Trots det breda utbudet av förebyggande åtgärder som finns tillgängliga för organisationer som är ISO 27002: 2022 följs, störningar i affärskontinuiteten och standardverksamheten kan och förekommer.
Kontroll 5.29 beskriver de operativa justeringar som organisationer bör anta när de upplever störningar, för att skydda information och skydda företagets tillgångar.
5.22 har två syften preventative och korrigerande kontrollera det upprätthåller risken genom att implementera en plan som förbättrar informationssäkerheten under perioder av störningar och minskar skador över organisationens tillgångar.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande #Korrigerande | #Sekretess #Integritet #Tillgänglighet | #Skydda #Svara | #Kontinuitet | #Skydd #Elasticitet |
Kontroll 5.29 avser drift informationssäkerhetsprocess och rutiner som aktiveras när kritiska händelser eller affärsstörningar inträffar.
Som sådan bör ägandet av Control 5.29 ligga hos en medlem av de högsta ledningsgrupperna som övervakar organisationens dagliga verksamhet och/eller kontinuitetsplanering, t.ex. Chief Operating Officer (COO).
Kontroll 5.29 föreskriver att informationssäkerhet bör vara en beståndsdel av en organisations bredare förfarande för hantering av affärskontinuitet.
Organisationer bör upprätta planer som försöker upprätthålla informationssäkerhetsintegritet, och sedan återställa den, om informationen äventyras på något sätt efter driftsavbrott eller systemfel.
Säkerhetsnivåerna bör återställas till nivåerna före avbrottet, och i tid som minskar eventuella ytterligare skador.
När de gör det bör organisationerna:
Kontroll 5.29 erkänner kontinuitetsplaneringens mycket varierande karaktär och ger organisationer betydande utrymme för att implementera informationssäkerhet kontroller som är specifika för de olika typer av affärsstörningar som organisationer kan uppleva.
ISO ber organisationen att fokusera på två nyckelområden när formulera en affärskontinuitetsplan:
a) förlust av sekretess
b) informationens integritet
Boka en skräddarsydd hands-on session
utifrån dina behov och mål
Boka din demo
27002:2022-5.29 ersätter följande tre kontroller från 27002:2013:
Som ett erkännande av den komplexa karaktären hos kontinuitetsplaner – och hur de skiljer sig åt beroende på olika typer av avbrott – har ISO förenklat sin vägledning genom att gå bort från ett detaljerat tillvägagångssätt och be organisationer att istället överväga några grundläggande punkter när de utarbetar ämnesspecifika planer (se ovan).
Till exempel säger en del av vägledningen i 17.1.2 att:
”insatspersonal med erforderligt ansvar, befogenhet och kompetens att hantera en incident och upprätthålla informationssäkerhet nomineras”.
Trots deras betydelse för effektiv kontinuitetsplanering, nämner 5.29 inget specifikt incidentresponsteam och litar på att organisationen överväger dem under alla punkter i vägledningsnoterna, mer specifikt:
En molnbaserad plattform för ISO 27002 implementering, ISMS.online, hjälper dig att hantera dina riskhanteringsprocesser för informationssäkerhet enkelt och effektivt.
Smakämnen ISMS.online-plattform tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.
Hör av dig idag för att boka en demo.
Vi ger dig ett försprång på 81 %
från det ögonblick du loggar in
Boka din demo
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | Nya | Hot intelligens |
| 5.23 | Nya | Informationssäkerhet för användning av molntjänster |
| 5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | Nya | Fysisk säkerhetsövervakning |
| 8.9 | Nya | Konfigurationshantering |
| 8.10 | Nya | Radering av information |
| 8.11 | Nya | Datamaskering |
| 8.12 | Nya | Förebyggande av dataläckage |
| 8.16 | Nya | Övervakningsaktiviteter |
| 8.23 | Nya | Webbfiltrering |
| 8.28 | Nya | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | Nya | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
