ISO 27001:2022 Vedlegg A Kontroll 5.4

Hvorfor er ISO 27001:2022 vedlegg A 5.4 viktig?

Vedlegg A Kontroll 5.4 har som mål å sikre at ledelsen er bevisst sitt ansvar for informasjonssikkerhet.

Det tar skritt for å sikre at alle ansatte er klar over dette ansvaret.

Hvordan vedlegg A 5.4 fungerer

Informasjon er en verdifull ressurs som må beskyttes mot tap, skade eller misbruk. Ledelsen må sørge for at det iverksettes tilstrekkelige tiltak for å beskytte denne eiendelen. For å oppnå dette må ledelsen sørge for at alt personell overholder organisasjonens retningslinjer for informasjonssikkerhet, aktuelle retningslinjer og prosedyrer.

Kontroll 5.4 i vedlegg A definerer ledelsesansvar vedrørende informasjonssikkerhet i en organisasjon basert på ISO 27001 sitt rammeverk.

Ledelsen skal være med på informasjonssikkerhetsprogrammet, og alle ansatte og entreprenører må kjenne til informasjonssikkerhetspolicyen og følge den. Sikkerhetspolicyer, emnespesifikke retningslinjer og prosedyrer bør aldri være unntatt fra obligatorisk overholdelse av noen ansatt eller kontraktør.

Prosessen i vedlegg A 5.4 og hva du kan forvente

En organisasjons retningslinjer, standarder og prosedyrer for informasjonssikkerhet må håndheves av ledelsen for å overholde denne vedlegg A-kontrollen.

Å få ledelsens støtte og buy-in er det første trinnet.

For å vise engasjement må ledelsen følge alle sine retningslinjer og prosedyrer. For eksempel hvis sikkerhet bevissthet trening kreves årlig, bør ledere gjennomføre disse kursene selv.

Uansett stilling må alle i bedriften være klar over viktigheten av informasjonssikkerhet. Som det fremgår av selskapets ISMS-program, må alle forstå sin rolle i å opprettholde sikkerheten til sensitive data. Dette inkluderer styret, ledere og ledere og ansatte.

Hva er endringene og forskjellene fra ISO 27001:2013?

ISO 27001:2022 vedlegg A 5.4 Ledelsesansvar var tidligere kjent som Kontroll 7.2.1 Ledelsesansvar. Det er ikke en nylig lagt til kontroll, men en mer robust tolkning av den tilsvarende kontrollen i ISO 27001: 2013.

Det er noen få forskjeller mellom vedlegg A, kontroll 5.4 og kontroll 7.2.1. Disse forskjellene er dokumentert i implementeringsveiledningen for begge.

ISO 27001 Implementeringsretningslinjer Sammenligning for vedlegg A 5.4

Det er ledelsens ansvar å sikre at ansatte og kontraktører følger følgende standarder:

• Før de får tilgang til konfidensiell informasjon eller informasjonssystemer, er ansatte tilstrekkelig opplært i informasjonssikkerhetsroller og -ansvar.
• Gi retningslinjer for å angi informasjonssikkerhetsforventninger til deres rolle i organisasjonen.

En organisasjon må:

• Vær motivert for å sikre at organisasjonens retningslinjer for informasjonssikkerhet følges.
• Være kjent med deres roller og ansvar når det gjelder informasjonssikkerhet.
• Overholde organisasjonens informasjonssikkerhetspolicy og hensiktsmessige arbeidsmetoder.
• Sørge for at ansatte har passende ferdigheter og kvalifikasjoner og får regelmessig opplæring.
• Rapportering av brudd på informasjonssikkerhet retningslinjer eller prosedyrer kan gjøres anonymt ("varsling").

Ledelsen bør støtte retningslinjer, prosedyrer og vedlegg A-kontroller for informasjonssikkerhet.

Kontroll 5.4 i vedlegg A er mer brukervennlig og krever at ledelsen sørger for at ansatte og oppdragstakere følger følgende retningslinjer:

A) Blir informert om deres ansvar og roller innen informasjonssikkerhet før det gis tilgang til organisasjonens informasjon.

B) Motta retningslinjer som spesifiserer det forventede nivået av informasjonssikkerhet i deres spesifikke roller.

C) Oppfylle organisasjonens retningslinjer for informasjonssikkerhet og temaspesifikke retningslinjer.

D) Bli bevisst deres rolle og ansvar angående informasjonssikkerhet.

E) Overholdelse av arbeidsplassens regler, inkludert organisasjonens datasikkerhetspolicy og arbeidsmetoder.

F) Fortsett å utdanne deg selv i informasjonssikkerhetsferdigheter og kvalifikasjoner.

G) I tilfeller av brudd på retningslinjer for informasjonssikkerhet, emnespesifikke retningslinjer eller prosedyrer ("varsling"), bør ansatte gis en konfidensiell kommunikasjonskanal. En anonym rapporteringsmulighet eller bestemmelser som sikrer at identiteten til rapportereren bare er kjent for de som trenger å håndtere disse rapportene er mulig.

H) Sikre tilstrekkelige ressurser og prosjektplanleggingstid for å implementere sikkerhetsrelaterte prosesser og vedlegg A-kontroller.

De ISO 27001:2022-standarden krever eksplisitt at arbeidere og entreprenører har tilgang til nødvendige ressurser og prosjektplanleggingstid for å implementere sikkerhetsrelaterte prosedyrer og kontroller.

ISO 27001:2013 og ISO 27001:2022 bruker ulike ordlyd for enkelte implementeringsretningslinjer. For eksempel sier retningslinje C i 2013 at ansatte og kontraktører skal være "motivert" til å ta i bruk ISMS-policyer; men i 2022 brukes ordet "mandat".

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 Vedlegg A Kontroll.

Hvordan administreres denne prosessen?

Enkelt sagt, et selskaps ledelse sikrer at en ISMS (Styringssystem for informasjonssikkerhet) er på plass.

Det bør utnevnes en informasjonssikkerhetssjef som er kvalifisert, erfaren og ansvarlig for å utvikle, implementere, administrere og kontinuerlig forbedre ISMS.

ISMS.online: Hvordan vi kan hjelpe

Ved implementering av en ISO 27001-justert ISMS, er en sentral utfordring å holde styr på informasjonssikkerhetskontrollene dine. Systemet vårt gjør denne prosessen enkel.

Teamet vårt forstår viktigheten av å beskytte organisasjonens data og omdømme. Følgelig forenkler vår skybaserte plattform implementering av ISO 27001, lar deg etablere et robust rammeverk for informasjonssikkerhetskontroller, og hjelper deg å oppnå sertifisering raskt og enkelt.

Ved hjelp av ISMS.online, kan du raskt oppnå ISO 27001-sertifisering og administrere den etterpå. Vår plattform har ulike brukervennlige funksjoner og verktøysett som sparer deg tid og sikrer at du lager et robust ISMS.

Kontakt oss i dag for planlegg en demonstrasjon.