- Se ISO 27002:2022 Kontroll 5.33 for mer informasjon.
- Se ISO 27001:2013 vedlegg A 18.1.3 for mer informasjon.
ISO 27001:2022 vedlegg A 5.33 Forklart – Beskytte registre og sikre integritet
ISO 27001:2022 tillegg A 5.33 krever at alle dokumenter skal beskyttes mot tap, skade eller ødeleggelse. Aktive tiltak må iverksettes for å sikre at dokumenter ikke går tapt, skades eller ødelegges.
Noen organisasjoner synes det er vanskelig å sortere og administrere poster av hensyn til samsvar.
Registreringer som føres innenfor IKT-området omfatter data og informasjon som en organisasjon lagrer og/eller bruker til daglig drift, inkludert (blant annet):
- Individuelle arrangementer.
- Transaksjoner.
- Arbeidsprosesser.
- Aktiviteter.
- Funksjoner.
ISO erklærer at poster er "enhver innsamling av informasjon, uavhengig av sammensetning eller form", inkludert "dokumenter, datasett eller andre typer informasjon som genereres, anskaffes og administreres i forretningssammenheng", pluss dataene knyttet til ta opp.
Formålet med ISO 27001:2022 vedlegg A 5.33
Organisasjoner har et ansvar for å beskytte dataene de besitter – som omfatter enkeltpersoner, økonomiske detaljer og driftsområder – samtidig som de overholder alle gjeldende forskrifter.
ISO 27001:2022 vedlegg A 5.33 tar for seg beskyttelse av forretningsregistre mot fem hovedrisikoer:
- Forfalskning.
- Uautorisert tilgang.
- Uautorisert utgivelse eller publisering.
- Tap.
- Ødeleggelse.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning for ISO 27001:2022 vedlegg A 5.33
Vedlegg A 5.33 erkjenner at en organisasjons krav til poster, både når det gjelder mengde og type, kan variere fra dag til dag.
ISO 27001:2022 vedlegg A 5.33 identifiserer fire hovedattributter for poststyring:
- Integritet.
- Brukbarhet.
- Autentisitet.
- Pålitelighet.
ISO 27001:2022 vedlegg A 5.33 krever at organisasjoner:
- Utkast og publiser retningslinjer som tar for seg fire hovedfunksjoner, samt emnespesifikke retningslinjer som gjenspeiler essensen av postene.
- Rekordavhending.
- Forhindrer manipulasjon.
- Rekordlagring.
- Rekordhåndteringskjede.
- Opprettholde en funksjonell oppbevaringsplan som spesifiserer hvor lenge ulike typer poster skal oppbevares i forbindelse med deres respektive forretningsformål.
- Konstruer lagrings- og håndteringsprosesser som tar hensyn til:
- Eventuelle gjeldende lover angående kommersiell journalføring må følges.
- Samfunnet og samfunnet for øvrig har forventninger til hvordan organisasjoner skal administrere sine poster.
- Ødelegg poster på en sikker og passende måte så snart oppbevaringsperioden er fullført.
- Kategoriser poster i samsvar med sikkerhetsrisikoen deres, og følg de tilsvarende oppbevaringsperiodene og media de er lagret i, inkludert (men ikke begrenset til):
- Personaljournaler.
- Juridiske dokumenter.
- Regnskapsdokumenter.
- Forretningstransaksjoner.
- Sørg for at lagringsprosedyrene gir tilstrekkelig tid for gjenfinning hvis det blir bedt om av en tredjepart eller internt.
- Der det oppbevares elektroniske poster, tenk på og reduser risikoen for at tilgang til eller gjenoppretting av poster blir hindret av teknologiske endringer, for eksempel lagring av kryptografiske detaljer (se ISO 27001:2022 vedlegg A 8.24).
- Følg produsentens instruksjoner når du oppbevarer eller administrerer journaler elektronisk, og ta behørig hensyn til den naturlige forringelsen av mediet.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Endringer og forskjeller fra ISO 27001:2013
ISO 27001:2022 tillegg A 5.33 erstatter ISO 27001:2013 tillegg A 18.1.3 (Beskyttelse av dokumenter) i den reviderte ISO-standarden fra 2022.
I ISO 27001:2022 anerkjenner ISO alvoret i å definere hva som utgjør en forretningsrekord. ISO 27001:2022 vedlegg A 5.33 har en rekke eksempler på hva ISO oppfatter som poster (se ovenfor), som ikke finnes i ISO 27001:2013 vedlegg A 18.1.3.
ISO 27001:2022 vedlegg A 5.33 fremhever to sentrale veiledningspunkter som danner grunnlaget for en organisasjons journalpolicy. Disse punktene er ikke inkludert i ISO 27001:2013-versjonen. Spesielt journalpolicyen fastsetter hvor lenge journaler skal oppbevares og eventuelle mediespesifikke krav.
Metadata har fått sin debut innen arkivbehandling. Mens ISO 27001:2013 vedlegg A 18.1.3 ikke refererer til det, anser ISO 27001:2022 vedlegg A 5.33 det som en "essensiell komponent".
Tabell over alle ISO 27001:2022 vedlegg A kontroller
I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 Vedlegg A- kontroll.
| Vedlegg A Kontrolltype | ISO/IEC 27001:2022 Vedlegg A Identifikator | ISO/IEC 27001:2013 Vedlegg A Identifikator | Vedlegg A Navn |
|---|---|---|---|
| Organisasjonskontroller | Vedlegg A 5.1 |
Vedlegg A 5.1.1 Vedlegg A 5.1.2 |
Retningslinjer for informasjonssikkerhet |
| Organisasjonskontroller | Vedlegg A 5.2 | Vedlegg A 6.1.1 | Informasjonssikkerhetsroller og ansvar |
| Organisasjonskontroller | Vedlegg A 5.3 | Vedlegg A 6.1.2 | Ansvarsfordeling |
| Organisasjonskontroller | Vedlegg A 5.4 | Vedlegg A 7.2.1 | Ledelsesansvar |
| Organisasjonskontroller | Vedlegg A 5.5 | Vedlegg A 6.1.3 | Kontakt med myndighetene |
| Organisasjonskontroller | Vedlegg A 5.6 | Vedlegg A 6.1.4 | Kontakt med spesielle interessegrupper |
| Organisasjonskontroller | Vedlegg A 5.7 | NEW | Threat Intelligence |
| Organisasjonskontroller | Vedlegg A 5.8 |
Vedlegg A 6.1.5 Vedlegg A 14.1.1 |
Informasjonssikkerhet i prosjektledelse |
| Organisasjonskontroller | Vedlegg A 5.9 |
Vedlegg A 8.1.1 Vedlegg A 8.1.2 |
Inventar over informasjon og andre tilknyttede eiendeler |
| Organisasjonskontroller | Vedlegg A 5.10 |
Vedlegg A 8.1.3 Vedlegg A 8.2.3 |
Akseptabel bruk av informasjon og andre tilknyttede eiendeler |
| Organisasjonskontroller | Vedlegg A 5.11 | Vedlegg A 8.1.4 | Retur av eiendeler |
| Organisasjonskontroller | Vedlegg A 5.12 | Vedlegg A 8.2.1 | Klassifisering av informasjon |
| Organisasjonskontroller | Vedlegg A 5.13 | Vedlegg A 8.2.2 | Merking av informasjon |
| Organisasjonskontroller | Vedlegg A 5.14 |
Vedlegg A 13.2.1 Vedlegg A 13.2.2 Vedlegg A 13.2.3 |
Informasjonsoverføring |
| Organisasjonskontroller | Vedlegg A 5.15 |
Vedlegg A 9.1.1 Vedlegg A 9.1.2 |
Access Control |
| Organisasjonskontroller | Vedlegg A 5.16 | Vedlegg A 9.2.1 | Identitetshåndtering |
| Organisasjonskontroller | Vedlegg A 5.17 |
Vedlegg A 9.2.4 Vedlegg A 9.3.1 Vedlegg A 9.4.3 |
Autentiseringsinformasjon |
| Organisasjonskontroller | Vedlegg A 5.18 |
Vedlegg A 9.2.2 Vedlegg A 9.2.5 Vedlegg A 9.2.6 |
Tilgangsrettigheter |
| Organisasjonskontroller | Vedlegg A 5.19 | Vedlegg A 15.1.1 | Informasjonssikkerhet i leverandørforhold |
| Organisasjonskontroller | Vedlegg A 5.20 | Vedlegg A 15.1.2 | Adressering av informasjonssikkerhet innenfor leverandøravtaler |
| Organisasjonskontroller | Vedlegg A 5.21 | Vedlegg A 15.1.3 | Håndtere informasjonssikkerhet i IKT-leverandørkjeden |
| Organisasjonskontroller | Vedlegg A 5.22 |
Vedlegg A 15.2.1 Vedlegg A 15.2.2 |
Overvåking, gjennomgang og endringsstyring av leverandørtjenester |
| Organisasjonskontroller | Vedlegg A 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| Organisasjonskontroller | Vedlegg A 5.24 | Vedlegg A 16.1.1 | Informasjonssikkerhetshendelsesplanlegging og -forberedelse |
| Organisasjonskontroller | Vedlegg A 5.25 | Vedlegg A 16.1.4 | Vurdering og beslutning om informasjonssikkerhetshendelser |
| Organisasjonskontroller | Vedlegg A 5.26 | Vedlegg A 16.1.5 | Respons på informasjonssikkerhetshendelser |
| Organisasjonskontroller | Vedlegg A 5.27 | Vedlegg A 16.1.6 | Lær av informasjonssikkerhetshendelser |
| Organisasjonskontroller | Vedlegg A 5.28 | Vedlegg A 16.1.7 | Samling av bevis |
| Organisasjonskontroller | Vedlegg A 5.29 |
Vedlegg A 17.1.1 Vedlegg A 17.1.2 Vedlegg A 17.1.3 |
Informasjonssikkerhet under avbrudd |
| Organisasjonskontroller | Vedlegg A 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| Organisasjonskontroller | Vedlegg A 5.31 |
Vedlegg A 18.1.1 Vedlegg A 18.1.5 |
Juridiske, lovpålagte, regulatoriske og kontraktsmessige krav |
| Organisasjonskontroller | Vedlegg A 5.32 | Vedlegg A 18.1.2 | Immaterielle rettigheter |
| Organisasjonskontroller | Vedlegg A 5.33 | Vedlegg A 18.1.3 | Beskyttelse av poster |
| Organisasjonskontroller | Vedlegg A 5.34 | Vedlegg A 18.1.4 | Personvern og beskyttelse av PII |
| Organisasjonskontroller | Vedlegg A 5.35 | Vedlegg A 18.2.1 | Uavhengig gjennomgang av informasjonssikkerhet |
| Organisasjonskontroller | Vedlegg A 5.36 |
Vedlegg A 18.2.2 Vedlegg A 18.2.3 |
Overholdelse av retningslinjer, regler og standarder for informasjonssikkerhet |
| Organisasjonskontroller | Vedlegg A 5.37 | Vedlegg A 12.1.1 | Dokumenterte driftsprosedyrer |
| Vedlegg A Kontrolltype | ISO/IEC 27001:2022 Vedlegg A Identifikator | ISO/IEC 27001:2013 Vedlegg A Identifikator | Vedlegg A Navn |
|---|---|---|---|
| Personkontroller | Vedlegg A 6.1 | Vedlegg A 7.1.1 | Screening |
| Personkontroller | Vedlegg A 6.2 | Vedlegg A 7.1.2 | Vilkår og betingelser for ansettelse |
| Personkontroller | Vedlegg A 6.3 | Vedlegg A 7.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| Personkontroller | Vedlegg A 6.4 | Vedlegg A 7.2.3 | Disiplinær prosess |
| Personkontroller | Vedlegg A 6.5 | Vedlegg A 7.3.1 | Ansvar etter oppsigelse eller endring av ansettelse |
| Personkontroller | Vedlegg A 6.6 | Vedlegg A 13.2.4 | Konfidensialitet eller taushetserklæring |
| Personkontroller | Vedlegg A 6.7 | Vedlegg A 6.2.2 | Fjernarbeid |
| Personkontroller | Vedlegg A 6.8 |
Vedlegg A 16.1.2 Vedlegg A 16.1.3 |
Informasjonssikkerhet hendelsesrapportering |
| Vedlegg A Kontrolltype | ISO/IEC 27001:2022 Vedlegg A Identifikator | ISO/IEC 27001:2013 Vedlegg A Identifikator | Vedlegg A Navn |
|---|---|---|---|
| Fysiske kontroller | Vedlegg A 7.1 | Vedlegg A 11.1.1 | Fysiske sikkerhetsomkretser |
| Fysiske kontroller | Vedlegg A 7.2 |
Vedlegg A 11.1.2 Vedlegg A 11.1.6 |
Fysisk inngang |
| Fysiske kontroller | Vedlegg A 7.3 | Vedlegg A 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| Fysiske kontroller | Vedlegg A 7.4 | NEW | Fysisk sikkerhetsovervåking |
| Fysiske kontroller | Vedlegg A 7.5 | Vedlegg A 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| Fysiske kontroller | Vedlegg A 7.6 | Vedlegg A 11.1.5 | Arbeid i sikre områder |
| Fysiske kontroller | Vedlegg A 7.7 | Vedlegg A 11.2.9 | Clear Desk og Clear Screen |
| Fysiske kontroller | Vedlegg A 7.8 | Vedlegg A 11.2.1 | Utstyrsplassering og beskyttelse |
| Fysiske kontroller | Vedlegg A 7.9 | Vedlegg A 11.2.6 | Sikkerhet for eiendeler utenfor lokaler |
| Fysiske kontroller | Vedlegg A 7.10 |
Vedlegg A 8.3.1 Vedlegg A 8.3.2 Vedlegg A 8.3.3 Vedlegg A 11.2.5 |
Lagringsmedium |
| Fysiske kontroller | Vedlegg A 7.11 | Vedlegg A 11.2.2 | Støtteverktøy |
| Fysiske kontroller | Vedlegg A 7.12 | Vedlegg A 11.2.3 | Kablingssikkerhet |
| Fysiske kontroller | Vedlegg A 7.13 | Vedlegg A 11.2.4 | Vedlikehold av utstyr |
| Fysiske kontroller | Vedlegg A 7.14 | Vedlegg A 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
| Vedlegg A Kontrolltype | ISO/IEC 27001:2022 Vedlegg A Identifikator | ISO/IEC 27001:2013 Vedlegg A Identifikator | Vedlegg A Navn |
|---|---|---|---|
| Teknologiske kontroller | Vedlegg A 8.1 |
Vedlegg A 6.2.1 Vedlegg A 11.2.8 |
Bruker endepunktenheter |
| Teknologiske kontroller | Vedlegg A 8.2 | Vedlegg A 9.2.3 | Privilegerte tilgangsrettigheter |
| Teknologiske kontroller | Vedlegg A 8.3 | Vedlegg A 9.4.1 | Begrensning for informasjonstilgang |
| Teknologiske kontroller | Vedlegg A 8.4 | Vedlegg A 9.4.5 | Tilgang til kildekode |
| Teknologiske kontroller | Vedlegg A 8.5 | Vedlegg A 9.4.2 | Sikker godkjenning |
| Teknologiske kontroller | Vedlegg A 8.6 | Vedlegg A 12.1.3 | Kapasitetsstyring |
| Teknologiske kontroller | Vedlegg A 8.7 | Vedlegg A 12.2.1 | Beskyttelse mot skadelig programvare |
| Teknologiske kontroller | Vedlegg A 8.8 |
Vedlegg A 12.6.1 Vedlegg A 18.2.3 |
Håndtering av tekniske sårbarheter |
| Teknologiske kontroller | Vedlegg A 8.9 | NEW | Configuration Management |
| Teknologiske kontroller | Vedlegg A 8.10 | NEW | Sletting av informasjon |
| Teknologiske kontroller | Vedlegg A 8.11 | NEW | Datamaskering |
| Teknologiske kontroller | Vedlegg A 8.12 | NEW | Forebygging av datalekkasje |
| Teknologiske kontroller | Vedlegg A 8.13 | Vedlegg A 12.3.1 | Sikkerhetskopiering av informasjon |
| Teknologiske kontroller | Vedlegg A 8.14 | Vedlegg A 17.2.1 | Redundans av informasjonsbehandlingsfasiliteter |
| Teknologiske kontroller | Vedlegg A 8.15 |
Vedlegg A 12.4.1 Vedlegg A 12.4.2 Vedlegg A 12.4.3 |
Logging |
| Teknologiske kontroller | Vedlegg A 8.16 | NEW | Overvåkingsaktiviteter |
| Teknologiske kontroller | Vedlegg A 8.17 | Vedlegg A 12.4.4 | Klokke synkronisering |
| Teknologiske kontroller | Vedlegg A 8.18 | Vedlegg A 9.4.4 | Bruk av privilegerte verktøyprogrammer tilgangsrettigheter |
| Teknologiske kontroller | Vedlegg A 8.19 |
Vedlegg A 12.5.1 Vedlegg A 12.6.2 |
Installasjon av programvare på operative systemer |
| Teknologiske kontroller | Vedlegg A 8.20 | Vedlegg A 13.1.1 | Nettverkssikkerhet |
| Teknologiske kontroller | Vedlegg A 8.21 | Vedlegg A 13.1.2 | Sikkerhet for nettverkstjenester |
| Teknologiske kontroller | Vedlegg A 8.22 | Vedlegg A 13.1.3 | Segregering av nettverk |
| Teknologiske kontroller | Vedlegg A 8.23 | NEW | Web-filtrering |
| Teknologiske kontroller | Vedlegg A 8.24 |
Vedlegg A 10.1.1 Vedlegg A 10.1.2 |
Bruk av kryptografi |
| Teknologiske kontroller | Vedlegg A 8.25 | Vedlegg A 14.2.1 | Sikker utviklingslivssyklus |
| Teknologiske kontroller | Vedlegg A 8.26 |
Vedlegg A 14.1.2 Vedlegg A 14.1.3 |
Programsikkerhetskrav |
| Teknologiske kontroller | Vedlegg A 8.27 | Vedlegg A 14.2.5 | Prinsipper for sikker systemarkitektur og ingeniørarbeidLæring av hendelser innen informasjonssikkerhet |
| Teknologiske kontroller | Vedlegg A 8.28 | NEW | Sikker koding |
| Teknologiske kontroller | Vedlegg A 8.29 |
Vedlegg A 14.2.8 Vedlegg A 14.2.9 |
Sikkerhetstesting i utvikling og aksept |
| Teknologiske kontroller | Vedlegg A 8.30 | Vedlegg A 14.2.7 | Utkontraktert utvikling |
| Teknologiske kontroller | Vedlegg A 8.31 |
Vedlegg A 12.1.4 Vedlegg A 14.2.6 |
Separasjon av utviklings-, test- og produksjonsmiljøer |
| Teknologiske kontroller | Vedlegg A 8.32 |
Vedlegg A 12.1.2 Vedlegg A 14.2.2 Vedlegg A 14.2.3 Vedlegg A 14.2.4 |
Endringsledelse |
| Teknologiske kontroller | Vedlegg A 8.33 | Vedlegg A 14.3.1 | Testinformasjon |
| Teknologiske kontroller | Vedlegg A 8.34 | Vedlegg A 12.7.1 | Beskyttelse av informasjonssystemer under revisjonstesting |
NHS Professionals oppnår ISO 27001-sertifisering og forbedrer sin infosec-administrasjon
Med en stram tidsfrist på seks måneder og flere eksisterende rammeverk å integrere, trengte NHS-personell en plattform som kunne innlemme ISO 27001 uten å duplisere retningslinjer eller øke risikoen i deres allerede komplekse samsvarslandskap.
Xergy-verktøyet Proteus genererer vekst gjennom ISO 27001-samsvar med ISMS.online
Som en oppstartsbedrift som bygde programvare for strengt regulerte ingeniørsektorer, trengte Xergy ISO 27001 for å generere vekst gjennom tillit – og en dokumentert ekstern partner for å håndtere de strenge kravene uten å avlede utviklingsteamet.
Hvordan Blue Services oppnådde trippel ISO-sertifisering
Blue Services trengte ekstern støtte for å veilede dem gjennom implementeringen av ISO 27001, ISO 9001 og ISO 14001 og beste praksis, samt en plattform for å sentralisere den overordnede samsvarsstyringen.
Hvordan Evolution Funding kjørte til ISO 27001-sertifiseringssuksess
Å oppnå ISO 27001-sertifisering var et kjernemål for Evolution Funding. Teamet trengte en sentralisert plattform som de kunne implementere ISO 27001-standarden med og jobbe seg gjennom samsvarsprosessen.
Hvordan 4way Consulting banet vei for ISO 27001-suksess
4way håndterte sensitive klientdata på tvers av flere standarder og trengte en kostnads- og tidseffektiv måte å følge ISO 27001 på – uten å bygge et ISMS fra bunnen av eller stole på dyre eksterne konsulenter.
nesevos suksess med samsvar med flere sertifiseringer med IO
Nesevo slet med å håndtere ISO 27001-samsvar på tvers av spredte dokumenter og regneark, og trengte en sentralisert plattform som kunne veilede dem gjennom standarden uten de løpende kostnadene for eksterne konsulenter.
Hvordan ISMS.online Hjelp
ISMS.online gjør det lettere for deg å bygge en sikker infrastruktur for dataene dine, spore sikkerheten til informasjonen din, oppdage trusler og ta forholdsregler, og dyrke en kultur for informasjonsbeskyttelse.
ISMS.online lar deg:
- Implementere en Informasjonssikkerhetsstyringssystem (ISMS) raskt.
- Overvåk enkelt dokumentasjonen av ISMS.
- Sørg for samsvar med alle gjeldende standarder.
- Overvåke hele spekteret av informasjonssikkerhet, alt fra risikostyring til opplæring i sikkerhetsbevissthet.
- Formidle budskapet ditt effektivt på tvers av organisasjonen med våre integrerte kommunikasjonsfunksjoner.
Ta kontakt nå for å avtale en demonstrasjon.
