ISO 27002:2022, Kontroll 5.8 – Informationssäkerhet i projektledning

Informationssäkerhet i projektledning

Eftersom fler och fler företag hanterar sina aktiviteter online är det ingen överraskning att informationssäkerhet inom projektledning har blivit ett hett ämne. Projektledare har att göra med ett ökande antal personer som arbetar utanför kontoret, såväl som anställda som använder sina personliga enheter i arbetet.

Genom att skapa en säkerhetspolicy för ditt företag, kommer du att kunna minimera risken för intrång eller dataförlust och se till att du kan producera korrekta rapporter om projektstatus och ekonomi vid varje given tidpunkt.

Det bästa sättet att inkludera informationssäkerhet i projektplanerings- och genomförandeprocessen är att:

• Definiera informationssäkerhetskraven för projektet, inklusive affärsbehov och juridiska skyldigheter.
• Bedöm riskpåverkan från informationssäkerhet hot.
• Hantera riskpåverkan genom att implementera lämpliga kontroller och processer.
• Övervaka och rapportera om dessa kontrollers effektivitet.

För att skydda dina affärsprojekt måste du se till att allt projektledare är medvetna om informationssäkerhet och följa den när de slutför sitt arbete.

Attributtabell

Kontroller klassificeras med hjälp av attribut. Med dessa kan du snabbt matcha ditt kontrollval med vanliga branschtermer och specifikationer. I kontroll 5.8 är attributen:

Vad är syftet med kontroll 5.8?

Syftet med detta kontroll enligt ISO 27002:2022 är att säkerställa informationssäkerhet risker relaterade till projekt och leveranser hanteras effektivt i projektledningen under hela projektets livscykel.

Informationssäkerhet är en nyckelfaktor för projektledning och projekt.

Kontroll 5.8 omfattar styrning, syfte och implementeringsvägledning för att integrera informationssäkerhet i projektledning enligt det ramverk som definieras av ISO 27001.

Kontroll 5.8 förstår att projektledning kräver samordning av resurser, inklusive informationstillgångar, för att uppnå ett definierat affärsmål. Detta beror på att projekt ofta innehåller nya affärsprocesser och system, som har konsekvenser för informationssäkerhet.

Projekt kan också sträcka sig över flera avdelningar och organisationer, vilket innebär att kontroll 5.8-målen, som handlar om att säkerställa att korrekta informationssäkerhetsprotokoll finns på plats, måste samordnas mellan interna och externa intressenter.

Denna kontroll kan ses som en riktlinje som identifierar informationssäkerhetsproblem i projekt och säkerställer att dessa problem åtgärdas under hela projektets livscykel.

Vad är inblandat och hur man uppfyller kraven

Det är viktigt att integrera informationssäkerhet i projektledning eftersom detta ger möjlighet för organisationer att säkerställa att informationssäkerhetsrisker identifieras, utvärderas och åtgärdas som en del av projektledningen.

Om en organisation till exempel vill implementera ett nytt produktutvecklingssystem kan de identifiera informationssäkerhetsriskerna som är förknippade med ett nytt produktutvecklingssystem – såsom obehörigt avslöjande av företagsinformation – och vidta åtgärder för att minska dessa risker.

Därför, för att uppfylla kraven för nya ISO 27002:2022, bör informationssäkerhetschefen samarbeta med projektledaren för att säkerställa att informationssäkerhetsrisk identifieras, bedöms och åtgärdas som en del av projektledningsprocesserna. Informationssäkerhet bör integreras i projektledningen så att den är en "del av projektet" snarare än något som görs "till projektet".

Enligt kontroll 5.8 bör projektledningen som används kräva att:

• informationssäkerhetsrisker bedöms och behandlas i ett tidigt skede och periodvis som en del av projektrisker under hela projektets livscykel.
• informationssäkerhetskrav [t.ex. applikationssäkerhetskrav (8.26), krav på att uppfylla immateriella rättigheter (5.32), etc.] behandlas i de tidiga stadierna av
  projekt.
• informationssäkerhetsrisker i samband med genomförandet av projekt, såsom säkerheten för interna och externa kommunikationsaspekter beaktas och behandlas under hela projektets livscykel.
• framstegen i behandlingen av informationssäkerhetsrisker ses över och behandlingens effektivitet utvärderas och testas.

Projektledaren (PM) bör fastställa kraven på informationssäkerhet för alla typer av projekt, oavsett dess komplexitet, storlek, varaktighet, disciplin eller tillämpningsområde, inte bara IKT-utvecklingsprojekt. PM bör vara medvetna om Informationssäkerhetspolicy och relaterade förfaranden, och vikten av informationssäkerhet.

Mer information om implementeringsriktlinjerna finns i den reviderade ISO 27002:2022.

Skillnader mellan ISO 27002:2013 och ISO 27002:2022

Informationssäkerhet i projektledning reviderades i ISO 27002:2022 för att återspegla fler förtydliganden i implementeringsvägledningen jämfört med ISO 27002:2013. Till exempel i ISO 27002:2013 finns det 3 punkter som varje projektledare bör känna till eftersom det påverkar informationssäkerheten. Men i 2022 års version utökades detta till 4 poäng.

Kontroll 5.8 i ISO 27002:2022 är inte heller en ny kontroll, utan det är en kombination av kontroller 6.1.5 och 14.1.1 i ISO 27002:2013.

Kontroll 14.1.1 i ISO 27002: 2013 talar om informationssäkerhetsrelaterade krav för nya informationssystem eller förbättringar av befintliga informationssystem. Implementeringsriktlinjerna för kontroll 14.1.1 liknar avsnittet i kontroll 5.8 som talar om att säkerställa att arkitektur och design av informationssystem skyddas mot kända hot baserat på den operativa miljön.

Kontroll 5.8, även om det inte är en ny kontroll, medför några viktiga ändringar i standarden. Dessutom, att kombinera de två kontrollerna i ISO 27002:2022 gör standarden mer användarvänlig.

Vem är ansvarig för denna process?

Projektledaren (PM) ansvarar för att informationssäkerheten implementeras i varje projekts livscykel. Premiärministern kan dock tycka att det är användbart att konsultera en Information Security Officer (ISO) att bestämma vilka krav på informationssäkerhet som behövs för olika typer av projekt.

Vad betyder dessa förändringar för dig?

Det finns inga ändringar i ISO/IEC 27001 standard, så befintliga ISMS behöver inte uppdateras. Dessutom finns det en respitperiod på två år innan organisationer måste anamma den nya standarden.

Men eftersom Bilaga A till ISO/IEC 27001 kommer att matchas med de nya ISO/IEC 27002-kontrollerna i slutet av 2022, rekommenderas att aktiviteter baserade på den information som för närvarande finns tillgänglig om de nya ISO/IEC 27002-kontrollerna slutförs.

Till exempel kan organisationer:

• Ta en titt på omfattningen av deras ISMS.
• Uppdatera organisationens informationssäkerhetspolicy och alla andra regler för att säkerställa att relevanta referenser och kontroller implementeras.
• Se till att du förstår din position i förhållande till nya kontroller och standardens nya struktur genom att göra en luckbedömning.
• Inkorporera de nya informationssäkerhetskontrollerna i din riskbedömningsmetod.

Hur ISMS.online hjälper

En molnbaserad plattform för implementering av ISO 27002, ISMS.online, hjälper dig att hantera dina processer för informationssäkerhetsriskhantering enkelt och effektivt.

Med vår molnbaserade plattform får du tillgång till ett bibliotek med förskrivna policyer, rutiner, arbetsinstruktioner och formulär redo för dig.

Smakämnen ISMS.online-plattform tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.

Det omfattande verktygspaketet ger dig en central plats där du kan skapa en skräddarsydd uppsättning policyer och procedurer som passar dina organisationens specifika risker och behov. Det möjliggör också samarbete mellan såväl kollegor som externa partners som leverantörer eller tredjepartsrevisorer.

Genom att använda en webbapp speciellt utformad för att hjälpa företag att implementera ett Information Security Management System (ISMS) baserat på ISO 27001, sparar du inte bara tid, utan ökar också säkerheten för din organisation.

Hör av dig idag för att boka en demo.