ISO 27002:2022, Kontroll 5.30 – ICT Readiness for Business Continuity

Allmänna riktlinjer för kontroll 5.30

Processer och procedurer skapade genom kontroll 5.30 bör utarbetas efter en noggrann BIA, som tar hänsyn till hur en organisationens behov att reagera när man upplever driftstörningar.

En BIA bör använda sig av olika effekttyper och organisationsspecifika variabler för att mäta hur affärskontinuiteten kommer att påverkas, om någon eller alla produkter och tjänster skulle göras otillgängliga eller obrukbara på grund av någon grad av störning.

Organisationer bör använda två nyckelvariabler för att formulera en överenskommen RTO, som sätter tydliga mål för återupptagande av normal verksamhet:

a) den Storleken av störningen

b) den Typ upplevda störningar

Inom sin BIA bör organisationer kunna specificera exakt vilka IKT-tjänster och funktioner som krävs för att uppnå återhämtning, inklusive individuella prestanda och kapacitet krav.

Organisationer borde genomgå en riskbedömning som utvärderar deras IKT-system och utgör grunden för en IKT-kontinuitetsstrategi (eller -strategier) som stärker återhämtningen före, under och efter en period av avbrott.

När en strategi väl har kommit överens bör specifika processer och planer införas för att säkerställa att IKT-tjänster är motståndskraftiga och tillräckliga för att bidra till återhämtning av kritiska processer och system, före, under och efter avbrott.

Inom ramen för IKT-kontinuitetsplaner, skisserar Control 5.30 tre huvudriktlinjer:

1. ICT-incidenter kräver ofta snabba beslut om informationssäkerhet av högre personal för att påskynda återhämtningen.
   
   Organisationer måste upprätthålla en robust kommandokedja som omfattar kompetenta individer med förmåga att fatta auktoritativa beslut i tekniska frågor relaterade till affärskontinuitet och RTO-efterlevnad.
   
   Organisationsstrukturer måste vara uppdaterade och kommuniceras brett, för att underlätta adekvat kommunikation och påskynda återhämtningstider.
2. IKT-kontinuitetsplaner bör ges stor uppmärksamhet, inklusive regelbundna tester och utvärderingar, och godkännande av högsta ledningen.
   
   Organisationer bör genomföra testkörningar för att mäta deras effektivitet och mäta nyckeltal som svars- och upplösningstider.
3. IKT-kontinuitetsplaner bör innehålla följande information:
   
   a) prestanda- och kapacitetskrav för alla system eller processer som används i återställningsarbetet
   
   b) en tydlig RTO för varje IKT-tjänst i fråga, och hur organisationen siktar på att återställa dem
   
   c) ett återställningspunktsmål (RPO) utses för varje IKT-resurs, och rutiner skapas som säkerställer att information kan återställas.

Ändringar från ISO 27002:2013

ISO 27002: 2022, kontroll 5.30 är en ny kontroll utan prioritet i ISO 27002:2013.

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Vår plattform är intuitivt och lätt att använda. Det är inte bara för högtekniska personer; det är för alla i din organisation. Vi uppmuntrar dig att involvera personal på alla nivåer i ditt företag i processen bygga ditt ISMS, eftersom det hjälper dig att bygga ett verkligt hållbart system.

Hör av dig idag för att boka en demo.