ISO 27002:2022, kontroll 5.1 – retningslinjer for informasjonssikkerhet

Hva er hensikten med kontroll 5.1?

Formålet med informasjonssikkerhetspolicyen er å sikre ledelsesstøtte for beskyttelse av din bedrifts sensitive informasjon mot tyveri og uautorisert tilgang.

Kontroll 5.1 dekker kontroll, formål og implementeringsveiledning for å etablere en informasjonssikkerhetspolicy i en organisasjon i henhold til rammeverket som definert av ISO 27001.

Kontroll 5.1 sier at organisasjoner må ha retningslinjer på høyt og lavt nivå for hvordan de administrerer informasjonssikkerheten sin. Organisasjonens toppledelse må godkjenne retningslinjene, som bør gjennomgås regelmessig og også hvis endringer i informasjonssikkerhetsmiljøet skjer.

Den beste tilnærmingen er å møte regelmessig minst en gang i måneden, med ytterligere møter etter behov. Hvis det gjøres endringer i retningslinjene, må ledelsen godkjenne dem før de implementeres. Retningslinjene bør også deles med interne og eksterne interessenter.

Attributttabell

Attributter er et middel for å kategorisere kontroller. Disse lar deg raskt justere kontrollutvalget etter vanlige bransjespråk og standarder. I kontroll 5.1 er disse.

Hva er involvert og hvordan du oppfyller kravene

Informasjonssikkerhetspolicyen bør legge grunnlag for, og understøttes av, detaljerte driftsprosedyrer som beskriver hvordan informasjonssikkerheten skal håndteres i praksis.

Policyen bør godkjennes av toppledelsen, som skal sørge for at den formidles til ansatte og gjøres tilgjengelig for interesserte.

Policyen gir retning for organisasjonens tilnærming til styring av informasjonssikkerhet, og kan brukes som rammeverk for å utvikle mer detaljerte driftsprosedyrer.

Retningslinjene er et viktig element i å etablere og vedlikeholde et styringssystem for informasjonssikkerhet (ISMS), som kreves av ISO/IEC 27000-familien av standarder, men selv om organisasjonen ikke har til hensikt å implementere formell sertifisering til ISO 27001 eller noen annen standard. , en veldefinert politikk er fortsatt viktig.

Endringer og forskjeller fra ISO 27002:2013

I ISO 27002: 2022 er kontroll 5.1 Informasjonssikkerhetspolitikk ikke en ny kontroll, snarere et resultat av sammenslåing av kontroller 5.1.1 Retningslinjer for informasjonssikkerhet og 5.1.2 Gjennomgang av retningslinjer for informasjonssikkerhet fra ISO 27002 revisjon 2013.

I ISO 27002:2022 er kontroll 5.1 oppdatert for å inkludere en beskrivelse av formålet og utvidet implementeringsveiledning. Den kom også med en attributttabell som lar brukere forene kontroller med bransjeterminologier.

I ISO 27002:2022 sier kontroll 5.1 at informasjonssikkerhet og emnespesifikke retningslinjer skal defineres, godkjennes av ledelsen, publiseres, kommuniseres til og anerkjennes av relevant personell og relevante interesserte parter.

Informasjonssikkerhetspolitikken til en organisasjon bør gjenspeile organisasjonens størrelse, type og sensitivitet for informasjonsmidler. Det bør også være i samsvar med industristandarder og gjeldende myndighetsbestemmelser.

Selv om essensen av selve kontrollen ligner 5.1.1 i ISO 27002: 2013, sier versjon 2022 spesifikt at disse informasjonssikkerhetspolicyene bør gjennomgås regelmessig og også hvis endringer i informasjonssikkerhetsmiljøet oppstår. Denne rytteren er dekket i klausul 5.1.2 i ISO 27002:2013.

ISO 27002: 2013 og ISO 27002: 2022 sier at det høyeste nivået i organisasjonen bør definere en sikkerhetspolicy som toppledelsen godkjenner og som angir hvordan de vil føre tilsyn med beskyttelsen av informasjonen deres. Kravene som dekkes av policyene for begge versjonene er imidlertid forskjellige.

Kontroll 5.1 2013 – 2022 Implementeringsretningslinjer sammenlignet

I ISO 27002:2013 bør retningslinjer for informasjonssikkerhet adressere krav opprettet av:

• Forretningsstrategi.
  

• Forskrifter, lovverk og kontrakter.
  

• Det nåværende og anslåtte trusselmiljøet for informasjonssikkerhet.

Informasjonssikkerhetspolicyen bør inneholde uttalelser om:

• Definisjon av informasjonssikkerhet, mål og prinsipper for å lede alle aktiviteter knyttet til
  informasjonssikkerhet.
• Tildeling av generelt og spesifikt ansvar for informasjonssikkerhetsstyring til
  definerte roller.
• Prosesser for håndtering av avvik og unntak.

Men kravene til ISO 27002:2022 er litt mer omfattende.

Informasjonssikkerhetspolicyen bør ta hensyn til krav som stammer fra:

• Forretningsstrategi og krav.
  

• Forskrifter, lovverk og kontrakter.
  

• De nåværende og anslåtte informasjonssikkerhetsrisikoene og -truslene.

Informasjonssikkerhetspolicyen bør inneholde uttalelser om:

• Definisjon av informasjonssikkerhet.
• Informasjonssikkerhetsmål eller rammeverket for å sette informasjonssikkerhetsmål.
• Prinsipper for å lede alle aktiviteter knyttet til informasjonssikkerhet.
• Forpliktelse til å tilfredsstille gjeldende krav knyttet til informasjonssikkerhet.
• Forpliktelse til kontinuerlig forbedring av styringssystemet for informasjonssikkerhet.
• Tildeling av ansvar for informasjonssikkerhetsstyring til definerte roller.
• Prosedyrer for håndtering av unntak og unntak.

Samtidig ble emnespesifikke retningslinjer omarbeidet i ISO 27002:2022 for å inkludere; hendelseshåndtering av informasjonssikkerhet, aktivastyring, nettverkssikkerhet, hendelseshåndtering av informasjonssikkerhet og sikker utvikling. Noen av de i ISO 27002:2013 ble enten fjernet eller slått sammen for å danne et mer helhetlig rammeverk.

Hvordan ISMS.Online hjelper

Hos ISMS.online vil vårt brukervennlige, men kraftige, skysystem gi deg et komplett sett med verktøy og ressurser for å hjelpe deg med å administrere ditt eget ISO 27001/27002 Information Security Management System (ISMS), enten du er ny til ISO 27001/27002 eller allerede sertifisert.

Vår intuitive trinnvise arbeidsflyt, verktøy, rammeverk, retningslinjer og kontroller, handlingsvennlig dokumentasjon og veiledning leder deg gjennom prosessen med å implementere ISO 27002, noe som gjør det enkelt for deg å definere omfanget av ISMS, identifisere risikoer og implementere kontroller ved å bruke våre algoritmer – enten fra bunnen av eller fra maler for beste praksis.

Ta kontakt i dag for å bestill en demo.