ISO 27001:2022 Annex A 5.1 – Informationssäkerhetspolicyer

Vad är informationssäkerhetspolicyer?

An informationssäkerhetspolicy syftar till att ge anställda, ledning och externa parter (t.ex. kunder och leverantörer) ett ramverk för att hantera elektronisk information, inklusive datornätverk.

En säkerhetspolicy ska definieras, godkännas av ledningen, publiceras och kommuniceras till anställda och relevanta externa parter.

Förutom att minska risken för dataförlust på grund av interna och externa hot, informationssäkerhetspolicyn säkerställer att alla anställda förstår sin roll i att skydda organisationens data.

Förutom att uppfylla standarder som t.ex ISO 27001 , kan en informationssäkerhetspolicy också visa efterlevnad av lagar och förordningar.

Informationssäkerhetshot och cybersäkerhet förklaras

Cybersäkerhet hot inkluderar företagsspioner och hacktivister, terroristgrupper, fientliga nationalstater och kriminella organisationer. Dessa hot syftar till att olagligt komma åt data, störa digital verksamhet eller skada information.

Hot mot cybersäkerhet och informationssäkerhet inkluderar:

• Virus, spionprogram och andra skadliga program betraktas som skadlig programvara.
• Ett e-postmeddelande som verkar komma från en pålitlig källa men innehåller länkar och bilagor som installerar skadlig programvara på din dator.
• Virus hindrar användare från att komma åt sina data tills de betalar en lösensumma.
• Processen att manipulera människor till att avslöja känslig information kallas social ingenjörskonst.
• Nätfiske-e-postmeddelanden som verkar komma från högprofilerade individer i en organisation kallas valattacker.

Hur fungerar ISO 27001:2022 Annex A 5.1?

Informationssäkerhetspolicyer är utformade för att skydda ditt företags känsliga information från stöld och obehörig åtkomst.

In i enlighet med ISO 27001, Bilagakontroll A 5.1 vägleder syftet och genomförandet av att upprätta en informationssäkerhetspolicy i en organisation.

En övergripande informationssäkerhetspolicy krävs av Bilaga A Kontroll 5.1 för organisationer att hantera sin informationssäkerhet. Ledningen ska godkänna riktlinjerna som ska ses över regelbundet om förändringar sker i informationssäkerhetsmiljön.

Det lämpliga tillvägagångssättet är att träffas regelbundet, minst en gång i månaden, med ytterligare möten vid behov. Förutom att dela policyer med interna och externa intressenter måste ledningen godkänna eventuella ändringar innan de implementeras.

Komma igång och uppfylla kraven i bilaga A 5.1

A detaljerad driftprocedur som beskriver hur informationssäkerhetspolicyn ska implementeras bör baseras på och stöds av en informationssäkerhetspolicy.

Policyn bör godkännas av toppen ledning och kommuniceras till personal och intressenter.

Förutom att ge vägledning till organisationens tillvägagångssätt för att hantera informationssäkerheten kan policyn användas för att utveckla mer detaljerade operativa rutiner.

Som krävs av ISO/IEC 27000 standarder, är en policy väsentlig för att etablera och underhålla ett informationssäkerhetshanteringssystem (ISMS). En väldefinierad policy förblir kritisk även om organisationen inte har för avsikt att göra det implementera ISO 27001 eller någon annan formell certifiering.

Informationssäkerhetspolicyer bör ses över regelbundet för att säkerställa deras fortsatta lämplighet, tillräcklighet och effektivitet.

När förändringar görs i verksamheten, dess risker, teknik, lagstiftning eller regelverk, eller om säkerhetsbrister, händelser eller incidenter indikerar att policyändringar behövs.

Vilka är ändringarna och skillnaderna från ISO 27001:2013?

Som en del av ISO 27001 revision 2013, denna kontroll slår samman bilaga A kontroller 5.1.1 Policyer för informationssäkerhet och 5.1.2 Granskning av policyer för informationssäkerhet.

Bilaga A kontroll 5.1 tum ISO 27001:2022 har uppdaterats med en beskrivning av dess syfte och utökade implementeringsvägledning, samt en attributtabell som gör det möjligt för användare att förena bilaga A-kontroller med industriterminologi.

Enligt bilaga A 5.1 bör informationssäkerhet och ämnesspecifika policyer definieras, godkännas av ledningen, publiceras, kommuniceras till och godkännas av lämplig personal.

En organisations informationssäkerhetspolicy bör beakta storleken, typen och känsligheten hos informationstillgångar, branschstandarder och tillämpliga myndighetskrav.

Enligt punkt 5.1.2 i ISO 27001:2013 är syftet med bilaga A att säkerställa att informationssäkerhetspolicyer regelbundet utvärderas om förändringar i informationssäkerhetsmiljön uppstår.

Enligt ISO 27001: 2013 och ISO 27001: 2022 ska högsta ledningen ta fram en säkerhetspolicy som är godkänd av högsta ledningen och beskriver hur organisationen ska skydda sin data. Ändå täcker båda versionerna av försäkringarna olika krav.

Jämförande analys av bilaga A 5.1 Riktlinjer för genomförande

Enligt ISO 27001:2013 bör informationssäkerhetspolicyer uppfylla följande krav:

• Affärsstrategin.
• Kontrakt, förordningar och lagstiftning.
• En beskrivning av den aktuella och projicerade hotmiljön för informationssäkerhet.

Informationssäkerhetspolicyer bör innehålla följande uttalanden:

• Alla aktiviteter som rör informationssäkerhet bör vägledas genom en definition av informationssäkerhet, mål och principer.
• Informationssäkerhetshanteringsansvar tilldelas definierade roller på ett generellt och specifikt sätt.
• Processen för att hantera avvikelser och undantag.

Däremot har ISO 27001:2022 mer omfattande krav.

Som en del av informationssäkerhetspolicyn bör följande krav beaktas:

• Strategi och krav för verksamheten.
• Lagar, förordningar och avtal.
• Informationssäkerhetsrisker och hot som finns idag och i framtiden.

Uttalanden om följande bör ingå i informationssäkerhetspolicyn:

• Definition av informationssäkerhet.
• Ett ramverk för att fastställa mål för informationssäkerhet.
• Informationssäkerhetsprinciper bör vägleda all verksamhet.
• Ett åtagande att följa alla tillämpliga krav på informationssäkerhet.
• Ett pågående engagemang för att förbättra ledningssystem för informationssäkerhet.
• Rollbaserad ansvarsfördelning för informationssäkerhetshantering.
• Undantag och undantag hanteras i enlighet med dessa rutiner.

Dessutom reviderades ISO 27001:2022 för att inkludera ämnesspecifika policyer för informationssäkerhetsincidenthantering, tillgångshantering, nätverkssäkerhet, incidenthantering och säker utveckling som ämnesspecifika policyer. I syfte att skapa en mer holistisk ram togs några av kraven i ISO 27001:2013 bort eller slogs samman.

Fallstudier

MIRACL förvandlar förtroende till en konkurrensfördel med ISO 27001-certifiering

Läs fallstudie

Fallstudier

Xergys verktyg Proteus genererar tillväxt genom ISO 27001-efterlevnad med hjälp av ISMS.online

Läs fallstudie

← →

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Hur ISMS.Online hjälper

Med ISMS.online, kommer du att ha tillgång till en komplett uppsättning verktyg och resurser för att hjälpa dig att hantera ditt eget ISO 27001 Information Security Management System (ISMS), oavsett om du är nykomling eller redan certifierad.

Dessutom tillhandahåller ISMS.online automatiserade processer för att hjälpa till att förenkla hela granskningsprocessen. Dessa processer sparar avsevärda mängder admintid jämfört med andra arbetsmetoder.

Du kommer att få ett försprång med ISO 27001-policyer och kontroller från ISMS.online.

Intuitiva arbetsflöden, verktyg, ramverk, policyer och kontroller, handlingsbar dokumentation och vägledning, såväl som handlingsbar vägledning gör det enkelt att implementera ISO 27001 genom att definiera omfattningen, identifiera risker och implementera kontroller baserat på våra algoritmer – oavsett om de skapas från grunden eller baserat på branschmallar för bästa praxis.

Kontakta oss idag för att BOKA EN DEMO.