Informationssäkerhet är en central aspekt av en organisations datastyrning praxis.
Så mycket att det är nödvändigt att eliminera självgodhet genom att genomföra regelbundna oberoende granskningar av hur en organisation hanterar de människor, processer och tekniker som är involverade i att upprätthålla en effektiv informationssäkerhet drift.
Kontroll 5.35 kräver att organisationer utför oberoende granskningar av sina rutiner för informationssäkerhet – både med planerade intervaller och när stora operativa förändringar inträffar – för att säkerställa att policyer för hantering av informationssäkerhet är:
Kontroll 5.35 är en förebyggande och korrigerande kontrollera det upprätthåller risken genom att skapa processer som underlättar regelbundna granskningar av en organisations rutiner för hantering av informationssäkerhet.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande #Korrigerande | #Sekretess #Integritet #Tillgänglighet | #Identifiera #Skydda | #Informationssäkerhetssäkring | #Styrelse och ekosystem |
Kontroll 5.35 behandlar i första hand operativa frågor. Som sådan bör ägandet ligga hos COO eller CISO (om sådan finns).
Det övergripande målet är för ledningen för att skapa och implementera processer som tillgodoser oberoende granskningar av deras informationssäkerhet praxis.
Recensioner bör fokusera på eventuella ändringar krävs för att förbättra en organisations inställning till informationssäkerhet, Inklusive:
Varje granskning bör utföras av en person inom eller utanför organisationen som inte har ett egenintresse av det de undersöker, till exempel:
Den som genomför granskningen bör ha det relevanta operativ kompetens att göra en sund bedömning av sina resultat, och (när det gäller intern personal) bör deras jobbroll inte hindra dem från att göra en giltig och legitim bedömning.
Resultaten av granskningen bör noggrant registreras, lagras och rapporteras till chefen (eller grupper av chefer) som begärde det, och i vissa fall till C-suite-nivå eller ägande.
Granskare bör försöka fastställa huruvida informationssäkerhetspraxis är förenlig med organisationens "dokumenterade mål och krav" som anges i informationssäkerhetspolicyn eller någon ämnesspecifik policy.
Vid sidan av periodiska granskningar kan det vara nödvändigt att initiera ad hoc granskningar. Dessa recensioner kan motiveras över fem nyckelområden:
ISO / IEC 27007 och ISO/IEC TS 27008 innehåller ytterligare vägledning om praxis för oberoende granskningar.
27002:2022-5.35 ersätter 27002:2013-18.1.2 (Oberoende granskning av informationssäkerhet).
27002:2022-5.35 innehåller samma allmänna råd som 27002:2013-18.1.2, men går ett steg längre i att ange specifika exempel på när en organisation bör genomföra ad-hoc granskningar, vid sidan av sina periodiska granskningar.
ISMS.online effektiviserar ISO 27002 implementeringsprocessen genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.
När du använd ISMS.online, du kommer att kunna:
skapa ett ISMS som är kompatibelt med ISO 27001
standarder.
utföra uppgifter och lämna in bevis för att de har uppfyllt kraven i standarden.
fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
få tillgång till ett specialiserat team av rådgivare som hjälper dig hela vägen mot efterlevnad.
Hör av dig idag för att boka en demo.
Boka en skräddarsydd hands-on session
utifrån dina behov och mål
Boka din demo
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | Nya | Hot intelligens |
| 5.23 | Nya | Informationssäkerhet för användning av molntjänster |
| 5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | Nya | Fysisk säkerhetsövervakning |
| 8.9 | Nya | Konfigurationshantering |
| 8.10 | Nya | Radering av information |
| 8.11 | Nya | Datamaskering |
| 8.12 | Nya | Förebyggande av dataläckage |
| 8.16 | Nya | Övervakningsaktiviteter |
| 8.23 | Nya | Webbfiltrering |
| 8.28 | Nya | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | Nya | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Vi är så glada att vi hittade den här lösningen, den fick allt att passa ihop enklare.
