ISO 27002:2022 – Kontroll 5.37 – Dokumenterade driftprocedurer

Syfte med kontroll 5.37

Kontroll 5.37 handlar om begreppet informationssäkerhet som en operativ verksamhet, där dess beståndsdelar utförs och/eller förvaltas av en eller flera individer.

Kontroll 5.37 beskriver en serie operativa procedurer som säkerställer en organisationens informationssäkerhet anläggningen förblir effektiv och säker och i linje med deras dokumenterade krav.

Attributtabell

Kontroll 5.37 är en förebyggande och korrigerande kontrollera det upprätthåller risken genom skapandet av en bank av procedurer i samband med en organisationens informationssäkerhet aktiviteter.

Äganderätt till kontroll 5.37

Kontroll 5.37 behandlar en mängd olika omständigheter som har potential att inkludera flera avdelningar och jobbroller inom ramen för dokumenterade operativa rutiner. Med detta sagt kan man säkert anta att de flesta av procedurerna kommer att påverka ICT-personal, utrustning och system.

Där detta inträffar bör ägarskapet ligga hos en senior medlem av ledningsgruppen som är ansvarig för alla IKT-relaterade aktiviteter, såsom en IT-chef.

Allmän vägledning om kontroll 5.37

Rutiner bör skapas för informationssäkerhetsrelaterad verksamhet i enlighet med 5 viktiga operativa överväganden:

1. Varje instans av en aktivitet som utförs av en eller flera personer, på samma sätt.
2. När en aktivitet inte utförs ofta.
3. När ett ingrepp medför risk att glömmas bort.
4. Eventuella nya aktiviteter som är obekanta för personalen och därför är föremål för en högre risk.
5. När ansvaret för att utföra en verksamhet överförs till en annan anställd eller grupp av anställda.

När dessa fall inträffar bör dokumenterade driftsprocedurer tydligt beskriva:

1. Eventuella ansvariga personer – både etablerade och nya operatörer.
2. En uppsättning riktlinjer som upprätthåller säkerheten under installationen och efterföljande konfiguration av eventuella relaterade affärssystem.
3. Hur information behandlas under hela verksamheten.
4. BUDR planer och konsekvenser, i händelse av dataförlust eller en större händelse (se Kontroll 8.13).
5. Länkade beroenden med andra system, inklusive schemaläggning.
6. En tydlig procedur för att hantera "hanteringsfel" eller diverse händelser som har potential att inträffa (se Kontroll 8.18).
7. En fullständig lista över personal som ska kontaktas vid eventuella störningar, inklusive tydliga upptrappningsprocedurer.
8. Hur man använder relevanta lagringsmedier som är kopplade till aktiviteten (se kontroller 7.10 och 7.14).
9. Hur man startar om och återställer från ett systemfel.
10. Granskningsspårloggning, inklusive alla associerade händelse- och systemloggar (se kontroller 8.15 och 8.17).
11. Videoövervakningssystem som övervakar aktiviteter på plats (se Kontroll 7.4).
12. En robust uppsättning övervakningsprocedurer som tillgodoser den operativa kapaciteten, prestandapotential och säkerhet av nämnda aktivitet.
13. Hur aktiviteten ska upprätthållas, för att hållas på optimala prestationsnivåer.

Alla ovanstående procedurer bör vara föremål för periodiska och/eller ad-hoc granskningar, när och när så krävs, med alla ändringar som ratificeras av ledningen i tid för att säkerställa informationssäkerhetsaktivitet i hela organisationen.

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.37 ersätter 27002:2013-12.1.1 (Dokumenterade driftsrutiner).

27002:2022-5.37 utökar 27002:2013-12.1.1 genom att erbjuda en mycket bredare uppsättning omständigheter som skulle motivera att ett dokumentförfarande följs.

27002:2013-12.1.1 listar informationsbearbetningsaktiviteter såsom förfaranden för uppstart och nedläggning av datorer, säkerhetskopiering, utrustningsunderhåll, mediehantering, medan 27002:2022-5.37 utökar kontrollens uppdrag till generaliserade aktiviteter som inte är begränsade till specifika tekniska funktioner.

Bortsett från några mindre tillägg – som att kategorisera de personer som ansvarar för en aktivitet – innehåller 27002:2022-5.37 samma allmänna råd som 27002:2013-12.1.1

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

• Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
• Det är lätt att delegera ansvar och övervaka framstegen mot efterlevnad.
• Den omfattande verktyg för riskbedömning sparar tid och ansträngning under hela processen.
• Vi har en dedikerad team av konsulter till hands för att stödja dig under hela din resa till efterlevnad.

Hör av dig idag för att boka en demo.