- Se ISO 27002:2022 Kontroll 5.4 för mer information.
- Se ISO 27001:2013 bilaga A 7.2.1 för mer information.
Säkerställa efterlevnad: Management's Guide to ISO 27001 Control 5.4
ISO 27001:2022, bilaga A kontroll 5.4, ledningens ansvar, omfattar behovet av att ledningen säkerställer att all personal följer alla ämnesspecifika policyer och procedurer för informationssäkerhet enligt definitionen i organisationens etablerade informationssäkerhetspolicy.
Vad är ISO 27001:2022 Annex A 5.4 Ledningsansvar?
Anställda och entreprenörer bör vara medvetna om och uppfylla sina informationssäkerhetsansvar enligt beskrivningen i denna bilaga.
Bilaga A Kontroll 5.4 beskriver hur anställda och entreprenörer tillämpar informationssäkerhet enligt organisationens policyer och rutiner.
De ansvarsområden som läggs på chefer bör innefatta krav på att:
- De måste förstå informationssäkerhetshot, sårbarheter och kontroller som är relevanta för deras jobbroller och få regelbunden utbildning (enligt bilaga A 7.2.2).
- Förstärk kraven i anställningsvillkoren genom att se till att man får ett proaktivt och adekvat stöd för tillämpliga informationssäkerhetspolicyer och kontroller i bilaga A.
Det är chefers ansvar att se till att säkerhetsmedvetenhet och samvetsgrannhet genomsyrar hela organisationen och att skapa en lämplig "säkerhetskultur".
Informationssäkerhetspolicyer – vad är de?
En informationssäkerhetspolicy är ett formellt dokument som anger ledningens riktning, mål och principer för att skydda en organisations information. För att säkerställa en lämplig resursfördelning måste en effektiv informationssäkerhetspolicy anpassas till en organisations specifika behov och stödjas av den högsta ledningen.
Den specificerar hur företaget ska skydda sina informationstillgångar och hur anställda ska hantera känsliga uppgifter.
De flesta informationssäkerhetspolicyer utvecklas av ledningen i samarbete med IT-säkerhetspersonal och är härledda från lagar, förordningar och bästa praxis.
Ett ramverk för att definiera roller och ansvar och en översynsperiod bör också inkluderas i policyerna.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Varför är ISO 27001:2022 bilaga A 5.4 betydelsefull?
Bilaga A Kontroll 5.4 syftar till att säkerställa att ledningen är medveten om sitt ansvar för informationssäkerhet.
Det tar åtgärder för att säkerställa att alla anställda är medvetna om detta ansvar.
Hur bilaga A 5.4 fungerar
Information är en värdefull tillgång som måste skyddas mot förlust, skada eller missbruk. Ledningen måste säkerställa att lämpliga åtgärder vidtas för att skydda denna tillgång. För att uppnå detta måste ledningen säkerställa att all personal följer organisationens informationssäkerhetspolicyer, ämnespolicyer och rutiner.
Kontroll 5.4 i bilaga A definierar ledningsansvar avseende informationssäkerhet i en organisation utifrån ISO 27001:s ramverk.
Ledningen måste vara med på informationssäkerhetsprogrammet och alla anställda och entreprenörer måste känna till informationssäkerhetspolicyn och följa den. Säkerhetspolicyer, ämnesspecifika policyer och procedurer bör aldrig undantas från obligatorisk efterlevnad av någon anställd eller entreprenör.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Processen i bilaga A 5.4 och vad du kan förvänta dig
En organisations policyer, standarder och procedurer för informationssäkerhet måste efterlevas av ledningen för att följa denna bilaga A-kontroll.
Att få ledningens stöd och buy-in är det första steget.
För att visa engagemang måste ledningen följa alla sina policyer och rutiner. Om till exempel årlig utbildning i säkerhetsmedvetenhet krävs bör chefer själva genomföra dessa kurser.
Oavsett befattning måste alla i företaget vara medvetna om vikten av informationssäkerhet. Som det står i företagets ISMS-program måste alla förstå sin roll i att upprätthålla säkerheten för känsliga uppgifter. Detta inkluderar styrelsen, chefer och chefer samt anställda.
Vilka är ändringarna och skillnaderna från ISO 27001:2013?
ISO 27001:2022 Bilaga A 5.4 Ledningens ansvar var tidigare känd som Kontroll 7.2.1 Ledningens ansvar . Det är inte en nytillkommen kontroll utan en mer robust tolkning av motsvarande kontroll i ISO 27001:2013.
Det finns några skillnader mellan bilaga A, kontroll 5.4 och kontroll 7.2.1. Dessa skillnader finns dokumenterade i implementeringsvägledningen för båda.
Jämförelse av ISO 27001 riktlinjer för implementering för bilaga A 5.4
Det är ledningens ansvar att se till att anställda och entreprenörer följer följande standarder:
- Innan de får åtkomst till konfidentiell information eller informationssystem är anställda tillräckligt utbildade i informationssäkerhetsroller och -ansvar.
- Ge riktlinjer för att ange informationssäkerhetsförväntningarna på deras roll inom organisationen.
En organisation måste:
- Var motiverad att säkerställa att organisationens informationssäkerhetspolicyer följs.
- Var förtrogen med deras roller och ansvar när det gäller informationssäkerhet.
- Följa organisationens informationssäkerhetspolicy och lämpliga arbetssätt.
- Se till att anställda har lämplig kompetens och kvalifikationer och får regelbunden utbildning.
- Rapportera brott mot informationssäkerhet policyer eller procedurer kan göras anonymt ("whistleblowing").
Ledningen bör stödja informationssäkerhetspolicyer, procedurer och kontroller i bilaga A.
Kontroll 5.4 i bilaga A är mer användarvänlig och kräver att ledningen ser till att anställda och entreprenörer följer följande riktlinjer:
A) Är informerade om sina ansvarsområden och roller inom informationssäkerhet innan åtkomst beviljas till organisationens information.
B) Få riktlinjer som specificerar den förväntade nivån av informationssäkerhet i deras specifika roller.
C) Uppfylla organisationens informationssäkerhetspolicy och ämnesspecifika policyer.
D) Bli medvetna om sin roll och sitt ansvar gällande informationssäkerhet.
E) Efterlevnad av arbetsplatsens regler, inklusive organisationens datasäkerhetspolicy och arbetsmetoder.
F) Utbilda dig kontinuerligt om kunskaper och kvalifikationer inom informationssäkerhet.
G) Vid brott mot informationssäkerhetspolicyer, ämnesspecifika policyer eller rutiner (”visselblåsning”) bör anställda ges tillgång till en konfidentiell kommunikationskanal. Det finns möjlighet till anonym rapportering eller bestämmelser som säkerställer att endast de som behöver hantera dessa rapporter känner till den som rapporterar.
H) Säkerställ tillräckliga resurser och projektplaneringstid för att implementera säkerhetsrelaterade processer och kontroller enligt bilaga A.
ISO 27001:2022-standarden kräver uttryckligen att arbetstagare och entreprenörer har tillgång till nödvändiga resurser och projektplaneringstid för att implementera säkerhetsrelaterade procedurer och kontroller.
ISO 27001:2013 och ISO 27001:2022 använder olika formuleringar för vissa implementeringsriktlinjer. Till exempel anger riktlinje C från 2013 att anställda och entreprenörer ska vara "motiverade" att anta ISMS-policyer; 2022 används dock ordet "mandat".
Tabell över alla ISO 27001:2022 bilaga A kontroller
I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 bilaga A-kontroll.
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Organisatoriska kontroller | Bilaga A 5.1 |
Bilaga A 5.1.1 Bilaga A 5.1.2 |
Policyer för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.2 | Bilaga A 6.1.1 | Informationssäkerhetsroller och ansvar |
| Organisatoriska kontroller | Bilaga A 5.3 | Bilaga A 6.1.2 | Uppdelning av arbetsuppgifter |
| Organisatoriska kontroller | Bilaga A 5.4 | Bilaga A 7.2.1 | Ledningsansvar |
| Organisatoriska kontroller | Bilaga A 5.5 | Bilaga A 6.1.3 | Kontakt med myndigheter |
| Organisatoriska kontroller | Bilaga A 5.6 | Bilaga A 6.1.4 | Kontakt med specialintressegrupper |
| Organisatoriska kontroller | Bilaga A 5.7 | NYA | Hotinformation |
| Organisatoriska kontroller | Bilaga A 5.8 |
Bilaga A 6.1.5 Bilaga A 14.1.1 |
Informationssäkerhet i projektledning |
| Organisatoriska kontroller | Bilaga A 5.9 |
Bilaga A 8.1.1 Bilaga A 8.1.2 |
Inventering av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.10 |
Bilaga A 8.1.3 Bilaga A 8.2.3 |
Acceptabel användning av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.11 | Bilaga A 8.1.4 | Återlämnande av tillgångar |
| Organisatoriska kontroller | Bilaga A 5.12 | Bilaga A 8.2.1 | Klassificering av information |
| Organisatoriska kontroller | Bilaga A 5.13 | Bilaga A 8.2.2 | Märkning av information |
| Organisatoriska kontroller | Bilaga A 5.14 |
Bilaga A 13.2.1 Bilaga A 13.2.2 Bilaga A 13.2.3 |
Informationsöverföring |
| Organisatoriska kontroller | Bilaga A 5.15 |
Bilaga A 9.1.1 Bilaga A 9.1.2 |
Åtkomstkontroll |
| Organisatoriska kontroller | Bilaga A 5.16 | Bilaga A 9.2.1 | Identitetshantering |
| Organisatoriska kontroller | Bilaga A 5.17 |
Bilaga A 9.2.4 Bilaga A 9.3.1 Bilaga A 9.4.3 |
Autentiseringsinformation |
| Organisatoriska kontroller | Bilaga A 5.18 |
Bilaga A 9.2.2 Bilaga A 9.2.5 Bilaga A 9.2.6 |
Åtkomsträttigheter |
| Organisatoriska kontroller | Bilaga A 5.19 | Bilaga A 15.1.1 | Informationssäkerhet i leverantörsrelationer |
| Organisatoriska kontroller | Bilaga A 5.20 | Bilaga A 15.1.2 | Adressering av informationssäkerhet inom leverantörsavtal |
| Organisatoriska kontroller | Bilaga A 5.21 | Bilaga A 15.1.3 | Hantera informationssäkerhet i ICT Supply Chain |
| Organisatoriska kontroller | Bilaga A 5.22 |
Bilaga A 15.2.1 Bilaga A 15.2.2 |
Övervakning, granskning och förändringshantering av leverantörstjänster |
| Organisatoriska kontroller | Bilaga A 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| Organisatoriska kontroller | Bilaga A 5.24 | Bilaga A 16.1.1 | Informationssäkerhet Incident Management Planering och förberedelse |
| Organisatoriska kontroller | Bilaga A 5.25 | Bilaga A 16.1.4 | Bedömning och beslut om informationssäkerhetshändelser |
| Organisatoriska kontroller | Bilaga A 5.26 | Bilaga A 16.1.5 | Svar på informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.27 | Bilaga A 16.1.6 | Lär dig av informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.28 | Bilaga A 16.1.7 | Insamling av bevis |
| Organisatoriska kontroller | Bilaga A 5.29 |
Bilaga A 17.1.1 Bilaga A 17.1.2 Bilaga A 17.1.3 |
Informationssäkerhet under avbrott |
| Organisatoriska kontroller | Bilaga A 5.30 | NYA | IKT-beredskap för affärskontinuitet |
| Organisatoriska kontroller | Bilaga A 5.31 |
Bilaga A 18.1.1 Bilaga A 18.1.5 |
Juridiska, lagstadgade, regulatoriska och avtalsmässiga krav |
| Organisatoriska kontroller | Bilaga A 5.32 | Bilaga A 18.1.2 | Immateriella rättigheter |
| Organisatoriska kontroller | Bilaga A 5.33 | Bilaga A 18.1.3 | Skydd av register |
| Organisatoriska kontroller | Bilaga A 5.34 | Bilaga A 18.1.4 | Integritet och skydd av PII |
| Organisatoriska kontroller | Bilaga A 5.35 | Bilaga A 18.2.1 | Oberoende granskning av informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.36 |
Bilaga A 18.2.2 Bilaga A 18.2.3 |
Efterlevnad av policyer, regler och standarder för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.37 | Bilaga A 12.1.1 | Dokumenterade driftprocedurer |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Människor kontroller | Bilaga A 6.1 | Bilaga A 7.1.1 | Screening |
| Människor kontroller | Bilaga A 6.2 | Bilaga A 7.1.2 | Villkor för anställning |
| Människor kontroller | Bilaga A 6.3 | Bilaga A 7.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| Människor kontroller | Bilaga A 6.4 | Bilaga A 7.2.3 | Disciplinär process |
| Människor kontroller | Bilaga A 6.5 | Bilaga A 7.3.1 | Ansvar efter uppsägning eller byte av anställning |
| Människor kontroller | Bilaga A 6.6 | Bilaga A 13.2.4 | Sekretess- eller sekretessavtal |
| Människor kontroller | Bilaga A 6.7 | Bilaga A 6.2.2 | Fjärrarbete |
| Människor kontroller | Bilaga A 6.8 |
Bilaga A 16.1.2 Bilaga A 16.1.3 |
Händelserapportering för informationssäkerhet |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Fysiska kontroller | Bilaga A 7.1 | Bilaga A 11.1.1 | Fysiska säkerhetsområden |
| Fysiska kontroller | Bilaga A 7.2 |
Bilaga A 11.1.2 Bilaga A 11.1.6 |
Fysisk inträde |
| Fysiska kontroller | Bilaga A 7.3 | Bilaga A 11.1.3 | Säkra kontor, rum och faciliteter |
| Fysiska kontroller | Bilaga A 7.4 | NYA | Fysisk säkerhetsövervakning |
| Fysiska kontroller | Bilaga A 7.5 | Bilaga A 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| Fysiska kontroller | Bilaga A 7.6 | Bilaga A 11.1.5 | Arbeta i säkra områden |
| Fysiska kontroller | Bilaga A 7.7 | Bilaga A 11.2.9 | Clear Desk och Clear Screen |
| Fysiska kontroller | Bilaga A 7.8 | Bilaga A 11.2.1 | Utrustningsplacering och skydd |
| Fysiska kontroller | Bilaga A 7.9 | Bilaga A 11.2.6 | Säkerhet för tillgångar utanför lokaler |
| Fysiska kontroller | Bilaga A 7.10 |
Bilaga A 8.3.1 Bilaga A 8.3.2 Bilaga A 8.3.3 Bilaga A 11.2.5 |
Förvarings media |
| Fysiska kontroller | Bilaga A 7.11 | Bilaga A 11.2.2 | Stöd till verktyg |
| Fysiska kontroller | Bilaga A 7.12 | Bilaga A 11.2.3 | Kabelsäkerhet |
| Fysiska kontroller | Bilaga A 7.13 | Bilaga A 11.2.4 | Utrustningsunderhåll |
| Fysiska kontroller | Bilaga A 7.14 | Bilaga A 11.2.7 | Säker kassering eller återanvändning av utrustning |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Tekniska kontroller | Bilaga A 8.1 |
Bilaga A 6.2.1 Bilaga A 11.2.8 |
Användarens slutpunktsenheter |
| Tekniska kontroller | Bilaga A 8.2 | Bilaga A 9.2.3 | Privilegerade åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.3 | Bilaga A 9.4.1 | Begränsning av informationsåtkomst |
| Tekniska kontroller | Bilaga A 8.4 | Bilaga A 9.4.5 | Tillgång till källkod |
| Tekniska kontroller | Bilaga A 8.5 | Bilaga A 9.4.2 | Säker autentisering |
| Tekniska kontroller | Bilaga A 8.6 | Bilaga A 12.1.3 | Kapacitetshantering |
| Tekniska kontroller | Bilaga A 8.7 | Bilaga A 12.2.1 | Skydd mot skadlig programvara |
| Tekniska kontroller | Bilaga A 8.8 |
Bilaga A 12.6.1 Bilaga A 18.2.3 |
Hantering av tekniska sårbarheter |
| Tekniska kontroller | Bilaga A 8.9 | NYA | Systemintegration |
| Tekniska kontroller | Bilaga A 8.10 | NYA | Informationsradering |
| Tekniska kontroller | Bilaga A 8.11 | NYA | Datamaskning |
| Tekniska kontroller | Bilaga A 8.12 | NYA | Förebyggande av dataläckage |
| Tekniska kontroller | Bilaga A 8.13 | Bilaga A 12.3.1 | Backup av information |
| Tekniska kontroller | Bilaga A 8.14 | Bilaga A 17.2.1 | Redundans av informationsbehandlingsanläggningar |
| Tekniska kontroller | Bilaga A 8.15 |
Bilaga A 12.4.1 Bilaga A 12.4.2 Bilaga A 12.4.3 |
Loggning |
| Tekniska kontroller | Bilaga A 8.16 | NYA | Övervakningsaktiviteter |
| Tekniska kontroller | Bilaga A 8.17 | Bilaga A 12.4.4 | Klocksynkronisering |
| Tekniska kontroller | Bilaga A 8.18 | Bilaga A 9.4.4 | Användning av privilegierade verktygsprogram Åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.19 |
Bilaga A 12.5.1 Bilaga A 12.6.2 |
Installation av programvara på operativa system |
| Tekniska kontroller | Bilaga A 8.20 | Bilaga A 13.1.1 | Nätverkssäkerhet |
| Tekniska kontroller | Bilaga A 8.21 | Bilaga A 13.1.2 | Säkerhet för nätverkstjänster |
| Tekniska kontroller | Bilaga A 8.22 | Bilaga A 13.1.3 | Segregering av nätverk |
| Tekniska kontroller | Bilaga A 8.23 | NYA | Webbfiltrering |
| Tekniska kontroller | Bilaga A 8.24 |
Bilaga A 10.1.1 Bilaga A 10.1.2 |
Användning av kryptografi |
| Tekniska kontroller | Bilaga A 8.25 | Bilaga A 14.2.1 | Säker utvecklingslivscykel |
| Tekniska kontroller | Bilaga A 8.26 |
Bilaga A 14.1.2 Bilaga A 14.1.3 |
Programsäkerhetskrav |
| Tekniska kontroller | Bilaga A 8.27 | Bilaga A 14.2.5 | Principer för säker systemarkitektur och teknikLärdomar från informationssäkerhetsincidenter |
| Tekniska kontroller | Bilaga A 8.28 | NYA | Säker kodning |
| Tekniska kontroller | Bilaga A 8.29 |
Bilaga A 14.2.8 Bilaga A 14.2.9 |
Säkerhetstestning i utveckling och acceptans |
| Tekniska kontroller | Bilaga A 8.30 | Bilaga A 14.2.7 | Outsourcad utveckling |
| Tekniska kontroller | Bilaga A 8.31 |
Bilaga A 12.1.4 Bilaga A 14.2.6 |
Separation av utvecklings-, test- och produktionsmiljöer |
| Tekniska kontroller | Bilaga A 8.32 |
Bilaga A 12.1.2 Bilaga A 14.2.2 Bilaga A 14.2.3 Bilaga A 14.2.4 |
Change Management |
| Tekniska kontroller | Bilaga A 8.33 | Bilaga A 14.3.1 | Testinformation |
| Tekniska kontroller | Bilaga A 8.34 | Bilaga A 12.7.1 | Skydd av informationssystem under revisionstestning |
NHS Professionals uppnår ISO 27001-certifiering och förbättrar sin infosec-hantering
Med en snäv tidsfrist på sex månader och flera befintliga ramverk att integrera behövde NHS-personal en plattform som kunde integrera ISO 27001 utan att duplicera policyer eller öka risken i deras redan komplexa efterlevnadslandskap.
Xergy-verktyget Proteus genererar tillväxt genom ISO 27001-efterlevnad med hjälp av ISMS.online
Som ett nystartat företag som utvecklade programvara för hårt reglerade ingenjörssektorer behövde Xergy ISO 27001 för att generera tillväxt genom förtroende – och en beprövad extern partner för att hantera de rigorösa kraven utan att avleda utvecklingsteamet.
Hur Blue Services uppnådde framgång med trippel ISO-certifiering
Blue Services behövde externt stöd för att vägleda dem genom implementeringen och bästa praxis för ISO 27001, ISO 9001 och ISO 14001, samt en plattform för att centralisera sin övergripande efterlevnadshantering.
Hur Evolution Funding ledde till ISO 27001-certifiering
Att uppnå ISO 27001-certifiering var ett centralt mål för Evolution Funding. Teamet behövde en centraliserad plattform med vilken de kunde implementera ISO 27001-standarden och arbeta sig igenom efterlevnadsprocessen.
Hur 4way Consulting banade väg för framgång enligt ISO 27001
4way hanterade känsliga klientdata över flera standarder och behövde ett kostnads- och tidseffektivt sätt att följa ISO 27001 – utan att bygga ett ISMS från grunden eller förlita sig på dyra externa konsulter.
nesevos framgång med multicertifieringsefterlevnad med IO
Nesevo hade svårt att hantera ISO 27001-efterlevnaden i spridda dokument och kalkylblad och behövde en centraliserad plattform som kunde vägleda dem genom standarden utan löpande kostnader för externa konsulter.
Hur hanteras denna process?
Enkelt uttryckt säkerställer ett företags ledning att ett ISMS ( informationssäkerhetsledningssystem ) finns på plats.
En informationssäkerhetschef som är kvalificerad, erfaren och ansvarig för att utveckla, implementera, hantera och kontinuerligt förbättra ISMS bör utses.
ISMS.online: Hur vi kan hjälpa
När man implementerar ett ISO 27001-anpassat ISMS är en viktig utmaning att hålla koll på sina informationssäkerhetskontroller. Vårt system gör denna process enkel.
Vårt team förstår vikten av att skydda din organisations data och rykte. Följaktligen förenklar vår molnbaserade plattform implementeringen av ISO 27001 , gör det möjligt för dig att etablera ett robust ramverk för informationssäkerhetskontroller och hjälper dig att uppnå certifiering snabbt och enkelt.
Med ISMS.online kan du snabbt få ISO 27001-certifiering och hantera den efteråt. Vår plattform har olika användarvänliga funktioner och verktyg som sparar tid och säkerställer att du skapar ett robust ISMS.
Kontakta oss idag för att boka en demo.
