ISO 27001:2022 bilaga A 5.37 – Dokumenterade operativa procedurer

Vad är syftet med ISO 27001:2022 bilaga A 5.37?

ISO 27001:2022 bilaga A 5.37 beskriver informationssäkerhet som en operativ verksamhet, där dess beståndsdelar utförs och/eller förvaltas av enskilda.

Bilaga A 5.37 beskriver de operativa procedurerna för att upprätthålla en organisations informationssäkerhetsanläggning i enlighet med dess dokumenterade behov för att säkerställa att den förblir effektiv och säker.

Vem har äganderätten till bilaga A 5.37?

Bilaga A 5.37 täcker olika omständigheter som kan involvera flera avdelningar och arbetsroller. Med detta sagt är det säkert att anta att de flesta av procedurerna kommer att påverka ICT-personal, utrustning och system.

En ledande befattningshavare som ansvarar för alla IKT-relaterade aktiviteter, såsom Chef för IT, bör vara ansvarig för ägandet av bilaga A 5.37.

Allmän vägledning om bilaga A 5.37

Informationssäkerhetsrelaterade procedurer bör utvecklas baserat på fem viktiga operativa överväganden:

1. Förekomster av en aktivitet utförd av en eller flera individer på samma sätt.
2. När en aktivitet utförs sällan.
3. När det finns rutiner som riskerar att glömmas bort.
4. Nya aktiviteter som personalen inte känner till och därför har en högre risk.
5. När ansvaret för att utföra en aktivitet överförs till en annan anställd eller grupp av anställda.

När dessa fall inträffar bör operativa procedurer tydligt beskriva vad som bör göras i dessa situationer:

• Individer som är ansvariga – oavsett om det är etablerade eller nya operatörer.
• Riktlinjer för att upprätthålla säkerheten under installation och konfiguration av relaterade affärssystem.
• Under hela aktiviteten, hur information behandlas.
• BUDR planer och konsekvenser i händelse av dataförlust eller en katastrofhändelse (se Bilaga A 8.13).
• Det bör finnas en koppling mellan beroenden och alla andra system, inklusive schemaläggning.
• Det måste finnas en tydlig procedur för att hantera "hanteringsfel" eller diverse händelser som kan inträffa (se Bilaga A 8.18).
• Det bör finnas en komplett lista över personal att kontakta vid störningar, tillsammans med tydliga upptrappningsprocedurer.
• Operativa riktlinjer för alla relevanta förvarings media kopplat till aktiviteten (se Bilaga A 7.10 och Bilaga A 7.14).
• I händelse av ett systemfel, hur man startar om och återställer.
• Loggning av revisionsspår, inklusive system- och händelseloggar (se Bilaga A 8.15 och Bilaga A 8.17).
• Observationssystem för aktiviteter på plats som äger rum (se Bilaga A 7.4).
• Ett robust övervakningssystem som tillgodoser verksamhetens operativa kapacitet, prestandapotential och säkerhet.
• För att upprätthålla optimala prestationsnivåer är det viktigt att veta vad som bör göras för att upprätthålla aktiviteten.

Tillvägagångssätten ovan bör vara föremål för regelbundna och/eller ad-hoc granskningar när och när så krävs. Alla ändringar av rutinerna bör ratificeras av ledningen omgående för att säkerställa all informationssäkerhetsverksamhet som bedrivs inom organisationen.

Vilka är ändringarna från ISO 27001:2013?

ISO 27001:2022 bilaga A 5.37 ersätter ISO 27001:2013 Bilaga A 12.1.1 (”Dokumenterade operativa procedurer”).

ISO 27001:2022 Annex A 5.37 utökar ISO 27001:2013 Annex A 12.1.1 genom att erbjuda en mycket bredare uppsättning omständigheter som skulle motivera att ett dokumenterat förfarande följs.

ISO 27001:2013 bilaga A 12.1.1 beskriver informationsbearbetningsaktiviteter såsom uppstart och avstängning av datorer, backup, underhåll av utrustning och mediehantering. I kontrast, ISO 27001: 2022 Bilaga A 5.37 utvidgar kontrollens omfattning till generaliserade aktiviteter som inte är begränsade till specifika tekniska funktioner.

Förutom några mindre tillägg, som att kategorisera de personer som är ansvariga för en aktivitet, innehåller ISO 27001:2022 Annex A 5.37 samma allmänna vägledningspunkter som ISO 27001:2013 Annex A 12.1.1

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISO 27001:2022 implementering förenklas med vår steg-för-steg checklista som guidar dig genom alla faser, från att definiera omfattningen av ditt ISMS till att identifiera risker och implementera kontroller.

Fördelarna med ISMS.online inkluderar:

• Överensstämmelse kan påvisas genom slutförande av uppgifter och inlämnande av bevis.
• Det är enkelt att övervaka efterlevnaden och delegera ansvar.
• Tid och ansträngning sparas under hela riskbedömning process med det omfattande verktyget för riskbedömning.
• Vi har ett dedikerat team av konsulter under hela din efterlevnadsresa tillgängliga för att hjälpa.

Hör av dig idag för att boka en kort 30-minuters demo.