Formål med kontrol 5.29
På trods af den brede vifte af forebyggende foranstaltninger, der er tilgængelige for organisationer, der er ISO 27002: 2022 i overensstemmelse med afbrydelser af forretningskontinuitet og standarddrift kan og forekommer.
Kontrol 5.29 skitserer de operationelle justeringer, som organisationer bør anvende, når de oplever forstyrrelser, for at sikre information og beskytte virksomhedens aktiver.
Attributter tabel
5.22 er et dobbelt formål forebyggende og korrigerende kontrollere det fastholder risiko ved at implementere en plan, der forbedrer informationssikkerheden i perioder med forstyrrelser og afbøder skader på tværs af organisatoriske aktiver.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Kontinuitet | #Beskyttelse |
| #Korrigerende | #Integritet | #Svare | #Modstandsdygtighed | |
| #Tilgængelighed |
Ejerskab af kontrol 5.29
Kontrol 5.29 henviser til operationel informationssikkerhedsproces og -procedurer som aktiveres, når der opstår kritiske hændelser eller forretningsforstyrrelser.
Som sådan bør ejerskabet af kontrol 5.29 ligge hos et medlem af de øverste ledelsesteams, som fører tilsyn med organisationens daglige drift og/eller kontinuitetsplanlægningsberedskab, som f.eks. Chief Operating Officer (COO).
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 5.29
Kontrol 5.29 fastslår, at informationssikkerhed bør være en del af en organisations bredere forretningskontinuitetsstyringsprocedure.
Organisationer bør udarbejde planer, der søger at opretholde informationssikkerhedsintegritet, og efterfølgende gendanne den, hvis informationen på nogen måde kompromitteres efter driftsafbrydelse eller systemfejl.
Sikkerhedsniveauet bør gendannes til niveauet før afbrydelsen og rettidigt, der afbøder enhver yderligere skade.
I den forbindelse bør organisationer:
- Implementer og vedligehold generelle informationssikkerhedskontroller, herunder forretningssystemer og IKT-platforme indeholdt i organisationens bredere kontinuitetsplaner.
- Implementer processer, der søger at opretholde informationssikkerhedskontroller under enhver forstyrrelse.
- Hvis det er relevant, skal du implementere kompenserende kontroller for enhver informationssikkerhedsrelateret indsats, der ikke kan opretholdes i en periode med afbrydelse.
Supplerende vejledning
Kontrol 5.29 anerkender kontinuitetsplanlægningens meget varierende karakter og giver organisationer betydeligt spillerum til at implementere informationssikkerhed kontroller, der er specifikke for de forskellige former for forretningsforstyrrelser, som organisationer kan opleve.
ISO beder organisationen om at fokusere på to nøgleområder, hvornår udarbejdelse af en forretningskontinuitetsplan:
a) tab af fortrolighed
b) informations integritet
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-5.29 erstatter følgende tre kontroller fra 27002:2013:
- 17.1 - Planlægning af informationssikkerhed kontinuitet
- 17.1.2 – Implementering af informationssikkerhedskontinuitet
- 17.1.3 – Verificere, gennemgå og evaluere kontinuiteten i informationssikkerheden
I erkendelse af den komplekse karakter af forretningskontinuitetsplaner – og hvordan de adskiller sig afhængigt af forskellige former for afbrydelser – har ISO forenklet deres vejledning ved at gå væk fra en detaljeret tilgang og bede organisationer om i stedet at overveje nogle få grundlæggende punkter, når de udarbejder fagspecifikke planer (se ovenfor).
For eksempel hedder det i en del af vejledningen i 17.1.2, at:
”hændelsesberedskabspersonale med det nødvendige ansvar, autoritet og kompetence til at håndtere en hændelse og opretholde informationssikkerhed er nomineret”.
På trods af deres betydning i effektiv kontinuitetsplanlægning nævner 5.29 ingen specifik omtale af hændelsesresponsteams og stoler på, at organisationen overvejer dem under alle punkter i vejledningsnoterne, mere specifikt:
- Implementer og vedligehold generelle informationssikkerhedskontroller, herunder forretningssystemer og IKT-platforme indeholdt i organisationens bredere kontinuitetsplaner.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
En cloud-baseret platform til ISO 27002 implementering, ISMS.online, hjælper dig med at administrere dine processer til håndtering af informationssikkerhedsrisici nemt og effektivt.
ISMS.online platform leverer en række kraftfulde værktøjer, der forenkler den måde, hvorpå du kan dokumentere, implementere, vedligeholde og forbedre dit informationssikkerhedsstyringssystem (ISMS) og opnå overholdelse af ISO 27002.
Kontakt i dag for book en demo.
