ISO 27002:2022 – Kontrol 5.4 – Ledelsesansvar

Hvad er kontrol 5.4 Ledelsesansvar

Hvad er en informationssikkerhedspolitik?

An informationssikkerhedspolitik er et formelt dokument der giver ledelsens retning, mål og principper for beskyttelse af en organisations information. An effektiv informationssikkerhedspolitik bør være skræddersyet til en organisations specifikke behov og støttet af den øverste ledelse for at sikre passende allokering af ressourcer.

Politikken kommunikerer de overordnede principper for, hvordan ledelsen ønsker, at medarbejderne håndterer følsomme data, og hvordan virksomheden vil beskytte sine informationsaktiver.

Politikken er ofte afledt af love, regler og bedste praksis, som skal overholdes af organisationen. Informationssikkerhedspolitikker oprettes normalt af en organisations øverste ledelse med input fra dens it-sikkerhedspersonale.

Politikker bør også indeholde en ramme for definere roller og ansvar og en tidslinje for periodisk gennemgang.

Attributter tabel

Attributter er en måde at kategorisere forskellige typer kontrolelementer på. Disse attributter giver dig mulighed for at tilpasse dine kontroller til industristandarder. I kontrol 5.4 er de:

Hvad er formålet med kontrol 5.4?

Kontrol 5.4 er designet til sikre, at ledelsen forstår deres ansvar inden for informationssikkerhed, og at de tager skridt til at sikre, at alle medarbejdere er opmærksomme af og opfylde deres informationssikkerhedsforpligtelser.

Kontrol 5.4 Forklaret

Information er et værdifuldt aktiv og skal beskyttes mod tab, beskadigelse eller misbrug. Organisationen skal sikre, at der træffes passende foranstaltninger for at beskytte dette aktiv. For at dette kan ske, skal ledelsen sikre, at alt personale anvender alle organisationens informationssikkerhedspolitik, emnespecifikke politikker og procedurer.

Kontrol 5.4 dækker formålet og implementeringsvejledningen til at definere ledelsesansvar med hensyn til informationssikkerhed i en organisation i overensstemmelse med rammer for ISO 27001.

Denne kontrol handler om at sikre det ledelsen er med på informationssikkerhedsprogrammet samt at alle medarbejdere og entreprenører er opmærksomme på og følger organisationens informationssikkerhedspolitik. Ingen bør nogensinde være fritaget for obligatorisk overholdelse af organisationens sikkerhedspolitikker, emnespecifikke politikker og procedurer.

Hvad er involveret, og hvordan man opfylder kravene

Nøglen til at opfylde kravene til denne kontrol er at sikre, at ledelsen er i stand til at tvinge alt relevant personale til at overholde organisationens informationssikkerhedspolitikker, standarder og procedurer.

Det første skridt er ledelsesopkøb og support. Ledelsen skal vise sit engagement ved at følge alle politikker og procedurer, den indfører. For eksempel, hvis du kræver, at arbejdere tager årlige sikkerhedsbevidsthed kurser, bør ledere gå foran med et godt eksempel og gennemføre disse kurser først.

Dernæst kommer kommunikation om vigtigheden af ​​informationssikkerhed til alle i virksomheden, uanset deres rolle. Dette omfatter bestyrelse, direktion og ledelse samt medarbejdere. Alle skal forstå deres rolle i at opretholde sikkerhed af følsomme data som dækket af virksomhedens ISMS programmer.

Forskelle mellem ISO 27002:2013 og ISO 27002:2022

ISO 27002:2022 kontrol 5.4 Ledelsesansvar var tidligere kendt som kontrol 7.2.1 Ledelsesansvar i ISO 27002:2013. Dette er ikke en ny kontrol, men en mere robust fortolkning af 2013-versionen.

Mens kontrol 5.4 og kontrol 7.2.1 stort set dækker det samme, er der få forskelle, som organisationer og virksomhedsledere bør bemærke. Disse forskelle er dækket af kontrollens implementeringsvejledning.

Kontrol 5.4 ISO 27002:2013-2022 Implementeringsvejledninger sammenlignet

I ISO 27002: 2013 omfatter ledelsesansvar at sikre, at medarbejdere og entreprenører:

a) er ordentligt orienteret om deres informationssikkerhedsroller og -ansvar før de får adgang til fortrolige oplysninger eller informationssystemer;

b) er forsynet med retningslinjer for at angive informationssikkerhedsforventninger til deres rolle inden for
Organisation;

c) er motiveret til at opfylde organisationens informationssikkerhedspolitikker;

d) opnå et niveau af bevidsthed om informationssikkerhed, der er relevant for deres roller og ansvar i organisationen;

e) overholde ansættelsesvilkårene, som omfatter organisationens informationssikkerhedspolitik og passende arbejdsmetoder;

f) fortsætte med at have de relevante færdigheder og kvalifikationer og uddannes på regelmæssig basis;

g) er forsynet med en anonym rapporteringskanal til at rapportere overtrædelser af informationssikkerhedspolitikker eller -procedurer ("whistle blowing").

Ledelsen bør demonstrere støtte til informationssikkerhedspolitikker, procedurer og kontroller og fungere som en rollemodel.

Control 5.4 er en mere brugervenlig version og kræver det ledelsesansvar sikrer, at medarbejdere og entreprenører:

a) Er ordentligt orienteret om deres informationssikkerhedsroller og -ansvar, før de får adgang til organisationens informationer og andre tilknyttede aktiver;

b) Er forsynet med retningslinjer, der angiver forventningerne til informationssikkerheden til deres rolle i organisationen;

c) Har mandat til at opfylde organisationens informationssikkerhedspolitik og emnespecifikke politikker;

d) Opnå et niveau af bevidsthed om informationssikkerhed, der er relevant for deres roller og ansvar i organisationen;

e) Overholdelse af vilkår og betingelser for ansættelse, kontrakt eller aftale, herunder organisationens informationssikkerhedspolitik og passende arbejdsmetoder;

f) Fortsætte med at have de relevante informationssikkerhedsfærdigheder og -kvalifikationer gennem løbende professionel uddannelse;

g) Hvor det er praktisk muligt, er forsynet med en fortrolig kanal til rapportering af overtrædelser af informationssikkerhedspolitik, emnespecifikke politikker eller procedurer for informationssikkerhed ("whistleblowing"). Dette kan give mulighed for anonym indberetning eller have bestemmelser til at sikre, at viden om indberetterens identitet kun er kendt af dem, der har behov for at håndtere sådanne rapporter;

h) Får tilstrækkelige ressourcer og projektplanlægningstid til at implementere organisationens sikkerhedsrelaterede processer og kontroller.

Som du kan se, kræver ISO 27002:2022 specifikt, at for at udføre organisationens sikkerhedsrelaterede procedurer og kontroller, tilføres arbejdere og entreprenører nødvendige ressourcer samt projektplanlægningstid.

Formuleringerne i nogle af implementeringsvejledningerne i ISO 27002:2013 vs. ISO 27002:2020 blev også påvirket. Hvor retningslinje C i 2013-versionen siger, at medarbejdere og entreprenører er "motiverede" til at vedtage virksomhedens ISMS-politikker, bruger 2022 ordet "mandated"

Hvem er ansvarlig for denne proces?

Svaret på dette spørgsmål er ret simpelt: ledelsen! Det er ledelsens ansvar at sikre, at et ordentligt ISMS (Information Security Management System) er implementeret.

Dette understøttes normalt af udnævnelsen af ​​en passende kvalificeret og erfaren informationssikkerhedschef, som vil være ansvarlig over for den øverste ledelse for at udvikle, implementere, administrere og løbende forbedre ISMS.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

En af de største udfordringer ved at implementere en ISO 27001-justeret ISMS holder styr på dine informationssikkerhedskontroller. Vores system gør dette nemt.

Vi forstår vigtigheden af beskyttelse af din organisations data og omdømme. Derfor er vores cloud-baserede platform designet til at forenkle implementeringen af ​​ISO 27001, give dig en robust ramme for informationssikkerhedskontroller og hjælpe dig med at opnå certificering med minimale ressourcer og tid.

Vi har inkluderet en række brugervenlige funktioner og værktøjssæt ind i vores platform for at spare dig tid og garantere, at du opretter et virkelig robust ISMS. Med ISMS.online, kan du nemt opnå ISO 27001-certificering og bagefter nemt administrere den.

Book en demo i dag.