilag A 6.1.3 | Kontakt med myndigheder |
| Organisatoriske kontroller | Bilag A 5.6 | Bilag A 6.1.4 | Kontakt med særlige interessegrupper |
| Organisatoriske kontroller | Bilag A 5.7 | NY | Threat Intelligence |
| Organisatoriske kontroller | Bilag A 5.8 |
Bilag A 6.1.5 Bilag A 14.1.1 |
Informationssikkerhed i projektledelse |
| Organisatoriske kontroller | Bilag A 5.9 |
Bilag A 8.1.1 Bilag A 8.1.2 |
Fortegnelse over oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.10 |
Bilag A 8.1.3 Bilag A 8.2.3 |
Acceptabel brug af oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.11 | Bilag A 8.1.4 | Tilbagelevering af aktiver |
| Organisatoriske kontroller | Bilag A 5.12 | Bilag A 8.2.1 | Klassificering af oplysninger |
| Organisatoriske kontroller | Bilag A 5.13 | Bilag A 8.2.2 | Mærkning af information |
| Organisatoriske kontroller | Bilag A 5.14 |
Bilag A 13.2.1 Bilag A 13.2.2 Bilag A 13.2.3 |
Informationsoverførsel |
| Organisatoriske kontroller | Bilag A 5.15 |
Bilag A 9.1.1 Bilag A 9.1.2 |
Adgangskontrol |
| Organisatoriske kontroller | Bilag A 5.16 | Bilag A 9.2.1 | Identitetsstyring |
| Organisatoriske kontroller | Bilag A 5.17 |
Bilag A 9.2.4 Bilag A 9.3.1 Bilag A 9.4.3 |
Autentificeringsoplysninger |
| Organisatoriske kontroller | Bilag A 5.18 |
Bilag A 9.2.2 Bilag A 9.2.5 Bilag A 9.2.6 |
Adgangsrettigheder |
| Organisatoriske kontroller | Bilag A 5.19 | Bilag A 15.1.1 | Informationssikkerhed i leverandørforhold |
| Organisatoriske kontroller | Bilag A 5.20 | Bilag A 15.1.2 | Håndtering af informationssikkerhed inden for leverandøraftaler |
| Organisatoriske kontroller | Bilag A 5.21 | Bilag A 15.1.3 | Håndtering af informationssikkerhed i IKT-forsyningskæden |
| Organisatoriske kontroller | Bilag A 5.22 |
Bilag A 15.2.1 Bilag A 15.2.2 |
Overvågning, gennemgang og ændringsstyring af leverandørservices |
| Organisatoriske kontroller | Bilag A 5.23 | NY | Informationssikkerhed til brug af skytjenester |
| Organisatoriske kontroller | Bilag A 5.24 | Bilag A 16.1.1 | Informationssikkerhed Incident Management Planlægning og forberedelse |
| Organisatoriske kontroller | Bilag A 5.25 | Bilag A 16.1.4 | Vurdering og beslutning om informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.26 | Bilag A 16.1.5 | Reaktion på informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.27 | Bilag A 16.1.6 | Lær af informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.28 | Bilag A 16.1.7 | Indsamling af beviser |
| Organisatoriske kontroller | Bilag A 5.29 |
Bilag A 17.1.1 Bilag A 17.1.2 Bilag A 17.1.3 |
Informationssikkerhed under afbrydelse |
| Organisatoriske kontroller | Bilag A 5.30 | NY | IKT-beredskab til forretningskontinuitet |
| Organisatoriske kontroller | Bilag A 5.31 |
Bilag A 18.1.1 Bilag A 18.1.5 |
Juridiske, lovpligtige, regulatoriske og kontraktlige krav |
| Organisatoriske kontroller | Bilag A 5.32 | Bilag A 18.1.2 | Intellektuelle ejendomsrettigheder |
| Organisatoriske kontroller | Bilag A 5.33 | Bilag A 18.1.3 | Beskyttelse af optegnelser |
| Organisatoriske kontroller | Bilag A 5.34 | Bilag A 18.1.4 | Privatliv og beskyttelse af PII |
| Organisatoriske kontroller | Bilag A 5.35 | Bilag A 18.2.1 | Uafhængig gennemgang af informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.36 |
Bilag A 18.2.2 Bilag A 18.2.3 |
Overholdelse af politikker, regler og standarder for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.37 | Bilag A 12.1.1 | Dokumenterede driftsprocedurer |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| People Controls | Bilag A 6.1 | Bilag A 7.1.1 | Screening |
| People Controls | Bilag A 6.2 | Bilag A 7.1.2 | Ansættelsesvilkår |
| People Controls | Bilag A 6.3 | Bilag A 7.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| People Controls | Bilag A 6.4 | Bilag A 7.2.3 | Disciplinær proces |
| People Controls | Bilag A 6.5 | Bilag A 7.3.1 | Ansvar efter opsigelse eller ændring af ansættelse |
| People Controls | Bilag A 6.6 | Bilag A 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| People Controls | Bilag A 6.7 | Bilag A 6.2.2 | Fjernbetjening |
| People Controls | Bilag A 6.8 |
Bilag A 16.1.2 Bilag A 16.1.3 |
Informationssikkerhed begivenhedsrapportering |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Fysiske kontroller | Bilag A 7.1 | Bilag A 11.1.1 | Fysiske sikkerhedsomkredse |
| Fysiske kontroller | Bilag A 7.2 |
Bilag A 11.1.2 Bilag A 11.1.6 |
Fysisk adgang |
| Fysiske kontroller | Bilag A 7.3 | Bilag A 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| Fysiske kontroller | Bilag A 7.4 | NY | Fysisk sikkerhedsovervågning |
| Fysiske kontroller | Bilag A 7.5 | Bilag A 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| Fysiske kontroller | Bilag A 7.6 | Bilag A 11.1.5 | Arbejde i sikre områder |
| Fysiske kontroller | Bilag A 7.7 | Bilag A 11.2.9 | Clear Desk og Clear Screen |
| Fysiske kontroller | Bilag A 7.8 | Bilag A 11.2.1 | Udstyrsplacering og beskyttelse |
| Fysiske kontroller | Bilag A 7.9 | Bilag A 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| Fysiske kontroller | Bilag A 7.10 |
Bilag A 8.3.1 Bilag A 8.3.2 Bilag A 8.3.3 Bilag A 11.2.5 |
Storage Media |
| Fysiske kontroller | Bilag A 7.11 | Bilag A 11.2.2 | Understøttende hjælpeprogrammer |
| Fysiske kontroller | Bilag A 7.12 | Bilag A 11.2.3 | Kabler sikkerhed |
| Fysiske kontroller | Bilag A 7.13 | Bilag A 11.2.4 | Vedligeholdelse af udstyr |
| Fysiske kontroller | Bilag A 7.14 | Bilag A 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Teknologisk kontrol | Bilag A 8.1 |
Bilag A 6.2.1 Bilag A 11.2.8 |
Brugerendepunktsenheder |
| Teknologisk kontrol | Bilag A 8.2 | Bilag A 9.2.3 | Privilegerede adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.3 | Bilag A 9.4.1 | Begrænsning af informationsadgang |
| Teknologisk kontrol | Bilag A 8.4 | Bilag A 9.4.5 | Adgang til kildekode |
| Teknologisk kontrol | Bilag A 8.5 | Bilag A 9.4.2 | Sikker godkendelse |
| Teknologisk kontrol | Bilag A 8.6 | Bilag A 12.1.3 | Kapacitetsstyring |
| Teknologisk kontrol | Bilag A 8.7 | Bilag A 12.2.1 | Beskyttelse mod malware |
| Teknologisk kontrol | Bilag A 8.8 |
Bilag A 12.6.1 Bilag A 18.2.3 |
Håndtering af tekniske sårbarheder |
| Teknologisk kontrol | Bilag A 8.9 | NY | Configuration Management |
| Teknologisk kontrol | Bilag A 8.10 | NY | Sletning af oplysninger |
| Teknologisk kontrol | Bilag A 8.11 | NY | Datamaskering |
| Teknologisk kontrol | Bilag A 8.12 | NY | Forebyggelse af datalækage |
| Teknologisk kontrol | Bilag A 8.13 | Bilag A 12.3.1 | Backup af information |
| Teknologisk kontrol | Bilag A 8.14 | Bilag A 17.2.1 | Redundans af informationsbehandlingsfaciliteter |
| Teknologisk kontrol | Bilag A 8.15 |
Bilag A 12.4.1 Bilag A 12.4.2 Bilag A 12.4.3 |
Logning |
| Teknologisk kontrol | Bilag A 8.16 | NY | Overvågningsaktiviteter |
| Teknologisk kontrol | Bilag A 8.17 | Bilag A 12.4.4 | Ursynkronisering |
| Teknologisk kontrol | Bilag A 8.18 | Bilag A 9.4.4 | Brug af privilegerede hjælpeprogrammer Adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.19 |
Bilag A 12.5.1 Bilag A 12.6.2 |
Installation af software på operationelle systemer |
| Teknologisk kontrol | Bilag A 8.20 | Bilag A 13.1.1 | Netværkssikkerhed |
| Teknologisk kontrol | Bilag A 8.21 | Bilag A 13.1.2 | Sikkerhed af netværkstjenester |
| Teknologisk kontrol | Bilag A 8.22 | Bilag A 13.1.3 | Adskillelse af netværk |
| Teknologisk kontrol | Bilag A 8.23 | NY | Webfiltrering |
| Teknologisk kontrol | Bilag A 8.24 |
Bilag A 10.1.1 Bilag A 10.1.2 |
Brug af kryptografi |
| Teknologisk kontrol | Bilag A 8.25 | Bilag A 14.2.1 | Sikker udviklingslivscyklus |
| Teknologisk kontrol | Bilag A 8.26 |
Bilag A 14.1.2 Bilag A 14.1.3 |
Applikationssikkerhedskrav |
| Teknologisk kontrol | Bilag A 8.27 | Bilag A 14.2.5 | Principper for sikker systemarkitektur og -teknikLæring af informationssikkerhedshændelser |
| Teknologisk kontrol | Bilag A 8.28 | NY | Sikker kodning |
| Teknologisk kontrol | Bilag A 8.29 |
Bilag A 14.2.8 Bilag A 14.2.9 |
Sikkerhedstest i udvikling og accept |
| Teknologisk kontrol | Bilag A 8.30 | Bilag A 14.2.7 | Udliciteret udvikling |
| Teknologisk kontrol | Bilag A 8.31 |
Bilag A 12.1.4 Bilag A 14.2.6 |
Adskillelse af udviklings-, test- og produktionsmiljøer |
| Teknologisk kontrol | Bilag A 8.32 |
Bilag A 12.1.2 Bilag A 14.2.2 Bilag A 14.2.3 Bilag A 14.2.4 |
Change Management |
| Teknologisk kontrol | Bilag A 8.33 | Bilag A 14.3.1 | Testinformation |
| Teknologisk kontrol | Bilag A 8.34 | Bilag A 12.7.1 | Beskyttelse af informationssystemer under revisionstest |
NHS Professionals opnår ISO 27001-certificering og forbedrer deres infosec-styring
NHS-personale havde brug for en platform, der kunne integrere ISO 27001 uden at duplikere politikker eller øge risikoen i deres allerede komplekse compliance-landskab, da de stod over for en stram deadline på seks måneder og adskillige eksisterende rammer, der skulle integreres.
Xergy-værktøjet Proteus genererer vækst gennem ISO 27001-overholdelse ved hjælp af ISMS.online
Som en startup, der udviklede software til stærkt regulerede ingeniørsektorer, havde Xergy brug for ISO 27001 for at generere vækst gennem tillid – og en dokumenteret ekstern partner til at håndtere de strenge krav uden at aflede udviklingsteamet.
Hvordan Blue Services opnåede succes med tredobbelt ISO-certificering
Blue Services havde brug for ekstern support til at guide dem gennem implementeringen af ISO 27001, ISO 9001 og ISO 14001 og bedste praksis, samt en platform til at centralisere deres overordnede compliance-styring.
Hvordan Evolution Funding førte til succes med ISO 27001-certificering
At opnå ISO 27001-certificering var et kernemål for Evolution Funding. Teamet havde brug for en centraliseret platform, som de kunne implementere ISO 27001-standarden med og arbejde sig igennem compliance-processen.
Hvordan 4way Consulting banede vejen til ISO 27001-succes
4way håndterede følsomme klientdata på tværs af flere standarder og havde brug for en omkostnings- og tidseffektiv måde at forfølge ISO 27001 på – uden at opbygge et ISMS fra bunden eller være afhængig af dyre eksterne konsulenter.
nesevos succes med multicertificeringsoverholdelse med IO
Nesevo kæmpede med at håndtere ISO 27001-overholdelse på tværs af spredte dokumenter og regneark og havde brug for en centraliseret platform, der kunne guide dem gennem standarden uden de løbende omkostninger til eksterne konsulenter.
Hvordan ISMS.online Hjælp
Implementeringen af ISO 27001:2022 er forenklet med vores trinvise tjekliste, der guider dig gennem alle faser, lige fra at definere omfanget af dit ISMS til at identificere risici og implementere kontroller.
Fordelene ved ISMS.online inkluderer:
- Overholdelse kan påvises gennem udførelse af opgaver og indsendelse af beviser.
- Overvågning af overholdelsesfremskridt og uddelegering af ansvar er let.
- Der spares tid og kræfter hele vejen igennem risikovurdering proces med det omfattende risikovurderingsværktøj.
- Vi har et dedikeret team af konsulenter til rådighed under hele din compliance-rejse til at hjælpe.
Kontakt os i dag for at booke en kort 30-minutters demonstration.
