ISO 27002:2022 – Kontroll 8.6 – Kapacitetshantering

Syfte med kontroll 8.6

Kapacitetshantering, i samband med IKT, är inte begränsad till att säkerställa att organisationer har tillräckligt med utrymme på servrar och tillhörande lagringsmedia för dataåtkomst och säkerhetskopiering och katastrofåterställning (BUDR).

Organisationer måste säkerställa att de har förmågan att arbeta med en uppsättning resurser som tillgodoser ett brett spektrum av affärsfunktioner, inklusive HR, informationsbehandling, hantering av fysiska kontorsplatser och tillhörande faciliteter.

Alla dessa funktioner har förmågan att negativt påverka en organisations informationshanteringskontroller.

Kontroll 8.6 är en dubbelfunktion preventative och detektivkontroll den där upprätthåller risken genom att implementera detektivkontroller som identifierar och upprätthåller adekvat kapacitet för att behandla information i hela organisationen.

Attributtabell för kontroll 8.6

Äganderätt till kontroll 8.6

Kontroll 8.6 handlar om en organisations förmåga att löpande verka som en verksamhet.

Som sådant bör ägandet ligga hos Chief Operating Officer (eller organisatorisk motsvarande), med ansvar för den dagliga integriteten och effektiviteten av en organisations affärsfunktioner.

Allmän vägledning om kontroll 8.6

I stora termer som inte är unika för en viss typ av resurs, innehåller Control 8.6 7 allmänna vägledningspunkter:

1. Organisationer bör överväga affärskontinuitet som högsta prioritet vid implementering av kapacitetshanteringskontroller, inklusive grossistimplementering av detektivkontroller som flaggar upp potentiella problem innan de inträffar.
2. Kapacitetshantering bör baseras på proaktiva funktioner trimma och övervakning. Båda dessa element bör fungera i harmoni för att säkerställa att system och affärsfunktioner inte äventyras.
3. I operativa termer bör organisationer prestera regelbundet stresstester som undersöker en systemförmåga att tillgodose övergripande affärsbehov. Sådana test bör utformas från fall till fall och vara relevanta för det verksamhetsområde som de är inriktade på.
4. Kapacitet förvaltningskontroller bör inte begränsas till en organisations ström data eller operativa behov, och bör inkludera alla planer på kommersiell och teknisk expansion (både ur ett fysiskt och digitalt perspektiv) för att förbli så framtidssäkrad som är realistiskt möjligt.
5. Att expandera organisatoriska resurser är föremål för varierande ledtider och kostnader, beroende på vilket system eller affärsfunktion det gäller. Resurser som är dyrare och svårare att bygga ut bör bli föremål för en högre grad av granskning för att säkra kontinuitet i verksamheten.
6. Ledningen bör vara uppmärksam på enstaka felpunkter relaterade till ett beroende av nyckelpersoner eller individuella resurser. Skulle det uppstå svårigheter med någon av dessa faktorer kan det ofta leda till komplikationer som är betydligt svårare att åtgärda.
7. Formulera a kapacitet förvaltningsplan som handlar specifikt om affärskritiska system och affärsfunktioner.

Vägledning – Hantera efterfrågan

27002:2022-8.6 förespråkar en dubbelfrontsstrategi för kapacitetshantering som antingen ökar kapaciteten, eller minskar efterfrågan på en resurs eller uppsättning resurser.

När organisationer försöker öka kapaciteten bör de:

1. Överväg att anställa nya medarbetare för att utföra en affärsfunktion.
2. Köpa, hyra eller hyra nya lokaler eller kontorslokaler.
3. Köp, leasa eller hyr ytterligare bearbetning, datalagring och RAM (antingen på plats eller i moln).
4. Överväg att använda elastisk och skalbar molnresurser som expanderar med beräkningarna organisationens behov, med minimalt ingrepp.

När organisationer försöker minska efterfrågan bör de:

1. Ta bort föråldrad data för att frigöra lagringsutrymme på servrar och anslutna media.
2. Kassera alla papperskopior på ett säkert sätt information som organisationen inte längre behöver, och är inte juridiskt skyldig att erhålla, varken enligt lag eller via ett tillsynsorgan.
3. Ta ur drift av alla IKT-resurser, applikationer eller virtuella miljöer som inte längre behövs.
4. Granska schemalagda ICT-uppgifter (inklusive rapporter, automatiserade underhållsfunktioner och batchprocesser) för att optimera minnesresurser och minska lagringsutrymmet som tas upp av utdata.
5. Optimera eventuella applikationskoder eller databasfrågor som körs tillräckligt regelbundet för att ha en effekt på organisationens operativa kapacitet.
6. Begränsa mängden bandbredd som allokeras till icke-kritiska aktiviteter inom gränserna för organisationens nätverk. Detta kan inkludera begränsning av internetåtkomst och förhindrande av streaming av video/ljud från arbetsenheter.

Ändringar och skillnader från ISO 27002:2013

27002:2022-8.6 ersätter 27002:2013-12.1.3 (Kapacitetshantering).

27002:2022-8.6 innehåller en mycket mer omfattande uppsättning riktlinjer som instruerar organisationer om hur man antingen kan öka kapaciteten eller minska efterfrågan.

Utöver detta innehåller 27002:2013-12.1.3 ingen specifik vägledning om hur man kan öka kapaciteten, till skillnad från 27002:2022-8.6 som beskriver specifika handlingsvägar som leder till mer operativt andrum.

27002:2013-12.1.3 innehåller inte heller någon vägledning om hur man stresstestar operativ kapacitet, eller annars granska en organisations förmåga att hantera kapacitet på löpande basis, förutom att rekommendera en kapacitetshanteringsplan.

I enlighet med den snabba ökningen av molnberäkningar under det senaste decenniet, är 27002:2022-8.6 tydlig i sina råd till organisationer att använda molnbaserade resurser som automatiskt skalas med affärskrav.

27002:2013-12.1.3 nämner inget sådant om lagring eller beräkningsfaciliteter utanför anläggningen.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementeringen är enklare med vår steg-för-steg checklista som guidar dig genom hela processen. Din kompletta efterlevnadslösning för ISO / IEC 27002: 2022.

• Upp till 81 % framsteg från det att du loggar in
• Enkel och total efterlevnadslösning

Hör av dig idag för att boka en demo.