ISO 27002:2022 – Kontroll 5.11 – Return of Assets

Vad är Control 5.11, Return of Assets?

An informationstillgång är alla typer av data eller information som har värde för en organisation. Informationstillgångar kan innefatta fysiska dokument, digitala filer och databaser, program och till och med immateriella föremål som affärshemligheter och immateriella rättigheter.

Informationstillgångar kan ha värde på en mängd olika sätt. De kan innehålla personligt identifierande information (PII) om kunder, anställda eller andra intressenter som skulle kunna användas av dåliga aktörer för ekonomisk vinning eller identitetsstöld. De kan innehålla känslig information om din organisations ekonomi, forskning eller verksamhet som skulle ge dina konkurrenter en konkurrensfördel om de kunde lägga vantarna på den.

Det är därför det är viktigt att personal och entreprenörer vars verksamhet avslutas med en organisation är tvungna att lämna tillbaka alla sådana tillgångar som de har.

Kontrollattribut 5.11

Den nya ISO 27002:2022 standard inkluderar attributtabeller som inte ingick i den tidigare 2013-standarden. Kontroller klassificeras utifrån deras egenskaper. Du kan också använda dessa attribut för att matcha ditt kontrollval med vanliga branschtermer och specifikationer.

Attribut för kontroll 5.11 är:

Vad är syftet med kontroll 5.11?

Kontroll 5.11 är utformad för att skydda organisationens tillgångar som en del av processen att ändra eller säga upp anställning, kontrakt eller avtal. Syftet med denna kontroll är att förhindra obehöriga personer från att behålla tillgångar (t.ex. utrustning, information, programvara etc.) som tillhör organisationen.

När anställda och entreprenörer lämnar din organisation måste du se till att de inte tar med sig några känsliga uppgifter. Det gör du genom att identifiera eventuella hot och övervaka användarens aktiviteter före avresan.

Denna kontroll ska säkerställa att den enskilde inte har tillgång till IT-systemen och nätverken när de sägs upp. Organisationer bör upprätta en formell uppsägningsprocess som säkerställer att individer inte kan få tillgång till några IT-system efter att de lämnat organisationen. Detta kan göras genom att återkalla alla behörigheter, inaktivera konton och ta bort åtkomst från byggnadslokaler.

Rutiner bör finnas på plats för att säkerställa att anställda, entreprenörer och andra relevanta parter lämnar tillbaka alla organisatoriska tillgångar som inte längre behövs för affärsändamål eller som ska ersättas. Organisationer kan också vilja utföra en sista kontroll av individens arbetsområde för att säkerställa att all känslig information har returnerats.

Till exempel:

• Vid separation samlas organisationsägd utrustning in (t.ex. flyttbara media, bärbara datorer).
• Entreprenörer returnerar utrustning och information i slutet av sitt kontrakt.

Vad är inblandat och hur man uppfyller kraven

För att uppfylla kraven för kontroll 5.11 bör ändrings- eller uppsägningsprocessen formaliseras till att omfatta återlämnande av alla tidigare utgivna fysiska och elektroniska tillgångar som ägs av eller anförtros organisationen.

Processen bör också säkerställa att alla åtkomsträttigheter, konton, digitala certifikat och lösenord tas bort. Denna formalisering är särskilt viktig i fall där en förändring eller uppsägning inträffar oväntat, såsom dödsfall eller avgång, för att förhindra obehörig åtkomst till organisationens tillgångar som skulle kunna leda till dataintrång.

Processen ska säkerställa att alla tillgångar redovisas och att de alla har återlämnats/avyttrats på ett säkert sätt.

Enligt kontroll 5.11 i ISO 27002:2022 ska organisationen tydligt identifiera och dokumentera all information och andra tillhörande tillgångar som ska returneras som kan inkludera:

a) användarens slutpunktsenheter;

b) bärbara lagringsenheter;

c) specialistutrustning;

d) autentiseringshårdvara (t.ex. mekaniska nycklar, fysiska tokens och smartkort) för informationssystem, webbplatser och fysiska arkiv;

e) fysiska kopior av information.

Detta kan uppnås genom en formell checklista som innehåller alla nödvändiga föremål som ska returneras/kasseras och fyllas i av användaren vid uppsägning, tillsammans med eventuella nödvändiga signaturer som bekräftar att tillgångarna har returnerats/kasserats framgångsrikt.

Skillnader mellan ISO 27002:2013 och ISO 27002:2022

Den nya 2022-revideringen av ISO 27002 publicerades den 15 februari 2022 och är en uppgradering av ISO 27002:2013.

Kontrollen 5.11 i ISO 27002: 2022 är inte en ny kontroll, utan det är en modifiering av kontroll 8.1.4 – avkastning av tillgångar i ISO 27002:2013.

Båda kontrollerna är i huvudsak desamma med nästan liknande språk och fraser som finns i implementeringsriktlinjerna. Dock, kontroll 5.11 i ISO 27002:2022 kommer med en attributtabell som låter användare matcha kontrollen med vad de implementerar. Kontrollera också 5.11 i ISO 27002:2022 listade tillgångar som kan falla under vad som ska returneras vid slutet av anställningen eller uppsägning av kontrakt.

Dessa inkluderar:

a) användarens slutpunktsenheter;

b) bärbara lagringsenheter;

c) specialistutrustning;

d) autentiseringshårdvara (t.ex. mekaniska nycklar, fysiska tokens och smartkort) för informationssystem, webbplatser och fysiska arkiv;

e) fysiska kopior av information.

Denna lista är inte tillgänglig i 2013 års version.

Vad betyder dessa förändringar för dig?

Den uppdaterade ISO 27002:2022-standarden är baserad på 2013 års version. Kommittén som övervakar standarden har inte gjort några betydande uppdateringar eller modifieringar av de tidigare versionerna. Som ett resultat är alla organisationer som för närvarande följer ISO 27002:2013 redan kompatibel med den nya standarden. Om ditt företag planerar att upprätthålla överensstämmelse med ISO 27002, behöver du inte göra många betydande förändringar i dina system och processer.

Du kan dock lära dig mer om hur dessa ändringar av kontroll 5.11 kommer att påverka din organisation i vår guide till ISO 27002:2022.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.online-plattformen är ett utmärkt verktyg för att hjälpa dig att implementera och hantera en ISO 27001/27002 Informationssäkerhetshanteringssystem, oavsett din erfarenhet av standarden.

Vårt system guidar dig genom stegen för att har konfigurerat ditt ISMS framgångsrikt och hantera det framåt. Du kommer att ha tillgång till ett brett utbud av resurser, inklusive:

• En interaktiv ISMS.online-manual som ger en steg-för-steg-guide för att implementera ISO 27001/27002 i alla organisationer.
• A riskbedömningsverktyg som guidar dig genom processen att identifiera och bedöma dina risker.
• En online policypaket som är lätt att anpassa utifrån dina behov.
• Ett dokumentkontrollsystem som hjälper dig att hantera varje enskilt dokument och post som skapas som en del av ditt ISMS.
• Automatisk rapportering för bättre beslutsfattande.
• En checklista som du kan använda för att verifiera att dina processer är i linje med ISO 27002-ramverket. I slutändan har vår molnbaserade plattform allt du behöver för att dokumentera bevis på överensstämmelse med ISO-ramverket.

Hör av dig idag för att boka en demo.