ISO 27001:2022 Vedlegg A Kontroll 8.32

Generell veiledning for ISO 27001:2022 vedlegg A 8.32 Samsvar

Alle endringer i informasjonssystemer, så vel som implementering av nye systemer, bør følge et etablert sett med forskrifter og prosedyrer. Detaljene i disse endringene må være eksplisitt oppgitt og dokumentert. I tillegg må de gjennom vurderings- og kvalitetssikringsprosesser.

Organisasjoner bør tildele ledelsesoppgaver til den mest passende ledelsen og fastsette nødvendige prosedyrer for å sikre at alle endringer er i tråd med endringskontrollforskrifter og standarder.

ISO 27001:2022 vedlegg A Kontroll 8.32 oppregner ni komponenter som skal vises i endringsadministrasjonsprosedyren:

1. Organisasjoner bør kartlegge og vurdere den potensielle effekten av foreslåtte modifikasjoner, med tanke på alle avhengigheter.
2. Implementere autorisasjonskontroller for endringer. Sørg for at alle modifikasjoner er autorisert av riktig personell. Sørg for at kun autorisert personell har tilgang til systemet og at alle endringer er forsvarlig dokumentert.
3. Varsle gjeldende innenfor og utenfor grupper om de foreslåtte endringene.
4. Sikre overholdelse av ISO 27001:2022 vedlegg A 8.29 ved å utvikle og utføre testing og aksepttester for modifikasjoner.
5. Implementeringen av endringene og deres praktiske implementering vil bli ivaretatt.
6. Etablere nød- og beredskapsplaner og -prosedyrer, inkludert en reserveprosedyre.
7. Opprettholde oversikt over alle endringer og tilknyttede aktiviteter, som omfatter 1-6 nevnt ovenfor.
8. For å sikre samsvar med vedlegg A 5.37 til ISO 27001:2022, blir driftsdokumentasjon og brukerprosedyrer regelmessig gjennomgått og endret etter behov.
9. IKT-kontinuitetsplaner og gjenopprettings- og responsprosedyrer må evalueres og oppdateres for å imøtekomme endringene.

Organisasjoner bør bestrebe seg på å innlemme endringskontrollprosedyrer for programvare og IKT-infrastruktur så mye som mulig.

Supplerende veiledning om vedlegg A 8.32

Endringer i produksjonsmiljøet, f.eks. operativsystemer og databaser, kan sette applikasjonsintegritet og tilgjengelighet i fare, nærmere bestemt overføring av programvare fra utvikling til produksjon.

Organisasjoner bør være på vakt mot de potensielle resultatene av å endre programvare i produksjonsmiljøet. Uforutsette konsekvenser kan oppstå, så det bør utvises forsiktighet.

Organisasjoner bør kjøre tester på IKT-komponenter i et trygt, separat miljø, vekk fra utvikling og produksjon.

Organisasjoner kan få mer kontroll over ny programvare og beskytte de virkelige dataene som brukes til testing med patcher og oppdateringspakker, og gir et ekstra lag med beskyttelse.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.32 erstatter de fire delene av ISO 27001:2013 Vedlegg A 12.1.2, 14.2.2, 14.2.3 og 14.2.4.

I ISO 27001:2013 var endringskontrollprosedyrene mer spesifisert enn de vil være i 2022.

Tre sentrale forskjeller kan identifiseres mellom de to versjonene.

ISO 27001:2013-versjonen var mer detaljert når det gjelder hva "endringsprosedyre" bør innebære

ISO 27001:2022 og ISO 27001:2013-versjonene angir begge på en ikke-uttømmende måte hva som skal inkluderes i en endringsprosedyre.

2013-utgaven inneholdt komponenter som ikke er nevnt i 2022-varianten:

• Identifiser og gjennomgå sikkerhetskritisk kode for å løse eventuelle svakheter.
• Organisasjoner bør opprettholde versjonskontroll for alle programvareendringer.
• Organisasjoner bør opprette og registrere en liste over maskinvare- og programvarekomponenter som krever endring og oppdatering.

ISO 27001:2013-versjonen adressert 'Endringer i driftsplattformer'

Vedlegg A 14.2.3 i ISO 27001:2013 skisserer måter organisasjoner kan redusere negative påvirkninger og forstyrrelser på forretningsdrift som kan komme fra endringer i operativsystemer.

Til sammenligning inneholder ikke ISO 27001:2022 noen krav til modifikasjoner.

ISO 27001:2013 adressert 'Endringer i programvarepakker'

Vedlegg A 14.2.4, adressert til 'Endringer i programvarepakker' i ISO 27001:2013, dette er ikke inkludert i ISO 27001:2022-versjonen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

Skyplattformen vår tilbyr en sterk struktur av informasjonssikkerhetstiltak, slik at du kan krysse av for ISMS-prosessen din etter hvert som du gjør fremgang, og garanterer at den oppfyller ISO 27000k-kriteriene.

ISMS.online kan hjelpe deg med å oppnå sertifisering effektivt og med minimale ressurser. Når den brukes riktig, kan den være en stor fordel for å nå dette målet.

Kontakt oss nå for å planlegge en demonstrasjon.