ISO 27002:2022, Kontroll 5.35 – Uavhengig gjennomgang av informasjonssikkerhet

Eierskap til kontroll 5.35

Kontroll 5.35 omhandler primært operative forhold. Som sådan bør eierskapet ligge hos COO, eller CISO (hvis tilstede).

Generell veiledning om kontroll 5.35

Det overordnede målet er for ledelsen for å lage og implementere prosesser som tar hensyn til uavhengige vurderinger av deres informasjonssikkerhet praksis.

Anmeldelser bør fokusere på eventuelle endringer nødvendig for å forbedre en organisasjons tilnærming til informasjonssikkerhet, Inkludert:

1. De informasjonssikkerhetspolitikk.
2. Emnespesifikke retningslinjer.
3. Relaterte kontroller.

Enhver gjennomgang bør utføres av en person i eller utenfor organisasjonen som ikke har en egeninteresse i det de etterforsker, for eksempel:

1. Internrevisorer.
2. Selvstendige avdelingsledere.
3. Tredjepartsorganisasjoner.

Den som foretar gjennomgangen bør ha det relevante operativ kompetanse å foreta en forsvarlig vurdering av funnene deres, og (når det gjelder interne ansatte) deres jobbrolle bør ikke hindre dem i å foreta en gyldig og legitim vurdering.

Resultatene av gjennomgangen bør registreres, lagres og rapporteres grundig til lederen (eller grupper av ledere) som ba om det, og i visse tilfeller til C-suite-nivå eller eierskap.

Evaluatorer bør søke å fastslå hvorvidt informasjonssikkerhetspraksis er i samsvar med organisasjonens "dokumenterte mål og krav" angitt i informasjonssikkerhetspolicyen, eller eventuelle emnespesifikke retningslinjer.

Ved siden av periodiske gjennomganger kan det være nødvendig å sette i gang ad hoc-gjennomganger. Disse vurderingene kan begrunnes på tvers av 5 nøkkelområder:

1. Eventuelle lover, retningslinjer eller forskrifter endres som påvirker organisasjonens informasjonssikkerhetsdrift.
2. Major hendelser som har innvirkning på informasjonssikkerheten (tap av data, inntrenging osv.).
3. En ny virksomhet opprettes, eller det vedtas store endringer i den nåværende virksomheten.
4. De organisasjonen tar i bruk et nytt produkt eller en tjeneste som har informasjonssikkerhet implikasjoner, eller gjør underliggende endringer i et nåværende produkt eller tjeneste.
5. Det gjøres store endringer i organisasjonens bank for informasjonssikkerhetskontroller, retningslinjer og prosedyrer.

Supplerende veiledning

ISO / IEC 27007 og ISO/IEC TS 27008 inneholder ytterligere veiledning om praktisering av uavhengige vurderinger.

Endringer og forskjeller fra ISO 27002:2013

27002:2022-5.35 erstatter 27002:2013-18.1.2 (Uavhengig gjennomgang av informasjonssikkerhet).

27002:2022-5.35 inneholder samme generelle veiledning som 27002:2013-18.1.2, men går et skritt videre i å fastsette konkrete eksempler på når en organisasjon bør gjennomføre ad-hoc-gjennomganger, ved siden av sine periodiske vurderinger.

Hvordan ISMS.online hjelper

ISMS.online effektiviserer ISO 27002 implementeringsprosess ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer for informasjonssikkerhetsstyringssystem og sjekklister for å sikre samsvar med anerkjente standarder.

Når du bruk ISMS.online, du vil kunne:

opprette en ISMS som er kompatibel med ISO 27001 standarder.
utføre oppgaver og levere bevis for at de har oppfylt kravene i standarden.
tildele oppgaver og spore fremdriften mot overholdelse av loven.
få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom veien mot overholdelse.

Ta kontakt i dag for å bestill en demo.