Kontroll 5.9, Inventering av information och andra tillhörande tillgångar

Varför behöver jag en inventering av informationstillgångar?

Information Asset Management har en lång historia inom affärskontinuitetsplanering (BCP), katastrofåterställning (DR) och incidentresponsplanering.

Det första steget i någon av dessa processer innebär att identifiera kritiska system, nätverk, databaser, applikationer, dataflöden och andra komponenter som behöver skydd. Om du inte vet vad som behöver skyddas eller var det finns, kan du inte planera för hur du ska skydda det!

Attributtabell

Kontroller klassificeras med hjälp av attribut. Med dessa kan du snabbt matcha ditt kontrollval med vanliga branschtermer och specifikationer.

Denna tabell kompletterar arbete som många kunder för närvarande utför som en del av deras riskbedömning och SOA genom att identifiera konfidentialitet, integritet och tillgänglighet – och andra faktorer. I kontroll 5.9 är attributen:

Vad är syftet med kontroll 5.9?

Syftet med denna kontroll är att identifiera organisationens information och andra tillhörande tillgångar för att bevara deras informationssäkerhet och tilldela lämpligt ägande.

Kontroll 5.9 täcker styrning, syfte och implementeringsvägledning för att skapa en inventering av information och andra tillhörande tillgångar i linje med ISMS-ramverket som definierats av ISO 27001.

Kontrollen kräver att man inventerar all information och andra tillhörande tillgångar, klassificerar dem i distinkta kategorier, identifierar deras ägare och dokumenterar de kontroller som är eller bör finnas på plats.

Detta är ett avgörande steg mot att säkerställa att alla informationstillgångar är tillräckligt skyddade.

Vad är inblandat och hur man uppfyller kraven

Till uppfylla kraven för den nya ISO 27002:2022måste du identifiera informationen och andra tillhörande tillgångar inom din organisation. Då bör du bestämma betydelsen av dessa artiklar när det gäller informationssäkerhet. Om så är lämpligt bör dokumentationen upprätthållas i särskilda eller befintliga inventeringar.

Tillvägagångssättet för att utveckla en inventering kommer att variera beroende på en organisations storlek och komplexitet, dess befintliga kontroller och policyer, och vilka typer av information och andra tillhörande tillgångar som den använder.

Enligt kontroll 5.9 ska inventeringen av information och andra tillhörande tillgångar vara korrekt, uppdaterad, konsekvent och anpassad till andra inventeringar. Alternativ för att säkerställa riktigheten av en inventering av information och andra tillhörande tillgångar inkluderar:

a) genomföra regelbundna granskningar av identifierad information och andra tillhörande tillgångar mot tillgångsinventeringen;

b) automatiskt genomdriva en lageruppdatering i processen att installera, ändra eller ta bort en tillgång.

Placeringen av en tillgång bör inkluderas i inventeringen när så är lämpligt.

Vissa organisationer kan behöva upprätthålla flera lager för olika ändamål. Till exempel har vissa organisationer dedikerade inventeringar för programvarulicenser eller för fysisk utrustning som bärbara datorer och surfplattor.

Andra kan ha en enda inventering som inkluderar all fysisk utrustning, inklusive nätverksenheter som routrar och switchar. Det är viktigt att sådana inventeringar ses över regelbundet för att säkerställa att de hålls uppdaterade så att de kan användas för att hjälpa till med riskhanterings aktiviteter.

Mer information om att uppfylla kraven för kontroll 5.9 finns i det nya ISO 27002:2022-dokumentet.

Skillnader mellan ISO 27002:2013 och ISO 27002:2022

I ISO 27002: 2022 slogs 57 kontroller från ISO 27002: 2013 samman till 24 kontroller. Så du hittar inte kontroll 5.9 som Inventory of Information and Other Associated Assets i 2013 års version. Snarare i 2022-versionen är det en kombination av kontroll 8.1.1 Inventering av tillgångar och kontroll 8.1.2 Ägande av tillgångar.

Avsikten med kontroll 8.1.1 Inventering av tillgångar är att säkerställa att alla informationstillgångar identifieras, dokumenteras och regelbundet granskas, och att lämpliga processer och procedurer finns på plats för att säkerställa att denna inventering är säker.

Kontroll 8.1.2 Ägande av tillgångar ansvarar för att se till att alla informationstillgångar under deras kontroll är korrekt identifierade och ägda. Att veta vem som äger vad kan hjälpa dig att avgöra vilka tillgångar du behöver skydda och till vem du måste hålla ansvar.

Även om båda kontrollerna i ISO 27002:2013 liknar kontroll 5.9 i ISO 27002:2022, har den senare breddats för att möjliggöra en mer användarvänlig tolkning. Till exempel anger implementeringsvägledningen för ägande av tillgångar i kontroll 8.1.2 att tillgångsägaren ska:

a) säkerställa att tillgångar inventeras;

b) säkerställa att tillgångar är korrekt klassificerade och skyddade;

c) definiera och periodiskt granska åtkomstbegränsningar och klassificeringar för viktiga tillgångar, med hänsyn till tillämpliga policyer för åtkomstkontroll;

d) säkerställa korrekt hantering när tillgången raderas eller förstörs.

Dessa 4 punkter har utökats till 9 punkter i ägardelen av kontroll 5.9.

Smakämnen tillgångsägaren bör ansvara för korrekt förvaltning av en tillgång under hela tillgångens livscykel, vilket säkerställer att:

a) information och andra tillhörande tillgångar inventeras;

b) information och andra tillhörande tillgångar är lämpligt klassificerade och skyddade;

c) klassificeringen ses över regelbundet;

d) komponenter som stöder tekniktillgångar listas och länkas, såsom databas, lagring, programvarukomponenter och underkomponenter;

e) krav för acceptabel användning av information och andra tillhörande tillgångar (se 5.10) fastställs;

f) åtkomstbegränsningar överensstämmer med klassificeringen och att de är effektiva och ses över regelbundet;

g) information och andra tillhörande tillgångar, när de raderas eller kasseras, hanteras på ett säkert sätt och tas bort från inventeringen;

h) de är involverade i identifieringen och hanteringen av risker som är förknippade med sina tillgångar;

i) de stödjer personal som har roller och ansvar för att hantera sin information.

Att slå samman dessa två kontroller till en gör det möjligt för användaren att förstå bättre.

Vad betyder dessa förändringar för dig?

De senaste ISO 27002-ändringarna har ingen effekt på din nuvarande certifiering mot ISO 27001-standarderna. ISO 27001-uppgraderingar är de enda som har inflytande på befintliga certifieringar, och ackrediteringsorgan kommer att samarbeta med de certifierande organen för att utveckla en övergångscykel som ger organisationer som har ISO 27001-certifikat tillräcklig tid att överföra från en version till en annan.

Som sagt, följande steg ska följas för att uppfylla den reviderade versionen:

• Se till att ditt företag följer det nya kravet genom att granska ditt riskregister och din riskhantering övar.
• SoA bör revideras för att återspegla ändringar i Bilaga A.
• Dina policyer och processer bör uppdateras för att följa de nya reglerna.

Nya bästa praxis och kvaliteter för kontrollval kommer att finnas tillgängliga under övergångstiden till den nya standarden, vilket kommer att möjliggöra en mer effektiv och effektiv urvalsprocess.

På grund av detta bör du fortsätta att använda ett riskbaserat tillvägagångssätt för att säkerställa att endast De mest relevanta och effektiva kontrollerna väljs för ditt företag.

Hur ISMS.online hjälper

Du kan använd ISMS.online för att hantera din ISO 27002-implementering, eftersom den har utformats specifikt för att hjälpa ett företag att implementera sitt ledningssystem för informationssäkerhet (ISMS) för att uppfylla kraven i ISO 27002.

Plattformen använder ett riskbaserat tillvägagångssätt kombinerat med branschledande bästa praxis och mallar för att hjälpa dig identifiera riskerna som din organisation står inför och de kontroller som behövs för att hantera dessa risker. Detta gör att du systematiskt kan minska både din riskexponering och dina efterlevnadskostnader.

Använda ISMS.online kan du:

• Implementera snabbt ett Information Security Management System (ISMS).
• Hantera enkelt dokumentationen för ditt ISMS.
• Effektivisera efterlevnaden av alla relevanta standarder.
• Hantera alla aspekter av informationssäkerhet, från riskhantering till utbildning i säkerhetsmedvetenhet.
• Kommunicera effektivt i hela din organisation med vår inbyggda kommunikationsfunktion.

Smakämnen ISMS.online-plattform är baserad på Plan-Do-Check-Act (PDCA), en iterativ process i fyra steg för ständig förbättring, och den uppfyller alla krav i ISO 27002:2022. Det är en enkel fråga att skapa ett gratis testkonto och följa stegen vi tillhandahåller.

Hör av dig idag för att boka en demo.