ISO 27002:2022 – Kontroll 5.2 – Informationssäkerhetsroller och ansvarsområden

Vad är Kontroll 5.2: Informationssäkerhetsroller och -ansvar?

ISO 27002: 2022, kontroll 5.2 — informationssäkerhetsroller och -ansvar — är en av de viktigaste kontrollerna i ISO 27002:2022. Det är en modifiering av kontroll 6.1.1 i ISO 27002:2013 och den definierar hur organisationer ska definiera och tilldela roller och ansvar för informationssäkerhet.

Informationssäkerhetsroller och ansvar förklaras

Organisationens chef, informationssäkerhetscheferna (CISO), IT-tjänsteledningen (ITSM), systemägarna och systemanvändarna bidrar alla till robustheten i informationssäkerheten. Detta avsnitt sammanfattar och diskuterar ansvar för dem som innehar dessa roller.

Organisationens ledare bär huvuddelen av ansvaret

Informationssäkerhet är ditt ansvar som VD för din byrå. Dessutom fungerar du som organisationens ackrediteringsorgan.

Informationssäkerhet är CISO:s ansvar

God praxis inom säkerhetssektorn och inom styrning är vad CISO:er ansvarar för. Att ha denna position på plats garanterar det informationssäkerheten hanteras korrekt på organisationens högsta nivåer.

IT Service Management (ITSM) ansvarar för att implementera säkerhetsåtgärder samt tillhandahålla expertis

En ITSM är en högt uppsatt tjänsteman i företaget. Systemadministratörer arbetar tillsammans med informationssäkerhetschefen för att genomföra verkställande direktörens strategiska direktiv.

Ägare av system ansvarar för underhåll och drift av dem

En ägare krävs för varje system. Som ett resultat åligger det varje systemägare att garantera efterlevnad av IT-styrningsregler och uppfyllande av affärsbehov.

Systemanvändare skyddar system genom att följa policyer och procedurer

Systemanvändare är mer benägna att följa säkerhetsregler och -procedurer om det finns en stark säkerhetskultur. Varje system har inneboende faror, och det är upp till användarna att ta ansvar för att mildra sådana faror.

Att ta itu med denna kontroll är avgörande för att säkerställa att varje anställd förstår vad de är ansvarig för när det gäller att skydda data, system och nätverk. Visserligen är detta en utmaning för många företag, särskilt små där de anställda vanligtvis bär mer än en hatt.

Attributtabell för kontroll 5.2

En attributsektion ingår nu i senaste versionen av ISO 27002. Att definiera attribut är ett sätt att klassificera kontroller. Dessa gör att du enkelt kan matcha ditt kontrollval med typisk industriterminologi. Attributen för kontroll 5.2 är:

Vad är syftet med kontroll 5.2?

Syftet med kontroll 5.2 är att etablera en definierad, godkänd och förstådd struktur för implementering, drift och hantering av informationssäkerhet inom organisationen. Detta är en formell organisationsstruktur som tilldelar ansvaret för informationssäkerhet i hela organisationen.

Kontroll 5.2 Förklarat

Kontroll 5.2 behandlar implementering, drift och hantering av roller och ansvar för informationssäkerhet i en organisation enligt ramverket enligt ISO 27001.

I kontrollen står det att informationssäkerhetsroller och -ansvar ska vara väl definierade och att alla inblandade ska förstå sin roll. Vanligtvis tilldelas tillgångar en utsedd ägare som tar ansvar för deras dagliga vård.

Men beroende på organisationens storlek och tillgängliga resurser kan informationssäkerhet hanteras av ett dedikerat team eller ytterligare ansvar tilldelas nuvarande anställda.

Vad är inblandat och hur man uppfyller kraven

Att fördela roller och ansvar för informationssäkerhet är avgörande för att säkerställa att organisationens informationssäkerhet upprätthålls och förbättras. För att uppfylla kraven för denna kontroll bör rollfördelningen formaliseras och dokumenteras, t.ex. i tabellform eller i form av ett organisationsschema.

• Organisationen bör definiera ansvar och ansvar för informationssäkerhet inom organisationen och tilldela dem till specifika ledningsfunktioner eller roller.
• Denna kontroll bör säkerställa att det finns klarhet med avseende på de olika rollerna och ansvarsområdena inom organisationen, för att säkerställa att lämplig ledningsuppmärksamhet ägnas informationssäkerhet.
• Vid behov bör vidareutbildning för enskilda platser och informationsbehandlingsanläggningar tillhandahållas för att hjälpa till att fullgöra dessa uppgifter.

Avsikten här är att säkerställa att tydliga roller, ansvar och befogenheter tilldelas och förstås i hela organisationen. För att säkerställa effektiv åtskillnad av arbetsuppgifter bör rollerna och ansvaret dokumenteras, kommuniceras och tillämpas konsekvent i hela organisationen.

Skillnader mellan ISO 27002:2013 och 27002:2022

Som redan påpekats är kontroll 5.2 i ISO 27002:2022, Information Security Rolls and Responsibilities, ingen ny kontroll. Detta är helt enkelt en modifierad kontroll som finns i ISO 27002:2013 som kontroll 6.1.1.

Syftet med Control 5.2 har definierats och nya implementeringsinstruktioner har inkluderats i den senaste revisionen av ISO 27002. Även om kärnan i de två kontrollerna är i princip densamma, finns det små förbättringar i 2022 års version.

Till exempel anger ISO 27002:2022 att individer som antar en specifik informationssäkerhetsfunktion ska vara kompetent i kunskaper och färdigheter krävs av rollen och stöds för att hålla sig uppdaterad med framsteg kopplade till rollen och nödvändiga för att uppfylla rollens skyldigheter. Denna punkt är inte en del av 2013 års version.

Dessutom är implementeringsriktlinjerna för båda versionerna något olika. Låt oss jämföra delar av de två nedan:

ISO 27002:2013 anger de områden som individer ansvarar för ska anges. Dessa områden är:

a) tillgångarna och informationssäkerhetsprocesserna bör identifieras och definieras.

b) den enhet som är ansvarig för varje tillgång eller informationssäkerhetsprocess bör tilldelas och detaljerna om detta ansvar bör dokumenteras.

c) behörighetsnivåer bör definieras och dokumenteras.

d) för att kunna fullgöra ansvar inom informationssäkerhetsområdet bör de utsedda personerna vara kompetenta inom området och ges möjligheter att hålla sig à jour med utvecklingen;

e) samordning och tillsyn av informationssäkerhetsaspekter leverantörsrelationer bör identifieras och dokumenteras.

ISO 27002:2022 är mer förtätad. Det står helt enkelt att organisationen ska definiera och hantera ansvar för:

a) skydd av information och andra tillhörande tillgångar;

b) utföra specifika informationssäkerhetsprocesser;

c) riskhantering för informationssäkerhet aktiviteter och i synnerhet acceptans av kvarvarande risker (t.ex. för riskägare);

d) all personal som använder en organisations information och andra tillhörande tillgångar.

Båda kontrollversionerna föreslår dock att organisationer kan utse en informationssäkerhetschef som tar det övergripande ansvaret för utveckling och implementering av informationssäkerhet och för att stödja identifieringen av kontroller.

Vem är ansvarig för denna process?

En informationssäkerhetschef utses ofta av företag för att övervaka skapandet och genomförandet av säkerhetsåtgärder och för att hjälpa till med att upptäcka potentiella hot och kontroller.

Resursföring och sätta kontrollerna på plats kommer vanligtvis att falla på enskilda chefer. En vanlig praxis är att utse en individ för varje tillgång, som sedan är ansvarig för tillgångens löpande säkerhet.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Du förväntas inte göra mycket för att uppfylla kraven för den nya ISO 27002:2022-standarden förutom uppgraderar ditt ISMS processer för att återspegla de förbättrade kontrollerna, om ditt interna team inte kan hantera detta kan ISMS.online hjälpa.

Förutom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera ISMS-procedurer och checklistor för att säkerställa efterlevnad av etablerade normer, effektiviserar ISMS.online också ISO 27001-certifieringsprocessen och ISO 27002-implementeringsprocessen.

Alla dina ISMS-lösningar kan hanteras på en central plats tack vare vår molnbaserade programvara. Du kan använda vår lättanvända applikation för att hålla reda på allt som är krävs för att verifiera överensstämmelse med ISO 2K7 specifikationer.

Implementeringen av ISO 27002 förenklas med vårt intuitiva steg-för-steg-arbetsflöde och verktyg som inkluderar ramverk, policyer och kontroller, handlingsbar dokumentation och vägledning. Du kan definiera ISMS:s omfattning, identifiera risker och implementera kontroller med vår plattform – med bara några klick.

Vi har också ett internt team av IT-specialister som kommer att ge dig råd och hjälp så att du kan visa att du följer standarden och engagemang för informationssäkerhet för dina kunder.

För att lära dig mer om hur ISMS.online kan hjälpa dig att uppnå dina ISO 2K7-mål, ring oss på +44 (0)1273 041140.

Hör av dig idag för att boka en demo.