Formål med kontroll 5.30
Kontroll 5.30 anerkjenner den viktige rollen som IKT-plattformer og tjenester spiller i opprettholde forretningskontinuitet, etter avbrudd eller en kritisk hendelse.
Kontroll 5.30 skisserer hvordan IKT-tjenester samhandler med ulike nøkkeltall og støttekontroller, inkludert en organisasjons mål for gjenopprettingstid (RTO) og helheten forretningskonsekvensanalyse (BIA).
Sluttmålet er å sikre at informasjonsintegritet og tilgjengelighet opprettholdes før, under og etter en periode med forretningsavbrudd.
Attributttabell for kontroll 5.30
5.30 er en korrigerende kontroll som opprettholder risiko ved å skape IKT-kontinuitetsplaner som bidrar til organisasjonens samlede nivå av operasjonell motstandskraft.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Korrigerende | #Tilgjengelighet | #Svar | #Kontinuitet | #Motstandsdyktighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning for kontroll 5.30
Prosesser og prosedyrer opprettet gjennom kontroll 5.30 bør utarbeides etter en grundig BIA, som vurderer hvordan en organisasjonens behov å reagere når man opplever driftsforstyrrelser.
En BIA bør benytte seg av ulike påvirkningstyper og organisasjonsspesifikke variabler for å måle hvordan forretningskontinuiteten vil bli påvirket, dersom noen eller alle produkter og tjenester skulle gjøres utilgjengelige eller ubrukelige på grunn av forstyrrelser.
Organisasjoner bør bruke to nøkkelvariabler for å formulere en avtalt RTO, som setter klare mål for gjenopptakelse av normal drift:
a) den størrelsesorden av forstyrrelsen
b) den typen av forstyrrelser som er opplevd
Innenfor deres BIA bør organisasjoner kunne spesifisere nøyaktig hvilke IKT-tjenester og funksjoner som kreves for å oppnå utvinning, inkludert individuelle ytelse og kapasitet krav.
Organisasjoner bør gjennomgå en risikovurdering som evaluerer deres IKT-systemer og danner grunnlaget for en IKT-kontinuitetsstrategi (eller -strategier) som styrker utvinning før, under og etter en periode med avbrudd.
Når en strategi er vedtatt, bør spesifikke prosesser og planer settes på plass for å sikre at IKT-tjenestene er robuste og tilstrekkelige nok til å bidra til gjenoppretting av kritiske prosesser og systemer, før, under og etter avbrudd.
Innenfor rammen av IKT-kontinuitetsplaner, skisserer Kontroll 5.30 tre hovedveiledningspunkter:
- IKT-hendelser krever ofte raske beslutninger knyttet til informasjonssikkerhet av ledende ansatte, for å fremskynde gjenoppretting.
- IKT-kontinuitetsplaner bør vies stor oppmerksomhet, inkludert regelmessig testing og evalueringer, og godkjenning av toppledelsen.
- IKT-kontinuitetsplaner bør inneholde følgende informasjon:
Organisasjoner må opprettholde en robust kommandokjede som inkluderer kompetente personer med evne til å ta autoritative beslutninger om tekniske spørsmål knyttet til forretningskontinuitet og RTO-overholdelse.
Organisasjonsstrukturer må være oppdatert og kommunisert bredt, for å lette tilstrekkelig kommunikasjon og raskere gjenopprettingstider.
Organisasjoner bør gjennomføre testkjøringer for å måle effektiviteten deres, og måle nøkkeltall som respons- og løsningstider.
a) ytelses- og kapasitetskrav til alle systemer eller prosesser som brukes i gjenopprettingsarbeid
b) en tydelig RTO for hver aktuelle IKT-tjeneste, og hvordan organisasjonen tar sikte på å gjenopprette dem
c) et gjenopprettingspunktmål (RPO) er utpekt for hver IKT-ressurs, og det opprettes prosedyrer som sikrer at informasjon kan gjenopprettes.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Endringer fra ISO 27002:2013
ISO 27002: 2022, kontroll 5.30 er en ny kontroll uten prioritet i ISO 27002:2013.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.
Vår plattform er intuitiv og enkel å bruke. Det er ikke bare for svært tekniske mennesker; det er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med bygge din ISMS, fordi det hjelper deg å bygge et virkelig bærekraftig system.
Ta kontakt i dag for å bestill en demo.
