ISO 27001:2022 Bilag A 5.37 – Dokumenterede driftsprocedurer

Hvad er formålet med ISO 27001:2022 Annex A 5.37?

ISO 27001:2022 Bilag A 5.37 beskriver informationssikkerhed som en operationel aktivitet, hvor dens bestanddele udføres og/eller administreres af enkeltpersoner.

Bilag A 5.37 beskriver de operationelle procedurer for vedligeholdelse af en organisations informationssikkerhedsfacilitet i henhold til dens dokumenterede behov for at sikre, at den forbliver effektiv og sikker.

Hvem har ejerskab til bilag A 5.37?

Bilag A 5.37 dækker forskellige omstændigheder, der kan involvere flere afdelinger og jobroller. Når det er sagt, er det sikkert at antage, at de fleste af procedurerne vil påvirke IKT-personale, udstyr og systemer.

Et seniorledelsesmedlem med ansvar for alle IKT-relaterede aktiviteter, såsom Leder af it, bør være ansvarlig for ejerskab af bilag A 5.37.

Generel vejledning om bilag A 5.37

Informationssikkerhedsrelaterede procedurer bør udvikles baseret på fem centrale operationelle overvejelser:

1. Forekomster af en aktivitet udført af en eller flere personer på samme måde.
2. Når en aktivitet udføres sjældent.
3. Når der er procedurer, der risikerer at blive glemt.
4. Nye aktiviteter, som medarbejderne ikke kender til og derfor har en højere risiko.
5. Når ansvaret for at udføre en aktivitet overdrages til en anden medarbejder eller gruppe af medarbejdere.

Hvor disse tilfælde opstår, bør driftsprocedurerne klart skitsere, hvad der skal gøres i disse situationer:

• Personer, der er ansvarlige – uanset om de er etablerede eller nye operatører.
• Retningslinjer for opretholdelse af sikkerhed under installation og konfiguration af relaterede forretningssystemer.
• Gennem hele aktiviteten, hvordan information behandles.
• BUDR-planer og implikationer i tilfælde af datatab eller en katastrofehændelse (se Bilag A 8.13).
• Der bør være en forbindelse mellem afhængigheder og ethvert andet system, herunder planlægning.
• Der skal være en klar procedure for håndtering af "håndteringsfejl" eller diverse hændelser, der kan opstå (se Bilag A 8.18).
• Der bør være en komplet liste over personale, der skal kontaktes i tilfælde af forstyrrelser, sammen med klare eskaleringsprocedurer.
• Driftsvejledninger for evt lagringsmedier forbundet med aktiviteten (se Bilag A 7.10 og Bilag A 7.14).
• I tilfælde af en systemfejl, hvordan genstartes og genoprettes.
• Logning af revisionsspor, inklusive system- og hændelseslogfiler (se Bilag A 8.15 og Bilag A 8.17).
• Observationssystemer for aktiviteter på stedet, der finder sted (se Bilag A 7.4).
• Et robust overvågningssystem, der tager højde for den operationelle kapacitet, ydeevne og sikkerhed for aktiviteten.
• For at opretholde optimale præstationsniveauer er det vigtigt at vide, hvad der skal gøres for at opretholde aktiviteten.

Ovenstående tilgange bør underkastes periodiske og/eller ad hoc-revisioner, når og når det er påkrævet. Alle ændringer i procedurerne bør ratificeres af ledelsen omgående for at sikre alle informationssikkerhedsaktiviteter, der udføres i organisationen.

Hvad er ændringerne fra ISO 27001:2013?

ISO 27001:2022 Bilag A 5.37 erstatter ISO 27001:2013 Bilag A 12.1.1 ('Dokumenterede driftsprocedurer').

ISO 27001:2022 Bilag A 5.37 udvider ISO 27001:2013 Bilag A 12.1.1 ved at tilbyde et meget bredere sæt af omstændigheder, der vil berettige overholdelse af en dokumenteret procedure.

ISO 27001:2013 Annex A 12.1.1 skitserer informationsbehandlingsaktiviteter såsom computerstart og -nedlukning, backup, udstyrsvedligeholdelse og mediehåndtering. I modsætning, ISO 27001: 2022 Bilag A 5.37 udvider kontrollens omfang til generelle aktiviteter, der ikke er begrænset til specifikke tekniske funktioner.

Bortset fra nogle få mindre tilføjelser, såsom kategorisering af de personer, der er ansvarlige for en aktivitet, indeholder ISO 27001:2022 Annex A 5.37 de samme generelle vejledningspunkter som ISO 27001:2013 Annex A 12.1.1

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISO 27001:2022 implementering er forenklet med vores trinvise tjekliste, der guider dig gennem alle faser, fra at definere omfanget af dit ISMS til at identificere risici og implementere kontroller.

Fordelene ved ISMS.online inkluderer:

• Overholdelse kan påvises gennem udførelse af opgaver og indsendelse af beviser.
• Overvågning af overholdelsesfremskridt og uddelegering af ansvar er let.
• Der spares tid og kræfter hele vejen igennem risikovurdering proces med det omfattende risikovurderingsværktøj.
• Vi har et dedikeret team af konsulenter til rådighed under hele din compliance-rejse til at hjælpe.

Kontakt i dag for book en kort 30-minutters demo.