Formål med kontrol 5.30
Kontrol 5.30 anerkender den vigtige rolle, som ikt-platforme og -tjenester spiller i opretholdelse af forretningskontinuitet, efter afbrydelse eller en kritisk hændelse.
Kontrol 5.30 skitserer, hvordan ikt-tjenester interagerer med forskellige nøglemålinger og understøttende kontroller, herunder en organisations mål for restitutionstid (RTO) og det samlede Business Impact Analysis (BIA).
Slutmålet er at sikre, at informationsintegritet og tilgængelighed opretholdes før, under og efter en periode med driftsforstyrrelser.
Attributter Kontroltabel 5.30
5.30 er en korrigerende kontrol, der fastholder risiko ved at skabe IKT-kontinuitetsplaner, der bidrager til organisationens overordnede niveau af operationel robusthed.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Korrigerende | #Tilgængelighed | #Svare | #Kontinuitet | #Modstandsdygtighed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 5.30
Processer og procedurer oprettet gennem kontrol 5.30 bør udarbejdes efter en grundig BIA, der overvejer, hvordan en organisationens behov at reagere, når man oplever driftsforstyrrelser.
En BIA bør gøre brug af forskellige påvirkningstyper og organisationsspecifikke variabler til at måle hvordan forretningskontinuiteten vil blive påvirket, hvis nogen eller alle produkter og tjenester gøres utilgængelige eller ubrugelige på grund af et hvilket som helst niveau af forstyrrelse.
Organisationer bør bruge to nøglevariabler til at formulere en aftalt RTO, der sætter klare mål for genoptagelse af normal drift:
a) den størrelsesorden af forstyrrelsen
b) den typen oplevede forstyrrelser
Inden for deres BIA bør organisationer være i stand til præcist at specificere, hvilke IKT-tjenester og -funktioner der kræves for at opnå recovery, herunder individuelle ydeevne og kapacitet krav.
Organisationer bør gennemgå en risikovurdering der evaluerer deres IKT-systemer og danner grundlag for en IKT-kontinuitetsstrategi (eller -strategier), der styrker genopretning før, under og efter en periode med afbrydelse.
Når en strategi er aftalt, bør der indføres specifikke processer og planer for at sikre, at ikt-tjenester er robuste og tilstrækkelige til at bidrage til genopretning af kritiske processer og systemer før, under og efter afbrydelser.
Inden for rammerne af IKT-kontinuitetsplaner skitserer Kontrol 5.30 tre overordnede vejledningspunkter:
- IKT-hændelser kræver ofte hurtige beslutninger vedrørende informationssikkerhed af ledende medarbejdere for at fremskynde genopretningen.
- IKT-kontinuitetsplaner bør tillægges stor opmærksomhed, herunder regelmæssige test og evalueringer og godkendelse af den øverste ledelse.
- IKT-kontinuitetsplaner bør indeholde følgende oplysninger:
Organisationer skal opretholde en robust kommandokæde omfatter kompetente personer med evnen til at træffe autoritative beslutninger om tekniske spørgsmål relateret til forretningskontinuitet og RTO-overholdelse.
Organisatoriske strukturer skal være ajourførte og kommunikere bredt for at lette tilstrækkelig kommunikation og fremskynde restitutionstider.
Organisationer bør udføre testkørsler for at måle deres effektivitet og måle nøglemålinger såsom respons- og løsningstider.
a) ydelses- og kapacitetskrav for alle systemer eller processer, der bruges i genopretningsindsatsen
b) en klar RTO for hver pågældende IKT-tjeneste, og hvordan organisationen sigter mod at genoprette dem
c) et recovery point goal (RPO) er udpeget for hver IKT-ressource, og der oprettes procedurer, der sikrer, at information kan gendannes.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Ændringer fra ISO 27002:2013
ISO 27002: 2022, kontrol 5.30 er en ny kontrol uden forrang i ISO 27002:2013.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.
Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med opbygning af dit ISMS, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.
Kontakt i dag for book en demo.
