ISO 27001:2022 Vedlegg A Kontroll 5.37

Generell veiledning om vedlegg A 5.37

Informasjonssikkerhetsrelaterte prosedyrer bør utvikles basert på fem sentrale operasjonelle hensyn:

1. Forekomster av en aktivitet utført av en eller flere personer på samme måte.
2. Når en aktivitet utføres sjelden.
3. Når det er prosedyrer som står i fare for å bli glemt.
4. Nye aktiviteter som ansatte er ukjente med og derfor har høyere risiko.
5. Når ansvaret for å utføre en aktivitet overføres til en annen ansatt eller gruppe ansatte.

Der disse tilfellene oppstår, bør driftsprosedyrene tydelig skissere hva som bør gjøres i disse situasjonene:

• Personer som er ansvarlige – enten det er etablerte eller nye operatører.
• Retningslinjer for å opprettholde sikkerheten under installasjon og konfigurering av eventuelle relaterte forretningssystemer.
• Gjennom hele aktiviteten, hvordan informasjon behandles.
• BUDR-planer og implikasjoner i tilfelle tap av data eller en katastrofehendelse (se Vedlegg A 8.13).
• Det bør være en kobling mellom avhengigheter og ethvert annet system, inkludert planlegging.
• Det må være en klar prosedyre for å håndtere "håndteringsfeil" eller diverse hendelser som kan oppstå (se Vedlegg A 8.18).
• Det bør være en fullstendig liste over personell som kan kontaktes i tilfelle avbrudd, sammen med klare eskaleringsprosedyrer.
• Driftsmessige retningslinjer for eventuelle relevante lagringsmedium knyttet til aktiviteten (se Vedlegg A 7.10 og Vedlegg A 7.14).
• I tilfelle systemfeil, hvordan starte og gjenopprette.
• Logging av revisjonsspor, inkludert system- og hendelseslogger (se Vedlegg A 8.15 og Vedlegg A 8.17).
• Observasjonssystemer for aktiviteter på stedet som finner sted (se Vedlegg A 7.4).
• Et robust overvåkingssystem som imøtekommer den operasjonelle kapasiteten, ytelsespotensialet og sikkerheten til aktiviteten.
• For å opprettholde optimale ytelsesnivåer er det viktig å vite hva som bør gjøres for å opprettholde aktiviteten.

Tilnærmingene ovenfor bør være gjenstand for periodiske og/eller ad hoc gjennomganger når og når det er nødvendig. Alle endringer i prosedyrene bør ratifiseres av ledelsen umiddelbart for å ivareta alle informasjonssikkerhetsaktiviteter som utføres i organisasjonen.

Hva er endringene fra ISO 27001:2013?

ISO 27001:2022 vedlegg A 5.37 erstatter ISO 27001:2013 Vedlegg A 12.1.1 ('Dokumenterte driftsprosedyrer').

ISO 27001:2022 vedlegg A 5.37 utvider ISO 27001:2013 vedlegg A 12.1.1 ved å tilby et mye bredere sett av omstendigheter som vil garantere etterlevelse av en dokumentert prosedyre.

ISO 27001:2013 vedlegg A 12.1.1 skisserer informasjonsbehandlingsaktiviteter som oppstart og avslutning av datamaskiner, sikkerhetskopiering, vedlikehold av utstyr og mediehåndtering. I motsetning, ISO 27001: 2022 Vedlegg A 5.37 utvider omfanget av kontrollen til generaliserte aktiviteter som ikke er begrenset til spesifikke tekniske funksjoner.

Bortsett fra noen få mindre tillegg, som å kategorisere personene som er ansvarlige for en aktivitet, inneholder ISO 27001:2022 vedlegg A 5.37 de samme generelle veiledningspunktene som ISO 27001:2013 vedlegg A 12.1.1

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

ISO 27001:2022 implementering er forenklet med vår trinnvise sjekkliste som guider deg gjennom alle faser, fra å definere omfanget av ditt ISMS til å identifisere risikoer og implementere kontroller.

Fordeler med ISMS.online inkluderer:

• Samsvar kan påvises gjennom fullføring av oppgaver og innlevering av bevis.
• Det er enkelt å overvåke fremdriften i samsvar og delegere ansvar.
• Tid og krefter spares gjennom hele risikovurdering prosess med det omfattende risikovurderingsverktøysettet.
• Vi har et dedikert team med konsulenter gjennom hele din etterlevelsesreise tilgjengelig for å hjelpe.

Ta kontakt i dag for å bestill en kort 30-minutters demo.