Formål med kontroll 5.30
Control 5.30 anerkjenner den viktige rollen IKT-plattformer og -tjenester spiller for å opprettholde forretningskontinuitet etter avbrudd eller en kritisk hendelse.
Kontroll 5.30 skisserer hvordan IKT-tjenester samhandler med ulike viktige målinger og støttende kontroller, inkludert en organisasjons gjenopprettingstidsmål (RTO) og den overordnede forretningskonsekvensanalysen (BIA).
Sluttmålet er å sikre at informasjonsintegritet og tilgjengelighet opprettholdes før, under og etter en periode med forretningsavbrudd.
Attributttabell for kontroll 5.30
5.30 er en korrigerende kontroll som opprettholder risiko ved å lage IKT-kontinuitetsplaner som bidrar til organisasjonens generelle nivå av operasjonell robusthet.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Korrigerende | #Tilgjengelighet | #Svar | #Kontinuitet | #Motstandsdyktighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning for kontroll 5.30
Prosesser og prosedyrer opprettet gjennom Kontroll 5.30 bør utarbeides etter en grundig BIA, som vurderer hvordan en organisasjon må reagere når den opplever driftsforstyrrelser.
En BIA bør bruke ulike konsekvenstyper og organisasjonsspesifikke variabler for å måle hvordan forretningskontinuiteten vil bli påvirket dersom noen eller alle produkter og tjenester blir utilgjengelige eller ubrukelige på grunn av et hvilket som helst nivå av forstyrrelser.
Organisasjoner bør bruke to nøkkelvariabler for å formulere en avtalt RTO, som setter klare mål for gjenopptakelse av normal drift:
a) omfanget av forstyrrelsen
b) typen forstyrrelse som opplevdes
Innenfor sin BIA bør organisasjoner kunne spesifisere nøyaktig hvilke IKT-tjenester og -funksjoner som kreves for å oppnå gjenoppretting, inkludert individuelle ytelses- og kapasitetskrav.
Organisasjoner bør gjennomgå en risikovurdering som evaluerer IKT-systemene deres og danner grunnlaget for en IKT-kontinuitetsstrategi (eller -strategier) som styrker gjenoppretting før, under og etter en periode med forstyrrelser.
Når en strategi er vedtatt, bør spesifikke prosesser og planer settes på plass for å sikre at IKT-tjenestene er robuste og tilstrekkelige nok til å bidra til gjenoppretting av kritiske prosesser og systemer, før, under og etter avbrudd.
Innenfor rammene av IKT-kontinuitetsplaner skisserer Kontroll 5.30 tre hovedveiledningspunkter :
- IKT-hendelser krever ofte raske beslutninger knyttet til informasjonssikkerhet av ledende ansatte, for å fremskynde gjenoppretting.
- IKT-kontinuitetsplaner bør vies stor oppmerksomhet, inkludert regelmessig testing og evalueringer, og godkjenning av toppledelsen.
- IKT-kontinuitetsplaner bør inneholde følgende informasjon:
Organisasjoner må opprettholde en robust kommandokjede som inkluderer kompetente individer med evnen til å ta autoritative beslutninger om tekniske spørsmål knyttet til forretningskontinuitet og overholdelse av RTO-er.
Organisasjonsstrukturer må være oppdatert og kommunisert bredt, for å lette tilstrekkelig kommunikasjon og raskere gjenopprettingstider.
Organisasjoner bør gjennomføre testkjøringer for å måle effektiviteten deres, og måle nøkkeltall som respons- og løsningstider.
a) ytelses- og kapasitetskrav for alle systemer eller prosesser som brukes i gjenopprettingsarbeidet
b) en tydelig RTO for hver aktuelle IKT-tjeneste, og hvordan organisasjonen har som mål å gjenopprette dem
c) et gjenopprettingspunktmål (RPO) utpekes for hver IKT-ressurs, og det opprettes prosedyrer som sikrer at informasjon kan gjenopprettes.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Endringer fra ISO 27002:2013
ISO 27002:2022 , kontroll 5.30 er en ny kontroll uten presedens i ISO 27002:2013.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
Implementeringen av ISO 27002 er enklere med vår trinnvise sjekkliste som veileder deg gjennom hele prosessen, fra å definere omfanget av ISMS-systemet ditt til risikoidentifisering og implementering av kontroll.
Plattformen vår er intuitiv og brukervennlig. Den er ikke bare for svært teknisk kyndige personer; den er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med å bygge ISMS-systemet ditt , fordi det hjelper deg med å bygge et virkelig bærekraftig system.
Ta kontakt i dag for å bestille en demonstrasjon.
