ISO 27002:2022, Kontroll 5.26 – Respons på informationssäkerhetsincidenter

Allmän vägledning om kontroll 5.26

Kontroll 5.26 anger det uttryckligen informationssäkerhetsincidenter bör hanteras med av ett dedikerat team som innehar den "krävda kompetensen" för att snabbt och noggrant kunna lösa eventuella incidenter som kommer i deras väg (se kontroll 5.24).

Kontroll 5.26 beskriver 10 huvudsakliga vägledningspunkter för att säkerställa att incidenthanteringsprocedurer följs:

1. Inneslutning och begränsning av alla hot som uppstår från den ursprungliga händelsen.
2. Insamling och bekräftelse av bevis omedelbart efter att en informationssäkerhetsincident har inträffat.
3. Upptrappning, inklusive krishantering, BUDR-aktiviteter och övergripande kontinuitet i verksamheten planer (se kontroller 5.29 och 5.30).
4. Noggrann loggning av all incidentrelaterad aktivitet, inklusive det första svaret, för att underlätta analys efter slakt.
5. Att följa en strikt "need to know"-princip när man kommunicerar förekomsten av, och utvecklingen rörande, informationssäkerhetsrelaterade incidenter.
6. Att förbli uppmärksam på en organisationens ansvar till externa organisationer (klienter, leverantörer, offentliga organ, tillsynsmyndigheter etc.) när de kommunicerar den bredare effekten av informationssäkerhetsincidenter.
7. Stänga en incident till en strikt uppsättning slutförandekriterier.
8. Forensisk analys (se Kontroll 5.28).
9. Identifiera den underliggande orsaken till en incident, när nämnda incident har lösts, inklusive adekvat registrering och kommunikation till alla relevanta parter (se Kontroll 5.27).
10. Hantera underliggande sårbarheter som har lett till informationssäkerhetsrelaterade händelser och incidenter, inklusive identifiering och modifiering av interna processer, kontroller, policyer och procedurer.

Stödjande kontroller

• 5.24
• 5.27
• 5.28
• 5.29
• 5.30

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.26 ersätter 27002:2013-16.1.5 (Reaktion på informationssäkerhetsincidenter).

ISO 27002 :2022-5.26 går några steg längre än 27002:2013-16.1.5, med tillägg av fyra nyckelområden att överväga:

• behovet av att begränsa och mildra hot som härrör från den ursprungliga händelsen
• eskaleringsförfaranden som är baserade på kris ledning och affärskontinuitet
• fastställa exakt varför incidenten inträffade och kommunicera detaljerna till alla relevanta parter
• vidta korrigerande åtgärder för att identifiera och modifiera interna processer, kontroller och policyer som ledde till den ursprungliga händelsen

27002:2013-16.1.5 hänvisar också till att återuppta "normal säkerhetsnivå" som primär målet för en incidentrespons team i de tidiga stadierna av en eskalering. 27002:2022-5.26 gör ingen sådan hänvisning, utan fokuserar istället på det allmänna behovet av att begränsa hot.

Hur ISMS.online hjälper

Smakämnen ISMS.online plattformen är ett utmärkt verktyg för att hjälpa dig att implementera och hantera ett ISO 27002 Information Security Management System, oavsett din erfarenhet av standarden.

Vårt system guidar dig genom stegen för att har konfigurerat ditt ISMS framgångsrikt och hantera det framåt.

Hör av dig idag för att boka en demo.