Formål med kontrol 5.22
Kontrol 5.22 fastlægger de metoder, organisationer bør anvende, når de overvåger, gennemgår og administrerer ændringer i en leverandørs informationssikkerhedspraksis og serviceleveringsstandarder og vurderer indvirkningen på organisationens egne niveauer af informationssikkerhed.
Når du administrerer forhold til deres leverandører, bør en organisation søge at opretholde et basisniveau for informationssikkerhed, der overholder eventuelle aftaler, der er indgået.
5.22 er en forebyggende kontrol at ændrer risikoen ved at opretholde et ”aftalt niveau for informationssikkerhed og servicelevering” fra leverandørens side.
Kontrolattributter 5.22
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #Sikkerhed for leverandørforhold | #Governance og økosystem |
| #Integritet | #Beskyttelse | |||
| #Tilgængelighed | #Forsvar | |||
| #Informationssikkerhedsgaranti |
Ejerskab af kontrol 5.22
Ejerskab af kontrol 5.22 bør ligge hos et medlem af senior ledelse, der fører tilsyn med en organisations kommercielle drift, og opretholder et direkte forhold til en organisations leverandører, såsom en Chief Operating Officer.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 5.22
Kontrol 5.22 indeholder 13 hovedområder, der organisationer har brug for at overveje, når de håndterer leverandørforhold, og hvilken effekt de har på deres egne informationssikkerhedsstandarder.
Organisationer skal tage skridt til at sikre, at medarbejdere, der er ansvarlige for at administrere SLA'er og leverandørrelationer, har de nødvendige niveauer af færdigheder og tekniske ressourcer til at kunne vurdere leverandørens ydeevne tilstrækkeligt, og at informationssikkerhedsstandarderne ikke bliver overtrådt.
Organisationer bør udarbejde politikker og procedurer, som:
- Overvåg konstant serviceniveauer i overensstemmelse med offentliggjorte SLA'er, og eventuelle mangler bliver rettet.
- Overvåg eventuelle ændringer foretaget af leverandøren i deres egen drift, herunder (men ikke begrænset til):
a) Serviceforbedringer
b) Introduktionen af nye applikationer, systemer eller softwareprocesser
c) Relevante og meningsfulde revisioner af leverandørens interne styringsdokumenter
d) Enhver incident management procedureændringer eller bestræbelser på at øge niveauet af informationssikkerhed - Overvåg eventuelle tjenestespecifikke ændringer, herunder (men ikke begrænset til):
a) Infrastrukturændringer
b) Anvendelse af nye teknologier
c) Udrulningen af produktopdateringer eller versionsopgraderinger
d) Ændringer i udviklingsmiljøet
e) Logistiske og fysiske ændringer af leverandørfaciliteter, herunder nye lokationer
f) Eventuelle ændringer af outsourcing partnere eller underleverandører
g) Hensigten om at udlicitere, hvor praksis ikke tidligere var på plads - Bed om regelmæssige servicerapporter, analyser data og deltag i revisionsmøder i overensstemmelse med aftalte serviceniveauer.
- Revision outsourcing partnere og underleverandører og forfølge eventuelle områder til bekymring.
- Gennemgå sikkerhedshændelser i overensstemmelse med aftalte Incident Management-standarder og -praksis samt leverandøraftalen.
- Oprethold en grundig registrering af informationssikkerhedshændelser, håndgribelige driftsproblemer, fejllogfiler og generelle barrierer for de aftalte serviceleverancestandarder.
- Reager proaktivt på og tag afhjælpende foranstaltninger mod informationssikkerhedsrelaterede hændelser.
- Fremhæv evt informationssikkerhedssårbarheder og afbøde dem i videst muligt omfang.
- Analyser eventuelle relevante informationssikkerhedsfaktorer, der er iboende i leverandørens forhold til sine egne leverandører og underleverandører.
- Sikre, at serviceleverancen leveres til acceptable niveauer efter betydelige afbrydelser på leverandørsiden, herunder katastrofeoprettelse.
- Skitsér nøglepersoner i leverandørens drift, som er ansvarlige for at opretholde overholdelse og overholde vilkårene i en aftale.
- Regelmæssig revision en leverandørs evne til at opretholde en grundlæggende informationssikkerhedsstandard.
Understøttende kontroller
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.
Nogle af de vigtigste fordele ved at bruge ISMS.online inkluderer:
- Du kan opbyg dit ISO 27001-kompatible ISMS inden for platformen.
- Brugere kan udføre opgaver og indsende bevis for at påvise overholdelse af standarden.
- Det er nemt at uddelegere ansvar og overvåge fremskridt hen imod overholdelse.
- Det omfattende risikovurderingsværktøj sparer tid og kræfter gennem hele processen.
- Vi har en dedikeret team af konsulenter klar til at støtte dig gennem hele din rejse til overholdelse.
Kontakt i dag for book en demo.
