Formål med kontrol 5.36
En vigtig del af at operere med et robust og sikkert sæt af informationssikkerhedspraksis er behovet for at overholde alle offentliggjorte politikker og procedurer.
Kontrol 5.36 kræver, at organisationer får et top-down- overblik over compliance med informationssikkerhed , relateret til deres forskellige politikker (både enkeltstående og emnespecifikke), regler og standarder.
Attributter tabel
Kontrol 5.36 er en forebyggende og korrigerende kontrol, der modificerer risiko ved at opretholde overholdelse af eksisterende politikker og procedurer inden for informationssikkerhedsområdet.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #Juridisk og overholdelse | #Governance og økosystem |
| #Integritet | #Beskytte | #Informationssikkerhedsgaranti | ||
| #Tilgængelighed |
Ejerskab af kontrol 5.36
Kontrol 5.36 omhandler primært driftsforhold. Som sådan bør ejerskabet ligge hos COO eller CISO (hvis til stede).
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 5.36
Ledere og informationsejere (herunder service- og produktejere) bør kunne gennemgå overholdelsen af regler på tværs af en organisations samlede samling af informationssikkerhedspolitikker, regler og standarder.
Ledere bør implementere forretningsspecifikke metoder til rapportering (inkorporerer eventuelle tekniske værktøjer, der er nødvendige) om overholdelse af informationssikkerhed med det overordnede mål at udføre periodiske gennemgange – som er grundigt registreret, lagret og rapporteret – som fremhæver områder, der kan forbedres.
Hvis der opdages problemer, og der findes tilfælde af manglende overholdelse, bør ledere være i stand til at gøre følgende:
- Fastlæg den underliggende årsag til manglende overholdelse.
- Beslut om korrigerende handling er påkrævet.
- Planlæg og implementer om nødvendigt nævnte korrigerende handling for at sikre løbende overholdelse.
- Når de er vedtaget, skal du gennemgå eventuelle korrigerende handlinger, der er truffet, for at udforske effektiviteten og fremhæve områder for yderligere udvikling.
Korrigerende handlinger bør træffes "rettidigt" og ideelt set ved næste gennemgang. Hvis handlinger ikke er fuldført inden næste gennemgang kommer, bør ledere i det mindste kunne bevise fremskridt.
Understøttende kontroller
- 5.35
- 8.15
- 8.16
- 8.17
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-5.36 erstatter to kontroller fra 27002:2013, nemlig:
- 18.2.2 – Overholdelse af sikkerhedspolitikker og -standarder
- 18.2.3 – Teknisk overensstemmelsesgennemgang
27002:2022-5.36 sammenfatter al den komplekse tekniske vejledning, der tilbydes i 27002:2013-18.2.3, ved blot at angive, at ledere skal være i stand til at gennemgå overholdelse, hvor som helst det er nødvendigt at gøre det.
27002:2022-5.36 indeholder præcis det samme sæt af vejledningspunkter som 27002:2013-18.2.2, vedrørende de handlinger, der kræves, når en gennemgang afslører tilfælde af manglende overholdelse.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002- implementeringen er enklere med vores trinvise tjekliste, der guider dig gennem hele processen, fra definition af omfanget af dit ISMS til risikoidentifikation og implementering af kontrol.
Kontakt os i dag for at booke en demo.
