ISO 27001:2022 Annex A 8.6 – Capacity Management

• Se ISO 27002:2022 Kontroll 8.6 för mer information.
• Se ISO 27001:2013 bilaga A 12.1.3 för mer information.

Syftet med ISO 27001:2022 bilaga A 8.6

Kapacitetshantering inom IKT är mer än att bara se till att organisationer har tillräckligt med utrymme för dataåtkomst och Backup and Disaster Recovery (BUDR). Det kräver att det finns tillräcklig datorkraft och resurser för att möta användarnas krav. Det innebär också att designa och hantera nätverk, datacenter och annan IKT-infrastruktur för att möta organisationens behov.

Organisationer måste garantera att de kan arbeta effektivt med en uppsättning resurser som tillgodoser en mängd olika affärsbehov, inklusive Human Resources, datahantering, administration av fysiska kontor och relaterade bekvämligheter.

Dessa funktioner kan skada en organisations kontroll över sin information.

ISO 27001:2022 Annex A 8.6 är en kombination av preventative och detektivkontroller till upprätthålla risken nivåer. Denna kontroll säkerställer att organisationen har tillräcklig kapacitet för att behandla information.

Äganderätt till bilaga A 8.6

ISO 27001:2022 bilaga A 8.6 behandlar en organisations förmåga att förbli en livskraftig verksamhet på lång sikt.

Äganderätten bör ligga hos Chief Operating Officer eller motsvarande, ta ansvar för att upprätthålla integriteten och effektiviteten i affärsverksamheten dagligen.

Allmän vägledning om ISO 27001:2022 bilaga A 8.6

ISO 27001:2022 bilaga A Kontroll 8.6 ger 7 allmänna råd:

1. Organisationer bör betrakta affärskontinuitet som en främsta fråga när de inför kapacitetshanteringskontroller, till exempel full implementering av detektivkontroller som identifierar möjliga problem innan de uppstår.
2. Kapacitetshantering bör baseras på de proaktiva funktionerna trimning och övervakning, som arbetar tillsammans för att garantera att system och affärsverksamhet inte försämras.
3. Organisationer bör utföra regelbundet stresstester för att säkerställa deras förmåga att tillfredsställa deras övergripande affärsbehov. Dessa tester bör skräddarsys för varje fall och vara anpassade till det verksamhetsområde som de är avsedda för.
4. Kapacitetshantering bör inte bara beakta en organisations befintliga data och operativa behov; de bör också planera för att potentiell kommersiell och teknisk tillväxt (både fysisk och digital) ska framtidssäkras så mycket som möjligt.
5. Organisationer måste ta hänsyn till de varierande ledtiderna och kostnaderna när de utökar resurserna. Resurser som är dyra och utmanande att öka bör ha en noggrannare utvärdering för att säkerställa att affärsverksamheten fortsätter.
6. Ledningen bör vara medveten om eventuella risker för beroende av nyckelpersoner eller enskilda resurser, eftersom alla problem som uppstår härav kan leda till komplexa problem.
7. Konstruera en kapacitetsplaneringsstrategi som specifikt tar upp viktiga affärssystem och processer.

Vägledning om att hantera efterfrågan

ISO 27001:2022 bilaga A 8.6 uppmuntrar en tvådelad strategi för kapacitetshantering – antingen att öka kapaciteten eller minska efterfrågan på en given uppsättning resurser.

När organisationer strävar efter att öka kapaciteten bör de:

• Tänk på att anställa ny personal för att utföra en arbetsuppgift.
• Skaffa nya lokaler eller kontorsutrymmen genom köp, leasing eller uthyrning.
• Skaffa extra bearbetning, datalagring och RAM (på plats eller molnbaserat) antingen genom köp, leasing eller uthyrning.
• Tänk på att använda "elastiska" och "skalbara" molnresurser som expanderar i enlighet med organisationens beräkningsbehov, med knappt någon inblandning.

Organisationer bör sträva efter att minska efterfrågan genom att:

• Eliminera inaktuell information för att frigöra lagringskapacitet på servrar och tillhörande media.
• Kassera på ett säkert sätt alla papperskopior av information som organisationen inte behöver och inte har mandat att behålla via lagstiftning eller förordning.
• Ta bort alla IKT-resurser, applikationer eller virtuella inställningar som inte längre behövs.
• Undersök planerade IKT-aktiviteter (inklusive konton, automatiskt underhåll och batchaktiviteter) för att maximera minneskapaciteten och minska den yta som tas upp av skapad data.
• Maximera applikationskod och databasfrågor som förekommer tillräckligt ofta för att påverka företagets operativa förmåga.
• Begränsa mängden bandbredd som allokeras till icke-nödvändiga aktiviteter på företagets nätverk. Detta kan inkludera begränsning av internetåtkomst och blockering av video-/ljudströmning från arbetsenheter.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.6 ersätter ISO 27001:2013 Bilaga A 12.1.3 (Kapacitetshantering).

ISO 27001:2022 Annex A 8.6 ger en grundlig uppsättning instruktioner till organisationer om hur de kan utöka sin kapacitet eller minska sin efterfrågan.

I motsats till ISO 27001:2013 Annex A 12.1.3 finns det ingen speciell riktning för hur man kan öka kapaciteten. ISO 27001:2022 bilaga A 8.6 ger dock exakta steg för att skapa mer operativt manöverutrymme.

ISO 27001:2013 Annex A 12.1.3 ger inga instruktioner om hur man utvärderar operativ kapacitet eller granskar en organisations förmåga att hantera kapacitet på lång sikt, förutom att rekommendera att ha en kapacitetsstyrningsplan.

I linje med den dramatiska ökningen av cloud computing under de senaste tio åren, anger ISO 27001:2022 Annex A 8.6 tydligt att organisationer bör använda molnbaserade resurser som anpassar sig till deras affärsbehov.

ISO 27001:2013 bilaga A 12.1.3 hänvisar inte till lagrings- eller datorfaciliteter utanför anläggningen.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001: 2022 Bilaga A Kontroll.

Hur ISMS.online Hjälp

Vår checklista hjälper till förenkla genomförandet av ISO 27001:2022, som guidar dig genom hela processen. Vår heltäckande lösning säkerställer din överensstämmelse med ISO/IEC 27001:2022.

När du har loggat in kommer du att göra upp till 81 % framsteg.

En heltäckande, enkel lösning för full följsamhet tillhandahålls.

Kontakta oss nu för att schemalägga en demonstration.