Formål med kontrol 8.14
En 'informationsbehandlingsfacilitet' (IPF) er et bredt begreb, der bruges til at beskrive ethvert stykke ikt-infrastruktur, der er involveret i behandling af data, såsom it-udstyr, software og fysiske faciliteter og lokationer.
IPF'er spiller en nøglerolle i at opretholde forretningskontinuitet og sikre en gnidningsløs drift af en organisations IKT-netværk. For at øge modstandskraften skal organisationer implementere foranstaltninger, der øger redundansen af deres IPF'er – dvs. fejlsikre metoder og processer, der mindsker risikoen for systemer og data i tilfælde af fejl, misbrug eller indtrængen.
Attributter Kontroltabel 8.14
Kontrol 8.14 er en forebyggende kontrol at fastholder risiko ved at implementere planer og procedurer, der opretholder den kontinuerlige drift af informationsbehandlingsfaciliteter, og ved fuldmagt, en organisations hele IKT-netværk.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Tilgængelighed | #Beskytte | #Kontinuitet | #Beskyttelse |
| # Asset Management | #Modstandsdygtighed |
Ejerskab af kontrol 8.14
Kontrol 8.14 omhandler en organisations evne til at fortsætte med at drive forretning i tilfælde af kritiske eller mindre fejl, der har potentiale til at påvirke modstandsdygtigheden. Som sådan bør ejerskabet af 8.14 ligge hos Chief Operating Officer eller tilsvarende organisatorisk.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Generel vejledning om overholdelse
Det overordnede mål med Control 8.14 er at øge tilgængeligheden af, hvad ISO anser for at være forretningstjenester og informationssystemer, hvilket kan tolkes som ethvert aspekt af et netværk, der gør det muligt for organisationen at drive forretning.
Kontrol 8.14 går ind for dobbeltarbejde som de primære metoder til at opnå redundans på tværs af sine forskellige IPF'er, primært gennem opretholdelse af en beholdning af reservedele, duplikatkomponenter (hardware og software) og yderligere perifere enheder.
Et redundant system er kun så godt som dets alarmering anlæg. Som sådan bør organisationer sikre, at fejlbehæftede IPF'er opdages hurtigt, og der træffes afhjælpende handlinger for enten at fejle over til standby-hardware eller reparere den defekte IPF på så hurtigt som muligt.
Når de designer og installerer redundansforanstaltninger, bør organisationer overveje følgende:
- Indgå et kommercielt forhold med to separate tjenesteudbydere, for at reducere risikoen for generel nedetid i tilfælde af en kritisk hændelse (f.eks. en internetudbyder eller VoIP-udbyder).
- Overholdelse af redundansprincipper ved design datanetværk (sekundære DC'er, redundante BUDR-systemer osv.).
- Brug af geografisk adskilte steder ved udlicitering af datatjenester, især i tilfælde af fillagring og/eller datacenterfaciliteter.
- Indkøb elsystemer som har evnen til at opnå redundans enten helt eller delvist efter behov.
- Ved brug af belastningsbalancering og automatisk fejl over mellem to identiske, redundante softwarekomponenter eller systemer for at forbedre både realtidsydelse og modstandskraft efter en kritisk hændelse. Dette er af særlig betydning, når man overvejer en driftsmodel, der omfatter både offentlige cloud-tjenester og on-premise-tjenester. Redundante systemer bør testes regelmæssigt (hvor det er muligt), mens de er i produktionstilstand for at sikre, at fejlsystemer fungerer korrekt.
- Duplikere fysiske IKT-komponenter både inden for servere og fillagerplaceringer (RAID-arrays, CPU'er) og enhver, der fungerer som en netværksenhed (firewalls, redundante switches). Firmwareopdateringer bør udføres på alle sammenkædede og redundante enheder for at sikre kontinuitet.
Supplerende vejledning om kontrol 8.14
Kontrol 8.14 anerkender den iboende sammenhæng mellem robuste, redundante systemer og planlægning af forretningskontinuitet (se Kontrol 5.30), og beder organisationer om at overveje begge dele som en del af løsningen på det samme sæt udfordringer.
Det er vigtigt at bemærke, at når det drejer sig om forretningsapplikationer, er det ekstremt vanskeligt at tage højde for kritiske fejl i selve applikationen (især i tilfælde af administrerede applikationer).
Understøttende kontroller
- 5.30
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
ISO 27002:2022-8.14 erstatter ISO 27002:2003-17.2.1 (Tilgængelighed af informationsbehandlingsfaciliteter).
27002:2022-8.14 er et enormt operationelt spring fra 27002:2003-17.2.1, hvor forskellen mellem de to kontroller repræsenterer den største ændring gennem hele ISO 27002:2022-opdateringen.
27002:2003-17.2.1 indeholder blot nogle få overfladiske afsnit om behovet for at opnå redundans, hvorimod 27002:2022-8.14 indeholder omfattende vejledning om præcis, hvordan man opnår dette på tværs af on-premise, cloud-baserede, logiske og fysiske komponenter.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Hos ISMS.online har vi bygget et omfattende og brugervenligt system, der kan hjælpe dig med at implementere ISO 27002 kontroller og administrere hele dit ISMS.
ISMS.online gør implementeringen af ISO 27002 nemmere ved at levere et sæt værktøjer til at hjælpe dig med at administrere informationssikkerheden i din organisation. Det vil hjælpe dig med at identificere risici og udvikle kontroller for at mindske disse risici og derefter vise dig, hvordan du implementerer dem i organisationen.
Kontakt os i dag for planlæg en demo.
