ISO 27002:2022 – Kontrol 5.24 – Informationssikkerhed Incident Management Planlægning og forberedelse

Formål med kontrol 5.24

Kontrol 5.24 omhandler informationssikkerhed under paraplyen Incident Management.

Kontrol 5.24 beskriver, hvordan organisationer bør håndtere informationssikkerhedshændelser gennem tilstrækkelig planlægning og forberedelse, ved at skabe effektive processer og detaljere, hvordan personalet skal reagere på hændelser baseret på klart definerede roller og ansvar.

Gennem hele vejledningen lægges der vægt på konstruktiv kommunikation og fremme af en professionel reaktion på, hvad der ofte er højtryksscenarier, især når der er tale om kommercielt følsomme data eller PII.

5.24 er en korrigerende kontrol at fastholder risiko ved at etablere et fælles sæt Incident Management-procedurer, der afbøder enhver kommerciel eller operationel skade forårsaget af kritiske informationssikkerhedshændelser.

Kontrolattributter 5.24

Ejerskab af kontrol 5.24

Incident Management, i bredere termer, er normalt anvendelig til servicerelaterede hændelser. I betragtning af at kontrol 5.24 specifikt omhandler informationssikkerhedsrelaterede hændelser og brud, under hensyntagen til disse begivenheders meget følsomme karakter, bør ejerskabet af kontrol 5.24 ideelt set ligge hos en CISOeller tilsvarende organisatorisk.

Da CISO'er normalt kun ses i større virksomheder og organisationer på virksomhedsniveau, kunne ejerskabet også ligge hos COO eller service managerafhængigt af organisationens art.

Vejledning – Roller og ansvar

Incident Management giver de bedste resultater, når en organisations medarbejdere arbejder sammen om at løse et specifikt problem.

For at opnå det specificerer Control 5.24 5 hovedvejledningspunkter, der hjælper organisationer med at skabe en sammenhængende, effektiv IM-operation.

Organisationer bør:

1. Aftal og dokumenter en homogen metode til rapportering af informationssikkerhedshændelser. Dette bør også omfatte etablering af et hovedkontaktpunkt for alle sådanne hændelser, der skal rapporteres til.
2. Etabler en række hændelser Ledelsesprocesser, der styrer informationssikkerhed relaterede hændelser inden for forskellige tekniske og administrative funktioner:

   a) Administration
   b) Dokumentation
   c) Detektion
   d) Triage
   e) Prioritering
   f) Analyse
   g) Kommunikation

3. Formuler en hændelsesprocedure, der gør det muligt for organisationen at vurdere og reagere på hændelser. Organisationer bør også være opmærksomme på behovet at lære af hændelser, når de er løst, for at afbøde enhver gentagelse og give personalet historisk kontekst i fremtidige scenarier.
4. Begræns involveringen i hændelser til uddannet og kompetent personale, som nyder fuld adgang til proceduredokumentation og nyder godt af regelmæssig genopfriskningstræning, der specifikt vedrører informationssikkerhedshændelser.
5. Etabler en proces, der identificerer uddannelsesbehovene for hvert medlem af personalet, der er involveret i at løse informationssikkerhedsrelaterede hændelser. Dette bør omfatte eventuelle leverandørspecifikke eller professionelle certificeringer og give personalet mulighed for at fremhæve eventuelle faglige udviklingsbehov i forbindelse med informationssikkerhed.

Vejledning – Incident Management

Målet med en organisations hændelseshåndteringsproces bør være at sikre, at alle dem, der er ansvarlige for at løse informationssikkerhedshændelser, har en solid forståelse af tre hovedområder:

• Den tid det tager at løse en hændelse
• Eventuelle potentielle konsekvenser
• Hændelsens alvor

Alle processer bør fungere i harmoni for at sikre, at disse tre variabler forbliver en topprioritet.

Kontrol 5.24 skitserer 8 hovedaktiviteter, der bør behandles, når man forsøger at løse informationssikkerhedsrelaterede hændelser.

1. Potentielle informationssikkerhedshændelser bør vurderes i overensstemmelse med strenge kriterier, der validerer dem som en godkendt hændelse.
2. Håndtering af informationssikkerhedshændelser og hændelser bør kategoriseres i 5 hovedunderemner, enten manuelt eller via procesautomatisering:

   a) Overvågning (se kontrol 8.15 og 8.16)
   b) Detektion (se kontrol 8.16)
   c) Klassificering (se kontrol 5.25)
   d) Analyse
   e) Rapportering (se kontrol 6.8)

3. Når de forsøger at bringe informationssikkerhedshændelser til en vellykket afslutning, bør organisationer implementere procedurer, der vedtager følgende:

   a) Reaktion og eskalering (se kontrol 5.26) i overensstemmelse med typen af ​​hændelse
   b) Aktivering af krisehåndteringsplaner el forretningskontinuitetsplaner, fra sag til sag
   c) Administreret genopretning fra en hændelse, der afbøder enhver operationel/økonomisk skade forårsaget
   d) Grundig kommunikation af hændelsesrelaterede hændelser til alle interne og eksterne parter

4. Samarbejde med internt og eksternt personale (se kontrol 5.5 og 5.6).
5. Grundig, tilgængelig og gennemsigtig logning af alle hændelsesstyrede aktiviteter.
6. Ansvarlig håndtering af bevismateriale (herunder data og samtaler), i overensstemmelse med interne og eksterne retningslinjer og regler (se Kontrol 5.28).
7. Grundårsagsanalyse og en grundig gennemgangsprocedure, når hændelsen er løst.
8. En omfattende registrering af eventuelle forbedringer, der er nødvendige for at forhindre hændelsen i at gentage sig, herunder eventuelle ændringer af selve hændelseshåndteringsprocessen.

Vejledning – Rapportering

Rapportering er et væsentligt element i enhver hændelse Ledelsespolitik der sikrer, at oplysningerne formidles præcist i en organisation. Rapporteringsaktiviteter bør fokuseres omkring 4 hovedområder:

1. Eventuelle handlinger, der skal udføres, når en informationssikkerhedsbegivenhed indtræffer.
2. Hændelsesskemaer, der giver et klart og præcist middel til at registrere information og støtte personalet i udførelsen af ​​deres opgaver.
3. Feedbackprocesser for at sikre, at personalet får besked om udfaldet af informationssikkerhedshændelser, når hændelsen er blevet løst.
4. Hændelsesrapporter, der dokumenterer alle relevante oplysninger vedrørende en hændelse.

Det skal bemærkes, at Kontrol 5.24 ikke indeholder nogen vejledning om, hvordan man opfylder eksterne krav til, hvordan hændelser rapporteres (f.eks. regulatoriske retningslinjer og/eller gældende lovgivning), men organisationer bør tage skridt til at dele oplysninger vedrørende hændelser med alle relevante parter, og koordinere et svar, der opfylder alle lovgivningsmæssige, sektorspecifikke og lovmæssige krav.

Understøttende kontroller

• 5.25
• 5.26
• 5.5
• 5.6
• 6.8
• 8.15
• 8.16

Ændringer og forskelle fra ISO 27002:2013

27002:2022-5.24 erstatter 27002:2013-16.1.1 (Styring af informationssikkerhedshændelser og forbedringer – Ansvar og procedurer).

27002:2022-5.24 anerkender behovet for, at organisationer gennemgår en grundig forberedelse for at forblive modstandsdygtig og kompatibel i forhold til potentielle informationssikkerhedshændelser.

Som sådan tilbyder 27002:2022-5.24 en langt mere omfattende opdeling af de trin, som organisationer skal tage på tværs af rolledelegering, hændelsesstyring og rapporteringsfunktioner med specifik henvisning til andre ISO kontroller som hjælper organisationer med at få et mere afrundet syn på hændelseshåndtering som helhed, ikke kun relateret til informationssikkerhedshændelser.

For at hjælpe organisationen med at opdele deres hændelseshåndteringsoperationer afviger 27002:2022-5.24 fra 27002:2013-16.1.1 ved at fokusere på tre forskellige områder, der skal overvejes:

• Roller og ansvar
• Incident management processer
• Rapportering

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Når du bruger ISMS.online, du vil være i stand til:

• Opret en ISMS, der er kompatibel med ISO 27001 standarder.
• Udfør opgaver og indsend bevis for, at de har opfyldt kravene i standarden.
• Tildel opgaver og spor fremskridt hen imod overholdelse af loven.
• Få adgang til et specialiseret team af rådgivere, der vil hjælpe dig hele vejen mod overholdelse.

Kontakt i dag for book en demo.