ISO 27002:2022, Kontroll 5.30 – IKT-beredskap for forretningskontinuitet

Generell veiledning for kontroll 5.30

Prosesser og prosedyrer opprettet gjennom kontroll 5.30 bør utarbeides etter en grundig BIA, som vurderer hvordan en organisasjonens behov å reagere når man opplever driftsforstyrrelser.

En BIA bør benytte seg av ulike påvirkningstyper og organisasjonsspesifikke variabler for å måle hvordan forretningskontinuiteten vil bli påvirket, dersom noen eller alle produkter og tjenester skulle gjøres utilgjengelige eller ubrukelige på grunn av forstyrrelser.

Organisasjoner bør bruke to nøkkelvariabler for å formulere en avtalt RTO, som setter klare mål for gjenopptakelse av normal drift:

a) den størrelsesorden av forstyrrelsen

b) den typen av forstyrrelser som er opplevd

Innenfor deres BIA bør organisasjoner kunne spesifisere nøyaktig hvilke IKT-tjenester og funksjoner som kreves for å oppnå utvinning, inkludert individuelle ytelse og kapasitet krav.

Organisasjoner bør gjennomgå en risikovurdering som evaluerer deres IKT-systemer og danner grunnlaget for en IKT-kontinuitetsstrategi (eller -strategier) som styrker utvinning før, under og etter en periode med avbrudd.

Når en strategi er vedtatt, bør spesifikke prosesser og planer settes på plass for å sikre at IKT-tjenestene er robuste og tilstrekkelige nok til å bidra til gjenoppretting av kritiske prosesser og systemer, før, under og etter avbrudd.

Innenfor rammen av IKT-kontinuitetsplaner, skisserer Kontroll 5.30 tre hovedveiledningspunkter:

1. IKT-hendelser krever ofte raske beslutninger knyttet til informasjonssikkerhet av ledende ansatte, for å fremskynde gjenoppretting.
   
   Organisasjoner må opprettholde en robust kommandokjede som inkluderer kompetente personer med evne til å ta autoritative beslutninger om tekniske spørsmål knyttet til forretningskontinuitet og RTO-overholdelse.
   
   Organisasjonsstrukturer må være oppdatert og kommunisert bredt, for å lette tilstrekkelig kommunikasjon og raskere gjenopprettingstider.
2. IKT-kontinuitetsplaner bør vies stor oppmerksomhet, inkludert regelmessig testing og evalueringer, og godkjenning av toppledelsen.
   
   Organisasjoner bør gjennomføre testkjøringer for å måle effektiviteten deres, og måle nøkkeltall som respons- og løsningstider.
3. IKT-kontinuitetsplaner bør inneholde følgende informasjon:
   
   a) ytelses- og kapasitetskrav til alle systemer eller prosesser som brukes i gjenopprettingsarbeid
   
   b) en tydelig RTO for hver aktuelle IKT-tjeneste, og hvordan organisasjonen tar sikte på å gjenopprette dem
   
   c) et gjenopprettingspunktmål (RPO) er utpekt for hver IKT-ressurs, og det opprettes prosedyrer som sikrer at informasjon kan gjenopprettes.

Endringer fra ISO 27002:2013

ISO 27002: 2022, kontroll 5.30 er en ny kontroll uten prioritet i ISO 27002:2013.

Hvordan ISMS.online hjelper

ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.

Vår plattform er intuitiv og enkel å bruke. Det er ikke bare for svært tekniske mennesker; det er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med bygge din ISMS, fordi det hjelper deg å bygge et virkelig bærekraftig system.

Ta kontakt i dag for å bestill en demo.