ISO 27001:2022 Annex A 5.35 – Oberoende granskning av informationssäkerhet

Syftet med ISO 27001:2022 bilaga A 5.35

Organisationer bör genomföra oberoende granskningar med planerade intervaller och när större operativa förändringar inträffar, för att garantera att deras policy för informationssäkerhetshantering förblir intakt, enligt ISO 27001:2022 bilaga A Kontroll 5.35 för att säkerställa att:

• De har förmågan att uppfylla adekvata krav.
• De strävar efter att uppnå rätt mål.
• Deras prestation är effektiv; de fungerar som de är designade.

Äganderätt till bilaga A 5.35

ISO 27001: 2022 Bilaga A Kontroll 5.35 fokuserar främst på operativa angelägenheter, så ägandet bör innehas av Chief Operating Officer (COO) or Chief Information Security Officer (CISO) om någon är närvarande.

Allmän vägledning om ISO 27001:2022 bilaga A 5.35

Målet för ledningen är att utforma och utföra procedurer som möjliggör separata granskningar av deras informationssäkerhetspraxis.

Granskningar bör fokusera på att identifiera områden för förbättringar i en organisations strategi för informationssäkerhet, inklusive:

• Informationssäkerhetspolicy.
• Policyer skräddarsydda för specifika ämnen.
• Tillhörande kontroller.

En person utanför organisationen utan personligt intresse i frågan bör göra en granskning. Detta kan vara någon inom organisationen eller en oberoende tredje part, till exempel:

• Internrevisorer ansvarar för att bedöma effektiviteten av ett företags interna kontrollsystem och rutiner.
• Oberoende avdelningschefer.
• Tredjepartsorganisationer kan anlitas för att tillhandahålla tjänster.

Den som genomför granskningen bör ha den nödvändiga operativa kompetensen för att göra en giltig bedömning av sina resultat. När det gäller intern personal bör deras arbetsroll inte hindra dem från att leverera en berättigad och giltig bedömning.

Granskningens resultat bör noggrant loggas, behållas och rapporteras till de chefer som begärde det, och i vissa fall till personal eller ägare på C-nivå.

Granskare bör bedöma huruvida informationssäkerhetspraxis är förenlig med organisationens fastställda mål och krav, som beskrivs i informationssäkerhetspolicyn och eventuella ämnesspecifika policyer.

Periodiska granskningar kan kompletteras med ad hoc. Fem skäl för sådana recensioner kan identifieras:

1. Eventuella ändringar i lagar, riktlinjer eller föreskrifter som påverkar organisationens informationssäkerhetsverksamhet ska följas.
2. Betydande händelser som påverkar informationssäkerheten, såsom dataförlust och intrång, uppstår.
3. En ny satsning etableras eller större omvandlingar görs i den befintliga verksamheten.
4. Företaget tar över en ny produkt eller tjänst som har informationssäkerhetsimplikationer eller förändrar en befintlig produkt eller tjänst.
5. Betydande förändringar utförs i organisationens bank av informationssäkerhetskontroller, regelverk och processer.

Kompletterande vägledning om bilaga A 5.35

ISO/IEC 27007 och ISO/IEC TS 27008 ger ytterligare råd om att utföra oberoende granskningar.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 5.35 ersätter ISO 27001:2013 Bilaga A 18.1.2 (Oberoende granskning av informationssäkerhet).

ISO 27001:2022 Annex A 5.35 erbjuder samma allmänna instruktioner som ISO 27001:2013 Annex A 18.1.2, men går utöver det för att ge specifika exempel på när en organisation bör göra ad-hoc-bedömningar utöver sina regelbundna granskningar.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.online förenklar och accelererar implementeringen av ISO 27001:2022 genom sin molnbaserad plattform. Det erbjuder ett sofistikerat ramverk för inspelning ledningssystem för informationssäkerhet rutiner och checklistor för att garantera efterlevnad av accepterade standarder.

Genom att använda ISMS.online kan du:

1. Få tillgång till ett omfattande bibliotek med ISO 27001-standarder och riktlinjer;
2. Skapa en detaljerad rapport över ditt företags nuvarande säkerhetsstatus;
3. Designa och implementera ett säkerhetsledningssystem som möter ditt företags behov;
4. Övervaka och se över dina säkerhetssystem löpande.

Kontakta oss nu för att arrangera en demonstration.