ISO 27701 – Klausul 6.14 – Informationssikkerhedsaspekter af Business Continuity Management

ISO 27701 klausul 6.14: Sikring af informationssikkerhedskontinuitet

Kontinuitetsplanlægning betyder i en nøddeskal at sikre, at en organisation er i stand til at fortsætte med at drive forretning, når der opstår problemer, og privatlivsoplysninger – eller hele informationsbehandlingsfaciliteter – bliver kompromitteret eller utilgængelige.

Forretningskontinuitet er tæt forbundet med backup og disaster recovery (BUDR) – et teknisk IKT-koncept, der omfatter redundanslag, sikkerhedskopier, duplikering af aktiver og alarmering.

Hvad er dækket af ISO 27701 klausul 6.14

ISO 27701 fokuserer på to nøgleområder inden for kontinuitetsstyring, fortrolighedsinformationssikkerhed og redundans, på tværs af 4 underklausuler:

• ISO 27701 6.14.1.1 – Planlægning af informationssikkerhedskontinuitet (ISO 27002 Kontrol 5.29)
• ISO 27701 6.14.1.2 – Implementering af informationssikkerhedskontinuitet (ISO 27002 Control 5.29)
• ISO 27701 6.14.1.3 – Bekræft, forny og evaluer informationssikkerhedskontinuitet (ISO 27002 Kontrol 5.29)
• ISO 27701 6.14.2.1 – Tilgængelighed af informationsbehandlingsfaciliteter (ISO 27002 kontrol 8.14)

Hver underklausul indeholder vejledningsoplysninger fra ISO 27002, anvendt inden for rammerne af fortrolighedsinformationssikkerhed.

ISO 27701 klausul 6.14.1.1 – Planlægning af informationssikkerhedskontinuitet

Referencer ISO 27002 Kontrol 5.29

Organisationer bør overveje fortrolighedsinformationssikkerhed som en integreret del af en bredere forretningskontinuitetsstyringsprocedure.

ISO beder organisationen om at fokusere på to nøgleområder, når de formulerer forretningskontinuitetsplaner:

1. Tab af fortrolighed
2. Informationens integritet

Integritet for privatlivsinformationssikkerhed bør opretholdes til enhver tid. Skulle PII eller privatlivsrelaterede aktiver blive kompromitteret på nogen måde, bør organisationer gøre så meget, som de kan, for at gendanne dem rettidigt og effektivt og til de samme niveauer før afbrydelsen.

Organisationer bør:

• Arbejd med generaliserede kontrolelementer for privatlivsinformationssikkerhed, der fungerer i harmoni med forretningskontinuitetsplaner.
• Overhold processer, der opretholder kontrol med privatlivsinformationssikkerhed i perioder med afbrydelse eller tab af forretning.

Hvis det ikke er muligt at opretholde kontrol med privatlivsinformationssikkerhed på et givet tidspunkt (især i perioder med forstyrrelser), bør organisationer indføre "kompenserende" kontroller, der stræber efter at opnå et så højt niveau af informationssikkerhed som muligt.

ISO 27701 klausul 6.14.1.2 – Implementering af informationssikkerhedskontinuitet

Referencer ISO 27002 Kontrol 5.29

Se ISO 27701 klausul 6.14.1.1

ISO 27701 klausul 6.14.1.3 – Bekræft, forny og evaluer informationssikkerhed

Referencer ISO 27002 Kontrol 5.29

Se ISO 27701 klausul 6.14.1.1

ISO 27701 klausul 6.14.2.1 – Tilgængelighed af informationsbehandlingsfaciliteter

Referencer ISO 27002 Kontrol 8.14

Organisationer bør bestræbe sig på at sikre, at forretningstjenester og databeskyttelsessystemer til enhver tid er i drift.

ISO anbefaler duplikering som en redundansmekanisme – organisationer bør føre en fortegnelse over reservedele, duplikerede hardware- og softwarekomponenter, reservenetværksenheder og periferiudstyr, der kan udskiftes med fejlfungerende aktiver på tværs af netværket.

Advarsler bør konfigureres til først at identificere fejlbehæftede faciliteter til behandling af privatlivsoplysninger, og for at alternative systemer bringes så hurtigt som muligt.

Organisationer bør:

• Sikre et løbende forhold til to separate tjenesteudbydere, hvilket reducerer risikoen for nedetid.
• Overvej redundansforanstaltninger, når du designer og implementerer netværk, såsom flere domænecontrollere og BUDR-planer.
• Brug geografisk adskilte placeringer til sikkerhedskopiering og tilhørende datatjenester.
• Brug velkendte industriteknikker såsom belastningsbalancering og automatisk failover mellem to identiske redundante softwarekomponenter eller systemer.
• Test regelmæssigt redundansforanstaltninger for at sikre, at de er i stand til at opfylde forretningskrav, når de bliver bedt om det.
• Arbejd med duplikerede lagerkomponenter (RAID-arrays, CPU'er) og netværksenheder med ensartede firmwareversioner.

Understøttende kontroller fra ISO 27002 og GDPR

Hvordan ISMS.online hjælper

Vores ISMS.online-løsninger gør det nemt for organisationer at opnå projekttilsyn, hvilket sikrer, at dataansvarlige og databehandlerens politikker og procedurer er i overensstemmelse med ISO-standarden.

Vores online system sikrer også, at systemimplementere har et enkelt sted for reference og samarbejde. Vores Assured Results Method (ARM) giver dig mulighed for at være sikker på, at du afkrydser alle de felter, du skal bruge for at overholde standarden.

Find ud af mere ved booking af en praktisk demo.