ISO 27001:2022 Vedlegg A Kontroll 6.4

Hensikten med ISO 27001:2022 vedlegg A 6.4?

Formålet med disiplinærprosessen er å sikre at personell og andre interesserte parter anerkjenner utfallet av brudd på informasjonssikkerhetspolicyen.

Vedlegg A 6.4 er utformet for å både avskrekke og hjelpe til med å håndtere brudd på retningslinjer for informasjonssikkerhet, for å sikre at ansatte og andre relaterte interessenter er klar over konsekvensene.

Et effektivt informasjonssikkerhetsprogram må inkludere kapasitet til å administrere egnede disiplinære tiltak for arbeidstakere som bryter informasjonssikkerhetsbestemmelsene. Å gjøre det sikrer at personell forstår implikasjonene av å ignorere forhåndsdefinerte forskrifter, og reduserer dermed sannsynligheten for bevisst eller utilsiktet datalekkasje.

Eksempler på aktiviteter som kan inkluderes mens denne kontrollen håndheves er:

• Gjennomfør regelmessige treningsøkter for å holde personalet oppdatert på endringer i retningslinjene.
• Utforme disiplinære tiltak for manglende overholdelse av retningslinjer for informasjonssikkerhet.
• Gi hver ansatt en kopi av organisasjonens disiplinærprosedyrer.
• I lignende situasjoner, sørg for at disiplinære prosedyrer følges konsekvent.

De disiplinære tiltakene som er skissert i rammeverket bør implementeres raskt etter en hendelse, for å motvirke ytterligere brudd på organisasjonens retningslinjer.

Hva er involvert og hvordan du oppfyller kravene

Å møte kravene i vedlegg A 6.4, må disiplinære tiltak iverksettes når det er bevis på at organisasjonens retningslinjer, prosedyrer eller forskrifter ikke overholdes. Dette inkluderer også gjeldende lover og forskrifter.

I henhold til vedlegg A 6.4 bør den formelle disiplinærprosessen ta hensyn til følgende elementer når man tar en gradert tilnærming:

• Det må tas hensyn til omfanget av bruddet, dets art, alvor og konsekvenser.
• Om lovbruddet var bevisst eller tilfeldig.
• Uansett om dette er den første eller gjentatte forseelsen.
• Det skal vurderes om overtrederen har fått tilstrekkelig opplæring.

Vurder alle relevante juridiske, lovgivningsmessige, regulatoriske, kontraktsmessige og bedriftsforpliktelser, samt alle andre relevante faktorer, når du iverksetter tiltak.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 6.4 erstatter ISO 27001:2013 Vedlegg A 7.2.3 i den reviderte 2022-versjonen av ISO 27001.

ISO 27001:2022 bruker et brukervennlig språk for å sikre at standardens brukere kan forstå innholdet. Det er mindre variasjoner i ordlyden, men den generelle konteksten og innholdet forblir det samme.

Den eneste forskjellen du vil observere er at vedlegg A-kontrollnummeret er endret fra 7.2.3 til 6.4. I tillegg har 2022-standarden den ekstra fordelen av en attributttabell og formålserklæring som er fraværende i 2013-versjonen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvem er ansvarlig for denne prosessen?

I de fleste tilfeller overvåkes disiplinærprosessen av avdelingsleder eller HR-representant. Det er ikke uvanlig at HR-representanten gir ansvaret for disiplinærtiltak til noen andre i organisasjonen, som en informasjonssikkerhetsekspert.

Hovedmålet med disiplinærtiltak er å beskytte organisasjonen mot eventuelle ytterligere krenkelser fra medarbeideren. Det tar videre sikte på å avskrekke ytterligere forekomster av lignende hendelser ved å sørge for at alle ansatte er klar over betydningen av informasjonssikkerhetsbrudd.

Det er viktig for enhver organisasjon å sikre at disiplinære tiltak blir iverksatt når en medarbeider har brutt noen av dens retningslinjer eller prosedyrer. For å sikre dette må det etableres klare føringer for hvordan slike situasjoner skal håndteres, inkludert instrukser om hvordan undersøkelser skal gjennomføres og hva som skal gjøres i etterkant.

Hva betyr disse endringene for deg?

Hvis du tenker på hvordan disse endringene påvirker deg, er her en kortfattet oppsummering av de mest kritiske punktene:

• Du trenger ikke å sertifisere på nytt; det er bare en mindre endring.
• Behold din nåværende sertifisering til den utløper, forutsatt at den forblir gyldig.
• Det er ikke gjort store endringer i ISO 27001:2022 vedlegg A 6.4.
• Målet er å bringe standarden i tråd med de mest oppdaterte beste praksisene og standardene.

Hvis du har som mål å vinne ISMS-sertifisering, bør du vurdere sikkerhetstiltakene dine for å sikre at de er i samsvar med den reviderte standarden.

For å få innsikt i hvilken innvirkning den nye ISO 27001:2022 kan ha på dine datasikkerhetsprosedyrer og ISO 27001-akkreditering, vennligst se vår gratis ISO 27001:2022-veiledning.

Hvordan ISMS.Online Hjelp

ISMS.online er ledende ISO 27001 programvare for styringssystem, som hjelper til med å overholde ISO 27001-standarden. Det hjelper selskaper med å sikre at deres sikkerhetspolicyer og prosedyrer er i tråd med kravet.

Dette skybasert plattform tilbyr et komplett utvalg av verktøy for å hjelpe organisasjoner med å etablere et styringssystem for informasjonssikkerhet (ISMS) basert på ISO 27001.

Disse verktøyene består av:

• Et bibliotek med maler for ofte opptrådte bedriftsdokumenter er tilgjengelig.
• En samling av forhåndsetablerte retningslinjer og protokoller er på plass.
• Et revisjonsverktøy for å lette interne revisjoner er tilgjengelig.
• Et grensesnitt for å tilpasse retningslinjer og prosedyrer for Information Security Management System (ISMS) er gitt.
• Alle endringer i retningslinjer og prosedyrer må godkjennes gjennom en arbeidsflytprosess.
• Lag en liste for å sikre at dine retningslinjer og informasjonsbeskyttelsestiltak er i tråd med internasjonale standarder.

ISMS.Online gir brukerne muligheten til å:

• Håndter alle områder av ISMS livssyklus med letthet.
• Få umiddelbar forståelse av deres sikkerhetsstatus og overholdelsesproblemer.
• Integrer med andre systemer som HR, økonomi og prosjektledelse.
• Sikre samsvar med ISMS til ISO 27001-kriteriene.

ISMS.Online tilbyr råd om hvordan du kan utføre ISMS optimalt, med veiledning om utforming av retningslinjer og protokoller knyttet til risikostyring, opplæring av ansattes sikkerhetsbevissthet og forberedelse av hendelsesrespons.

Ta kontakt med oss ​​nå for å planlegge en demonstrasjon.