ISO 27002:2022, Kontroll 5.23 – Informasjonssikkerhet for bruk av skytjenester

Eierskap til kontroll 5.23

Slik er utbredelsen av skytjenester det siste tiåret, Control 5.23 inneholder en rekke prosedyrer som omfatter mange forskjellige elementer av en organisasjons drift.

Gitt at ikke alle skytjenester er IKT-spesifikke – selv om det med rimelighet kan hevdes at de fleste er det – bør eierskapet til Control 5.22 fordeles mellom en organisasjons CTO or COO, avhengig av de gjeldende driftsforholdene.

Veiledning om kontroll 5.23 – Organisatoriske forpliktelser

Overholdelse av kontroll 5.23 innebærer å følge det som er kjent som en 'emnespesifikk' tilnærming til skytjenester og informasjonssikkerhet.

Gitt mangfoldet av skytjenester som tilbys, oppmuntrer emnespesifikke tilnærminger organisasjoner til å lage skytjenester-policyer som er skreddersydd for individuelle forretningsfunksjoner, i stedet for å følge et teppe. politikk som gjelder informasjonssikkerhet og skytjenester over hele linjen.

Det bør bemerkes at ISO anser overholdelse av Control 5.23 som et samarbeid mellom organisasjonen og deres skytjenestepartner. Kontroll 5.23 bør også være tett på linje med kontrollene 5.21 og 5.22, som omhandler informasjon ledelse i forsyningskjeden og forvaltning av leverandørtjenester henholdsvis.

Uansett hvordan en organisasjon velger å operere, bør kontroll 5.23 ikke tas isolert og bør utfylle eksisterende innsats for å administrere leverandørforhold.

Med informasjonssikkerhet i forkant, bør organisasjonen definere:

1. Eventuelle relevante sikkerhetskrav eller bekymringer involvert i bruken av en skyplattform.
2. Kriteriene som er involvert i valg av skytjenesteleverandør, og hvordan tjenestene deres skal brukes.
3. Granulert beskrivelse av roller og relevant ansvar som styrer hvordan skytjenester skal brukes på tvers av organisasjonen.
4. Nøyaktig hvilke informasjonssikkerhetsområder som kontrolleres av skytjenesteleverandøren, og de som faller inn under organisasjonens ansvarsområde.
5. De beste måtene å samle først og deretter bruke eventuelle informasjonssikkerhetsrelaterte tjenestekomponenter levert av skytjenesteplattformen.
6. Hvordan få kategoriske forsikringer om informasjonssikkerhetsrelaterte kontroller vedtatt av skytjenesteleverandøren.
7. Trinnene som må tas for å administrere endringer, kommunikasjon og kontroller på tvers av flere forskjellige skyplattformer, og ikke alltid fra samme leverandør.
8. Prosedyrer for hendelseshåndtering som utelukkende er opptatt av levering av skytjenester.
9. Hvordan organisasjonen forventer å administrere sin pågående bruk og/eller engrosadopsjon av skyplattformer, i tråd med deres bredere informasjonssikkerhet forpliktelser.
10. En strategi for opphør eller endring av skytjenester, enten på leverandør-for-leverandør-basis, eller gjennom prosessen med sky-til-lokal-migrering.

Veiledning om kontroll 5.23 – Skytjenesteavtaler

Kontroll 5.23 erkjenner at, i motsetning til andre leverandørforhold, er skytjenesteavtaler rigide dokumenter som ikke kan endres i de aller fleste tilfeller.

Med det i tankene bør organisasjoner granske skytjenesteavtaler og sørge for at fire hovedkrav til drift er oppfylt:

1. Konfidensialitet
2. Sikkerhet/dataintegritet
3. Tjenestetilgjengelighet
4. Informasjonshåndtering

Som med andre leverandørkontrakter, før aksept, bør skytjenesteavtaler gjennomgå en grundig risikovurdering som synliggjør potensielle problemer ved kilden.

Som et minimum bør organisasjonen inngå en skytjenesteavtale først når de er overbevist om at følgende 10 bestemmelser er oppfylt:

1. Skytjenester leveres og implementeres basert på organisasjonens unike krav knyttet til deres operasjonsområde, inkludert bransjeaksepterte standarder og praksis for skybasert arkitektur og vertsbasert infrastruktur.
2. Tilgang til alle skyplattformer oppfyller organisasjonens krav til grenseinformasjonssikkerhet.
3. Det tas tilstrekkelig hensyn til antimalware- og antivirustjenester, inkludert proaktiv overvåking og trusselbeskyttelse.
4. Skyleverandøren overholder et forhåndsdefinert sett med datalagrings- og behandlingsbestemmelser, knyttet til en eller flere distinkte globale regioner og regulatoriske miljøer.
5. Proaktiv støtte gis til organisasjonen dersom skyplattformen skulle få en katastrofal feil eller informasjonssikkerhetsrelatert hendelse.
6. Hvis det oppstår behov for å underkontraktere eller på annen måte sette ut noen del av skyplattformen, forblir leverandørens krav til informasjonssikkerhet et konstant hensyn.
7. Skulle organisasjonen trenge hjelp til å samle digital informasjon til ethvert relevant formål (lovhåndhevelse, reguleringsjustering, kommersielle formål), vil skytjenesteleverandøren støtte organisasjonen så langt det er mulig.
8. Ved slutten av forholdet bør skytjenesteleverandøren gi rimelig støtte og passende tilgjengelighet under overgangs- eller avviklingsperioden.
9. Skytjenesteleverandøren bør operere med en robust BUDR-plan som er fokusert på å gjennomføre tilstrekkelig sikkerhetskopiering av organisasjonens data.
10. Overføring av alle relevante tilleggsdata fra skytjenesteleverandøren til organisasjonen, inkludert konfigurasjonsinformasjon og kode som organisasjonen har krav på.

Tilleggsinformasjon om kontroll 5.23

I tillegg til veiledningen ovenfor, foreslår Kontroll 5.23 at organisasjoner danner et nært samarbeid med leverandører av skytjenester, i samsvar med den viktige tjenesten de leverer ikke bare når det gjelder informasjonssikkerhet, men på tvers av en organisasjons hele kommersielle drift.

Organisasjoner, der det er mulig, bør søke etter følgende krav fra skytjenesteleverandører for å forbedre operasjonell motstandskraft og nyte økt informasjonssikkerhet:

1. Alle infrastrukturendringer bør kommuniseres på forhånd for å informere organisasjonens eget sett med informasjonssikkerhetsstandarder.
2. Organisasjonen trenger holdes informert om eventuelle endringer i datalagringsprosedyrer som involverer migrering av data til en annen jurisdiksjon eller global region.
3. Enhver intensjon fra skytjenesteleverandørens side om å bruke «peer cloud»-leverandører, eller outsource områder av deres drift til underleverandører som kan ha informasjonssikkerhetsimplikasjoner for organisasjonen.

Støttekontroller

• 5.21
• 5.22

Endringer fra ISO 27002:2013

Kontroll 5.23 er en ny kontroll som ikke er med i ISO 27002:2013 på noen måte.

Hvordan ISMS.online hjelper

ISMS.online effektiviserer ISO 27002 implementeringsprosess ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer for informasjonssikkerhetsstyringssystem og sjekklister for å sikre samsvar med anerkjente standarder.

Når du bruker ISMS.online, vil du kunne:

• Lag en ISMS som er kompatibel med ISO 27001 standarder.
• Utføre oppgaver og sende inn bevis for å indikere at de har oppfylt kravene i standarden.
• Tildel oppgaver og spor fremdriften mot overholdelse av loven.
• Få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom hele veien mot overholdelse.

Ta kontakt og bestill en demo.