Formål med kontrol 8.6
Kapacitetsstyring i forbindelse med IKT er ikke begrænset til at sikre, at organisationer har tilstrækkelig plads på servere og tilhørende lagermedier til dataadgang og sikkerhedskopiering og gendannelse af katastrofer (BUDR).
Organisationer skal sikre, at de har evnen til at operere med et sæt ressourcer, der henvender sig til en bred vifte af forretningsfunktioner, herunder HR, informationsbehandling, styring af fysiske kontorlokaliteter og tilknyttede faciliteter.
Alle disse funktioner har evnen til at påvirke en organisations informationsstyringskontrol negativt.
Kontrol 8.6 er et dobbelt formål forebyggende og detektiv kontrol at fastholder risiko ved at implementere detektivkontroller, som identificerer og opretholder tilstrækkelig kapacitet til at behandle information på tværs af organisationen.
Attributter Kontroltabel 8.6
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Integritet | #Beskytte | #Kontinuitet | #Governance og økosystem |
| #Detektiv | #Tilgængelighed | #Identificere | #Beskyttelse | |
| #Opdage |
Ejerskab af kontrol 8.6
Kontrol 8.6 omhandler en organisations mulighed for løbende at fungere som en virksomhed.
Som sådan bør ejerskabet ligge hos Chief Operating Officer (eller tilsvarende organisatorisk) med ansvar for den daglige integritet og effektivitet af en organisations forretningsfunktioner.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 8.6
Generelt set, som ikke er unikke for én bestemt type ressource, indeholder Control 8.6 7 generelle vejledningspunkter:
- Organisationer bør overveje forretningskontinuitet som en topprioritet ved implementering af kapacitetsstyringskontroller, herunder engrosimplementering af detektivkontroller, der markerer potentielle problemer, før de opstår.
- Kapacitetsstyring bør være baseret på proaktive funktioner tuning og overvågning. Begge disse elementer bør fungere i harmoni for at sikre, at systemer og forretningsfunktioner ikke kompromitteres.
- I operationelle termer bør organisationer udføre regelmæssigt stresstest der afhører et systems evne til at imødekomme overordnede forretningsbehov. Sådanne test bør formuleres fra sag til sag og være relevante for det operationsområde, de er målrettet mod.
- Kapacitet ledelseskontrol bør ikke være begrænset til en organisations strøm data eller operationelle behov, og bør omfatte alle planer for kommerciel og teknisk udvidelse (både fra et fysisk og digitalt perspektiv) for at forblive så fremtidssikret, som det er realistisk muligt.
- Udvidelse af organisatoriske ressourcer er underlagt varierende gennemløbstider og omkostninger, afhængigt af det pågældende system eller forretningsfunktion. Ressourcer, der er dyrere og sværere at udvide, bør underkastes en højere grad af kontrol for at sikre business kontinuitet.
- Den øverste ledelse bør være opmærksom på enkelte fejlpunkter i forbindelse med afhængighed af nøglepersoner eller individuelle ressourcer. Skulle der opstå vanskeligheder med en af disse faktorer, kan det ofte føre til komplikationer, som er markant sværere at afhjælpe.
- Formuler a kapacitet ledelsesplan, der specifikt omhandler forretningskritiske systemer og forretningsfunktioner.
Vejledning – Håndtering af efterspørgsel
27002:2022-8.6 går ind for en dobbeltfrontstilgang til kapacitetsstyring, der enten øger kapaciteten eller reducerer efterspørgslen på en ressource eller et sæt af ressourcer.
Når organisationer forsøger at øge kapaciteten, bør de:
- Overvej at ansætte nye medarbejdere til at udføre en forretningsfunktion.
- Køb, leje eller leje nye faciliteter eller kontorlokaler.
- Køb, leas eller leje yderligere behandling, datalagring og RAM (enten on-premise eller cloud-hostet).
- Overvej at bruge elastisk og skalerbar cloud-ressourcer, der udvides med beregningerne organisationens behov, med minimal indgriben.
Når organisationer forsøger at reducere efterspørgslen, bør de:
- Slet forældede data for at frigøre lagerplads på servere og tilknyttede medier.
- Bortskaf alle papirkopier på en sikker måde oplysninger, som organisationen ikke længere har brug for, og er ikke juridisk forpligtet til at opnå, hverken ved lov eller via et tilsynsorgan.
- Nedluk alle IKT-ressourcer, applikationer eller virtuelle miljøer, der ikke længere er nødvendige.
- Gennemgå planlagte IKT-opgaver (inklusive rapporter, automatiserede vedligeholdelsesfunktioner og batchprocesser) for at optimere hukommelsesressourcer og reducere lagerpladsen, der optages af outputdata.
- Optimer enhver applikationskode eller databaseforespørgsler, der køres regelmæssigt nok til at have en effekt på organisationens operationelle kapacitet.
- Begræns mængden af båndbredde, der allokeres til ikke-kritiske aktiviteter inden for grænserne af organisationens netværk. Dette kan omfatte begrænsning af internetadgang og hindring af video-/lydstreaming fra arbejdsenheder.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-8.6 erstatter 27002:2013-12.1.3 (Kapacitetsstyring).
27002:2022-8.6 indeholder et langt mere omfattende sæt retningslinjer, der instruerer organisationer i, hvordan de enten kan øge kapaciteten eller reducere efterspørgslen.
Udover dette indeholder 27002:2013-12.1.3 ingen specifik vejledning om, hvordan kapaciteten kan øges, i modsætning til 27002:2022-8.6, der skitserer specifikke handlingsforløb, der fører til mere operationelt åndehul.
27002:2013-12.1.3 indeholder heller ingen vejledning om, hvordan man stresstester operationel kapacitet, eller ellers revidere en organisations formåen at styre kapaciteten løbende, uden at anbefale en kapacitetsstyringsplan.
I overensstemmelse med den voldsomme stigning i cloud computing i løbet af det seneste årti, er 27002:2022-8.6 eksplicit i sine råd til organisationer om at bruge cloud-baserede ressourcer, der automatisk skaleres med forretningskrav.
27002:2013-12.1.3 nævner ikke en sådan omtale af lager- eller computerfaciliteter uden for stedet.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002 implementering er enklere med vores trinvise tjekliste, der guider dig gennem hele processen. Din komplette overholdelsesløsning til ISO / IEC 27002: 2022.
- Op til 81 % fremskridt fra du logger ind
- Enkel og total compliance-løsning
Kontakt i dag for book en demo.
