Syfte med kontroll 5.37
Kontroll 5.37 handlar om begreppet informationssäkerhet som en operativ verksamhet, där dess beståndsdelar utförs och/eller förvaltas av en eller flera individer.
Kontroll 5.37 beskriver en serie operativa procedurer som säkerställer en organisationens informationssäkerhet anläggningen förblir effektiv och säker och i linje med deras dokumenterade krav.
Attributtabell
Kontroll 5.37 är en förebyggande och korrigerande kontrollera det upprätthåller risken genom skapandet av en bank av procedurer i samband med en organisationens informationssäkerhet aktiviteter.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Asset Management | #Styrelse och ekosystem |
| #Korrigerande | #Integritet | #Ta igen sig | #Fysisk säkerhet | #Skydd |
| #Tillgänglighet | #System- och nätverkssäkerhet | #Försvar | ||
| #Applikationssäkerhet | ||||
| #Säker konfiguration | ||||
| #Identitets- och åtkomsthantering | ||||
| #Hot- och sårbarhetshantering | ||||
| #Kontinuitet | ||||
| #Informationssäkerhet Event Management |
Äganderätt till kontroll 5.37
Kontroll 5.37 behandlar en mängd olika omständigheter som har potential att inkludera flera avdelningar och jobbroller inom ramen för dokumenterade operativa rutiner. Med detta sagt kan man säkert anta att de flesta av procedurerna kommer att påverka ICT-personal, utrustning och system.
Där detta inträffar bör ägarskapet ligga hos en senior medlem av ledningsgruppen som är ansvarig för alla IKT-relaterade aktiviteter, såsom en IT-chef.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Allmän vägledning om kontroll 5.37
Rutiner bör skapas för informationssäkerhetsrelaterad verksamhet i enlighet med 5 viktiga operativa överväganden:
- Varje instans av en aktivitet som utförs av en eller flera personer, på samma sätt.
- När en aktivitet inte utförs ofta.
- När ett ingrepp medför risk att glömmas bort.
- Eventuella nya aktiviteter som är obekanta för personalen och därför är föremål för en högre risk.
- När ansvaret för att utföra en verksamhet överförs till en annan anställd eller grupp av anställda.
När dessa fall inträffar bör dokumenterade driftsprocedurer tydligt beskriva:
- Eventuella ansvariga personer – både etablerade och nya operatörer.
- En uppsättning riktlinjer som upprätthåller säkerheten under installationen och efterföljande konfiguration av eventuella relaterade affärssystem.
- Hur information behandlas under hela verksamheten.
- BUDR planer och konsekvenser, i händelse av dataförlust eller en större händelse (se Kontroll 8.13).
- Länkade beroenden med andra system, inklusive schemaläggning.
- En tydlig procedur för att hantera "hanteringsfel" eller diverse händelser som har potential att inträffa (se Kontroll 8.18).
- En fullständig lista över personal som ska kontaktas vid eventuella störningar, inklusive tydliga upptrappningsprocedurer.
- Hur man använder relevanta lagringsmedier som är kopplade till aktiviteten (se kontroller 7.10 och 7.14).
- Hur man startar om och återställer från ett systemfel.
- Granskningsspårloggning, inklusive alla associerade händelse- och systemloggar (se kontroller 8.15 och 8.17).
- Videoövervakningssystem som övervakar aktiviteter på plats (se Kontroll 7.4).
- En robust uppsättning övervakningsprocedurer som tillgodoser den operativa kapaciteten, prestandapotential och säkerhet av nämnda aktivitet.
- Hur aktiviteten ska upprätthållas, för att hållas på optimala prestationsnivåer.
Alla ovanstående procedurer bör vara föremål för periodiska och/eller ad-hoc granskningar, när och när så krävs, med alla ändringar som ratificeras av ledningen i tid för att säkerställa informationssäkerhetsaktivitet i hela organisationen.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022-5.37 ersätter 27002:2013-12.1.1 (Dokumenterade driftsrutiner).
27002:2022-5.37 utökar 27002:2013-12.1.1 genom att erbjuda en mycket bredare uppsättning omständigheter som skulle motivera att ett dokumentförfarande följs.
27002:2013-12.1.1 listar informationsbearbetningsaktiviteter såsom förfaranden för uppstart och nedläggning av datorer, säkerhetskopiering, utrustningsunderhåll, mediehantering, medan 27002:2022-5.37 utökar kontrollens uppdrag till generaliserade aktiviteter som inte är begränsade till specifika tekniska funktioner.
Bortsett från några mindre tillägg – som att kategorisera de personer som ansvarar för en aktivitet – innehåller 27002:2022-5.37 samma allmänna råd som 27002:2013-12.1.1
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.
- Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
- Det är lätt att delegera ansvar och övervaka framstegen mot efterlevnad.
- Den omfattande verktyg för riskbedömning sparar tid och ansträngning under hela processen.
- Vi har en dedikerad team av konsulter till hands för att stödja dig under hela din resa till efterlevnad.
Hör av dig idag för att boka en demo.
