ISO 27002:2022 – Kontrol 5.37 – Dokumenterede driftsprocedurer

Formål med kontrol 5.37

Kontrol 5.37 omhandler begrebet informationssikkerhed som en operationel aktivitet, hvor dens bestanddele udføres og/eller ledes af en eller flere personer.

Kontrol 5.37 skitserer en række operationelle procedurer, der sikrer en organisationens informationssikkerhed faciliteten forbliver effektiv og sikker og i overensstemmelse med deres dokumenterede krav.

Attributter tabel

Kontrol 5.37 er en forebyggende og korrigerende kontrollere det fastholder risiko gennem oprettelsen af ​​en bank af procedurer forbundet med en organisationens informationssikkerhed aktiviteter.

Ejerskab af kontrol 5.37

Kontrol 5.37 omhandler et forskelligartet sæt af omstændigheder, der har potentiale til at inkludere flere afdelinger og jobroller i henhold til dokumenterede driftsprocedurer. Når det er sagt, kan man roligt antage, at de fleste af procedurerne vil påvirke IKT-personale, udstyr og systemer.

Hvor dette sker, bør ejerskabet ligge hos et seniormedlem af ledelsesteamet, der er ansvarlig for alle ikt-relaterede aktiviteter, såsom en it-chef.

Generel vejledning om kontrol 5.37

Der bør oprettes procedurer for informationssikkerhedsrelaterede aktiviteter i overensstemmelse med 5 centrale operationelle overvejelser:

1. Enhver forekomst af en aktivitet, der udføres af en eller flere personer på samme måde.
2. Når en aktivitet ikke udføres ofte.
3. Når en procedure indebærer risiko for at blive glemt.
4. Eventuelle nye aktiviteter, der er ukendte for personalet, og som derfor er udsat for en højere grad af risiko.
5. Når ansvaret for at udføre en aktivitet overføres til en anden medarbejder eller gruppe af medarbejdere.

Hvor disse tilfælde forekommer, skal dokumenterede driftsprocedurer klart skitsere:

1. Alle ansvarlige personer – både etablerede og nye operatører.
2. Et sæt retningslinjer, der opretholder sikkerheden under installationen og efterfølgende konfiguration af eventuelle relaterede forretningssystemer.
3. Hvordan information behandles under hele aktiviteten.
4. BUDR planer og implikationer, i tilfælde af datatab eller en større hændelse (se kontrol 8.13).
5. Sammenkædede afhængigheder med andre systemer, inklusive planlægning.
6. En klar procedure til håndtering af "håndteringsfejl" eller diverse hændelser, der har potentiale til at opstå (se Kontrol 8.18).
7. En komplet liste over personale, der skal kontaktes i tilfælde af forstyrrelser, inklusive klare eskaleringsprocedurer.
8. Sådan betjenes ethvert relevant lagermedie, der er forbundet med aktiviteten (se kontrolelementer 7.10 og 7.14).
9. Sådan genstartes og genoprettes efter en systemfejl.
10. Revisionssporlogning, inklusive alle tilknyttede hændelses- og systemlogfiler (se kontrol 8.15 og 8.17).
11. Videoovervågningssystemer, der overvåger aktiviteter på stedet (se Kontrol 7.4).
12. Et robust sæt overvågningsprocedurer, der tager højde for den operationelle kapacitet, ydeevnepotentiale og sikkerhed af nævnte aktivitet.
13. Hvordan aktiviteten skal opretholdes, for at holdes på et optimalt præstationsniveau.

Alle ovenstående procedurer bør være genstand for periodiske og/eller ad hoc-gennemgange, efterhånden som og når det er påkrævet, hvor alle ændringer skal ratificeres af ledelsen rettidigt for at sikre informationssikkerhedsaktivitet på tværs af organisationen.

Ændringer og forskelle fra ISO 27002:2013

27002:2022-5.37 erstatter 27002:2013-12.1.1 (Dokumenterede driftsprocedurer).

27002:2022-5.37 udvider 27002:2013-12.1.1 ved at tilbyde et meget bredere sæt af omstændigheder, der vil berettige overholdelse af en dokumentprocedure.

27002:2013-12.1.1 lister informationsbehandlingsaktiviteter såsom computeropstarts- og nedlukningsprocedurer, backup, udstyrsvedligeholdelse, mediehåndtering, hvorimod 27002:2022-5.37 udvider kontrolområdet til generaliserede aktiviteter, der ikke er begrænset til specifikke tekniske funktioner.

Bortset fra et par mindre tilføjelser – såsom at kategorisere de personer, der er ansvarlige for en aktivitet – indeholder 27002:2022-5.37 de samme generelle retningslinjer som 27002:2013-12.1.1

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.

• Brugere kan udføre opgaver og indsende bevis for at påvise overholdelse af standarden.
• Det er nemt at uddelegere ansvar og overvåge fremskridt hen imod overholdelse.
• Det omfattende risikovurderingsværktøjer sparer tid og kræfter gennem hele processen.
• Vi har en dedikeret team af konsulenter klar til at støtte dig gennem hele din rejse til overholdelse.

Kontakt i dag for book en demo.