ISO 27001 – Vedlegg A kontroller

Introduserer vedlegg A-kontroller

Det er 114 vedlegg A-kontroller, delt inn i 14 kategorier. Hvordan du reagerer på kravene mot dem mens du bygger opp ISMS, avhenger av organisasjonens spesifikasjoner.

En nyttig måte å forstå vedlegg A på er å tenke på det som en katalog over sikkerhetskontroller. Basert på dine risikovurderinger, vil du velge de som gjelder for din organisasjon, basert på dine spesielle risikoer.

Hjelp er tilgjengelig med ISMS.online

114 Annex A-kontrollene kan høres overveldende ut, men hjelpen er tilgjengelig. ISMS.online-plattformen er bygget på nøyaktig samme måte som ISO 27001-standarden, noe som gjør det enkelt for deg å følge og forstå hva du trenger å gjøre. I tillegg gir vi deg steg-for-steg veiledning for å få ISO 27001-sertifisert første gang, med 100 % suksessrate.

Vedlegg A kontroller

Vedlegg A.5 – Retningslinjer for informasjonssikkerhet

Vedlegg A.5.1 handler om ledelsesretning for informasjonssikkerhet. Målet med dette vedlegget er å styre retning og støtte for informasjonssikkerhet i tråd med organisasjonens krav.

Vedlegg A.6 – Organisering av informasjonssikkerhet

Vedlegg A.6.1 handler om intern organisering. Målet i dette vedlegg A-området er å etablere et styringsrammeverk for å initiere og kontrollere implementering og drift av informasjonssikkerhet i organisasjonen.

Vedlegg A.6.2 handler om mobile enheter og fjernarbeid. Målet i dette vedlegg A-området er å etablere et styringsrammeverk for å sikre sikkerheten ved fjernarbeid og bruk av mobile enheter.

Vedlegg A.7 – Human Resource Security

Vedlegg A.7.1 handler om før ansettelse. Målet i dette vedlegget er å sikre at ansatte og kontraktører forstår sitt ansvar og er egnet for rollene de er vurdert for.

Vedlegg A.7.2 – Målet i dette vedlegget er å sikre at ansatte og kontraktører er klar over og oppfyller sitt informasjonssikkerhetsansvar under ansettelse.

Vedlegg A.7.3 handler om oppsigelse og endring av arbeidsforhold. Målet i dette vedlegget er å beskytte organisasjonens interesser som en del av prosessen med å endre og avslutte arbeidsforhold.

Vedlegg A.8 – Asset Management

Vedlegg A.8.1 handler om ansvar for eiendeler. Målet i vedlegget er identitet informasjonskapasitet i omfanget av styringssystemet og definere passende beskyttelsesansvar.

Vedlegg A.8.2 handler om informasjonsklassifisering. Målet i dette vedlegget er å sikre at informasjon får et passende beskyttelsesnivå i samsvar med dens betydning for organisasjonen (og interesserte parter som kunder).

Vedlegg A.8.3 handler om mediehåndtering. Målet i dette vedlegget er å forhindre uautorisert avsløring, modifikasjon, fjerning eller ødeleggelse av informasjon som er lagret på media.

Vedlegg A.9 – Adgangskontroll

Vedlegg A.9.1 handler om forretningskravene til tilgangskontroll. Målet i dette vedlegget er å begrense tilgangen til informasjon og informasjonsbehandlingsfasiliteter.

Vedlegg A.9.2 handler om administrasjon av brukertilgang. Målet i denne vedlegg A-kontrollen er å sikre at brukere er autorisert til å få tilgang til systemer og tjenester, samt forhindre uautorisert tilgang.

Vedlegg A.9.3 handler om brukeransvar. Målet med denne vedlegg A-kontrollen er å gjøre brukere ansvarlige for å beskytte sin autentiseringsinformasjon.

Vedlegg A.9.4 handler om system- og applikasjonstilgangskontroll. Målet i dette vedlegget er å forhindre uautorisert tilgang til systemer og applikasjoner.

Vedlegg A.10 – Kryptografi

Vedlegg A.10.1 handler om kryptografiske kontroller. Målet med dette vedlegget er å sikre riktig og effektiv bruk av kryptografi for å beskytte informasjonens konfidensialitet, autentisitet og/eller integritet.

Vedlegg A.11 – Fysisk og miljømessig sikkerhet

Vedlegg A.11.1 handler om å sikre trygge fysiske og miljømessige områder. Målet med dette vedlegget er å forhindre uautorisert fysisk tilgang, skade og forstyrrelse av organisasjonens informasjons- og informasjonsbehandlingsfasiliteter.

Vedlegg A.11.2 handler om utstyr. Målet i denne vedleggskontrollen er å forhindre tap, skade og tyveri eller kompromittering av eiendeler og avbrudd i organisasjonens drift.

Vedlegg A.12 – Driftssikkerhet

Vedlegg A.12.1 handler om operasjonelle prosedyrer og ansvar. Målet med dette vedlegg A-området er å sikre korrekt og sikker drift av informasjonsbehandlingsanlegg.

Vedlegg A.12.2 handler om beskyttelse mot skadelig programvare. Målet her er å sikre at informasjons- og informasjonsbehandlingsfasiliteter er beskyttet mot skadelig programvare.

Vedlegg A.12.3 handler om backup. Målet her er å beskytte mot tap av data.

Vedlegg A.12.4 handler om logging og overvåking. Målet i dette vedlegg A-området er å registrere hendelser og generere bevis.

Vedlegg A.12.5 handler om kontroll av operativ programvare. Målet i dette vedlegg A-området er å sikre integriteten til operasjonelle systemer.

Vedlegg A.12.6 handler om teknisk sårbarhetshåndtering. Målet i denne vedlegg A-kontrollen er å forhindre utnyttelse av tekniske sårbarheter.

Vedlegg A.12.7 handler om informasjonssystemer og revisjonshensyn. Målet i dette vedlegg A-området er å minimere virkningen av revisjonsaktiviteter på operasjonelle systemer.

Vedlegg A.13 – Kommunikasjonssikkerhet

Vedlegg A.13.1 handler om styring av nettverkssikkerhet. Målet i dette vedlegget er å sikre beskyttelse av informasjon i nettverk og dets støttende informasjonsbehandlingsfasiliteter.

Vedlegg A.13.2 handler om informasjonsoverføring. Målet i dette vedlegget er å opprettholde sikkerheten til informasjon som overføres innen organisasjonen og med enhver ekstern enhet, for eksempel en kunde, leverandør eller annen interessert part.

Vedlegg A.14 – Systemanskaffelse, utvikling og vedlikehold

Vedlegg A.14.1 handler om sikkerhetskrav til informasjonssystemer. Målet i dette vedleggsområdet er å sikre at informasjonssikkerhet er en integrert del av informasjonssystemer gjennom hele livssyklusen. Dette omfatter også kravene til informasjonssystemer som leverer tjenester over offentlige nett.

Vedlegg A.15 – Leverandørforhold

Vedlegg A.15.1 handler om informasjonssikkerhet i leverandørforhold. Målet her er beskyttelse av organisasjonens verdifulle eiendeler som er tilgjengelige for eller påvirkes av leverandører.

Vedlegg A.15.2 handler om leverandørtjenesteutviklingsledelse. Målet i denne vedlegg A-kontrollen er å sikre at et avtalt nivå for informasjonssikkerhet og tjenestelevering opprettholdes i tråd med leverandøravtaler.

Vedlegg A.16 – Håndtering av hendelser i informasjonssikkerhet

Vedlegg A.16.1 handler om håndtering av informasjonssikkerhetshendelser, hendelser og svakheter. Målet i dette vedleggsområdet er å sikre en konsistent og effektiv tilnærming til livssyklusen til hendelser, hendelser og svakheter.

Vedlegg A.17 – Informasjonssikkerhetsaspekter ved Business Continuity Management

Vedlegg A.17.1 handler om informasjonssikkerhetskontinuitet. Målet i denne vedlegg A-kontrollen er at informasjonssikkerhetskontinuitet skal være innebygd i organisasjonens styringssystemer for forretningskontinuitet.

Vedlegg A.17.2 handler om oppsigelser. Målet i denne vedlegg A-kontrollen er å sikre tilgjengeligheten av informasjonsbehandlingsfasiliteter.

Vedlegg A.18 – Samsvar

Vedlegg A.18.1 handler om overholdelse av juridiske og kontraktsmessige krav. Målet er å unngå brudd på juridiske, lovpålagte, regulatoriske eller kontraktsmessige forpliktelser knyttet til informasjonssikkerhet og eventuelle sikkerhetskrav.