ISO 27002:2022, Kontroll 5.24 – Planlegging og forberedelse av informasjonssikkerhetshendelser

Eierskap til kontroll 5.24

Incident Management, i bredere termer, er vanligvis aktuelt for tjenesterelaterte hendelser. Gitt at Control 5.24 spesifikt omhandler informasjonssikkerhetsrelaterte hendelser og brudd, tatt i betraktning den svært sensitive naturen til disse hendelsene, bør eierskapet til Control 5.24 ideelt sett ligge hos en CISO, eller tilsvarende organisatorisk.

Gitt at CISO-er vanligvis bare sees i større selskaper og organisasjoner på bedriftsnivå, kan eierskapet også ligge hos COOeller Service Manager, avhengig av organisasjonens art.

Veiledning – Roller og ansvar

Incident Management gir de beste resultatene når en organisasjons ansatte jobber sammen for å løse et spesifikt problem.

For å oppnå det spesifiserer Control 5.24 5 hovedveiledningspunkter som hjelper organisasjoner med å skape en sammenhengende, effektiv IM-operasjon.

Organisasjoner bør:

1. Bli enige om og dokumenter en homogen metode for rapportering av informasjonssikkerhetshendelser. Dette bør også innebære å etablere et hovedkontaktpunkt for alle slike hendelser som skal rapporteres til.
2. Etablere en serie med hendelser Ledelsesprosesser som styrer informasjonssikkerhet relaterte hendelser innen ulike tekniske og administrative funksjoner:
   
   a) Administrasjon
   b) Teknisk dokumentasjon
   c) Gjenkjenning
   d) Triage
   e) Prioritering
   f) Analyse
   g) Kommunikasjon
3. Formuler en hendelsesprosedyre som gjør organisasjonen i stand til å vurdere og reagere på hendelser. Organisasjoner bør også være oppmerksomme på behovet å lære av hendelser når de er løst, for å redusere eventuelle gjentakelser og gi personalet historisk kontekst i fremtidige scenarier.
4. Begrens involvering i hendelser til utdannet og kompetent personell, som nyter full tilgang til prosedyredokumentasjon og drar nytte av regelmessig oppfriskningsopplæring spesifikt knyttet til informasjonssikkerhetshendelser.
5. Etabler en prosess som identifiserer opplæringsbehovene til hvert medlem av personalet som er involvert i å løse informasjonssikkerhetsrelaterte hendelser. Dette bør inkludere eventuelle leverandørspesifikke eller profesjonelle sertifiseringer, og gi personalet mulighet til å fremheve eventuelle faglige utviklingsbehov, knyttet til informasjonssikkerhet.

Veiledning – Hendelseshåndtering

Målet med en organisasjons hendelseshåndteringsprosess bør være å sikre at alle som er ansvarlige for å løse informasjonssikkerhetshendelser har en solid forståelse av tre hovedområder:

• Tiden det tar å løse en hendelse
• Eventuelle konsekvenser
• Alvorlighetsgraden av hendelsen

Alle prosesser bør fungere i harmoni for å sikre at disse tre variablene forblir en toppprioritet.

Kontroll 5.24 skisserer 8 hovedaktiviteter som bør tas opp når man forsøker å løse informasjonssikkerhetsrelaterte hendelser.

1. Potensielle informasjonssikkerhetshendelser bør vurderes i henhold til strenge kriterier som validerer dem som en godkjent hendelse.
2. Håndtering av informasjonssikkerhetshendelser og hendelser bør kategoriseres i 5 hovedunderemner, enten manuelt eller via prosessautomatisering:
   
   a) Overvåking (se kontroller 8.15 og 8.16)
   b) Deteksjon (se kontroll 8.16)
   c) Klassifisering (se kontroll 5.25)
   d) Analyse
   e) Rapportering (se kontroll 6.8)
3. Når de forsøker å bringe informasjonssikkerhetshendelser til en vellykket avslutning, bør organisasjoner implementere prosedyrer som vedtar følgende:
   
   a) Respons og eskalering (se kontroll 5.26) i henhold til type hendelse
   b) Aktivering av krisehåndteringsplaner eller forretningskontinuitetsplaner, fra sak til sak
   c) Styrt utvinning fra en hendelse som reduserer eventuelle operasjonelle/økonomiske skader forårsaket
   d) Grundig kommunikasjon av hendelsesrelaterte hendelser til alle interne og eksterne parter
4. Samarbeid med internt og eksternt personell (se kontroll 5.5 og 5.6).
5. Grundig, tilgjengelig og transparent logging av alle hendelsesstyrte aktiviteter.
6. Ansvarlig bevishåndtering (inkludert data og samtaler), i henhold til interne og eksterne retningslinjer og regelverk (se Kontroll 5.28).
7. Grunnårsaksanalyse, og en grundig gjennomgangsprosedyre, når hendelsen er løst.
8. En omfattende oversikt over eventuelle forbedringer som er nødvendige for å forhindre at hendelsen gjentar seg, inkludert eventuelle endringer i selve hendelseshåndteringsprosessen.

Veiledning – Rapportering

Rapportering er et viktig element i enhver hendelse Ledelsespolitikk som sikrer at informasjon spres nøyaktig gjennom en organisasjon. Rapporteringsaktiviteter bør fokuseres rundt 4 hovedområder:

1. Eventuelle handlinger som må iverksettes når en informasjonssikkerhetshendelse inntreffer.
2. Hendelsesskjemaer som tilbyr en klar og konsist måte å registrere informasjon og støtte personell i å utføre sine oppgaver.
3. Tilbakemeldingsprosesser for å sikre at personell blir varslet om utfallet av informasjonssikkerhetshendelser, når hendelsen er løst.
4. Hendelsesrapporter som dokumenterer all relevant informasjon knyttet til en hendelse.

Det skal bemerkes at Kontroll 5.24 ikke inneholder noen veiledning om hvordan man skal møte eksterne krav til hvordan hendelser rapporteres (f.eks. regulatoriske retningslinjer og/eller gjeldende lovgivning), men organisasjoner bør ta skritt for å dele informasjon om hendelser med alle relevante parter, og koordinere et svar som oppfyller alle regulatoriske, sektorspesifikke og juridiske krav.

Støttekontroller

• 5.25
• 5.26
• 5.5
• 5.6
• 6.8
• 8.15
• 8.16

Endringer og forskjeller fra ISO 27002:2013

27002:2022-5.24 erstatter 27002:2013-16.1.1 (Håndtering av informasjonssikkerhetshendelser og forbedringer – Ansvar og prosedyrer).

27002:2022-5.24 erkjenner behovet for at organisasjoner gjennomgår grundige forberedelser, for å forbli motstandsdyktige og etterleve i møte med potensielle hendelser med informasjonssikkerhet.

Som sådan tilbyr 27002:2022-5.24 en langt mer omfattende oversikt over trinnene som organisasjoner må ta på tvers av rolledelegering, hendelseshåndtering og rapporteringsfunksjoner, med spesifikk referanse gitt til andre ISO kontroller som hjelper organisasjoner til å få et mer avrundet syn på hendelseshåndtering som helhet, ikke bare relatert til informasjonssikkerhetshendelser.

For å hjelpe organisasjonen med å dele opp hendelseshåndteringsoperasjonene, avviker 27002:2022-5.24 fra 27002:2013-16.1.1 ved å fokusere på tre forskjellige områder for vurdering:

• Roller og ansvar
• Hendelseshåndteringsprosesser
• Rapportering

Hvordan ISMS.online hjelper

Når du bruker ISMS.online, du vil kunne:

• Lag en ISMS som er kompatibel med ISO 27001 standarder.
• Utføre oppgaver og sende inn bevis for å indikere at de har oppfylt kravene i standarden.
• Tildel oppgaver og spor fremdriften mot overholdelse av loven.
• Få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom hele veien mot overholdelse.

Ta kontakt i dag for å bestill en demo.