ISO 27002:2022, Kontrol 6.4 – Disciplinær proces

Hvad er formålet med kontrol 6.4?

Formålet med den disciplinære proces er at sikre, at personale og andre relevante interesserede parter forstår konsekvenserne af en overtrædelse af informationssikkerhedspolitikken.

Udover at sikre, at medarbejdere og andre relevante interesserede parter forstår konsekvenserne af overtrædelser af informationssikkerhedspolitikken, er kontrol 6.4 designet til at afskrække og hjælpe med at håndtere dem, der overtræder disse politikker.

Et nøgleelement i et effektivt informationssikkerhedsprogram er evnen til at implementere passende disciplinære handlinger for medarbejdere, der overtræder informationssikkerhedspolitikker og -procedurer. Denne måde, medarbejderne er klar over konsekvenserne krænkelse af etablerede politikker og procedurer, hvilket reducerer risikoen for forsætlige eller utilsigtede databrud.

Følgende er eksempler på aktiviteter, der kan inkluderes ved implementering af denne kontrol:

• Afholde periodiske træningssessioner om politiske ændringer;
• Udforme disciplinære handlinger for manglende overholdelse af informationssikkerhedspolitikker;
• Giv en kopi af organisationens disciplinære procedurer til hver medarbejder;
• Sørg for, at disciplinære procedurer følges konsekvent i lignende situationer.

De disciplinære handlinger, der er beskrevet i rammen/dokumentet, bør tages straks efter en hændelse for at afskrække andre, der måtte ønske at overtræde organisationens politikker.

Hvad er involveret, og hvordan man opfylder kravene

For at opfylde kravene i kontrol 6.4 skal der træffes disciplinære foranstaltninger, når der er bevis for manglende overholdelse af organisationens politikker, procedurer eller regler. Dette omfatter manglende overholdelse af love og regler, der gælder for organisationen.

I henhold til kontrol 6.4 skal den formelle disciplinære proces give mulighed for et gradueret svar, der tager hensyn til følgende faktorer:

1. Arten (hvem, hvad, hvornår, hvordan), tyngdekraften og konsekvenserne af bruddet;
2. Om lovovertrædelsen var ondsindet (forsætlig) eller utilsigtet (utilsigtet);
3. Om dette er den første eller anden forseelse;
4. Hvorvidt overtræderen har modtaget tilstrækkelig træning eller ej.

Handlingen bør tage højde for alle relevante juridiske, lovgivningsmæssige, regulatoriske, kontraktmæssige og virksomhedsmæssige forpligtelser samt alle andre relevante omstændigheder.

Ændringer og forskelle fra ISO 27002:2013

Hvis du er bekendt med ISO 27002:2013, vil du vide, at selvom kontrolidentiteten/-nummeret er blevet ændret, er kontrol 6.4 i ISO 27002:2022 ikke just en ny kontrol. Det er snarere en modificeret version af kontrol 7.2.3 i ISO 27002:2013.

Når det er sagt, er der ingen væsentlige forskelle mellem de to kontroller i begge versioner af ISO 27002. Den lille forskel du vil bemærke er, at kontrolnummeret er blevet ændret fra 7.23 til 6.4. Også i 2022-versionen af ​​standarden er attributtabellen og formålserklæringen inkluderet. Disse to funktioner er ikke i 2013-versionen.

Bortset fra deres forskellige ordlyd er disse kontroller grundlæggende identiske med hensyn til deres indhold og kontekst. Brugervenlig terminologi blev brugt i ISO 27002:2022 for at sikre, at standardens brugere bedre kunne forstå dens indhold.

Hvem er ansvarlig for denne proces?

I de fleste tilfælde varetages den disciplinære proces af afdelingsleder eller personale repræsentant. Det er ikke ualmindeligt, at HR-repræsentanten uddelegerer ansvar for disciplinære handlinger til en anden i organisationen, såsom en informationssikkerhedsspecialist.

Hovedformålet med disciplinære handlinger er at beskytte organisationen mod eventuelle yderligere krænkelser fra medarbejderens side. Det har også til formål at forhindre lignende hændelser fra gentagelse ved at sikre, at alle medarbejdere forstår betydningen af ​​brud på informationssikkerheden.

For at sikre, at der tages disciplinære foranstaltninger mod en medarbejder, der har overtrådt en organisations politikker eller procedurer, er det vigtigt, at der er klare retningslinjer for håndtering af sådanne situationer. Disse retningslinjer bør indeholde specifikke instruktioner om, hvordan man udfører undersøgelser, og de handlinger, der skal træffes, efter undersøgelser er afsluttet.

Hvad betyder disse ændringer for dig?

Hvis du undrer dig over, hvad disse ændringer betyder for dig, er her en kort oversigt over de vigtigste punkter:

• Det er ikke en væsentlig ændring, så du behøver ikke at gencertificere.
• Du kan beholde din eksisterende certificering, indtil den udløber (hvis den stadig er gyldig).
• Der er ingen større ændringer i indholdet af ISO 27002.
• Fokus er mere på at opdatere standarden, så den stemmer overens med nuværende bedste praksis og standarder.

Strukturen af ​​standarden forbliver uændret. Nogle kontroller er dog blevet ændret for at tydeliggøre deres betydning eller forbedre overensstemmelsen med andre dele af standarden.

Men hvis du har tænkt dig opnå ISMS-certificering, skal du muligvis undersøge dine sikkerhedsprocedurer for at bekræfte, at de er i overensstemmelse med den reviderede standard.

For at lære mere om, hvordan den nye ISO 27002 kan påvirke dine informationssikkerhedsoperationer og ISO 27001 certificering, tjek venligst vores gratis ISO 27002:2022 guide.

Hvordan ISMS.Online hjælper

ISMS.Online er den førende ISO 27002 ledelsessystemsoftware, der understøtter overholdelse med ISO 27002, og hjælper virksomheder med at tilpasse deres sikkerhedspolitikker og -procedurer til standarden.

Den cloud-baserede platform giver et komplet sæt værktøjer til at hjælpe organisationer med at opsætte en informationssikkerhedsstyringssystem (ISMS) i henhold til ISO 27002.

Disse værktøjer inkluderer:

• Et bibliotek med skabeloner til almindelige virksomhedsdokumenter;
• Et sæt foruddefinerede politikker og procedurer;
• An revisionsværktøj til at understøtte interne revisioner;
• En grænseflade til tilpasning ismer politikker og procedurer;
• En godkendelsesworkflow for alle ændringer foretaget i politikker og procedurer;
• En tjekliste til at sikre, at dine politikker og informationssikkerhedsprocesser følger de godkendte internationale standarder.

ISMS.Online giver også brugere mulighed for at:

• Administrer alle aspekter af ISMS livscyklus med lethed.
• Få indsigt i realtid i deres sikkerhedsposition og manglende overholdelse.
• Integrer med andre systemer som HR, økonomi og projektledelse.
• Demonstrere overholdelse af deres ISMS med ISO 27001-standarder.

ISMS.Online giver også vejledning i, hvordan du bedst implementerer dit ISMS ved at give tips om, hvordan du opretter politikker og procedurer relateret til aspekter såsom risikostyring, træning i personalesikkerhedsbevidsthed og planlægning af hændelser.

Vores platform er designet fra bunden med hjælp fra informationssikkerhedseksperter fra hele verden, og vi har udviklet det på en måde, der gør det nemt for folk uden teknisk viden om informationssikkerhedsstyringssystemer (ISMS) at bruge det.

Vil du se det i aktion?

Kontakt i dag for book en demo.