ISO 27002:2022 – Kontrol 8.14 – Redundans af informationsbehandlingsfaciliteter

Formål med kontrol 8.14

En 'informationsbehandlingsfacilitet' (IPF) er et bredt begreb, der bruges til at beskrive ethvert stykke ikt-infrastruktur, der er involveret i behandling af data, såsom it-udstyr, software og fysiske faciliteter og lokationer.

IPF'er spiller en nøglerolle i at opretholde forretningskontinuitet og sikre en gnidningsløs drift af en organisations IKT-netværk. For at øge modstandskraften skal organisationer implementere foranstaltninger, der øger redundansen af ​​deres IPF'er – dvs. fejlsikre metoder og processer, der mindsker risikoen for systemer og data i tilfælde af fejl, misbrug eller indtrængen.

Attributter Kontroltabel 8.14

Kontrol 8.14 er en forebyggende kontrol at fastholder risiko ved at implementere planer og procedurer, der opretholder den kontinuerlige drift af informationsbehandlingsfaciliteter, og ved fuldmagt, en organisations hele IKT-netværk.

Ejerskab af kontrol 8.14

Kontrol 8.14 omhandler en organisations evne til at fortsætte med at drive forretning i tilfælde af kritiske eller mindre fejl, der har potentiale til at påvirke modstandsdygtigheden. Som sådan bør ejerskabet af 8.14 ligge hos Chief Operating Officer eller tilsvarende organisatorisk.

Generel vejledning om overholdelse

Det overordnede mål med Control 8.14 er at øge tilgængeligheden af, hvad ISO anser for at være forretningstjenester og informationssystemer, hvilket kan tolkes som ethvert aspekt af et netværk, der gør det muligt for organisationen at drive forretning.

Kontrol 8.14 går ind for dobbeltarbejde som de primære metoder til at opnå redundans på tværs af sine forskellige IPF'er, primært gennem opretholdelse af en beholdning af reservedele, duplikatkomponenter (hardware og software) og yderligere perifere enheder.

Et redundant system er kun så godt som dets alarmering anlæg. Som sådan bør organisationer sikre, at fejlbehæftede IPF'er opdages hurtigt, og der træffes afhjælpende handlinger for enten at fejle over til standby-hardware eller reparere den defekte IPF på så hurtigt som muligt.

Når de designer og installerer redundansforanstaltninger, bør organisationer overveje følgende:

1. Indgå et kommercielt forhold med to separate tjenesteudbydere, for at reducere risikoen for generel nedetid i tilfælde af en kritisk hændelse (f.eks. en internetudbyder eller VoIP-udbyder).
2. Overholdelse af redundansprincipper ved design datanetværk (sekundære DC'er, redundante BUDR-systemer osv.).
3. Brug af geografisk adskilte steder ved udlicitering af datatjenester, især i tilfælde af fillagring og/eller datacenterfaciliteter.
4. Indkøb elsystemer som har evnen til at opnå redundans enten helt eller delvist efter behov.
5. Ved brug af belastningsbalancering og automatisk fejl over mellem to identiske, redundante softwarekomponenter eller systemer for at forbedre både realtidsydelse og modstandskraft efter en kritisk hændelse. Dette er af særlig betydning, når man overvejer en driftsmodel, der omfatter både offentlige cloud-tjenester og on-premise-tjenester. Redundante systemer bør testes regelmæssigt (hvor det er muligt), mens de er i produktionstilstand for at sikre, at fejlsystemer fungerer korrekt.
6. Duplikere fysiske IKT-komponenter både inden for servere og fillagerplaceringer (RAID-arrays, CPU'er) og enhver, der fungerer som en netværksenhed (firewalls, redundante switches). Firmwareopdateringer bør udføres på alle sammenkædede og redundante enheder for at sikre kontinuitet.

Supplerende vejledning om kontrol 8.14

Kontrol 8.14 anerkender den iboende sammenhæng mellem robuste, redundante systemer og planlægning af forretningskontinuitet (se Kontrol 5.30), og beder organisationer om at overveje begge dele som en del af løsningen på det samme sæt udfordringer.

Det er vigtigt at bemærke, at når det drejer sig om forretningsapplikationer, er det ekstremt vanskeligt at tage højde for kritiske fejl i selve applikationen (især i tilfælde af administrerede applikationer).

Understøttende kontroller

• 5.30

Ændringer og forskelle fra ISO 27002:2013

ISO 27002:2022-8.14 erstatter ISO 27002:2003-17.2.1 (Tilgængelighed af informationsbehandlingsfaciliteter).

27002:2022-8.14 er et enormt operationelt spring fra 27002:2003-17.2.1, hvor forskellen mellem de to kontroller repræsenterer den største ændring gennem hele ISO 27002:2022-opdateringen.

27002:2003-17.2.1 indeholder blot nogle få overfladiske afsnit om behovet for at opnå redundans, hvorimod 27002:2022-8.14 indeholder omfattende vejledning om præcis, hvordan man opnår dette på tværs af on-premise, cloud-baserede, logiske og fysiske komponenter.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Hos ISMS.online har vi bygget et omfattende og brugervenligt system, der kan hjælpe dig med at implementere ISO 27002 kontroller og administrere hele dit ISMS.

ISMS.online gør implementeringen af ​​ISO 27002 nemmere ved at levere et sæt værktøjer til at hjælpe dig med at administrere informationssikkerheden i din organisation. Det vil hjælpe dig med at identificere risici og udvikle kontroller for at mindske disse risici og derefter vise dig, hvordan du implementerer dem i organisationen.

Kontakt os i dag for planlæg en demo.