ISO 27001:2022 Vedlegg A Kontroll 5.23

Veiledning om ISO 27001:2022 vedlegg A Kontroll 5.23 – Organisatoriske forpliktelser

Overholdelse av kontroll 5.23 innebærer å følge det som er kjent som en 'emnespesifikk' tilnærming til skytjenester og informasjonssikkerhet.

Gitt mangfoldet av skytjenester som tilbys, oppmuntrer temaspesifikke tilnærminger organisasjoner til å lage skytjenester-policyer som er skreddersydd for individuelle forretningsfunksjoner, i stedet for å følge en generell policy som gjelder for informasjonssikkerhet og skytjenester over hele linja.

Det skal bemerkes at ISO anser overholdelse av vedlegg A Kontroll 5.23 som et samarbeid mellom organisasjonen og deres skytjenestepartner. Vedlegg A Kontroll 5.23 bør også være nært tilpasset kontroll 5.21 og 5.22, som omhandler henholdsvis informasjonshåndtering i forsyningskjeden og styring av leverandørtjenester.

Uansett hvordan en organisasjon velger å operere, bør ikke vedlegg A, kontroll 5.23 tas isolert, og bør utfylle eksisterende innsats for å administrere leverandørforhold.

Med informasjonssikkerhet i forkant, bør organisasjonen definere:

1. Eventuelle relevante sikkerhetskrav eller bekymringer involvert i bruken av en skyplattform.
2. Kriteriene som er involvert i valg av skytjenesteleverandør, og hvordan tjenestene deres skal brukes.
3. Detaljert beskrivelse av roller og relevante ansvarsområder som styrer hvordan skytjenester skal brukes på tvers av organisasjonen.
4. Nøyaktig hvilke informasjonssikkerhetsområder som kontrolleres av skytjenesteleverandøren, og de som faller inn under organisasjonens ansvarsområde.
5. De beste måtene å samle først og deretter bruke eventuelle informasjonssikkerhetsrelaterte tjenestekomponenter levert av skytjenesteplattformen.
6. Hvordan få kategoriske forsikringer om informasjonssikkerhetsrelaterte kontroller vedtatt av skytjenesteleverandøren.
7. Trinnene som må tas for å administrere endringer, kommunikasjon og kontroller på tvers av flere forskjellige skyplattformer, og ikke alltid fra samme leverandør.
8. Hendelsesstyring prosedyrer som utelukkende er knyttet til levering av skytjenester.
9. Hvordan organisasjonen forventer å administrere sin pågående bruk og/eller engrosadopsjon av skyplattformer, i tråd med deres bredere informasjonssikkerhetsforpliktelser.
10. En strategi for opphør eller endring av skytjenester, enten på leverandør-for-leverandør-basis, eller gjennom prosessen med sky-til-lokal-migrering.

Veiledning om vedlegg A Kontroll 5.23 – Skytjenesteavtaler

Vedlegg A Kontroll 5.23 erkjenner at, i motsetning til andre leverandørforhold, er skytjenesteavtaler rigide dokumenter som ikke kan endres i de aller fleste tilfeller.

Med det i tankene bør organisasjoner granske skytjenesteavtaler og sørge for at fire hovedkrav til drift er oppfylt:

1. Konfidensialitet.
2. Sikkerhet/dataintegritet.
3. Tjenestetilgjengelighet.
4. Informasjonshåndtering.

Som med andre leverandørkontrakter, før aksept, bør skytjenesteavtaler gjennomgå en grundig risikovurdering som synliggjør potensielle problemer ved kilden.

Som et minimum bør organisasjonen inngå en skytjenesteavtale først når de er overbevist om at følgende 10 bestemmelser er oppfylt:

• Skytjenester leveres og implementeres basert på organisasjonens unike krav knyttet til deres operasjonsområde, inkludert bransjeaksepterte standarder og praksis for skybasert arkitektur og vertsbasert infrastruktur.
• Tilgang til alle skyplattformer oppfyller organisasjonens krav til grenseinformasjonssikkerhet.
• Det tas tilstrekkelig hensyn til antimalware- og antivirustjenester, inkludert proaktiv overvåking og trusselbeskyttelse.
• Skyleverandøren overholder et forhåndsdefinert sett med datalagrings- og behandlingsbestemmelser, knyttet til en eller flere distinkte globale regioner og regulatoriske miljøer.
• Proaktiv støtte gis til organisasjonen dersom skyplattformen skulle få en katastrofal feil eller informasjonssikkerhetsrelatert hendelse.
• Hvis det oppstår behov for å underkontraktere eller på annen måte sette ut noen del av skyplattformen, forblir leverandørens krav til informasjonssikkerhet et konstant hensyn.
• Skulle organisasjonen trenge hjelp til å samle digital informasjon til ethvert relevant formål (lovhåndhevelse, reguleringsjustering, kommersielle formål), vil skytjenesteleverandøren støtte organisasjonen så langt det er mulig.
• Ved slutten av forholdet bør skytjenesteleverandøren gi rimelig støtte og passende tilgjengelighet under overgangs- eller avviklingsperioden.
• Skytjenesteleverandøren bør operere med en robust BUDR-plan som er fokusert på å gjennomføre tilstrekkelig sikkerhetskopiering av organisasjonens data.
• Overføring av alle relevante tilleggsdata fra skytjenesteleverandøren til organisasjonen, inkludert konfigurasjonsinformasjon og kode som organisasjonen har krav på.

Tilleggsinformasjon om vedlegg A-kontroll 5.23

I tillegg til veiledningen ovenfor, foreslår vedlegg A Kontroll 5.23 at organisasjoner danner et nært samarbeid med leverandører av skytjenester, i samsvar med den viktige tjenesten de yter ikke bare i informasjonssikkerhetsmessige termer, men på tvers av en organisasjons hele kommersielle drift.

Organisasjoner, der det er mulig, bør søke etter følgende krav fra skytjenesteleverandører for å forbedre operasjonell motstandskraft og nyte økt informasjonssikkerhet:

1. Alle infrastrukturendringer bør kommuniseres på forhånd for å informere organisasjonens eget sett med informasjonssikkerhetsstandarder.
2. Organisasjonen må holdes informert om eventuelle endringer i datalagringsprosedyrer som involverer migrering av data til en annen jurisdiksjon eller global region.
3. Enhver intensjon fra skytjenesteleverandørens side om å bruke «peer cloud»-leverandører, eller outsource områder av deres drift til underleverandører som kan ha informasjonssikkerhetsimplikasjoner for organisasjonen.

Støtte vedlegg A kontroller

• ISO 27001:2022 vedlegg A 5.21
• ISO 27001:2022 vedlegg A 5.22

Hva er endringene og forskjellene fra ISO 27001:2013?

Vedlegg A Kontroll 5.23 er en ny kontroll som ikke er med i ISO 27001:2013 på noen måte.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online hjelper

ISMS.online strømlinjeformer ISO 27001-implementeringsprosessen ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer for informasjonssikkerhetsstyringssystem og sjekklister for å sikre samsvar med anerkjente standarder.

Når du bruker ISMS.online, vil du kunne:

• Lag et ISMS som er kompatibelt med ISO 27001-standarder.
• Utføre oppgaver og sende inn bevis for å indikere at de har oppfylt kravene i standarden.
• Tildel oppgaver og spor fremdriften mot overholdelse av loven.
• Få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom hele veien mot overholdelse.

Ta kontakt og bestill en demo.