ISO 27002:2022 – Kontrol 5.35 – Uafhængig gennemgang af informationssikkerhed

ISO 27002 Kontrol 5.35: Hvorfor uafhængige sikkerhedsvurderinger er vigtige

Informationssikkerhed er et centralt aspekt af en organisations datastyring praksis.

Så meget, at det er nødvendigt at eliminere selvtilfredshed ved at udføre regelmæssige uafhængige anmeldelser af, hvordan en organisation styrer de mennesker, processer og teknologier, der er involveret i at opretholde en effektiv informationssikkerhed drift.

Formål med kontrol 5.35

Kontrol 5.35 kræver, at organisationer udfører uafhængige gennemgange af deres informationssikkerhedspraksis – både med planlagte intervaller, og når der sker større operationelle ændringer – for at sikre, at politikker til administration af informationssikkerhed er:

• Tilstrækkelig – De har kapaciteten til at opnå overholdelse
• Egnet - De forsøger at opnå de rigtige mål
• Effektive – De virker efter hensigten

Attributter tabel

Kontrol 5.35 er en forebyggende og korrigerende kontrollere det fastholder risiko ved at skabe processer, der letter regelmæssige gennemgange af en organisations informationssikkerhedsstyringspraksis.

Ejerskab af kontrol 5.35

Kontrol 5.35 omhandler primært driftsforhold. Som sådan bør ejerskabet ligge hos COO eller CISO (hvis til stede).

Generel vejledning om kontrol 5.35

Det overordnede mål er for ledelse til at skabe og implementere processer, der tager højde for uafhængige gennemgange af deres informationssikkerhed praksis.

Anmeldelser bør fokusere på eventuelle ændringer nødvendig for at forbedre en organisations tilgang til informationssikkerhed, Herunder:

1. informationssikkerhedspolitik.
2. Emnespecifikke politikker.
3. Relaterede kontroller.

Enhver gennemgang bør udføres af en person i eller uden for organisationen, som ikke har en særlig interesse i det, de undersøger, såsom:

1. Interne revisorer.
2. Uafhængige afdelingsledere.
3. Tredjepartsorganisationer.

Den, der foretager gennemgangen, bør have det relevante operationel kompetence at foretage en sund bedømmelse af deres resultater, og (i tilfælde af internt personale) bør deres jobrolle ikke forhindre dem i at foretage en gyldig og legitim vurdering.

Resultaterne af gennemgangen bør omhyggeligt registreres, opbevares og rapporteres til lederen (eller grupper af ledere), der har anmodet om det, og i visse tilfælde til C-suite niveau eller ejerskab.

Korrekturlæsere bør søge at fastslå, om informationssikkerhedspraksis er i overensstemmelse med organisationens "dokumenterede mål og krav", der er angivet i informationssikkerhedspolitikken eller eventuelle emnespecifikke politikker.

Sideløbende med periodiske undersøgelser kan det være nødvendigt at iværksætte ad hoc-undersøgelser. Disse anmeldelser kan begrundes på tværs af 5 nøgleområder:

1. Eventuelle love, retningslinjer eller regler ændres, som påvirker organisationens informationssikkerhedsdrift.
2. Major opstår hændelser, der har indflydelse på informationssikkerheden (tab af data, indtrængen osv.).
3. En ny virksomhed oprettes, eller der gennemføres større ændringer i den nuværende virksomhed.
4. organisation vedtager et nyt produkt eller en tjeneste, der har informationssikkerhed implikationer eller foretager underliggende ændringer af et aktuelt produkt eller en ydelse.
5. Der foretages større ændringer i organisationens bank af informationssikkerhedskontroller, politikker og procedurer.

Supplerende vejledning

ISO / IEC 27007 og ISO/IEC TS 27008 indeholder yderligere vejledning om praksis for uafhængige anmeldelser.

Ændringer og forskelle fra ISO 27002:2013

27002:2022-5.35 erstatter 27002:2013-18.1.2 (Uafhængig gennemgang af informationssikkerhed).

27002:2022-5.35 indeholder den samme generelle vejledning som 27002:2013-18.1.2, men går et skridt videre med at fastlægge konkrete eksempler på, hvornår en organisation bør udføre ad hoc-revisioner, sideløbende med dens periodiske evalueringer.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online strømliner ISO 27002 implementeringsproces ved at levere en sofistikeret cloud-baseret ramme til dokumentation af informationssikkerhedsstyringssystemprocedurer og tjeklister for at sikre overholdelse af anerkendte standarder.

Når du brug ISMS.online, du vil være i stand til:

oprette en ISMS, der er kompatibel med ISO 27001 standarder.
udføre opgaver og fremlægge bevis for, at de har opfyldt standardens krav.
fordele opgaver og spore fremskridt hen imod overholdelse af loven.
få adgang til et specialiseret team af rådgivere, der vil hjælpe dig hele vejen mod overholdelse.

Kontakt i dag for book en demo.