ISO 27002:2022 – Kontroll 5.24 – Informationssäkerhet Incident Management Planering och förberedelse

Syfte med kontroll 5.24

Kontroll 5.24 behandlar informationssäkerhet under paraplyet Incident Management.

Kontroll 5.24 beskriver hur organisationer bör hantera informationssäkerhetsincidenter genom adekvat planering och förberedelse, genom att skapa effektiva processer och detaljera hur personalen ska reagera på incidenter utifrån tydligt definierade roller och ansvar.

Genom hela vägledningen läggs tonvikt på konstruktiv kommunikation och att främja ett professionellt svar på vad som ofta är högtrycksscenarier, särskilt när det handlar om kommersiellt känsliga uppgifter, eller PII.

5.24 är en korrigerande kontroll den där upprätthåller risken genom att upprätta en gemensam uppsättning Incident Management-procedurer som minskar eventuella kommersiella eller operativa skador orsakade av kritiska informationssäkerhetshändelser.

Kontrollattribut 5.24

Äganderätt till kontroll 5.24

Incident Management, i bredare termer, är vanligtvis tillämplig på tjänsterelaterade incidenter. Med tanke på att Control 5.24 specifikt handlar om informationssäkerhetsrelaterade incidenter och intrång, med hänsyn till dessa händelsers mycket känsliga karaktär, bör ägandet av Control 5.24 helst ligga hos en CISO, eller organisatorisk motsvarande.

Med tanke på att CISO:er vanligtvis endast ses inom större företag och organisationer på företagsnivå, kan ägandet också ligga hos KUTTRA, eller Service Managerberoende på organisationens karaktär.

Vägledning – Roller och ansvar

Incident Management ger bäst resultat när en organisations personal arbetar tillsammans för att lösa ett specifikt problem.

För att uppnå det specificerar Control 5.24 5 huvudvägledningspunkter som hjälper organisationer att skapa en sammanhållen, effektiv IM-operation.

Organisationer bör:

1. Kom överens om och dokumentera en homogen metod för att rapportera informationssäkerhetshändelser. Detta bör också innebära att man upprättar en huvudkontaktpunkt för alla sådana händelser som ska rapporteras till.
2. Upprätta en serie incidenter Ledningsprocesser som hanterar informationssäkerhet relaterade incidenter inom området för olika tekniska och administrativa funktioner:

   a) Administration
   b) Dokumentation
   c) Detektering
   d) Triage
   e) Prioritering
   f) Analys
   g) Kommunikation

3. Formulera en incidentresponsprocedur som gör det möjligt för organisationen att bedöma och reagera på incidenter. Organisationer bör också vara uppmärksamma på behovet att lära av incidenter när de är lösta, för att mildra eventuella återfall och ge personalen historiska sammanhang i framtida scenarier.
4. Begränsa inblandningen i incidenter till utbildad och kompetent personal, som åtnjuter full tillgång till procedurdokumentation och drar nytta av regelbunden repetitionsutbildning specifikt relaterad till informationssäkerhetsincidenter.
5. Upprätta en process som identifierar utbildningsbehoven för varje medlem av personalen som är involverad i att lösa informationssäkerhetsrelaterade incidenter. Detta bör inkludera alla leverantörsspecifika eller professionella certifieringar, och ge personalen möjlighet att lyfta fram alla behov av professionell utveckling, som är relaterade till informationssäkerhet.

Vägledning – Incidenthantering

Målet med en organisations incidenthanteringsprocess bör vara att säkerställa att alla som är ansvariga för att lösa informationssäkerhetsincidenter har en fast förståelse för tre huvudområden:

• Tiden det tar att lösa en incident
• Eventuella konsekvenser
• Händelsens svårighetsgrad

Alla processer bör fungera i harmoni för att säkerställa att dessa tre variabler förblir en högsta prioritet.

Kontroll 5.24 beskriver 8 huvudaktiviteter som bör åtgärdas när man försöker lösa informationssäkerhetsrelaterade incidenter.

1. Potentiella informationssäkerhetshändelser bör bedömas i enlighet med strikta kriterier som validerar dem som en godkänd incident.
2. Hanteringen av informationssäkerhetshändelser och -incidenter bör kategoriseras i 5 huvudunderämnen, antingen manuellt eller via processautomatisering:

   a) Övervakning (se kontroller 8.15 och 8.16)
   b) Detektion (se Kontroll 8.16)
   c) Klassificering (se kontroll 5.25)
   d) Analys
   e) Rapportering (se Kontroll 6.8)

3. När man försöker få informationssäkerhetsincidenter till ett framgångsrikt slut, bör organisationer implementera procedurer som reglerar följande:

   a) Respons och eskalering (se Kontroll 5.26) i enlighet med typ av incident
   b) Aktivering av krishanteringsplaner eller affärskontinuitetsplaner, från fall till fall
   c) Hanterade återhämtning från en incident som mildrar eventuella operativa/ekonomiska skador
   d) Noggrann kommunikation av incidentrelaterade händelser till alla interna och externa parter

4. Samarbete med intern och extern personal (se kontroller 5.5 och 5.6).
5. Noggrann, tillgänglig och transparent loggning av alla incidenthanterade aktiviteter.
6. Ansvarsfull hantering av bevis (inklusive data och samtal), i enlighet med interna och externa riktlinjer och föreskrifter (se Kontroll 5.28).
7. Grundorsaksanalys och en noggrann granskningsprocedur, när incidenten har lösts.
8. En omfattande förteckning över alla förbättringar som krävs för att förhindra att incidenten upprepas, inklusive eventuella ändringar av själva incidenthanteringsprocessen.

Vägledning – Rapportering

Rapportering är en viktig del av varje incident Ledningspolicy som säkerställer att informationen sprids korrekt i hela organisationen. Rapporteringsaktiviteter bör fokuseras kring fyra huvudområden:

1. Eventuella åtgärder som måste vidtas när en informationssäkerhetshändelse inträffar.
2. Incidentformulär som erbjuder ett tydligt och kortfattat sätt att registrera information och stödja personalen i att utföra sina uppgifter.
3. Återkopplingsprocesser för att säkerställa att personalen underrättas om resultatet av informationssäkerhetshändelser, när incidenten har lösts.
4. Incidentrapporter som dokumenterar all relevant information som rör en incident.

Det bör noteras att Control 5.24 inte innehåller någon vägledning om hur man uppfyller externa krav på hur incidenter rapporteras (t.ex. regulatoriska riktlinjer och/eller gällande lagstiftning), men organisationer bör vidta åtgärder för att dela information om incidenter med alla relevanta parter, och samordna ett svar som uppfyller alla regulatoriska, sektorspecifika och juridiska krav.

Stödjande kontroller

• 5.25
• 5.26
• 5.5
• 5.6
• 6.8
• 8.15
• 8.16

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.24 ersätter 27002:2013-16.1.1 (Hantering av informationssäkerhetsincidenter och förbättringar – Ansvar och rutiner).

27002:2022-5.24 erkänner behovet för organisationer att genomgå grundliga förberedelser för att förbli motståndskraftiga och följsamma inför potentiella informationssäkerhetsincidenter.

Som sådan erbjuder 27002:2022-5.24 en mycket mer omfattande uppdelning av de steg som organisationer behöver ta över rolldelegering, incidenthantering och rapporteringsfunktioner, med specifik hänvisning till andra ISO-kontroller som hjälper organisationer att få en mer avrundad syn på incidenthantering som helhet, inte bara relaterad till informationssäkerhetshändelser.

För att hjälpa organisationen att särskilja sin incidenthanteringsverksamhet avviker 27002:2022-5.24 från 27002:2013-16.1.1 genom att fokusera på tre distinkta områden att överväga:

• Roller och ansvar
• Incidenthanteringsprocesser
• Rapportering

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

När du använder ISMS.online, du kommer att kunna:

• Skapa ett ISMS som är kompatibelt med ISO 27001 standarder.
• Utför uppgifter och skicka in bevis som visar att de har uppfyllt kraven i standarden.
• Fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
• Få tillgång till ett specialiserat team av rådgivare som hjälper dig genom hela din väg mot efterlevnad.

Hör av dig idag för att boka en demo.