- Se ISO 27002:2022 Kontroll 8.32 för mer information.
- Se ISO 27001:2013 bilaga A 12.1.2 för mer information.
- Se ISO 27001:2013 bilaga A 14.2.2 för mer information.
- Se ISO 27001:2013 bilaga A 14.2.3 för mer information.
- Se ISO 27001:2013 bilaga A 14.2.4 för mer information.
ISO 27001 Annex A 8.32: Att kontrollera förändringar för informationssäkerhet
Ändras till informationssystem, som att byta ut en nätverksenhet, skapa en ny databasinstans eller uppgradera programvara, är ofta nödvändiga för att förbättra prestandan, minska kostnaderna och öka effektiviteten.
Om de inte utförs korrekt kan ändringar av informationsbehandlingsanläggningar och system äventyra de uppgifter som lagras eller behandlas i dem.
ISO 27001: 2022 Bilaga A 8.32 undersöker hur organisationer kan inrätta och utföra förändringshanteringsprocedurer för att övervaka, undersöka och hantera förändringar av informationsbehandlingsfaciliteter och system.
Syftet med ISO 27001:2022 bilaga A 8.32
ISO 27001:2022 bilaga A Kontroll 8.32 tillåter organisationer att skydda informationstillgångar samtidigt som de gör ändringar i informationsbehandlingssystem och -anläggningar. Det gör det genom att sätta upp, genomföra och hantera regler och rutiner för förändringshantering.
Äganderätt till bilaga A 8.32
Chief Information Security Officers, med expertis hos domänen, bör ansvara för att utforma och genomdriva ändringskontrollprocedurer som gäller för alla stadier av informationssystemets livscykel, i enlighet med ISO 27001:2022 bilaga A Kontroll 8.32.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Allmän vägledning om ISO 27001:2022 bilaga A 8.32 Överensstämmelse
Alla ändringar av informationssystem, såväl som implementeringen av nya system, bör följa en fastställd uppsättning bestämmelser och förfaranden. Detaljerna för dessa ändringar måste uttryckligen anges och dokumenteras. Dessutom måste de genomgå bedömnings- och kvalitetssäkringsprocesser.
Organisationer bör fördela ledningsuppgifter till den mest lämpliga ledningen och fastställa de nödvändiga procedurerna för att säkerställa att alla förändringar är i linje med ändringskontrollföreskrifter och standarder.
ISO 27001:2022 bilaga A Kontroll 8.32 räknar upp nio komponenter som ska ingå i ändringshanteringsproceduren:
- Organisationer bör kartlägga och bedöma den potentiella effekten av föreslagna ändringar, med hänsyn till alla beroenden.
- Implementera behörighetskontroller för ändringar. Se till att alla ändringar är godkända av lämplig personal. Se till att endast behörig personal har tillgång till systemet och att alla ändringar är korrekt dokumenterade.
- Meddela tillämpliga inom och utanför grupper om de föreslagna ändringarna.
- Säkerställ att ISO 27001:2022 bilaga A 8.29 följs genom att utveckla och utföra tester och acceptanstester för modifieringar.
- Genomförandet av förändringarna och deras praktiska införande kommer att tas om hand.
- Upprätta nöd- och beredskapsplaner och -procedurer, inklusive ett reservförfarande.
- Upprätthålla register över alla ändringar och kopplade aktiviteter, som omfattar de 1-6 som nämns ovan.
- För att säkerställa överensstämmelse med bilaga A 5.37 i ISO 27001:2022, ses driftsdokumentation och användarprocedurer regelbundet över och ändras vid behov.
- IKT-kontinuitetsplaner och återställnings- och svarsprocedurer måste utvärderas och uppdateras för att anpassas till ändringarna.
Organisationer bör sträva efter att införliva förändringskontrollprocedurer för programvara och IKT-infrastruktur så mycket som möjligt.
Kompletterande vägledning om bilaga A 8.32
Förändringar i produktionsmiljön, t.ex. operativsystem och databaser, kan äventyra tillämpningens integritet och tillgänglighet, särskilt överföringen av programvara från utveckling till produktion.
Organisationer bör vara försiktiga med de potentiella resultaten av att ändra programvara i sin produktionsmiljö. Oförutsedda återverkningar kan uppstå, så försiktighet bör iakttas.
Organisationer bör köra tester på IKT-komponenter i en säker, separat miljö, borta från utveckling och produktion.
Organisationer kan få mer kontroll över ny programvara och skydda den verkliga data som används för testning med patchar och service pack, vilket ger ett extra lager av skydd.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Ändringar och skillnader från ISO 27001:2013
ISO 27001:2022 bilaga A 8.32 ersätter de fyra avsnitten i ISO 27001:2013 Bilaga A 12.1.2, 14.2.2, 14.2.3 och 14.2.4.
I ISO 27001:2013 var rutinerna för förändringskontroll mer specificerade än de kommer att vara 2022.
Tre nyckelskillnader kan identifieras mellan de två versionerna.
ISO 27001:2013-versionen var mer detaljerad i termer av vad "ändringsförfarande" borde innebära
ISO 27001:2022 och ISO 27001:2013 versionerna anger båda på ett icke uttömmande sätt vad som ska ingå i ett ändringsförfarande.
2013 års utgåva innehöll komponenter som inte nämns i 2022 års variant:
- Identifiera och granska säkerhetskritisk kod för att åtgärda eventuella svagheter.
- Organisationer bör behålla versionskontroll för alla programvaruändringar.
- Organisationer bör skapa och registrera en lista över hårdvaru- och mjukvarukomponenter som kräver ändring och uppdatering.
ISO 27001:2013-versionen adresserade "Ändringar av operativa plattformar"
Bilaga A 14.2.3 i ISO 27001:2013 beskriver hur organisationer kan minska de negativa effekterna och störningarna på affärsverksamheten som kan komma från förändringar av operativsystem.
Som jämförelse innehåller ISO 27001:2022 inga krav på modifieringar.
ISO 27001:2013 Adresserade "Ändringar av programvarupaket"
Bilaga A 14.2.4, adresserad till "Ändringar av programvarupaket" i ISO 27001:2013, detta ingår inte i ISO 27001:2022-versionen.
Tabell över alla ISO 27001:2022 bilaga A kontroller
I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Organisatoriska kontroller | Bilaga A 5.1 |
Bilaga A 5.1.1 Bilaga A 5.1.2 |
Policyer för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.2 | Bilaga A 6.1.1 | Informationssäkerhetsroller och ansvar |
| Organisatoriska kontroller | Bilaga A 5.3 | Bilaga A 6.1.2 | Uppdelning av arbetsuppgifter |
| Organisatoriska kontroller | Bilaga A 5.4 | Bilaga A 7.2.1 | Ledningsansvar |
| Organisatoriska kontroller | Bilaga A 5.5 | Bilaga A 6.1.3 | Kontakt med myndigheter |
| Organisatoriska kontroller | Bilaga A 5.6 | Bilaga A 6.1.4 | Kontakt med specialintressegrupper |
| Organisatoriska kontroller | Bilaga A 5.7 | NYA | Hotinformation |
| Organisatoriska kontroller | Bilaga A 5.8 |
Bilaga A 6.1.5 Bilaga A 14.1.1 |
Informationssäkerhet i projektledning |
| Organisatoriska kontroller | Bilaga A 5.9 |
Bilaga A 8.1.1 Bilaga A 8.1.2 |
Inventering av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.10 |
Bilaga A 8.1.3 Bilaga A 8.2.3 |
Acceptabel användning av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.11 | Bilaga A 8.1.4 | Återlämnande av tillgångar |
| Organisatoriska kontroller | Bilaga A 5.12 | Bilaga A 8.2.1 | Klassificering av information |
| Organisatoriska kontroller | Bilaga A 5.13 | Bilaga A 8.2.2 | Märkning av information |
| Organisatoriska kontroller | Bilaga A 5.14 |
Bilaga A 13.2.1 Bilaga A 13.2.2 Bilaga A 13.2.3 |
Informationsöverföring |
| Organisatoriska kontroller | Bilaga A 5.15 |
Bilaga A 9.1.1 Bilaga A 9.1.2 |
Åtkomstkontroll |
| Organisatoriska kontroller | Bilaga A 5.16 | Bilaga A 9.2.1 | Identitetshantering |
| Organisatoriska kontroller | Bilaga A 5.17 |
Bilaga A 9.2.4 Bilaga A 9.3.1 Bilaga A 9.4.3 |
Autentiseringsinformation |
| Organisatoriska kontroller | Bilaga A 5.18 |
Bilaga A 9.2.2 Bilaga A 9.2.5 Bilaga A 9.2.6 |
Åtkomsträttigheter |
| Organisatoriska kontroller | Bilaga A 5.19 | Bilaga A 15.1.1 | Informationssäkerhet i leverantörsrelationer |
| Organisatoriska kontroller | Bilaga A 5.20 | Bilaga A 15.1.2 | Adressering av informationssäkerhet inom leverantörsavtal |
| Organisatoriska kontroller | Bilaga A 5.21 | Bilaga A 15.1.3 | Hantera informationssäkerhet i ICT Supply Chain |
| Organisatoriska kontroller | Bilaga A 5.22 |
Bilaga A 15.2.1 Bilaga A 15.2.2 |
Övervakning, granskning och förändringshantering av leverantörstjänster |
| Organisatoriska kontroller | Bilaga A 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| Organisatoriska kontroller | Bilaga A 5.24 | Bilaga A 16.1.1 | Informationssäkerhet Incident Management Planering och förberedelse |
| Organisatoriska kontroller | Bilaga A 5.25 | Bilaga A 16.1.4 | Bedömning och beslut om informationssäkerhetshändelser |
| Organisatoriska kontroller | Bilaga A 5.26 | Bilaga A 16.1.5 | Svar på informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.27 | Bilaga A 16.1.6 | Lär dig av informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.28 | Bilaga A 16.1.7 | Insamling av bevis |
| Organisatoriska kontroller | Bilaga A 5.29 |
Bilaga A 17.1.1 Bilaga A 17.1.2 Bilaga A 17.1.3 |
Informationssäkerhet under avbrott |
| Organisatoriska kontroller | Bilaga A 5.30 | NYA | IKT-beredskap för affärskontinuitet |
| Organisatoriska kontroller | Bilaga A 5.31 |
Bilaga A 18.1.1 Bilaga A 18.1.5 |
Juridiska, lagstadgade, regulatoriska och avtalsmässiga krav |
| Organisatoriska kontroller | Bilaga A 5.32 | Bilaga A 18.1.2 | Immateriella rättigheter |
| Organisatoriska kontroller | Bilaga A 5.33 | Bilaga A 18.1.3 | Skydd av register |
| Organisatoriska kontroller | Bilaga A 5.34 | Bilaga A 18.1.4 | Integritet och skydd av PII |
| Organisatoriska kontroller | Bilaga A 5.35 | Bilaga A 18.2.1 | Oberoende granskning av informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.36 |
Bilaga A 18.2.2 Bilaga A 18.2.3 |
Efterlevnad av policyer, regler och standarder för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.37 | Bilaga A 12.1.1 | Dokumenterade driftprocedurer |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Människor kontroller | Bilaga A 6.1 | Bilaga A 7.1.1 | Screening |
| Människor kontroller | Bilaga A 6.2 | Bilaga A 7.1.2 | Villkor för anställning |
| Människor kontroller | Bilaga A 6.3 | Bilaga A 7.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| Människor kontroller | Bilaga A 6.4 | Bilaga A 7.2.3 | Disciplinär process |
| Människor kontroller | Bilaga A 6.5 | Bilaga A 7.3.1 | Ansvar efter uppsägning eller byte av anställning |
| Människor kontroller | Bilaga A 6.6 | Bilaga A 13.2.4 | Sekretess- eller sekretessavtal |
| Människor kontroller | Bilaga A 6.7 | Bilaga A 6.2.2 | Fjärrarbete |
| Människor kontroller | Bilaga A 6.8 |
Bilaga A 16.1.2 Bilaga A 16.1.3 |
Händelserapportering för informationssäkerhet |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Fysiska kontroller | Bilaga A 7.1 | Bilaga A 11.1.1 | Fysiska säkerhetsområden |
| Fysiska kontroller | Bilaga A 7.2 |
Bilaga A 11.1.2 Bilaga A 11.1.6 |
Fysisk inträde |
| Fysiska kontroller | Bilaga A 7.3 | Bilaga A 11.1.3 | Säkra kontor, rum och faciliteter |
| Fysiska kontroller | Bilaga A 7.4 | NYA | Fysisk säkerhetsövervakning |
| Fysiska kontroller | Bilaga A 7.5 | Bilaga A 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| Fysiska kontroller | Bilaga A 7.6 | Bilaga A 11.1.5 | Arbeta i säkra områden |
| Fysiska kontroller | Bilaga A 7.7 | Bilaga A 11.2.9 | Clear Desk och Clear Screen |
| Fysiska kontroller | Bilaga A 7.8 | Bilaga A 11.2.1 | Utrustningsplacering och skydd |
| Fysiska kontroller | Bilaga A 7.9 | Bilaga A 11.2.6 | Säkerhet för tillgångar utanför lokaler |
| Fysiska kontroller | Bilaga A 7.10 |
Bilaga A 8.3.1 Bilaga A 8.3.2 Bilaga A 8.3.3 Bilaga A 11.2.5 |
Förvarings media |
| Fysiska kontroller | Bilaga A 7.11 | Bilaga A 11.2.2 | Stöd till verktyg |
| Fysiska kontroller | Bilaga A 7.12 | Bilaga A 11.2.3 | Kabelsäkerhet |
| Fysiska kontroller | Bilaga A 7.13 | Bilaga A 11.2.4 | Utrustningsunderhåll |
| Fysiska kontroller | Bilaga A 7.14 | Bilaga A 11.2.7 | Säker kassering eller återanvändning av utrustning |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Tekniska kontroller | Bilaga A 8.1 |
Bilaga A 6.2.1 Bilaga A 11.2.8 |
Användarens slutpunktsenheter |
| Tekniska kontroller | Bilaga A 8.2 | Bilaga A 9.2.3 | Privilegerade åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.3 | Bilaga A 9.4.1 | Begränsning av informationsåtkomst |
| Tekniska kontroller | Bilaga A 8.4 | Bilaga A 9.4.5 | Tillgång till källkod |
| Tekniska kontroller | Bilaga A 8.5 | Bilaga A 9.4.2 | Säker autentisering |
| Tekniska kontroller | Bilaga A 8.6 | Bilaga A 12.1.3 | Kapacitetshantering |
| Tekniska kontroller | Bilaga A 8.7 | Bilaga A 12.2.1 | Skydd mot skadlig programvara |
| Tekniska kontroller | Bilaga A 8.8 |
Bilaga A 12.6.1 Bilaga A 18.2.3 |
Hantering av tekniska sårbarheter |
| Tekniska kontroller | Bilaga A 8.9 | NYA | Systemintegration |
| Tekniska kontroller | Bilaga A 8.10 | NYA | Informationsradering |
| Tekniska kontroller | Bilaga A 8.11 | NYA | Datamaskning |
| Tekniska kontroller | Bilaga A 8.12 | NYA | Förebyggande av dataläckage |
| Tekniska kontroller | Bilaga A 8.13 | Bilaga A 12.3.1 | Backup av information |
| Tekniska kontroller | Bilaga A 8.14 | Bilaga A 17.2.1 | Redundans av informationsbehandlingsanläggningar |
| Tekniska kontroller | Bilaga A 8.15 |
Bilaga A 12.4.1 Bilaga A 12.4.2 Bilaga A 12.4.3 |
Loggning |
| Tekniska kontroller | Bilaga A 8.16 | NYA | Övervakningsaktiviteter |
| Tekniska kontroller | Bilaga A 8.17 | Bilaga A 12.4.4 | Klocksynkronisering |
| Tekniska kontroller | Bilaga A 8.18 | Bilaga A 9.4.4 | Användning av privilegierade verktygsprogram Åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.19 |
Bilaga A 12.5.1 Bilaga A 12.6.2 |
Installation av programvara på operativa system |
| Tekniska kontroller | Bilaga A 8.20 | Bilaga A 13.1.1 | Nätverkssäkerhet |
| Tekniska kontroller | Bilaga A 8.21 | Bilaga A 13.1.2 | Säkerhet för nätverkstjänster |
| Tekniska kontroller | Bilaga A 8.22 | Bilaga A 13.1.3 | Segregering av nätverk |
| Tekniska kontroller | Bilaga A 8.23 | NYA | Webbfiltrering |
| Tekniska kontroller | Bilaga A 8.24 |
Bilaga A 10.1.1 Bilaga A 10.1.2 |
Användning av kryptografi |
| Tekniska kontroller | Bilaga A 8.25 | Bilaga A 14.2.1 | Säker utvecklingslivscykel |
| Tekniska kontroller | Bilaga A 8.26 |
Bilaga A 14.1.2 Bilaga A 14.1.3 |
Programsäkerhetskrav |
| Tekniska kontroller | Bilaga A 8.27 | Bilaga A 14.2.5 | Principer för säker systemarkitektur och teknikLärdomar från informationssäkerhetsincidenter |
| Tekniska kontroller | Bilaga A 8.28 | NYA | Säker kodning |
| Tekniska kontroller | Bilaga A 8.29 |
Bilaga A 14.2.8 Bilaga A 14.2.9 |
Säkerhetstestning i utveckling och acceptans |
| Tekniska kontroller | Bilaga A 8.30 | Bilaga A 14.2.7 | Outsourcad utveckling |
| Tekniska kontroller | Bilaga A 8.31 |
Bilaga A 12.1.4 Bilaga A 14.2.6 |
Separation av utvecklings-, test- och produktionsmiljöer |
| Tekniska kontroller | Bilaga A 8.32 |
Bilaga A 12.1.2 Bilaga A 14.2.2 Bilaga A 14.2.3 Bilaga A 14.2.4 |
Change Management |
| Tekniska kontroller | Bilaga A 8.33 | Bilaga A 14.3.1 | Testinformation |
| Tekniska kontroller | Bilaga A 8.34 | Bilaga A 12.7.1 | Skydd av informationssystem under revisionstestning |
Hur ISMS.online Hjälp
Vår molnplattform erbjuder en stark struktur av informationssäkerhetsåtgärder, vilket gör att du kan bocka av din ISMS-process när du utvecklas, vilket garanterar att den uppfyller ISO 27000k-kriterierna.
ISMS.online kan hjälpa dig att uppnå certifiering effektivt och med minimala resurser. När den används på rätt sätt kan den vara en stor tillgång för att uppnå detta mål.
Kontakta oss nu för att schemalägga en demonstration.