Syftet med ISO 27001:2022 bilaga A 5.23
ISO 27001: 2022 Bilaga A 5.23 är en ny kontroll som beskriver de processer som krävs för anskaffning, användning, hantering av och utträde ur molntjänster, i förhållande till organisationens unika krav på informationssäkerhet.
Bilaga A Kontroll 5.23 tillåter organisationer att först specificera och sedan hantera och administrera informationssäkerhetskoncept som relaterade till molntjänster, i deras egenskap av "molntjänstkund".
Bilaga A 5.23 är en förebyggande kontroll den där upprätthåller risken genom att specificera policyer och procedurer som styr informationssäkerhet, inom området för kommersiella molntjänster.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Äganderätt till bilaga A 5.23
Sådan är spridningen av molntjänster under det senaste decenniet, ISO 27001 2022 Bilaga A Kontroll 5.23 innehåller en mängd procedurer som omfattar många distinkta delar av en organisations verksamhet.
Med tanke på att inte alla molntjänster är IKT-specifika – även om det rimligen skulle kunna hävdas att de flesta är det – bör ägandet av bilaga A Kontroll 5.23 fördelas mellan en organisations CTO or KUTTRAberoende på rådande driftsförhållanden.
Vägledning om ISO 27001:2022 Bilaga A Kontroll 5.23 – Organisatoriska skyldigheter
Överensstämmelse med kontroll 5.23 innebär att följa vad som kallas en "ämnesspecifik" tillvägagångssätt till molntjänster och informationssäkerhet.
Med tanke på mångfalden av molntjänster som erbjuds uppmuntrar ämnesspecifika tillvägagångssätt organisationer att skapa policyer för molntjänster som är skräddarsydda för individuella affärsfunktioner, snarare än att följa en generell policy som gäller för informationssäkerhet och molntjänster över hela linjen.
Det bör noteras att ISO betraktar efterlevnaden av bilaga A Kontroll 5.23 som ett samarbete mellan organisationen och deras molntjänstpartner. Bilaga A Kontroll 5.23 bör också vara nära anpassad till kontrollerna 5.21 och 5.22, som handlar om informationshantering i leverantörskedjan respektive hantering av leverantörstjänster.
Hur en organisation än väljer att verka bör bilaga A Kontroll 5.23 inte tas isolerat och bör komplettera befintliga ansträngningar för att hantera leverantörsrelationer.
Med informationssäkerhet i spetsen bör organisationen definiera:
- Alla relevanta säkerhetskrav eller problem som är involverade i användningen av en molnplattform.
- Kriterierna för att välja en molntjänstleverantör och hur deras tjänster ska användas.
- Detaljerad beskrivning av roller och relevanta ansvarsområden som styr hur molntjänster ska användas i hela organisationen.
- Exakt vilka informationssäkerhetsområden som kontrolleras av molntjänstleverantören, och de som faller under organisationens ansvarsområde.
- De bästa sätten att först sammanställa och sedan använda alla informationssäkerhetsrelaterade tjänstekomponenter som tillhandahålls av molntjänstplattformen.
- Hur man får kategoriska garantier för eventuella informationssäkerhetsrelaterade kontroller som antagits av molntjänstleverantören.
- De steg som måste vidtas för att hantera förändringar, kommunikation och kontroller över flera olika molnplattformar, och inte alltid från samma leverantör.
- Incident Management förfaranden som enbart handlar om tillhandahållande av molntjänster.
- Hur organisationen förväntar sig att hantera sin pågående användning och/eller grossistanvändning av molnplattformar, i linje med deras bredare informationssäkerhetsskyldigheter.
- En strategi för att upphöra eller ändra molntjänster, antingen leverantör för leverantör eller genom migrering från moln till lokal.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Vägledning om bilaga A Kontroll 5.23 – Molntjänstavtal
Bilaga A Kontroll 5.23 erkänner att, till skillnad från andra leverantörsrelationer, molntjänstavtal är stela dokument som inte går att ändra i de allra flesta fall.
Med det i åtanke bör organisationer granska molntjänstavtal och se till att fyra huvudsakliga operativa krav uppfylls:
- Sekretess.
- Säkerhet/dataintegritet.
- Tjänstens tillgänglighet.
- Informationshantering.
Precis som med andra leverantörskontrakt bör molntjänstavtal före godkännande genomgå en grundlig riskbedömning som belyser potentiella problem vid källan.
Som ett minimum bör organisationen ingå ett molntjänstavtal först när de är övertygade om att följande 10 bestämmelser har uppfyllts:
- Molntjänster tillhandahålls och implementeras baserat på organisationens unika krav relaterade till deras verksamhetsområde, inklusive industriaccepterade standarder och praxis för molnbaserad arkitektur och värdbaserad infrastruktur.
- Tillgång till alla molnplattformar uppfyller organisationens krav på gränsinformationssäkerhet.
- Adekvat hänsyn tas till antimalware- och antivirustjänster, inklusive proaktiv övervakning och hotskydd.
- Molnleverantören följer en fördefinierad uppsättning datalagrings- och bearbetningsbestämmelser, relaterade till en eller flera distinkta globala regioner och regulatoriska miljöer.
- Proaktiv support ges till organisationen om molnplattformen skulle drabbas av ett katastrofalt fel eller informationssäkerhetsrelaterad incident.
- Om behovet uppstår att lägga ut eller på annat sätt lägga ut någon del av molnplattformen, förblir leverantörens krav på informationssäkerhet ett ständigt övervägande.
- Om organisationen skulle behöva någon hjälp med att samla digital information för något relevant ändamål (lagsbekämpning, regelanpassning, kommersiella syften), kommer molntjänstleverantören att stödja organisationen så långt det är möjligt.
- I slutet av relationen bör molntjänstleverantören tillhandahålla rimligt stöd och lämplig tillgänglighet under övergångs- eller avvecklingsperioden.
- Molntjänstleverantören bör arbeta med en robust BUDR-plan som är fokuserad på att utföra adekvata säkerhetskopior av organisationens data.
- Överföring av all relevant kompletterande data från molntjänstleverantören till organisationen, inklusive konfigurationsinformation och kod som organisationen har anspråk på.
Tilläggsinformation om kontroll av bilaga A 5.23
Utöver ovanstående vägledning föreslår bilaga A Kontroll 5.23 att organisationer bildar ett nära samarbete med leverantörer av molntjänster, i enlighet med den viktiga tjänst de tillhandahåller inte bara i informationssäkerhetshänseende, utan över en organisations hela kommersiella verksamhet.
Organisationer bör, där det är möjligt, söka efter följande krav från molntjänstleverantörer för att förbättra operativ motståndskraft och åtnjuta förbättrade nivåer av informationssäkerhet:
- Alla ändringar av infrastrukturen bör kommuniceras i förväg för att informera organisationens egen uppsättning informationssäkerhetsstandarder.
- Organisationen måste hållas informerad om alla ändringar av datalagringsprocedurer som involverar migrering av data till en annan jurisdiktion eller global region.
- Alla avsikter från molntjänsteleverantörens sida att använda "peer moln"-leverantörer, eller outsourca områden av deras verksamhet till underleverantörer som kan få informationssäkerhetskonsekvenser för organisationen.
Stödja kontroller i bilaga A
- ISO 27001:2022 bilaga A 5.21
- ISO 27001:2022 bilaga A 5.22
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Vilka är ändringarna och skillnaderna från ISO 27001:2013?
Bilaga A Kontroll 5.23 är en ny kontroll som inte finns med i ISO 27001:2013 i någon egenskap.
Tabell över alla ISO 27001:2022 bilaga A kontroller
I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Organisatoriska kontroller | Bilaga A 5.1 |
Bilaga A 5.1.1 Bilaga A 5.1.2 |
Policyer för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.2 | Bilaga A 6.1.1 | Informationssäkerhetsroller och ansvar |
| Organisatoriska kontroller | Bilaga A 5.3 | Bilaga A 6.1.2 | Uppdelning av arbetsuppgifter |
| Organisatoriska kontroller | Bilaga A 5.4 | Bilaga A 7.2.1 | Ledningsansvar |
| Organisatoriska kontroller | Bilaga A 5.5 | Bilaga A 6.1.3 | Kontakt med myndigheter |
| Organisatoriska kontroller | Bilaga A 5.6 | Bilaga A 6.1.4 | Kontakt med specialintressegrupper |
| Organisatoriska kontroller | Bilaga A 5.7 | NYA | Hotinformation |
| Organisatoriska kontroller | Bilaga A 5.8 |
Bilaga A 6.1.5 Bilaga A 14.1.1 |
Informationssäkerhet i projektledning |
| Organisatoriska kontroller | Bilaga A 5.9 |
Bilaga A 8.1.1 Bilaga A 8.1.2 |
Inventering av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.10 |
Bilaga A 8.1.3 Bilaga A 8.2.3 |
Acceptabel användning av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.11 | Bilaga A 8.1.4 | Återlämnande av tillgångar |
| Organisatoriska kontroller | Bilaga A 5.12 | Bilaga A 8.2.1 | Klassificering av information |
| Organisatoriska kontroller | Bilaga A 5.13 | Bilaga A 8.2.2 | Märkning av information |
| Organisatoriska kontroller | Bilaga A 5.14 |
Bilaga A 13.2.1 Bilaga A 13.2.2 Bilaga A 13.2.3 |
Informationsöverföring |
| Organisatoriska kontroller | Bilaga A 5.15 |
Bilaga A 9.1.1 Bilaga A 9.1.2 |
Åtkomstkontroll |
| Organisatoriska kontroller | Bilaga A 5.16 | Bilaga A 9.2.1 | Identitetshantering |
| Organisatoriska kontroller | Bilaga A 5.17 |
Bilaga A 9.2.4 Bilaga A 9.3.1 Bilaga A 9.4.3 |
Autentiseringsinformation |
| Organisatoriska kontroller | Bilaga A 5.18 |
Bilaga A 9.2.2 Bilaga A 9.2.5 Bilaga A 9.2.6 |
Åtkomsträttigheter |
| Organisatoriska kontroller | Bilaga A 5.19 | Bilaga A 15.1.1 | Informationssäkerhet i leverantörsrelationer |
| Organisatoriska kontroller | Bilaga A 5.20 | Bilaga A 15.1.2 | Adressering av informationssäkerhet inom leverantörsavtal |
| Organisatoriska kontroller | Bilaga A 5.21 | Bilaga A 15.1.3 | Hantera informationssäkerhet i ICT Supply Chain |
| Organisatoriska kontroller | Bilaga A 5.22 |
Bilaga A 15.2.1 Bilaga A 15.2.2 |
Övervakning, granskning och förändringshantering av leverantörstjänster |
| Organisatoriska kontroller | Bilaga A 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| Organisatoriska kontroller | Bilaga A 5.24 | Bilaga A 16.1.1 | Informationssäkerhet Incident Management Planering och förberedelse |
| Organisatoriska kontroller | Bilaga A 5.25 | Bilaga A 16.1.4 | Bedömning och beslut om informationssäkerhetshändelser |
| Organisatoriska kontroller | Bilaga A 5.26 | Bilaga A 16.1.5 | Svar på informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.27 | Bilaga A 16.1.6 | Lär dig av informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.28 | Bilaga A 16.1.7 | Insamling av bevis |
| Organisatoriska kontroller | Bilaga A 5.29 |
Bilaga A 17.1.1 Bilaga A 17.1.2 Bilaga A 17.1.3 |
Informationssäkerhet under avbrott |
| Organisatoriska kontroller | Bilaga A 5.30 | NYA | IKT-beredskap för affärskontinuitet |
| Organisatoriska kontroller | Bilaga A 5.31 |
Bilaga A 18.1.1 Bilaga A 18.1.5 |
Juridiska, lagstadgade, regulatoriska och avtalsmässiga krav |
| Organisatoriska kontroller | Bilaga A 5.32 | Bilaga A 18.1.2 | Immateriella rättigheter |
| Organisatoriska kontroller | Bilaga A 5.33 | Bilaga A 18.1.3 | Skydd av register |
| Organisatoriska kontroller | Bilaga A 5.34 | Bilaga A 18.1.4 | Integritet och skydd av PII |
| Organisatoriska kontroller | Bilaga A 5.35 | Bilaga A 18.2.1 | Oberoende granskning av informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.36 |
Bilaga A 18.2.2 Bilaga A 18.2.3 |
Efterlevnad av policyer, regler och standarder för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.37 | Bilaga A 12.1.1 | Dokumenterade driftprocedurer |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Människor kontroller | Bilaga A 6.1 | Bilaga A 7.1.1 | Screening |
| Människor kontroller | Bilaga A 6.2 | Bilaga A 7.1.2 | Villkor för anställning |
| Människor kontroller | Bilaga A 6.3 | Bilaga A 7.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| Människor kontroller | Bilaga A 6.4 | Bilaga A 7.2.3 | Disciplinär process |
| Människor kontroller | Bilaga A 6.5 | Bilaga A 7.3.1 | Ansvar efter uppsägning eller byte av anställning |
| Människor kontroller | Bilaga A 6.6 | Bilaga A 13.2.4 | Sekretess- eller sekretessavtal |
| Människor kontroller | Bilaga A 6.7 | Bilaga A 6.2.2 | Fjärrarbete |
| Människor kontroller | Bilaga A 6.8 |
Bilaga A 16.1.2 Bilaga A 16.1.3 |
Händelserapportering för informationssäkerhet |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Fysiska kontroller | Bilaga A 7.1 | Bilaga A 11.1.1 | Fysiska säkerhetsområden |
| Fysiska kontroller | Bilaga A 7.2 |
Bilaga A 11.1.2 Bilaga A 11.1.6 |
Fysisk inträde |
| Fysiska kontroller | Bilaga A 7.3 | Bilaga A 11.1.3 | Säkra kontor, rum och faciliteter |
| Fysiska kontroller | Bilaga A 7.4 | NYA | Fysisk säkerhetsövervakning |
| Fysiska kontroller | Bilaga A 7.5 | Bilaga A 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| Fysiska kontroller | Bilaga A 7.6 | Bilaga A 11.1.5 | Arbeta i säkra områden |
| Fysiska kontroller | Bilaga A 7.7 | Bilaga A 11.2.9 | Clear Desk och Clear Screen |
| Fysiska kontroller | Bilaga A 7.8 | Bilaga A 11.2.1 | Utrustningsplacering och skydd |
| Fysiska kontroller | Bilaga A 7.9 | Bilaga A 11.2.6 | Säkerhet för tillgångar utanför lokaler |
| Fysiska kontroller | Bilaga A 7.10 |
Bilaga A 8.3.1 Bilaga A 8.3.2 Bilaga A 8.3.3 Bilaga A 11.2.5 |
Förvarings media |
| Fysiska kontroller | Bilaga A 7.11 | Bilaga A 11.2.2 | Stöd till verktyg |
| Fysiska kontroller | Bilaga A 7.12 | Bilaga A 11.2.3 | Kabelsäkerhet |
| Fysiska kontroller | Bilaga A 7.13 | Bilaga A 11.2.4 | Utrustningsunderhåll |
| Fysiska kontroller | Bilaga A 7.14 | Bilaga A 11.2.7 | Säker kassering eller återanvändning av utrustning |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Tekniska kontroller | Bilaga A 8.1 |
Bilaga A 6.2.1 Bilaga A 11.2.8 |
Användarens slutpunktsenheter |
| Tekniska kontroller | Bilaga A 8.2 | Bilaga A 9.2.3 | Privilegerade åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.3 | Bilaga A 9.4.1 | Begränsning av informationsåtkomst |
| Tekniska kontroller | Bilaga A 8.4 | Bilaga A 9.4.5 | Tillgång till källkod |
| Tekniska kontroller | Bilaga A 8.5 | Bilaga A 9.4.2 | Säker autentisering |
| Tekniska kontroller | Bilaga A 8.6 | Bilaga A 12.1.3 | Kapacitetshantering |
| Tekniska kontroller | Bilaga A 8.7 | Bilaga A 12.2.1 | Skydd mot skadlig programvara |
| Tekniska kontroller | Bilaga A 8.8 |
Bilaga A 12.6.1 Bilaga A 18.2.3 |
Hantering av tekniska sårbarheter |
| Tekniska kontroller | Bilaga A 8.9 | NYA | Systemintegration |
| Tekniska kontroller | Bilaga A 8.10 | NYA | Informationsradering |
| Tekniska kontroller | Bilaga A 8.11 | NYA | Datamaskning |
| Tekniska kontroller | Bilaga A 8.12 | NYA | Förebyggande av dataläckage |
| Tekniska kontroller | Bilaga A 8.13 | Bilaga A 12.3.1 | Backup av information |
| Tekniska kontroller | Bilaga A 8.14 | Bilaga A 17.2.1 | Redundans av informationsbehandlingsanläggningar |
| Tekniska kontroller | Bilaga A 8.15 |
Bilaga A 12.4.1 Bilaga A 12.4.2 Bilaga A 12.4.3 |
Loggning |
| Tekniska kontroller | Bilaga A 8.16 | NYA | Övervakningsaktiviteter |
| Tekniska kontroller | Bilaga A 8.17 | Bilaga A 12.4.4 | Klocksynkronisering |
| Tekniska kontroller | Bilaga A 8.18 | Bilaga A 9.4.4 | Användning av privilegierade verktygsprogram Åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.19 |
Bilaga A 12.5.1 Bilaga A 12.6.2 |
Installation av programvara på operativa system |
| Tekniska kontroller | Bilaga A 8.20 | Bilaga A 13.1.1 | Nätverkssäkerhet |
| Tekniska kontroller | Bilaga A 8.21 | Bilaga A 13.1.2 | Säkerhet för nätverkstjänster |
| Tekniska kontroller | Bilaga A 8.22 | Bilaga A 13.1.3 | Segregering av nätverk |
| Tekniska kontroller | Bilaga A 8.23 | NYA | Webbfiltrering |
| Tekniska kontroller | Bilaga A 8.24 |
Bilaga A 10.1.1 Bilaga A 10.1.2 |
Användning av kryptografi |
| Tekniska kontroller | Bilaga A 8.25 | Bilaga A 14.2.1 | Säker utvecklingslivscykel |
| Tekniska kontroller | Bilaga A 8.26 |
Bilaga A 14.1.2 Bilaga A 14.1.3 |
Programsäkerhetskrav |
| Tekniska kontroller | Bilaga A 8.27 | Bilaga A 14.2.5 | Principer för säker systemarkitektur och teknikLärdomar från informationssäkerhetsincidenter |
| Tekniska kontroller | Bilaga A 8.28 | NYA | Säker kodning |
| Tekniska kontroller | Bilaga A 8.29 |
Bilaga A 14.2.8 Bilaga A 14.2.9 |
Säkerhetstestning i utveckling och acceptans |
| Tekniska kontroller | Bilaga A 8.30 | Bilaga A 14.2.7 | Outsourcad utveckling |
| Tekniska kontroller | Bilaga A 8.31 |
Bilaga A 12.1.4 Bilaga A 14.2.6 |
Separation av utvecklings-, test- och produktionsmiljöer |
| Tekniska kontroller | Bilaga A 8.32 |
Bilaga A 12.1.2 Bilaga A 14.2.2 Bilaga A 14.2.3 Bilaga A 14.2.4 |
Change Management |
| Tekniska kontroller | Bilaga A 8.33 | Bilaga A 14.3.1 | Testinformation |
| Tekniska kontroller | Bilaga A 8.34 | Bilaga A 12.7.1 | Skydd av informationssystem under revisionstestning |
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Hur ISMS.online hjälper
ISMS.online effektiviserar implementeringsprocessen för ISO 27001 genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.
När du använder ISMS.online kommer du att kunna:
- Skapa ett ISMS som är kompatibelt med ISO 27001-standarder.
- Utför uppgifter och skicka in bevis som visar att de har uppfyllt kraven i standarden.
- Fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
- Få tillgång till ett specialiserat team av rådgivare som hjälper dig genom hela din väg mot efterlevnad.
Hör av dig och boka en demo.
