Syfte med kontroll 5.30
Kontroll 5.30 erkänner den viktiga roll som IKT-plattformar och tjänster spelar i upprätthålla kontinuitet i verksamheten, efter avbrott eller en kritisk händelse.
Kontroll 5.30 beskriver hur IKT-tjänster interagerar med olika nyckelmått och stödjande kontroller, inklusive en organisations mål för återhämtningstid (RTO) och övergripande affärskonsekvensanalys (BIA).
Slutmålet är att säkerställa att informationsintegritet och tillgänglighet upprätthålls före, under och efter en period av affärsstörningar.
Attributtabell för kontroll 5.30
5.30 är en korrigerande kontroll som upprätthåller risk genom att skapa IKT-kontinuitetsplaner som bidrar till organisationens övergripande operativa motståndskraft.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Korrigerande | #Tillgänglighet | #Svara | #Kontinuitet | #Elasticitet |
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Allmänna riktlinjer för kontroll 5.30
Processer och procedurer skapade genom kontroll 5.30 bör utarbetas efter en noggrann BIA, som tar hänsyn till hur en organisationens behov att reagera när man upplever driftstörningar.
En BIA bör använda sig av olika effekttyper och organisationsspecifika variabler för att mäta hur affärskontinuiteten kommer att påverkas, om någon eller alla produkter och tjänster skulle göras otillgängliga eller obrukbara på grund av någon grad av störning.
Organisationer bör använda två nyckelvariabler för att formulera en överenskommen RTO, som sätter tydliga mål för återupptagande av normal verksamhet:
a) den Storleken av störningen
b) den Typ upplevda störningar
Inom sin BIA bör organisationer kunna specificera exakt vilka IKT-tjänster och funktioner som krävs för att uppnå återhämtning, inklusive individuella prestanda och kapacitet krav.
Organisationer borde genomgå en riskbedömning som utvärderar deras IKT-system och utgör grunden för en IKT-kontinuitetsstrategi (eller -strategier) som stärker återhämtningen före, under och efter en period av avbrott.
När en strategi väl har kommit överens bör specifika processer och planer införas för att säkerställa att IKT-tjänster är motståndskraftiga och tillräckliga för att bidra till återhämtning av kritiska processer och system, före, under och efter avbrott.
Inom ramen för IKT-kontinuitetsplaner, skisserar Control 5.30 tre huvudriktlinjer:
- ICT-incidenter kräver ofta snabba beslut om informationssäkerhet av högre personal för att påskynda återhämtningen.
- IKT-kontinuitetsplaner bör ges stor uppmärksamhet, inklusive regelbundna tester och utvärderingar, och godkännande av högsta ledningen.
- IKT-kontinuitetsplaner bör innehålla följande information:
Organisationer måste upprätthålla en robust kommandokedja som omfattar kompetenta individer med förmåga att fatta auktoritativa beslut i tekniska frågor relaterade till affärskontinuitet och RTO-efterlevnad.
Organisationsstrukturer måste vara uppdaterade och kommuniceras brett, för att underlätta adekvat kommunikation och påskynda återhämtningstider.
Organisationer bör genomföra testkörningar för att mäta deras effektivitet och mäta nyckeltal som svars- och upplösningstider.
a) prestanda- och kapacitetskrav för alla system eller processer som används i återställningsarbetet
b) en tydlig RTO för varje IKT-tjänst i fråga, och hur organisationen siktar på att återställa dem
c) ett återställningspunktsmål (RPO) utses för varje IKT-resurs, och rutiner skapas som säkerställer att information kan återställas.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Ändringar från ISO 27002:2013
ISO 27002: 2022, kontroll 5.30 är en ny kontroll utan prioritet i ISO 27002:2013.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.
Vår plattform är intuitivt och lätt att använda. Det är inte bara för högtekniska personer; det är för alla i din organisation. Vi uppmuntrar dig att involvera personal på alla nivåer i ditt företag i processen bygga ditt ISMS, eftersom det hjälper dig att bygga ett verkligt hållbart system.
Hör av dig idag för att boka en demo.
