- Se ISO 27002:2022 Kontrol 5.6 for mere information.
- Se ISO 27001:2013 Bilag A 6.1.4 for mere information.
Hvorfor engagere sig med særlige interessegrupper styrker din informationssikkerhed
Som en del af den reviderede ISO 27001:2022-forordning opfordrer bilag A Kontrol 5.6 organisationer til at etablere og vedligeholde kontakter med særlige interessegrupper.
Det er også vigtigt at opretholde passende kontakter med særlige interessegrupper, sikkerhedsfora og faglige sammenslutninger. Det er relevant at huske på, at medlemskaber i faglige organisationer, brancheorganisationer, fora og diskussionsgrupper alle er inkluderet i denne bilag A-kontrol. Det er, når du tilpasser det til dine specifikke behov.
Det er vigtigt at forstå, hvad hver af disse grupper gør, og hvordan de blev etableret (f.eks. er de til kommercielle formål).
Hvad er særlige interessegrupper?
Generelt er en interessegruppe en sammenslutning af enkeltpersoner eller organisationer, der er interesserede i et bestemt felt. De arbejder sammen for at løse problemer, udvikle løsninger og tilegne sig viden inden for området. I vores situation ville informationssikkerhed være ekspertiseområdet.
Mange særlige interessegrupper omfatter producenter, specialistfora og faglige sammenslutninger.
Organisationer opfordres til at netværke med særlige interessegrupper, specialiserede sikkerhedsfora og faglige sammenslutninger i henhold til bilag A kontrol 5.6 i ISO 27001:2022 eller 6.1.4 i ISO 27001:2013.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Hvordan fungerer ISO 27001:2022 Annex A 5.6?
Næsten alle organisationer har i dag et forhold til særlige interessegrupper. Formålet med bilag A kontrol 5.6 er at sikre, at information vedrørende informationssikkerhed flyder korrekt blandt disse særlige interessegrupper. Det er uanset om de er kunder, leverandører eller grupper, der påvirker organisationen.
Som en del af bilag A Kontrol 5.6 er krav, formål og implementeringsvejledninger til at kontakte særlige interessegrupper. Et centralt aspekt ved at forbedre informationssikkerhedskapaciteten er regelmæssigt at engagere sig med relevante interessenter og interesserede parter, herunder forbrugere og deres repræsentanter, leverandører, partnere og regeringen.
Et partnerskab kan give begge sider mulighed for at drage fordel af hinandens viden om banebrydende ideer og bedste praksis, hvilket gør det til en win-win situation.
Derudover kan disse grupper muligvis give værdifulde forslag eller anbefalinger vedrørende sikkerhedspraksis, procedurer eller teknologier. Disse forslag eller anbefalinger kan sikre dit system, samtidig med at du når dine forretningsmål.
Sådan kommer du i gang og opfylder kravene i bilag A 5.6
En organisation skal følge implementeringsretningslinjerne for ISO 27001:2022 , når den opfylder kravene i bilag A, kontrol 5.6.
Medlemskab af en særlig interessegruppe eller et forum skal gøre det muligt for medlemmerne at:
- Hold dig opdateret med den seneste sikkerhedsinformation, og lær om bedste praksis.
- Oprethold en aktuel forståelse af informationssikkerhedsmiljøet.
- Hold dig opdateret om de seneste advarsler, meddelelser og patches relateret til angreb og sårbarheder.
- Få ekspertrådgivning om informationssikkerhed.
- Informer hinanden om de nyeste teknologier, produkter, tjenester, trusler eller sårbarheder.
- I tilfælde af en informationssikkerhedshændelse, give passende kontaktpunkter.
Som en del af ISO/IEC 27000-standarderne skal der etableres og vedligeholdes et informationssikkerhedsstyringssystem (ISMS). Kontrol 5.6 i bilag A er en afgørende del af denne proces. Ved at interagere med særlige interessegrupper vil du kunne modtage feedback fra dine kolleger vedrørende effektiviteten af dine informationssikkerhedsprocesser.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Hvad er ændringerne og forskellene fra ISO 27001:2013?
ISO 27001:2022, bilag A kontrol 5.6, "Kontakt med særlige interessegrupper," er i det væsentlige en opdateret version af ISO 27001:2013 kontrol 6.1.4.
For ISO 27001:2022 er formålet med kontrollen angivet i standarden, hvorimod i 2013-udgaven. Formålet med bilag A kontrol er ikke angivet.
Derudover bruger begge versioner forskellige fraseologier på trods af de samme implementeringsretningslinjer.
Med disse forbedringer vil standarden forblive aktuel og relevant i lyset af stigende sikkerhedsproblemer og teknologiske udviklinger. Organisationer vil også drage fordel, da det bliver lettere at overholde standarden.
Tabel over alle ISO 27001:2022 bilag A kontroller
I tabellen nedenfor finder du flere oplysninger om hver enkelt ISO 27001:2022 Anneks A-kontrol.
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Organisatoriske kontroller | Bilag A 5.1 |
Bilag A 5.1.1 Bilag A 5.1.2 |
Politikker for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.2 | Bilag A 6.1.1 | Informationssikkerhedsroller og -ansvar |
| Organisatoriske kontroller | Bilag A 5.3 | Bilag A 6.1.2 | Adskillelse af opgaver |
| Organisatoriske kontroller | Bilag A 5.4 | Bilag A 7.2.1 | Ledelsesansvar |
| Organisatoriske kontroller | Bilag A 5.5 | Bilag A 6.1.3 | Kontakt med myndigheder |
| Organisatoriske kontroller | Bilag A 5.6 | Bilag A 6.1.4 | Kontakt med særlige interessegrupper |
| Organisatoriske kontroller | Bilag A 5.7 | NY | Threat Intelligence |
| Organisatoriske kontroller | Bilag A 5.8 |
Bilag A 6.1.5 Bilag A 14.1.1 |
Informationssikkerhed i projektledelse |
| Organisatoriske kontroller | Bilag A 5.9 |
Bilag A 8.1.1 Bilag A 8.1.2 |
Fortegnelse over oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.10 |
Bilag A 8.1.3 Bilag A 8.2.3 |
Acceptabel brug af oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.11 | Bilag A 8.1.4 | Tilbagelevering af aktiver |
| Organisatoriske kontroller | Bilag A 5.12 | Bilag A 8.2.1 | Klassificering af oplysninger |
| Organisatoriske kontroller | Bilag A 5.13 | Bilag A 8.2.2 | Mærkning af information |
| Organisatoriske kontroller | Bilag A 5.14 |
Bilag A 13.2.1 Bilag A 13.2.2 Bilag A 13.2.3 |
Informationsoverførsel |
| Organisatoriske kontroller | Bilag A 5.15 |
Bilag A 9.1.1 Bilag A 9.1.2 |
Adgangskontrol |
| Organisatoriske kontroller | Bilag A 5.16 | Bilag A 9.2.1 | Identitetsstyring |
| Organisatoriske kontroller | Bilag A 5.17 |
Bilag A 9.2.4 Bilag A 9.3.1 Bilag A 9.4.3 |
Autentificeringsoplysninger |
| Organisatoriske kontroller | Bilag A 5.18 |
Bilag A 9.2.2 Bilag A 9.2.5 Bilag A 9.2.6 |
Adgangsrettigheder |
| Organisatoriske kontroller | Bilag A 5.19 | Bilag A 15.1.1 | Informationssikkerhed i leverandørforhold |
| Organisatoriske kontroller | Bilag A 5.20 | Bilag A 15.1.2 | Håndtering af informationssikkerhed inden for leverandøraftaler |
| Organisatoriske kontroller | Bilag A 5.21 | Bilag A 15.1.3 | Håndtering af informationssikkerhed i IKT-forsyningskæden |
| Organisatoriske kontroller | Bilag A 5.22 |
Bilag A 15.2.1 Bilag A 15.2.2 |
Overvågning, gennemgang og ændringsstyring af leverandørservices |
| Organisatoriske kontroller | Bilag A 5.23 | NY | Informationssikkerhed til brug af skytjenester |
| Organisatoriske kontroller | Bilag A 5.24 | Bilag A 16.1.1 | Informationssikkerhed Incident Management Planlægning og forberedelse |
| Organisatoriske kontroller | Bilag A 5.25 | Bilag A 16.1.4 | Vurdering og beslutning om informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.26 | Bilag A 16.1.5 | Reaktion på informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.27 | Bilag A 16.1.6 | Lær af informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.28 | Bilag A 16.1.7 | Indsamling af beviser |
| Organisatoriske kontroller | Bilag A 5.29 |
Bilag A 17.1.1 Bilag A 17.1.2 Bilag A 17.1.3 |
Informationssikkerhed under afbrydelse |
| Organisatoriske kontroller | Bilag A 5.30 | NY | IKT-beredskab til forretningskontinuitet |
| Organisatoriske kontroller | Bilag A 5.31 |
Bilag A 18.1.1 Bilag A 18.1.5 |
Juridiske, lovpligtige, regulatoriske og kontraktlige krav |
| Organisatoriske kontroller | Bilag A 5.32 | Bilag A 18.1.2 | Intellektuelle ejendomsrettigheder |
| Organisatoriske kontroller | Bilag A 5.33 | Bilag A 18.1.3 | Beskyttelse af optegnelser |
| Organisatoriske kontroller | Bilag A 5.34 | Bilag A 18.1.4 | Privatliv og beskyttelse af PII |
| Organisatoriske kontroller | Bilag A 5.35 | Bilag A 18.2.1 | Uafhængig gennemgang af informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.36 |
Bilag A 18.2.2 Bilag A 18.2.3 |
Overholdelse af politikker, regler og standarder for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.37 | Bilag A 12.1.1 | Dokumenterede driftsprocedurer |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| People Controls | Bilag A 6.1 | Bilag A 7.1.1 | Screening |
| People Controls | Bilag A 6.2 | Bilag A 7.1.2 | Ansættelsesvilkår |
| People Controls | Bilag A 6.3 | Bilag A 7.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| People Controls | Bilag A 6.4 | Bilag A 7.2.3 | Disciplinær proces |
| People Controls | Bilag A 6.5 | Bilag A 7.3.1 | Ansvar efter opsigelse eller ændring af ansættelse |
| People Controls | Bilag A 6.6 | Bilag A 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| People Controls | Bilag A 6.7 | Bilag A 6.2.2 | Fjernbetjening |
| People Controls | Bilag A 6.8 |
Bilag A 16.1.2 Bilag A 16.1.3 |
Informationssikkerhed begivenhedsrapportering |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Fysiske kontroller | Bilag A 7.1 | Bilag A 11.1.1 | Fysiske sikkerhedsomkredse |
| Fysiske kontroller | Bilag A 7.2 |
Bilag A 11.1.2 Bilag A 11.1.6 |
Fysisk adgang |
| Fysiske kontroller | Bilag A 7.3 | Bilag A 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| Fysiske kontroller | Bilag A 7.4 | NY | Fysisk sikkerhedsovervågning |
| Fysiske kontroller | Bilag A 7.5 | Bilag A 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| Fysiske kontroller | Bilag A 7.6 | Bilag A 11.1.5 | Arbejde i sikre områder |
| Fysiske kontroller | Bilag A 7.7 | Bilag A 11.2.9 | Clear Desk og Clear Screen |
| Fysiske kontroller | Bilag A 7.8 | Bilag A 11.2.1 | Udstyrsplacering og beskyttelse |
| Fysiske kontroller | Bilag A 7.9 | Bilag A 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| Fysiske kontroller | Bilag A 7.10 |
Bilag A 8.3.1 Bilag A 8.3.2 Bilag A 8.3.3 Bilag A 11.2.5 |
Storage Media |
| Fysiske kontroller | Bilag A 7.11 | Bilag A 11.2.2 | Understøttende hjælpeprogrammer |
| Fysiske kontroller | Bilag A 7.12 | Bilag A 11.2.3 | Kabler sikkerhed |
| Fysiske kontroller | Bilag A 7.13 | Bilag A 11.2.4 | Vedligeholdelse af udstyr |
| Fysiske kontroller | Bilag A 7.14 | Bilag A 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Teknologisk kontrol | Bilag A 8.1 |
Bilag A 6.2.1 Bilag A 11.2.8 |
Brugerendepunktsenheder |
| Teknologisk kontrol | Bilag A 8.2 | Bilag A 9.2.3 | Privilegerede adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.3 | Bilag A 9.4.1 | Begrænsning af informationsadgang |
| Teknologisk kontrol | Bilag A 8.4 | Bilag A 9.4.5 | Adgang til kildekode |
| Teknologisk kontrol | Bilag A 8.5 | Bilag A 9.4.2 | Sikker godkendelse |
| Teknologisk kontrol | Bilag A 8.6 | Bilag A 12.1.3 | Kapacitetsstyring |
| Teknologisk kontrol | Bilag A 8.7 | Bilag A 12.2.1 | Beskyttelse mod malware |
| Teknologisk kontrol | Bilag A 8.8 |
Bilag A 12.6.1 Bilag A 18.2.3 |
Håndtering af tekniske sårbarheder |
| Teknologisk kontrol | Bilag A 8.9 | NY | Configuration Management |
| Teknologisk kontrol | Bilag A 8.10 | NY | Sletning af oplysninger |
| Teknologisk kontrol | Bilag A 8.11 | NY | Datamaskering |
| Teknologisk kontrol | Bilag A 8.12 | NY | Forebyggelse af datalækage |
| Teknologisk kontrol | Bilag A 8.13 | Bilag A 12.3.1 | Backup af information |
| Teknologisk kontrol | Bilag A 8.14 | Bilag A 17.2.1 | Redundans af informationsbehandlingsfaciliteter |
| Teknologisk kontrol | Bilag A 8.15 |
Bilag A 12.4.1 Bilag A 12.4.2 Bilag A 12.4.3 |
Logning |
| Teknologisk kontrol | Bilag A 8.16 | NY | Overvågningsaktiviteter |
| Teknologisk kontrol | Bilag A 8.17 | Bilag A 12.4.4 | Ursynkronisering |
| Teknologisk kontrol | Bilag A 8.18 | Bilag A 9.4.4 | Brug af privilegerede hjælpeprogrammer Adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.19 |
Bilag A 12.5.1 Bilag A 12.6.2 |
Installation af software på operationelle systemer |
| Teknologisk kontrol | Bilag A 8.20 | Bilag A 13.1.1 | Netværkssikkerhed |
| Teknologisk kontrol | Bilag A 8.21 | Bilag A 13.1.2 | Sikkerhed af netværkstjenester |
| Teknologisk kontrol | Bilag A 8.22 | Bilag A 13.1.3 | Adskillelse af netværk |
| Teknologisk kontrol | Bilag A 8.23 | NY | Webfiltrering |
| Teknologisk kontrol | Bilag A 8.24 |
Bilag A 10.1.1 Bilag A 10.1.2 |
Brug af kryptografi |
| Teknologisk kontrol | Bilag A 8.25 | Bilag A 14.2.1 | Sikker udviklingslivscyklus |
| Teknologisk kontrol | Bilag A 8.26 |
Bilag A 14.1.2 Bilag A 14.1.3 |
Applikationssikkerhedskrav |
| Teknologisk kontrol | Bilag A 8.27 | Bilag A 14.2.5 | Principper for sikker systemarkitektur og -teknikLæring af informationssikkerhedshændelser |
| Teknologisk kontrol | Bilag A 8.28 | NY | Sikker kodning |
| Teknologisk kontrol | Bilag A 8.29 |
Bilag A 14.2.8 Bilag A 14.2.9 |
Sikkerhedstest i udvikling og accept |
| Teknologisk kontrol | Bilag A 8.30 | Bilag A 14.2.7 | Udliciteret udvikling |
| Teknologisk kontrol | Bilag A 8.31 |
Bilag A 12.1.4 Bilag A 14.2.6 |
Adskillelse af udviklings-, test- og produktionsmiljøer |
| Teknologisk kontrol | Bilag A 8.32 |
Bilag A 12.1.2 Bilag A 14.2.2 Bilag A 14.2.3 Bilag A 14.2.4 |
Change Management |
| Teknologisk kontrol | Bilag A 8.33 | Bilag A 14.3.1 | Testinformation |
| Teknologisk kontrol | Bilag A 8.34 | Bilag A 12.7.1 | Beskyttelse af informationssystemer under revisionstest |
Hvordan styres denne proces?
Databeskyttelse og -sikkerhed, sammen med compliance, håndteres typisk af chefen for informationssikkerhed (også kaldet CISO).
Information Security Managers (ISMS Managers) kan også varetage denne rolle, men uden den øverste ledelses buy-in kan rollen ikke komme videre.
Hvordan påvirker dette organisationer?
De, der allerede har implementeret ISO 27001:2013, skal opdatere deres procedurer for at sikre overholdelse af den reviderede standard.
De fleste organisationer burde være i stand til at foretage de nødvendige ændringer til 2022-versionen uden problemer, selvom der vil være nogle ændringer. Derudover vil certificerede organisationer have en to-årig overgangsfase, hvor de kan forny deres certificering for at sikre, at den overholder den reviderede standard.
Du kan bedre forstå, hvordan ISO 27001:2022 vil påvirke datasikkerhedsoperationer og ISO 27001-certificering med vores ISO 27001:2022-vejledning.
NHS Professionals opnår ISO 27001-certificering og forbedrer deres infosec-styring
NHS-personale havde brug for en platform, der kunne integrere ISO 27001 uden at duplikere politikker eller øge risikoen i deres allerede komplekse compliance-landskab, da de stod over for en stram deadline på seks måneder og adskillige eksisterende rammer, der skulle integreres.
Xergy-værktøjet Proteus genererer vækst gennem ISO 27001-overholdelse ved hjælp af ISMS.online
Som en startup, der udviklede software til stærkt regulerede ingeniørsektorer, havde Xergy brug for ISO 27001 for at generere vækst gennem tillid – og en dokumenteret ekstern partner til at håndtere de strenge krav uden at aflede udviklingsteamet.
Hvordan Blue Services opnåede succes med tredobbelt ISO-certificering
Blue Services havde brug for ekstern support til at guide dem gennem implementeringen af ISO 27001, ISO 9001 og ISO 14001 og bedste praksis, samt en platform til at centralisere deres overordnede compliance-styring.
Hvordan Evolution Funding førte til succes med ISO 27001-certificering
At opnå ISO 27001-certificering var et kernemål for Evolution Funding. Teamet havde brug for en centraliseret platform, som de kunne implementere ISO 27001-standarden med og arbejde sig igennem compliance-processen.
Hvordan 4way Consulting banede vejen til ISO 27001-succes
4way håndterede følsomme klientdata på tværs af flere standarder og havde brug for en omkostnings- og tidseffektiv måde at forfølge ISO 27001 på – uden at opbygge et ISMS fra bunden eller være afhængig af dyre eksterne konsulenter.
nesevos succes med multicertificeringsoverholdelse med IO
Nesevo kæmpede med at håndtere ISO 27001-overholdelse på tværs af spredte dokumenter og regneark og havde brug for en centraliseret platform, der kunne guide dem gennem standarden uden de løbende omkostninger til eksterne konsulenter.
Hvordan ISMS.Online hjælper
Med ISMS.online kan du implementere ISO 27001 Annex A-kontroller og administrere hele dit ISMS med vores brugervenlige system.
Ved at give dig værktøjer og ressourcer til at håndtere informationssikkerhed i din organisation, gør ISMS.online ISO 27001 nemmere at implementere. Det vil hjælpe dig med at identificere risici , udvikle afbødende foranstaltninger og implementere dem.
Ud over at levere et ledelsesdashboard, rapporter og revisionslogfiler, vil ISMS.online hjælpe dig med at demonstrere overholdelse af standarden.
Brugen af ISMS.online giver enkle, praktiske rammer og skabeloner til informationssikkerhed i projektledelse , DPIA og andre relaterede vurderinger af personoplysninger, f.eks. vurderinger af legitime interesser (LIA'er).
For din tidlige ISMS-succes kombinerer vi viden og teknologi
Blandt funktionerne i vores cloud-baserede platform er følgende:
- Dokumenthåndteringssystem med en brugervenlig grænseflade og omfattende tilpasningsmuligheder.
- Forudskrevne dokumentationsskabeloner, der er polerede og velskrevne.
- Proces for udfører interne revisioner der er forenklet.
- En metode til at kommunikere med interessenter og ledelse, der er effektiv.
- Et workflow-modul til at strømline implementeringsprocessen.
Vi har alle disse funktioner og mere. Kontakt os venligst i dag for at booke en demo .
