ISO 27002:2022, Kontrol 5.30 – IKT-beredskab til forretningskontinuitet

Generel vejledning om kontrol 5.30

Processer og procedurer oprettet gennem kontrol 5.30 bør udarbejdes efter en grundig BIA, der overvejer, hvordan en organisationens behov at reagere, når man oplever driftsforstyrrelser.

En BIA bør gøre brug af forskellige påvirkningstyper og organisationsspecifikke variabler til at måle hvordan forretningskontinuiteten vil blive påvirket, hvis nogen eller alle produkter og tjenester gøres utilgængelige eller ubrugelige på grund af et hvilket som helst niveau af forstyrrelse.

Organisationer bør bruge to nøglevariabler til at formulere en aftalt RTO, der sætter klare mål for genoptagelse af normal drift:

a) den størrelsesorden af forstyrrelsen

b) den typen oplevede forstyrrelser

Inden for deres BIA bør organisationer være i stand til præcist at specificere, hvilke IKT-tjenester og -funktioner der kræves for at opnå recovery, herunder individuelle ydeevne , kapacitet krav.

Organisationer bør gennemgå en risikovurdering der evaluerer deres IKT-systemer og danner grundlag for en IKT-kontinuitetsstrategi (eller -strategier), der styrker genopretning før, under og efter en periode med afbrydelse.

Når en strategi er aftalt, bør der indføres specifikke processer og planer for at sikre, at ikt-tjenester er robuste og tilstrækkelige til at bidrage til genopretning af kritiske processer og systemer før, under og efter afbrydelser.

Inden for rammerne af IKT-kontinuitetsplaner skitserer Kontrol 5.30 tre overordnede vejledningspunkter:

1. IKT-hændelser kræver ofte hurtige beslutninger vedrørende informationssikkerhed af ledende medarbejdere for at fremskynde genopretningen.
   
   Organisationer skal opretholde en robust kommandokæde omfatter kompetente personer med evnen til at træffe autoritative beslutninger om tekniske spørgsmål relateret til forretningskontinuitet og RTO-overholdelse.
   
   Organisatoriske strukturer skal være ajourførte og kommunikere bredt for at lette tilstrækkelig kommunikation og fremskynde restitutionstider.
2. IKT-kontinuitetsplaner bør tillægges stor opmærksomhed, herunder regelmæssige test og evalueringer og godkendelse af den øverste ledelse.
   
   Organisationer bør udføre testkørsler for at måle deres effektivitet og måle nøglemålinger såsom respons- og løsningstider.
3. IKT-kontinuitetsplaner bør indeholde følgende oplysninger:
   
   a) ydelses- og kapacitetskrav for alle systemer eller processer, der bruges i genopretningsindsatsen
   
   b) en klar RTO for hver pågældende IKT-tjeneste, og hvordan organisationen sigter mod at genoprette dem
   
   c) et recovery point goal (RPO) er udpeget for hver IKT-ressource, og der oprettes procedurer, der sikrer, at information kan gendannes.

Ændringer fra ISO 27002:2013

ISO 27002: 2022, kontrol 5.30 er en ny kontrol uden forrang i ISO 27002:2013.

Hvordan ISMS.online hjælper

ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.

Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med opbygning af dit ISMS, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.

Kontakt i dag for book en demo.