ISO 27002:2022, Kontrol 5.5 – Kontakt med myndigheder

Hvad er formålet med kontrol 5.5?

Formålet med kontrol 5.5 er at sikre, at der finder passende informationsstrøm sted med hensyn til informationssikkerhed mellem organisationen og relevante lov-, regulerings- og tilsynsmyndigheder. Der skal være et passende forum for dialog og samarbejde mellem virksomheden og relevante lov-, regulerings- og tilsynsmyndigheder.

Kontrol 5.5 dækker krav, formål og implementeringsinstruktioner om, hvordan man identificerer og rapportere informationssikkerhedshændelser rettidigt, samt hvem og hvordan man kontakter i tilfælde af en hændelse.

Formålet med kontrol 5.5 er at identificere, hvilke interessenter (f.eks. retshåndhævelse, reguleringsorganer, tilsynsmyndigheder) der skal kontaktes i tilfælde af en sikkerhedshændelse. Det er vigtigt, at du allerede har identificeret disse interessenter, før en hændelse opstår.

Kontakt med myndigheder betyder, at organisationen skal etablere og implementere uformel kommunikation med myndigheder vedrørende informationssikkerhedsspørgsmål, herunder:

• Løbende kommunikation med relevante myndigheder for at sikre, at organisationen er opmærksom aktuelle trusler og sårbarheder.
• Informere relevante myndigheder om sårbarheder opdaget i organisationens produkter, tjenester eller systemer.
• Modtagelse af information fra relevante myndigheder om trusler og sårbarheder.

Hvad er involveret, og hvordan man opfylder kravene

Hovedformålet med kontrol 5.5 er at etablere organisationens forhold til retshåndhævende myndigheder, som det vedrører håndtering af informationssikkerhedsrisici.

For at opfylde kravene til kontrol 5.5 forventes det, at hvis en informationssikkerhedshændelse opdages, bør organisationen specificere, hvornår og af hvilke myndigheder (såsom retshåndhævende myndigheder, tilsynsorganer og tilsynsmyndigheder) skal underrettes, samt hvordan identificerede informationssikkerhedshændelser skal rapporteres rettidigt.

Udvekslingen af ​​oplysninger med myndigheder bør også bruges til at få et bedre kendskab til de eksisterende og kommende forventninger fra disse agenturer (f.eks. gældende regler for informationssikkerhed).

Dette krav er designet til at sikre, at organisationen har en sammenhængende strategi for sit forhold til retshåndhævende myndigheder, og at den har identificeret det mest passende kontaktpunkt i disse agenturer.

Kontakter med tilsynsorganer er også nyttige til at forudse og forberede kommende ændringer i relevante love eller regler, der påvirker organisationen.

Forskelle mellem ISO 27002:2013 og ISO 27002:2022

Kontrol 5.5: Kontakt med myndigheder er ikke en ny tilføjelse i ISO 27002:2022. Det er en eksisterende kontrol i den originale ISO 27002:2013 med kontrolnummer 6.1.3. Det betyder, at kontrolnummeret blev ændret i den nye version af ISO 27002.

Ud over at ændre kontrolnummeret, blev fraseologien også ændret. Hvor kontrol 5.5 siger, at "Organisationen bør etablere og opretholde kontakt med relevante myndigheder." Kontrol 6.1.3 siger, at "Der bør opretholdes passende kontakter med relevante myndigheder." Denne ændring i fraseologi er designet til at gøre denne kontrol mere brugervenlig.

I 2022-versionen indgik et kontrolformål. Dette er ikke tilgængeligt i 2013-versionen.

På samme tid, mens essensen af ​​begge kontroller forbliver den samme, er der subtile variationer, der adskiller den ene fra den anden.

Kontrol 5.5 i ISO 27002:2022 tilføjer endvidere, at kontakter med myndigheder også bør bruges til at lette forståelsen af ​​disse myndigheders nuværende og kommende forventninger (f.eks. gældende regler for informationssikkerhed). Dette mangler i 2013-versionen.

Hvem er ansvarlig for denne proces?

person med ansvar for denne rolle er generelt Information Security Manager.

Andre personer kan udføre denne funktion, men de skal rapportere til informationssikkerhedschefen, så de kan opretholde tilsynet med disse aktiviteter. Dette fastholder et konsistent budskab og sikrer et konsistent forhold til myndigheder.

Hvad betyder disse ændringer for dig?

Når en ny certificeringsstandard offentliggøres, vil der normalt være en overgangstid. For de fleste certificeringscyklusser er der en overgangstid på to til tre år.

Når det er sagt, er den seneste udgave af ISO 27002 absolut vigtig, hvis du har til hensigt at gøre det implementere et ISMS (og potentielt endda overveje en ISMS-certificering), og du skal sikre dig, at dine sikkerhedsforanstaltninger er opdaterede.

Blandt de aktiviteter, der skal udføres, er, men er ikke begrænset til, følgende:

• Køb af den nyeste standard.
• Undersøg den nye standard for at se, hvordan den har ændret sig. Standarden vil give en kortlægningstabel, der viser, hvordan den nye standard svarer til ISO 27002:2013-standarden.
• Udfør a risikoanalyse samt en kontrolgab-analyse.
  Vælg de kontroller, der er relevante, og skift din ISMS-politikker, standarder og anden dokumentation.
• Foretag de nødvendige ændringer i din Anvendelseserklæring.
• Du bør revidere dit interne revisionsprogram, så det afspejler de forbedrede kontroller, du har valgt.

Se venligst vores guide til ISO 27002:2022, hvor du kan finde ud af mere om, hvordan disse ændringer til kontrol 5.5 vil påvirke din organisation.

Hvordan ISMS.online hjælper

At holde styr på dine informationssikkerhedskontroller er et af de sværeste aspekter ved at implementere en ISMS, der er i overensstemmelse med ISO 27001. Men vores cloud-baserede platform gør dette nemt.

Vores cloud-baserede platform giver dig en robust ramme af informationssikkerhed kontroller, så du kan tjekke din ISMS-proces, mens du går, for at sikre, at den opfylder kravene til ISO 27k. Brugt rigtigt, ismer. online kan hjælpe dig med at opnå certificering med et minimum af tid og ressourcer.

Kontakt i dag for book en demo.