ISO 27002:2022, Kontroll 5.26 – Respons på informasjonssikkerhetshendelser

Generell veiledning om kontroll 5.26

Kontroll 5.26 sier det eksplisitt informasjonssikkerhetshendelser bør håndteres med av et dedikert team som innehar den "påkrevde kompetansen" for å påvirke rask og grundig løsning av eventuelle hendelser som kommer deres vei (se kontroll 5.24).

Kontroll 5.26 skisserer 10 hovedveiledningspunkter for å sikre at prosedyrer for hendelseshåndtering følges:

1. Inneslutning og bekjempelse av trusler som oppstår fra den opprinnelige hendelsen.
2. Innsamling og bekreftelse av bevis umiddelbart etter at en informasjonssikkerhetshendelse har inntruffet.
3. Opptrapping, inkludert krisehåndtering, BUDR-aktiviteter og overordnet Forretnings kontinuitet planer (se kontroll 5.29 og 5.30).
4. Nøyaktig logging av all hendelsesrelatert aktivitet, inkludert den første responsen, for å hjelpe til med post mortem-analyse.
5. Følge et strengt «need to know»-prinsipp når man kommuniserer eksistensen av, og utviklingen knyttet til, informasjonssikkerhetsrelaterte hendelser.
6. Forblir oppmerksom på en organisasjonens ansvar til eksterne organisasjoner (klienter, leverandører, offentlige organer, regulatorer osv.) når de kommuniserer den bredere konsekvensen av informasjonssikkerhetshendelser.
7. Lukke en hendelse til et strengt sett med fullføringskriterier.
8. Rettsmedisinsk analyse (se kontroll 5.28).
9. Identifisere den underliggende årsaken til en hendelse, når nevnte hendelse er løst, inkludert tilstrekkelig registrering og kommunikasjon til alle relevante parter (se kontroll 5.27).
10. Håndtering av underliggende sårbarheter som har ført til informasjonssikkerhetsrelaterte hendelser og hendelser, inkludert identifisering og modifikasjon av interne prosesser, kontroller, retningslinjer og prosedyrer.

Støttekontroller

• 5.24
• 5.27
• 5.28
• 5.29
• 5.30

Endringer og forskjeller fra ISO 27002:2013

27002:2022-5.26 erstatter 27002:2013-16.1.5 (Reaksjon på informasjonssikkerhetshendelser).

ISO 27002:2022-5.26 går noen skritt lenger enn 27002:2013-16.1.5, med tillegg av fire nøkkelområder for vurdering:

• behovet for å begrense og redusere trusler som oppstår fra den opprinnelige hendelsen
• eskaleringsprosedyrer som er basert på krise ledelse og forretningskontinuitet
• fastslå nøyaktig hvorfor hendelsen skjedde, og kommunisere detaljer til alle relevante parter
• iverksette avhjelpende tiltak for å identifisere og endre interne prosesser, kontroller og retningslinjer som førte til den opprinnelige hendelsen

27002:2013-16.1.5 viser også til å gjenoppta "normalt sikkerhetsnivå" som det primære målet for en hendelsesrespons team i de tidlige stadiene av en eskalering. 27002:2022-5.26 gir ingen slik henvisning, og fokuserer i stedet på det generelle behovet for å inneholde trusler.

Hvordan ISMS.online hjelper

De ISMS.online plattformen er et flott verktøy for å hjelpe deg med å implementere og administrere et ISO 27002 Information Security Management System, uavhengig av din erfaring med standarden.

Systemet vårt vil veilede deg gjennom trinnene for å konfigurerte ISMS-en din og administrere det fremover.

Ta kontakt i dag for å bestill en demo.