ISO 27002 Kontroll 5.35: Varför oberoende säkerhetsgranskningar är viktiga
Informationssäkerhet är en central aspekt av en organisations datastyrning praxis.
Så mycket att det är nödvändigt att eliminera självgodhet genom att genomföra regelbundna oberoende granskningar av hur en organisation hanterar de människor, processer och tekniker som är involverade i att upprätthålla en effektiv informationssäkerhet drift.
Syfte med kontroll 5.35
Kontroll 5.35 kräver att organisationer utför oberoende granskningar av sina rutiner för informationssäkerhet – både med planerade intervaller och när stora operativa förändringar inträffar – för att säkerställa att policyer för hantering av informationssäkerhet är:
- Tillräckligt – De har kapacitet att uppnå följsamhet
- Lämplig – De försöker uppnå de rätta målen
- Effektiva – De fungerar som avsett
Attributtabell
Kontroll 5.35 är en förebyggande och korrigerande kontrollera det upprätthåller risken genom att skapa processer som underlättar regelbundna granskningar av en organisations rutiner för hantering av informationssäkerhet.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Identifiera | #Informationssäkerhetssäkring | #Styrelse och ekosystem |
| #Korrigerande | #Integritet | #Skydda | ||
| #Tillgänglighet |
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Äganderätt till kontroll 5.35
Kontroll 5.35 behandlar i första hand operativa frågor. Som sådan bör ägandet ligga hos COO eller CISO (om sådan finns).
Allmän vägledning om kontroll 5.35
Det övergripande målet är för ledningen för att skapa och implementera processer som tillgodoser oberoende granskningar av deras informationssäkerhet praxis.
Recensioner bör fokusera på eventuella ändringar krävs för att förbättra en organisations inställning till informationssäkerhet, Inklusive:
- Ocuco-landskapet informationssäkerhetspolicy.
- Ämnesspecifika policyer.
- Relaterade kontroller.
Varje granskning bör utföras av en person inom eller utanför organisationen som inte har ett egenintresse av det de undersöker, till exempel:
- Internrevisorer.
- Oberoende avdelningschefer.
- Tredjepartsorganisationer.
Den som genomför granskningen bör ha det relevanta operativ kompetens att göra en sund bedömning av sina resultat, och (när det gäller intern personal) bör deras jobbroll inte hindra dem från att göra en giltig och legitim bedömning.
Resultaten av granskningen bör noggrant registreras, lagras och rapporteras till chefen (eller grupper av chefer) som begärde det, och i vissa fall till C-suite-nivå eller ägande.
Granskare bör försöka fastställa huruvida informationssäkerhetspraxis är förenlig med organisationens "dokumenterade mål och krav" som anges i informationssäkerhetspolicyn eller någon ämnesspecifik policy.
Vid sidan av periodiska granskningar kan det vara nödvändigt att initiera ad hoc granskningar. Dessa recensioner kan motiveras över fem nyckelområden:
- Eventuella lagar, riktlinjer eller föreskrifter ändras som påverkar organisationens informationssäkerhetsverksamhet.
- Större inträffar incidenter som påverkar informationssäkerheten (dataförlust, intrång etc).
- En ny verksamhet skapas eller större förändringar införs i den nuvarande verksamheten.
- Ocuco-landskapet organisation antar en ny produkt eller tjänst som har informationssäkerhet implikationer eller gör underliggande ändringar av en aktuell produkt eller tjänst.
- Stora förändringar görs i organisationens bank av informationssäkerhetskontroller, policyer och rutiner.
Kompletterande vägledning
ISO / IEC 27007 och ISO/IEC TS 27008 innehåller ytterligare vägledning om praxis för oberoende granskningar.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022-5.35 ersätter 27002:2013-18.1.2 (Oberoende granskning av informationssäkerhet).
27002:2022-5.35 innehåller samma allmänna råd som 27002:2013-18.1.2, men går ett steg längre i att ange specifika exempel på när en organisation bör genomföra ad-hoc granskningar, vid sidan av sina periodiska granskningar.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISMS.online effektiviserar ISO 27002 implementeringsprocessen genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.
När du använd ISMS.online, du kommer att kunna:
skapa ett ISMS som är kompatibelt med ISO 27001
standarder.
utföra uppgifter och lämna in bevis för att de har uppfyllt kraven i standarden.
fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
få tillgång till ett specialiserat team av rådgivare som hjälper dig hela vägen mot efterlevnad.
Hör av dig idag för att boka en demo.
