ISO 27002-kontroll 5.35: Hvorfor uavhengige sikkerhetsvurderinger er viktige
Informasjonssikkerhet er et sentralt aspekt ved en organisasjons praksis for datastyring.
Såpass mye at det er nødvendig å eliminere selvtilfredshet ved å gjennomføre regelmessige uavhengige evalueringer av hvordan en organisasjon håndterer menneskene, prosessene og teknologiene som er involvert i å opprettholde en effektiv informasjonssikkerhetsdrift.
Formål med kontroll 5.35
Kontroll 5.35 krever at organisasjoner utfører uavhengige gjennomganger av deres informasjonssikkerhetspraksis – både med planlagte intervaller og når store operasjonelle endringer skjer – for å sikre at retningslinjer for informasjonssikkerhetsstyring er:
- Tilstrekkelig – De har kapasitet til å oppnå etterlevelse
- Egnet – De prøver å oppnå de riktige målene
- Effektive – De fungerer etter hensikten
Attributttabell
Kontroll 5.35 er en forebyggende og korrigerende kontroll som opprettholder risiko ved å lage prosesser som legger til rette for regelmessige gjennomganger av en organisasjons praksis for informasjonssikkerhetsstyring.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Identifisere | #Informasjonssikkerhetsforsikring | #Governance og økosystem |
| #Korrigerende | #Integritet | #Beskytte | ||
| #Tilgjengelighet |
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Eierskap til kontroll 5.35
Kontroll 5.35 omhandler primært operative forhold. Som sådan bør eierskapet ligge hos COO, eller CISO (hvis tilstede).
Generell veiledning om kontroll 5.35
Det overordnede målet er at ledelsen skal opprette og implementere prosesser som tilrettelegger for uavhengige gjennomganger av deres informasjonssikkerhetspraksis.
Gjennomgangene bør fokusere på eventuelle endringer som er nødvendige for å forbedre en organisasjons tilnærming til informasjonssikkerhet , inkludert:
- Ocuco informasjonssikkerhetspolitikk.
- Emnespesifikke retningslinjer.
- Relaterte kontroller.
Enhver gjennomgang bør utføres av en person i eller utenfor organisasjonen som ikke har en egeninteresse i det de etterforsker, for eksempel:
- Internrevisorer.
- Selvstendige avdelingsledere.
- Tredjepartsorganisasjoner.
Den som gjennomfører gjennomgangen bør ha den relevante operative kompetansen til å foreta en forsvarlig vurdering av funnene sine, og (når det gjelder interne ansatte) bør ikke deres jobbrolle hindre dem i å foreta en gyldig og legitim vurdering.
Resultatene av gjennomgangen bør registreres, lagres og rapporteres grundig til lederen (eller grupper av ledere) som ba om det, og i visse tilfeller til C-suite-nivå eller eierskap.
Evaluatorer bør søke å fastslå hvorvidt informasjonssikkerhetspraksis er i samsvar med organisasjonens "dokumenterte mål og krav" angitt i informasjonssikkerhetspolicyen, eller eventuelle emnespesifikke retningslinjer.
Ved siden av periodiske gjennomganger kan det være nødvendig å sette i gang ad hoc-gjennomganger. Disse vurderingene kan begrunnes på tvers av 5 nøkkelområder:
- Eventuelle lover, retningslinjer eller forskrifter endres som påvirker organisasjonens informasjonssikkerhetsdrift.
- Major hendelser som har innvirkning på informasjonssikkerheten (tap av data, inntrenging osv.).
- En ny virksomhet opprettes, eller det vedtas store endringer i den nåværende virksomheten.
- Ocuco organisasjonen tar i bruk et nytt produkt eller en tjeneste som har informasjonssikkerhet implikasjoner, eller gjør underliggende endringer i et nåværende produkt eller tjeneste.
- Det gjøres store endringer i organisasjonens bank for informasjonssikkerhetskontroller, retningslinjer og prosedyrer.
Supplerende veiledning
ISO/IEC 27007 og ISO/IEC TS 27008 inneholder ytterligere veiledning om praksisen med uavhengige vurderinger.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022-5.35 erstatter 27002:2013-18.1.2 (Uavhengig gjennomgang av informasjonssikkerhet).
27002:2022-5.35 inneholder samme generelle veiledning som 27002:2013-18.1.2, men går et skritt videre i å fastsette konkrete eksempler på når en organisasjon bør gjennomføre ad-hoc-gjennomganger, ved siden av sine periodiske vurderinger.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.online effektiviserer implementeringsprosessen for ISO 27002 ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer og sjekklister for informasjonssikkerhetsstyringssystemer for å sikre samsvar med anerkjente standarder.
Når du bruker ISMS.online , vil du kunne:
opprette en ISMS som er kompatibel med ISO 27001 standarder.
utføre oppgaver og levere bevis for at de har oppfylt kravene i standarden.
tildele oppgaver og spore fremdriften mot overholdelse av loven.
få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom veien mot overholdelse.
Ta kontakt i dag for å bestille en demonstrasjon.
