ISO 27001:2022 Bilag A 6.4 – Disciplinær proces

• Se ISO 27002:2022 Kontrol 6.4 for mere information.
• Se ISO 27001:2013 Bilag A 7.2.3 for mere information.

Hvad er ISO 27001:2022 Annex A 6.4?

ISO 27001:2022 Bilag A 6.4 kræver, at organisationer etablerer en disciplinær proces for at virke afskrækkende over for informationssikkerhed overtrædelser.

Formel kommunikation af denne proces bør implementeres, og der bør etableres en sanktion, der er egnet til medarbejdere og andre interessenter, der overtræder informationssikkerhedspolitikken.

Overtrædelse af informationssikkerheden forklaret

Information sikkerhedspolitik overtrædelser udgør en overtrædelse af reglerne for forsvarlig behandling af oplysninger. Organisationer etablerer disse politikker for at beskytte fortrolige, proprietære og personlige data, såsom kunderegistre og kreditkortnumre. Derudover er computersikkerhedspolitikker også inkluderet i disse for at sikre, at data gemt på computere forbliver sikre og intakte.

Hvis du bruger virksomhedens e-mail til at sende personlig kommunikation uden tilladelse fra din supervisor, kan dette udgøre et brud på virksomhedens politik. Skulle du desuden begå en fejl, mens du bruger virksomhedens udstyr eller software, hvilket resulterer i skader på enten udstyret eller de data, der er lagret på det, er dette også et brud på informationssikkerhedspolitikken.

Hvis en medarbejder overtræder en organisations informationssikkerhedspolitik, kan det medføre disciplinære handlinger eller afskedigelse. I visse situationer kan en virksomhed vælge ikke at afskedige en medarbejder, der bryder sin computerbrugspolitik, men at tage andre passende skridt for at stoppe enhver yderligere overtrædelse af virksomhedens politik.

Formålet med ISO 27001:2022 bilag A 6.4?

Formålet med den disciplinære proces er at sikre, at personale og andre interesserede parter anerkender resultaterne af et brud på informationssikkerhedspolitikken.

Bilag A 6.4 er designet til både at afskrække og hjælpe med at håndtere enhver overtrædelse af informationssikkerhedspolitikker og sikre, at medarbejdere og andre relaterede interessenter er opmærksomme på konsekvenserne.

Et effektivt informationssikkerhedsprogram skal omfatte kapaciteten til at administrere passende disciplinære foranstaltninger for arbejdstagere, der overtræder reglerne om informationssikkerhed. Dette sikrer, at personalet forstår implikationerne af at se bort fra foruddefinerede regler, hvilket mindsker sandsynligheden for bevidst eller utilsigtet datalækage.

Eksempler på aktiviteter, der kunne inkluderes, mens denne kontrol håndhæves, er:

• Gennemfør regelmæssige træningssessioner for at holde personalet opdateret om politikændringer.
• Design disciplinære foranstaltninger for manglende overholdelse af informationssikkerhedspolitikker.
• Giv hver medarbejder en kopi af organisationens disciplinære procedurer.
• I lignende situationer skal du sikre dig, at disciplinære procedurer følges konsekvent.

De disciplinære foranstaltninger, der er skitseret i rammen, bør implementeres hurtigt efter en hændelse for at modvirke yderligere brud på organisationens politikker.

Hvad er involveret, og hvordan man opfylder kravene

At møde kravene i bilag A 6.4, skal der træffes disciplinære foranstaltninger, når der er bevis for ikke at overholde organisationens politikker, procedurer eller regler. Dette omfatter også enhver gældende lovgivning og regler.

I henhold til bilag A 6.4 skal den formelle disciplinære proces tage højde for følgende elementer, når der tages en gradueret tilgang:

• Der skal tages hensyn til omfanget af bruddet, dets karakter, alvor og konsekvenser.
• Om lovovertrædelsen var bevidst eller utilsigtet.
• Uanset om dette er den første eller gentagelsesforseelse.
• Det skal overvejes, om overtræderen har fået tilstrækkelig oplæring.

Overvej alle relevante juridiske, lovgivningsmæssige, regulatoriske, kontraktlige og virksomhedsmæssige forpligtelser samt alle andre relevante faktorer, når du handler.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 6.4 erstatter ISO 27001:2013 Bilag A 7.2.3 i den reviderede 2022-version af ISO 27001.

ISO 27001:2022 anvender et brugervenligt sprog for at sikre, at standardens brugere kan forstå dens indhold. Der er mindre variationer i ordlyden, men den overordnede kontekst og indhold forbliver det samme.

Den eneste forskel, du vil observere, er, at bilag A-kontrolnummeret er blevet ændret fra 7.2.3 til 6.4. Desuden har 2022-standarden den ekstra fordel af en attributtabel og en formålserklæring, som er fraværende i 2013-versionen.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.

Hvem er ansvarlig for denne proces?

I de fleste tilfælde overvåges den disciplinære proces af afdelingslederen eller HR-repræsentanten. Det er ikke ualmindeligt, at HR-repræsentanten giver ansvaret for disciplinære handlinger til en anden i organisationen, som en informationssikkerhedsekspert.

Det primære mål med disciplinære handlinger er at beskytte organisationen mod eventuelle yderligere krænkelser fra personalemedlemmet. Det har endvidere til formål at afskrække enhver yderligere forekomst af lignende hændelser ved at sikre, at alle medarbejdere er opmærksomme på betydningen af ​​brud på informationssikkerheden.

Det er vigtigt for enhver organisation at sikre, at der træffes disciplinære foranstaltninger, når en medarbejder har overtrådt nogen af ​​dens politikker eller procedurer. For at sikre dette skal der etableres en klar vejledning om, hvordan sådanne situationer håndteres, herunder instrukser om, hvordan undersøgelser skal udføres, og hvilke handlinger der skal foretages efterfølgende.

Hvad betyder disse ændringer for dig?

Hvis du overvejer, hvordan disse ændringer påvirker dig, er her en kort oversigt over de mest kritiske punkter:

• Ingen grund til at gencertificere; det er kun en mindre ændring.
• Behold din nuværende certificering, indtil den udløber, forudsat at den forbliver gyldig.
• Der er ikke foretaget større ændringer af ISO 27001:2022 Annex A 6.4.
• Målet er at bringe standarden i overensstemmelse med den mest opdaterede bedste praksis og standarder.

Hvis du sigter efter at vinde ISMS certificering, bør du vurdere dine sikkerhedsforanstaltninger for at sikre, at de overholder den reviderede standard.

For at få indsigt i den indflydelse, den nye ISO 27001:2022 kan have på dine datasikkerhedsprocedurer og ISO 27001-akkreditering, henvises til vores gratis ISO 27001:2022-vejledning.

Hvordan ISMS.Online Hjælp

ISMS.online er førende ISO 27001 management system software, der hjælper med at overholde ISO 27001-standarden. Det hjælper virksomheder med at sikre, at deres sikkerhedspolitikker og -procedurer er i overensstemmelse med kravet.

Denne skybaseret platform tilbyder et komplet udvalg af værktøjer til at hjælpe organisationer med at etablere et Information Security Management System (ISMS) baseret på ISO 27001.

Disse værktøjer består af:

• Et bibliotek med skabeloner til ofte stødte på virksomhedsdokumenter er tilgængeligt.
• En samling af præ-etablerede retningslinjer og protokoller er på plads.
• Et revisionsværktøj til at lette interne revisioner er tilgængeligt.
• Der er en grænseflade til at tilpasse politikker og procedurer til Information Security Management System (ISMS).
• Alle ændringer af politikker og procedurer skal godkendes gennem en workflow-proces.
• Opret en liste for at sikre, at dine politikker og informationsbeskyttelsesforanstaltninger er i overensstemmelse med internationale standarder.

ISMS.Online giver brugerne mulighed for at:

• Håndter alle områder af ISMS livscyklus med lethed.
• Få øjeblikkelig forståelse af deres sikkerhedsstatus og overholdelsesproblemer.
• Integrer med andre systemer såsom HR, økonomi og projektledelse.
• Sikre overensstemmelse af ISMS til ISO 27001 kriterier.

ISMS.Online tilbyder råd om, hvordan du eksekverer dit ISMS optimalt, med vejledning om udformning af politikker og protokoller forbundet med risikostyring, uddannelse af personales sikkerhedsbevidsthed og forberedelse af hændelsesreaktioner.

Kontakt os nu for at planlægge en demonstration.