ISO 27001:2022 Vedlegg A Kontroll 6.8

Hva er formålet med ISO 27001:2022 vedlegg A 6.8?

Målet med ISO 27001:2022 vedlegg A Kontroll 6.8 er å legge til rette for rettidig, konsistent og effektiv rapportering av informasjonssikkerhetshendelser oppdaget av personell.

Å sikre at hendelser raskt rapporteres og dokumenteres nøyaktig er avgjørende for å sikre at hendelsesresponsaktiviteter og andre sikkerhetsstyringsansvar støttes på riktig måte.

Organisasjoner bør ha et hendelsesrapporteringsprogram for informasjonssikkerhet i tråd med ISO 27001:2022 Annex A Control 6.8 for å oppdage og redusere hendelser som kan påvirke informasjonssikkerheten. Programmet skal gjøre det mulig å motta, evaluere og svare på rapporterte hendelser.

ISO 27001: 2022 Vedlegg A Kontroll 6.8 skisserer formålet og instruksjonene for å konstruere et rapporteringssystem for informasjonssikkerhetshendelser i tråd med ISO 27001-rammeverket.

Denne kontrollen er ment å:

• Sikre at personell raskt og konsekvent rapporterer informasjonssikkerhetshendelser på en effektiv og effektiv måte.
• Oppdag proaktivt enhver uautorisert tilgang eller feil bruk av informasjonssystemer.
• Tilrettelegge for utarbeidelse av hendelsesresponsplaner.
• Skap et grunnlag for vedvarende observasjonsaktiviteter.

Regelmessig gjennomgå hendelser og trender for å oppdage problemer før de blir alvorlige (f.eks. ved å spore antall hendelser eller hvor lang tid hver hendelse tar) bør være en sentral del av implementeringen av vedlegg A 6.8.

Hva er involvert og hvordan du oppfyller kravene

ISO 27001:2022 vedlegg A 6.8 krever følgende:

• Alle bør forstå deres forpliktelse til å rapportere informasjonssikkerhetshendelser umiddelbart for å stoppe eller redusere virkningen.
• Organisasjonen må føre en oversikt over kontakten for rapportering av datasikkerhetshendelser og sikre at prosessen er så enkel, tilgjengelig og tilgjengelig som mulig.
• Organisasjonen skal føre journal over informasjonssikkerhetshendelser, for eksempel hendelsesrapporter, hendelseslogger, endringsforespørsler, problemrapporter og systemdokumentasjon.

I henhold til vedlegg A 6.8 inkluderer hendelser som krever informasjonssikkerhetsrapportering:

• Ineffektive informasjonsbeskyttelsestiltak.
• Brudd på sikkerhetsforventninger angående konfidensialitet, integritet eller tilgjengelighet av data.
• Menneskelige feil.
• Manglende overholdelse av informasjonssikkerhetspolicyen, spesifikke retningslinjer eller relevante standarder.
• Eventuelle brudd på fysisk sikkerhet målinger.
• Systemendringer som ikke er sendt inn til endringsbehandlingsprosessen.
• I tilfelle funksjonsfeil eller annen uvanlig systematferd til programvare eller maskinvare.
• Ved eventuelle tilgangsbrudd.
• Hvis det oppstår noen sårbarheter.
• Hvis det er mistanke om at det er en skadelig programvareinfeksjon.

Dessuten er det ikke ansvaret til personellet som rapporterer å teste sårbarheten eller effektiviteten til informasjonssikkerhetshendelsen. Det bør overlates til kvalifisert personell å håndtere dette da det kan medføre juridisk ansvar for den ansatte.

Endringer og forskjeller fra ISO 27001:2013

For det første er vedlegg A 6.8 i ISO 27001:2022 ikke en ny kontroll, snarere, det er en sammenslåing av vedlegg A 16.1.2 og vedlegg A 16.1.3 i ISO 27001:2013. Disse to kontrollene ble revidert i ISO 27001:2022 for å gjøre den mer tilgjengelig enn ISO 27001:2013.

Ansatte og kontraktører bør gjøres oppmerksomme på sitt ansvar for å raskt rapportere informasjonssikkerhetshendelser og prosessen for å gjøre dette, inkludert kontaktpersonen som rapporter skal rettes til.

Ansatte og kontraktører bør umiddelbart rapportere eventuelle svakheter i informasjonssikkerheten til kontaktpunktet for å unngå hendelser med informasjonssikkerhet. Rapporteringssystemet skal være så enkelt, tilgjengelig og oppnåelig som mulig.

Du kan se at anbefalingene seks og åtte er blitt konsolidert til én i den reviderte ISO 27001:2022.

Vedlegg A 6.8 inneholder to tilleggshensyn som ikke finnes i vedlegg A 16.1.2 og vedlegg A 16.1.3. Disse er:

• Systemendringer som ikke er behandlet av endringskontrollprosedyren.
• Mistenkt skadelig programvareinfeksjon.

På slutten er begge iterasjonene ganske like. De største forskjellene er endringen av kontrollnummeret, kontrollnavnet og språket som er mer tilgjengelig for brukere. Dessuten inkluderer ISO 27001:2022 en attributttabell og kontrollformål, funksjoner som er oversett i 2013-versjonen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvem er ansvarlig for denne prosessen?

Informasjonssikkerhet er et samarbeid og alle medlemmer av organisasjonen bør være involvert. Likevel er det flere personer som fungerer som første forsvarslinje under sikkerhetshendelser. Disse personene er ansvarlige for å finne riktig kontakt for å rapportere og administrere responsen på hendelsen for å forhindre gjentakelse.

Hvem er de første som reagerer? Dette varierer avhengig av organisasjonen, men inkluderer vanligvis:

De Chief Information Security Officer (CISO) er ansvarlig for informasjonssikkerheten i sin organisasjon. De jobber sammen med toppledelsen for å effektivt redusere og håndtere eventuelle risikoer.

De Informasjonssikkerhetssjef overvåker rutinemessig daglige aktiviteter, for eksempel overvåking av systemer og håndtering av hendelser, inkludert innlevering av billetter til andre team.

De Chief Human Resources Officer (CHRO) har det overordnede ansvaret for menneskelige ressursspørsmål, som dekker rekruttering, bevaring av ansatte, fordelsstyring og opplæringsprogrammer for ansatte. De spiller en nøkkelrolle i å ta ansettelsesbeslutninger og fremme bevissthet blant personell om rapportering av sikkerhetshendelser.

Hva betyr disse endringene for deg?

For å overholde ISO 27001:2022-revisjonen, sørg ganske enkelt for at informasjonssikkerhetsprosessene dine forblir oppdatert. Det ble ikke gjort vesentlige endringer.

Hvis du har anskaffet en ISO 27001-sertifisering, bør din nåværende tilnærming til informasjonssikkerhetsadministrasjon samsvare med de nye standardene. Bekreft at rapportering av informasjonssikkerhetshendelser er integrert i bedriftens strategi.

Når du begynner på nytt, må du referere til detaljene i den reviderte standarden.

Se vår ISO 27001:2022-veiledning for mer informasjon om hvordan tillegg A 6.8-endringer vil påvirke virksomheten din.

Hvordan ISMS.Online hjelper

ISO 27001 er et rammeverk for informasjonssikkerhetsstyring som hjelper organisasjoner med å etablere et vellykket ISMS. Denne standarden skisserer krav for å konstruere et ISMS i en organisasjon.

Hos ISMS.online hjelper vår skybaserte plattform med å konstruere, opprettholde og vurdere en ISO 27001-standardbasert styringssystem for informasjonssikkerhet (ISMS). Vi tilbyr tilpassbare maler og verktøy for å overholde ISO 27001-forskriftene.

Denne plattformen lar deg konstruere et ISMS som følger den internasjonale standarden og bruke sjekklistene som følger med for å garantere at din informasjonssikkerhetsadministrasjon er opp til standarden. Dessuten kan du utnytte ISMS.online for risiko- og sårbarhetsvurdering for å oppdage eventuelle svake punkter i din eksisterende infrastruktur som krever umiddelbar oppmerksomhet.

ISMS.online gir ressursene til å demonstrere overholdelse av ISO 27001. Ved å bruke disse verktøyene kan du bevise samsvar med den internasjonalt anerkjente standarden.

Kontakt oss nå for å reservere en demonstrasjon.