ISO 27001:2022 vedlegg A 5.35

Generell veiledning for ISO 27001:2022 vedlegg A 5.35

Målet til ledelsen er å utarbeide og utføre prosedyrer som tillater separate gjennomganger av deres informasjonssikkerhetspraksis.

Vurderinger bør fokusere på å identifisere områder for forbedring i en organisasjons tilnærming til informasjonssikkerhet, inkludert:

• Informasjonssikkerhetspolicy.
• Retningslinjer skreddersydd for spesifikke emner.
• Tilknyttede kontroller.

En person utenfor organisasjonen uten personlig interesse i saken bør foreta en vurdering. Dette kan være noen fra organisasjonen eller en uavhengig tredjepart, for eksempel:

• Internrevisorer er ansvarlige for å vurdere effektiviteten til et selskaps interne kontrollsystemer og prosedyrer.
• Selvstendige avdelingsledere.
• Tredjepartsorganisasjoner kan bli engasjert for å tilby tjenester.

Den som gjennomfører gjennomgangen bør ha de nødvendige operasjonelle ferdighetene til å foreta en gyldig vurdering av funnene sine. Når det gjelder interne ansatte, bør ikke jobbrollen begrense dem fra å levere en forsvarlig og gyldig vurdering.

Gjennomgangens funn bør omhyggelig logges, beholdes og rapporteres til lederne som ba om det, og i noen tilfeller til C-nivå personell eller eierskap.

Evaluatorer bør vurdere om informasjonssikkerhetspraksis er i samsvar med organisasjonens etablerte mål og krav, som er beskrevet i informasjonssikkerhetspolicyen og eventuelle temaspesifikke retningslinjer.

Periodiske gjennomganger kan suppleres med ad hoc. Fem grunner for slike vurderinger kan identifiseres:

1. Eventuelle endringer i lover, retningslinjer eller forskrifter som påvirker organisasjonens informasjonssikkerhetsvirksomhet skal følges.
2. Det oppstår betydelige hendelser som har innvirkning på informasjonssikkerheten, som tap av data og inntrenging.
3. En ny virksomhet etableres eller det gjøres store transformasjoner i den eksisterende virksomheten.
4. Selskapet tar på seg et nytt produkt eller en tjeneste som har implikasjoner for informasjonssikkerhet eller endrer et eksisterende produkt eller en tjeneste.
5. Det utføres vesentlige endringer i organisasjonens bank for informasjonssikkerhetskontroller, forskrifter og prosesser.

Supplerende veiledning om vedlegg A 5.35

ISO/IEC 27007 og ISO/IEC TS 27008 gir ytterligere råd om gjennomføring av uavhengige vurderinger.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 5.35 erstatter ISO 27001:2013 Vedlegg A 18.1.2 (Uavhengig gjennomgang av informasjonssikkerhet).

ISO 27001:2022 vedlegg A 5.35 gir de samme generelle instruksjonene som ISO 27001:2013 vedlegg A 18.1.2, men går utover det for å gi spesifikke eksempler på når en organisasjon bør gjøre ad-hoc-vurderinger i tillegg til sine vanlige vurderinger.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 Vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

ISMS.online forenkler og akselererer implementeringen av ISO 27001:2022 gjennom sin skybasert plattform. Den tilbyr et sofistikert rammeverk for opptak styringssystem for informasjonssikkerhet prosedyrer og sjekklister for å garantere overholdelse av aksepterte standarder.

Ved å bruke ISMS.online kan du:

1. Få tilgang til et omfattende bibliotek med ISO 27001-standarder og retningslinjer;

2. Generer en detaljert rapport over bedriftens gjeldende sikkerhetsstatus;

3. Design og implementer et sikkerhetsstyringssystem som møter bedriftens behov;

4. Overvåk og gjennomgå sikkerhetssystemene dine fortløpende.

Kontakt oss nå for å arrangere en demonstrasjon.