- Se ISO 27002:2022 Kontrol 6.8 for mere information.
- Se ISO 27001:2013 Bilag A 16.1.2 for mere information.
- Se ISO 27001:2013 Bilag A 16.1.3 for mere information.
Hvad er ISO 27001:2022 bilag A kontrol 6.8?
ISO 27001:2022 Annex A 6.8 pålægger organisationer at oprette et system, der tillader personalet at rapportere informationssikkerhed begivenheder, de observerer eller har mistanke om, hurtigt og gennem de relevante kanaler.
Informationssikkerhedshændelser forklaret
Brud på informationssikkerheden (også kendt som informationssikkerhedshændelser) er stigende med stigende hyppighed og intensitet. Desværre går mange af disse hændelser ubemærket hen.
Mange faktorer kan udløse informationssikkerhedshændelser:
- Ondsindet software, såsom vira og orme, er et problem.
- Hackere får uautoriseret adgang til computersystemer via internettet eller et netværk af computere ("hacking").
- Uautoriseret adgang til computere og netværk (almindeligvis omtalt som "adgangskodeknækning") er en overtrædelse af sikkerhedsprotokoller.
- Hackere, der får adgang til et system, eller ej, kan ulovligt ændre data.
- Eksterne kilder, der infiltrerer en virksomheds interne system for at stjæle information eller hindre driften.
Uanset hvor sikkert dit netværk er, vil der altid være en vis risiko for, at der opstår en informationssikkerhedsbegivenhed. For at minimere denne risiko skal du bruge forskellige værktøjer og teknikker, såsom rapportering, for at identificere potentielle trusler, før de kan forårsage skade.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Hvad er informationssikkerhedshændelsesrapportering?
Rapportering af informationssikkerhedshændelser er en nøglekomponent i enhver cybersikkerhedsstrategi. At implementere den bedste teknologi til at beskytte data er én ting, men at forstå, hvad der foregår, er en anden.
Informationssikkerhedshændelsesrapportering er processen med at notere hændelser, brud og andre cyberbaserede hændelser, der sker i en organisation, for at undersøge dem og udtænke strategier for at forhindre gentagelser i at forekomme. Dokumentation, analyse og forebyggelsesstrategier er alle væsentlige elementer.
Hvorfor er informationssikkerhedshændelsesrapportering vigtig?
Informationssikkerhedshændelsesrapportering er afgørende for enhver organisation; uden den vil der ikke eksistere viden om, hvorvidt netværket er blevet infiltreret, eller om der er andre potentielle risici. Uden denne forståelse kan foranstaltninger til at afværge fremtidige hændelser ikke iværksættes, og tidligere angreb kan heller ikke identificeres og afhjælpes.
Det er vigtigt at løse eventuelle hændelser hurtigt og effektivt. Responstid er afgørende for at sikre forretningen og minimere effekterne på kunder og andre interessenter.
Bilag A 6.8 i ISO 27001:2022 blev oprettet for at opnå dette.
Hvad er formålet med ISO 27001:2022 Annex A 6.8?
Formålet med ISO 27001:2022 Bilag A Kontrol 6.8 skal lette rettidig, konsistent og effektiv rapportering af informationssikkerhedshændelser opdaget af personale.
At sikre, at hændelser hurtigt rapporteres og dokumenteres nøjagtigt, er afgørende for at sikre, at hændelsesresponsaktiviteter og andre sikkerhedsstyringsansvar er korrekt understøttet.
Organisationer bør have et informationssikkerhedshændelsesrapporteringsprogram i overensstemmelse med ISO 27001:2022 Annex A Kontrol 6.8 for at opdage og afbøde hændelser, der kan påvirke informationssikkerheden. Programmet skal gøre det muligt at modtage, evaluere og reagere på rapporterede hændelser.
ISO 27001: 2022 Bilag A Kontrol 6.8 skitserer formålet og instruktionerne til at konstruere et informationssikkerhedshændelsesrapporteringssystem i overensstemmelse med ISO 27001-rammerne.
Denne kontrol har til formål at:
- Sørg for, at personalet hurtigt og konsekvent rapporterer informationssikkerhedshændelser på en effektiv måde.
- Opdag proaktivt enhver uautoriseret adgang eller ukorrekt brug af informationssystemer.
- Facilitere udarbejdelsen af hændelsesplaner.
- Skab en base for vedvarende observationsaktiviteter.
Regelmæssig gennemgang af hændelser og tendenser for at opdage problemer, før de bliver alvorlige (f.eks. ved at spore antallet af hændelser eller hvor lang tid hver hændelse tager) bør være en central del af implementeringen af bilag A 6.8.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Hvad er involveret, og hvordan man opfylder kravene
ISO 27001:2022 Bilag A 6.8 kræver følgende:
- Alle bør forstå deres forpligtelse til at rapportere informationssikkerhedshændelser omgående for at stoppe eller reducere deres påvirkning.
- Organisationen skal føre en fortegnelse over kontakten til rapportering af datasikkerhedshændelser og sikre, at processen er så enkel, tilgængelig og tilgængelig som muligt.
- Organisationen skal føre optegnelser over informationssikkerhedshændelser, såsom hændelsesrapporter, hændelseslogfiler, ændringsanmodninger, problemrapporter og systemdokumentation.
I henhold til bilag A 6.8 omfatter hændelser, der kræver informationssikkerhedsrapportering:
- Ineffektive informationsbeskyttelsesforanstaltninger.
- Krænkelse af sikkerhedsforventninger vedrørende fortrolighed, integritet eller tilgængelighed af data.
- Menneskelige fejl.
- Manglende overholdelse af informationssikkerhedspolitikken, specifikke politikker eller relevante standarder.
- Eventuelle overtrædelser af fysisk sikkerhed foranstaltninger.
- Systemændringer, der ikke er blevet indsendt til ændringshåndteringsprocessen.
- I tilfælde af fejlfunktioner eller anden usædvanlig systemadfærd af software eller hardware.
- I tilfælde af eventuelle adgangsovertrædelser.
- Hvis der opstår nogen sårbarheder.
- Hvis der er mistanke om, at en malware-infektion er til stede.
Desuden er det ikke det rapporterende personales ansvar at teste sårbarheden eller effektiviteten af informationssikkerhedshændelsen. Det bør overlades til kvalificeret personale at håndtere dette, da det kan medføre juridisk ansvar for medarbejderen.
Ændringer og forskelle fra ISO 27001:2013
For det første er bilag A 6.8 i ISO 27001:2022 ikke en ny kontrol, snarere, det er en sammensmeltning af bilag A 16.1.2 og bilag A 16.1.3 i ISO 27001:2013. Disse to kontroller blev revideret i ISO 27001:2022 for at gøre den mere tilgængelig end ISO 27001:2013.
Medarbejdere og entreprenører bør gøres opmærksomme på deres ansvar for omgående at rapportere informationssikkerhedshændelser og processen for at gøre dette, herunder den kontaktperson, som rapporter skal rettes til.
Medarbejdere og entreprenører bør omgående rapportere eventuelle svagheder i informationssikkerheden til kontaktpunktet for at undgå informationssikkerhedshændelser. Rapporteringssystemet skal være så ligetil, tilgængeligt og opnåeligt som muligt.
Du kan se, at anbefalinger seks og otte er blevet konsolideret til én i den reviderede ISO 27001:2022.
Bilag A 6.8 indeholder to yderligere overvejelser, der ikke findes i bilag A 16.1.2 og bilag A 16.1.3. Disse er:
- Systemændringer, som ikke er blevet behandlet af ændringskontrolproceduren.
- Mistænkt malware-infektion.
Til sidst er begge iterationer ret ens. De største forskelle er ændringen af kontrolnummeret, kontrolnavnet og sproget, der er mere tilgængeligt for brugerne. Desuden inkluderer ISO 27001:2022 en attributtabel og kontrolformål, funktioner overset i 2013-versionen.
Tabel over alle ISO 27001:2022 bilag A kontroller
I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Organisatoriske kontroller | Bilag A 5.1 |
Bilag A 5.1.1 Bilag A 5.1.2 |
Politikker for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.2 | Bilag A 6.1.1 | Informationssikkerhedsroller og -ansvar |
| Organisatoriske kontroller | Bilag A 5.3 | Bilag A 6.1.2 | Adskillelse af opgaver |
| Organisatoriske kontroller | Bilag A 5.4 | Bilag A 7.2.1 | Ledelsesansvar |
| Organisatoriske kontroller | Bilag A 5.5 | Bilag A 6.1.3 | Kontakt med myndigheder |
| Organisatoriske kontroller | Bilag A 5.6 | Bilag A 6.1.4 | Kontakt med særlige interessegrupper |
| Organisatoriske kontroller | Bilag A 5.7 | NY | Threat Intelligence |
| Organisatoriske kontroller | Bilag A 5.8 |
Bilag A 6.1.5 Bilag A 14.1.1 |
Informationssikkerhed i projektledelse |
| Organisatoriske kontroller | Bilag A 5.9 |
Bilag A 8.1.1 Bilag A 8.1.2 |
Fortegnelse over oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.10 |
Bilag A 8.1.3 Bilag A 8.2.3 |
Acceptabel brug af oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.11 | Bilag A 8.1.4 | Tilbagelevering af aktiver |
| Organisatoriske kontroller | Bilag A 5.12 | Bilag A 8.2.1 | Klassificering af oplysninger |
| Organisatoriske kontroller | Bilag A 5.13 | Bilag A 8.2.2 | Mærkning af information |
| Organisatoriske kontroller | Bilag A 5.14 |
Bilag A 13.2.1 Bilag A 13.2.2 Bilag A 13.2.3 |
Informationsoverførsel |
| Organisatoriske kontroller | Bilag A 5.15 |
Bilag A 9.1.1 Bilag A 9.1.2 |
Adgangskontrol |
| Organisatoriske kontroller | Bilag A 5.16 | Bilag A 9.2.1 | Identitetsstyring |
| Organisatoriske kontroller | Bilag A 5.17 |
Bilag A 9.2.4 Bilag A 9.3.1 Bilag A 9.4.3 |
Autentificeringsoplysninger |
| Organisatoriske kontroller | Bilag A 5.18 |
Bilag A 9.2.2 Bilag A 9.2.5 Bilag A 9.2.6 |
Adgangsrettigheder |
| Organisatoriske kontroller | Bilag A 5.19 | Bilag A 15.1.1 | Informationssikkerhed i leverandørforhold |
| Organisatoriske kontroller | Bilag A 5.20 | Bilag A 15.1.2 | Håndtering af informationssikkerhed inden for leverandøraftaler |
| Organisatoriske kontroller | Bilag A 5.21 | Bilag A 15.1.3 | Håndtering af informationssikkerhed i IKT-forsyningskæden |
| Organisatoriske kontroller | Bilag A 5.22 |
Bilag A 15.2.1 Bilag A 15.2.2 |
Overvågning, gennemgang og ændringsstyring af leverandørservices |
| Organisatoriske kontroller | Bilag A 5.23 | NY | Informationssikkerhed til brug af skytjenester |
| Organisatoriske kontroller | Bilag A 5.24 | Bilag A 16.1.1 | Informationssikkerhed Incident Management Planlægning og forberedelse |
| Organisatoriske kontroller | Bilag A 5.25 | Bilag A 16.1.4 | Vurdering og beslutning om informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.26 | Bilag A 16.1.5 | Reaktion på informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.27 | Bilag A 16.1.6 | Lær af informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.28 | Bilag A 16.1.7 | Indsamling af beviser |
| Organisatoriske kontroller | Bilag A 5.29 |
Bilag A 17.1.1 Bilag A 17.1.2 Bilag A 17.1.3 |
Informationssikkerhed under afbrydelse |
| Organisatoriske kontroller | Bilag A 5.30 | NY | IKT-beredskab til forretningskontinuitet |
| Organisatoriske kontroller | Bilag A 5.31 |
Bilag A 18.1.1 Bilag A 18.1.5 |
Juridiske, lovpligtige, regulatoriske og kontraktlige krav |
| Organisatoriske kontroller | Bilag A 5.32 | Bilag A 18.1.2 | Intellektuelle ejendomsrettigheder |
| Organisatoriske kontroller | Bilag A 5.33 | Bilag A 18.1.3 | Beskyttelse af optegnelser |
| Organisatoriske kontroller | Bilag A 5.34 | Bilag A 18.1.4 | Privatliv og beskyttelse af PII |
| Organisatoriske kontroller | Bilag A 5.35 | Bilag A 18.2.1 | Uafhængig gennemgang af informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.36 |
Bilag A 18.2.2 Bilag A 18.2.3 |
Overholdelse af politikker, regler og standarder for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.37 | Bilag A 12.1.1 | Dokumenterede driftsprocedurer |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| People Controls | Bilag A 6.1 | Bilag A 7.1.1 | Screening |
| People Controls | Bilag A 6.2 | Bilag A 7.1.2 | Ansættelsesvilkår |
| People Controls | Bilag A 6.3 | Bilag A 7.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| People Controls | Bilag A 6.4 | Bilag A 7.2.3 | Disciplinær proces |
| People Controls | Bilag A 6.5 | Bilag A 7.3.1 | Ansvar efter opsigelse eller ændring af ansættelse |
| People Controls | Bilag A 6.6 | Bilag A 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| People Controls | Bilag A 6.7 | Bilag A 6.2.2 | Fjernbetjening |
| People Controls | Bilag A 6.8 |
Bilag A 16.1.2 Bilag A 16.1.3 |
Informationssikkerhed begivenhedsrapportering |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Fysiske kontroller | Bilag A 7.1 | Bilag A 11.1.1 | Fysiske sikkerhedsomkredse |
| Fysiske kontroller | Bilag A 7.2 |
Bilag A 11.1.2 Bilag A 11.1.6 |
Fysisk adgang |
| Fysiske kontroller | Bilag A 7.3 | Bilag A 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| Fysiske kontroller | Bilag A 7.4 | NY | Fysisk sikkerhedsovervågning |
| Fysiske kontroller | Bilag A 7.5 | Bilag A 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| Fysiske kontroller | Bilag A 7.6 | Bilag A 11.1.5 | Arbejde i sikre områder |
| Fysiske kontroller | Bilag A 7.7 | Bilag A 11.2.9 | Clear Desk og Clear Screen |
| Fysiske kontroller | Bilag A 7.8 | Bilag A 11.2.1 | Udstyrsplacering og beskyttelse |
| Fysiske kontroller | Bilag A 7.9 | Bilag A 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| Fysiske kontroller | Bilag A 7.10 |
Bilag A 8.3.1 Bilag A 8.3.2 Bilag A 8.3.3 Bilag A 11.2.5 |
Storage Media |
| Fysiske kontroller | Bilag A 7.11 | Bilag A 11.2.2 | Understøttende hjælpeprogrammer |
| Fysiske kontroller | Bilag A 7.12 | Bilag A 11.2.3 | Kabler sikkerhed |
| Fysiske kontroller | Bilag A 7.13 | Bilag A 11.2.4 | Vedligeholdelse af udstyr |
| Fysiske kontroller | Bilag A 7.14 | Bilag A 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Teknologisk kontrol | Bilag A 8.1 |
Bilag A 6.2.1 Bilag A 11.2.8 |
Brugerendepunktsenheder |
| Teknologisk kontrol | Bilag A 8.2 | Bilag A 9.2.3 | Privilegerede adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.3 | Bilag A 9.4.1 | Begrænsning af informationsadgang |
| Teknologisk kontrol | Bilag A 8.4 | Bilag A 9.4.5 | Adgang til kildekode |
| Teknologisk kontrol | Bilag A 8.5 | Bilag A 9.4.2 | Sikker godkendelse |
| Teknologisk kontrol | Bilag A 8.6 | Bilag A 12.1.3 | Kapacitetsstyring |
| Teknologisk kontrol | Bilag A 8.7 | Bilag A 12.2.1 | Beskyttelse mod malware |
| Teknologisk kontrol | Bilag A 8.8 |
Bilag A 12.6.1 Bilag A 18.2.3 |
Håndtering af tekniske sårbarheder |
| Teknologisk kontrol | Bilag A 8.9 | NY | Configuration Management |
| Teknologisk kontrol | Bilag A 8.10 | NY | Sletning af oplysninger |
| Teknologisk kontrol | Bilag A 8.11 | NY | Datamaskering |
| Teknologisk kontrol | Bilag A 8.12 | NY | Forebyggelse af datalækage |
| Teknologisk kontrol | Bilag A 8.13 | Bilag A 12.3.1 | Backup af information |
| Teknologisk kontrol | Bilag A 8.14 | Bilag A 17.2.1 | Redundans af informationsbehandlingsfaciliteter |
| Teknologisk kontrol | Bilag A 8.15 |
Bilag A 12.4.1 Bilag A 12.4.2 Bilag A 12.4.3 |
Logning |
| Teknologisk kontrol | Bilag A 8.16 | NY | Overvågningsaktiviteter |
| Teknologisk kontrol | Bilag A 8.17 | Bilag A 12.4.4 | Ursynkronisering |
| Teknologisk kontrol | Bilag A 8.18 | Bilag A 9.4.4 | Brug af privilegerede hjælpeprogrammer Adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.19 |
Bilag A 12.5.1 Bilag A 12.6.2 |
Installation af software på operationelle systemer |
| Teknologisk kontrol | Bilag A 8.20 | Bilag A 13.1.1 | Netværkssikkerhed |
| Teknologisk kontrol | Bilag A 8.21 | Bilag A 13.1.2 | Sikkerhed af netværkstjenester |
| Teknologisk kontrol | Bilag A 8.22 | Bilag A 13.1.3 | Adskillelse af netværk |
| Teknologisk kontrol | Bilag A 8.23 | NY | Webfiltrering |
| Teknologisk kontrol | Bilag A 8.24 |
Bilag A 10.1.1 Bilag A 10.1.2 |
Brug af kryptografi |
| Teknologisk kontrol | Bilag A 8.25 | Bilag A 14.2.1 | Sikker udviklingslivscyklus |
| Teknologisk kontrol | Bilag A 8.26 |
Bilag A 14.1.2 Bilag A 14.1.3 |
Applikationssikkerhedskrav |
| Teknologisk kontrol | Bilag A 8.27 | Bilag A 14.2.5 | Principper for sikker systemarkitektur og -teknikLæring af informationssikkerhedshændelser |
| Teknologisk kontrol | Bilag A 8.28 | NY | Sikker kodning |
| Teknologisk kontrol | Bilag A 8.29 |
Bilag A 14.2.8 Bilag A 14.2.9 |
Sikkerhedstest i udvikling og accept |
| Teknologisk kontrol | Bilag A 8.30 | Bilag A 14.2.7 | Udliciteret udvikling |
| Teknologisk kontrol | Bilag A 8.31 |
Bilag A 12.1.4 Bilag A 14.2.6 |
Adskillelse af udviklings-, test- og produktionsmiljøer |
| Teknologisk kontrol | Bilag A 8.32 |
Bilag A 12.1.2 Bilag A 14.2.2 Bilag A 14.2.3 Bilag A 14.2.4 |
Change Management |
| Teknologisk kontrol | Bilag A 8.33 | Bilag A 14.3.1 | Testinformation |
| Teknologisk kontrol | Bilag A 8.34 | Bilag A 12.7.1 | Beskyttelse af informationssystemer under revisionstest |
Hvem er ansvarlig for denne proces?
Informationssikkerhed er et samarbejde, og alle medlemmer af organisationen bør involveres. Ikke desto mindre er der flere personer, der fungerer som den første forsvarslinje under sikkerhedshændelser. Disse personer er ansvarlige for at sikre sig den rette kontakt til rapportering og håndtering af reaktionen på hændelsen for at forhindre gentagelse.
Hvem er de første, der reagerer? Dette varierer afhængigt af organisationen, men omfatter typisk:
Chief Information Security Officer (CISO) er ansvarlig for informationssikkerheden i deres organisation. De arbejder sammen med den øverste ledelse for effektivt at reducere og håndtere eventuelle risici.
Informationssikkerhedschef overvåger rutinemæssigt daglige aktiviteter, såsom overvågning af systemer og håndtering af hændelser, herunder indlevering af billetter til andre teams.
Chief Human Resources Officer (CHRO) har det overordnede ansvar for menneskelige ressourcer, der dækker rekruttering, fastholdelse af medarbejdere, fordelsstyring og medarbejdertræningsprogrammer. De spiller en nøglerolle i at træffe ansættelsesbeslutninger og fremme bevidstheden blandt personalet om rapportering af sikkerhedshændelser.
[case_study_slider ids=”88859,101932,92016″ autoplay=”sand” autoplay_speed=”5000″]
Hvad betyder disse ændringer for dig?
For at overholde ISO 27001:2022-revisionen skal du blot sikre dig, at dine informationssikkerhedsprocesser forbliver opdaterede. Der blev ikke foretaget væsentlige ændringer.
Hvis du har erhvervet en ISO 27001 certificering, bør din nuværende tilgang til informationssikkerhedsstyring være i overensstemmelse med de nye standarder. Bekræft, at rapportering af informationssikkerhedshændelser er indarbejdet i din virksomheds strategi.
Når du begynder på ny, skal du henvise til detaljerne i den reviderede standard.
Se vores ISO 27001:2022-vejledning for at få flere oplysninger om, hvordan ændringer i bilag A 6.8 vil påvirke din virksomhed.
Hvordan ISMS.Online hjælper
ISO 27001 er en ramme for informationssikkerhedsstyring, der hjælper organisationer med at etablere et vellykket ISMS. Denne standard skitserer krav til opbygning af et ISMS i en organisation.
Hos ISMS.online hjælper vores cloud-baserede platform med at konstruere, opretholde og vurdere en ISO 27001 standardbaseret informationssikkerhedsstyringssystem (ISMS). Vi tilbyder tilpassede skabeloner og værktøjer til at overholde ISO 27001-reglerne.
Denne platform giver dig mulighed for at konstruere et ISMS, der overholder den internationale standard, og bruge de leverede tjeklister til at sikre, at din informationssikkerhedsstyring er op til standarden. Desuden kan du udnytte ISMS.online til risiko- og sårbarhedsvurdering for at opdage eventuelle svage punkter i din eksisterende infrastruktur, som kræver akut opmærksomhed.
ISMS.online giver ressourcerne til at demonstrere overholdelse af ISO 27001. Ved at bruge disse værktøjer kan du bevise overholdelse af den internationalt anerkendte standard.
Kontakt os nu for at reservere en demonstration.