ISO 27002:2022, kontroll 5.37 – dokumenterte driftsprosedyrer

Generell veiledning om kontroll 5.37

Det bør opprettes prosedyrer for informasjonssikkerhetsrelaterte aktiviteter i samsvar med 5 viktige operasjonelle hensyn:

1. Enhver forekomst av en aktivitet som utføres av en eller flere personer, på samme måte.
2. Når en aktivitet ikke utføres ofte.
3. Når en prosedyre medfører risiko for å bli glemt.
4. Eventuelle nye aktiviteter som er ukjente for personalet, og derfor er utsatt for en høyere grad av risiko.
5. Når ansvaret for å utføre en aktivitet overføres til en annen ansatt eller gruppe ansatte.

Der disse tilfellene oppstår, bør dokumenterte driftsprosedyrer tydelig skissere:

1. Eventuelle ansvarlige – både etablerte og nye operatører.
2. Et sett med retningslinjer som opprettholder sikkerheten under installasjonen og påfølgende konfigurasjon av eventuelle relaterte forretningssystemer.
3. Hvordan informasjon behandles gjennom hele aktiviteten.
4. BUDR-planer og implikasjoner, i tilfelle tap av data eller en større hendelse (se kontroll 8.13).
5. Koblede avhengigheter med andre systemer, inkludert planlegging.
6. En klar prosedyre for å håndtere "håndteringsfeil" eller diverse hendelser som har potensial til å oppstå (se kontroll 8.18).
7. En fullstendig liste over personell som skal kontaktes i tilfelle avbrudd, inkludert klare eskaleringsprosedyrer.
8. Hvordan betjene eventuelle relevante lagringsmedier knyttet til aktiviteten (se kontrollene 7.10 og 7.14).
9. Hvordan starte på nytt og gjenopprette fra en systemfeil.
10. Revisjonssporlogging, inkludert alle tilhørende hendelses- og systemlogger (se kontrollene 8.15 og 8.17).
11. Videoovervåkingssystemer som overvåker aktiviteter på stedet (se kontroll 7.4).
12. Et robust sett med overvåkingsprosedyrer som imøtekommer den operative kapasiteten, ytelsespotensial og sikkerhet av nevnte aktivitet.
13. Hvordan aktiviteten skal opprettholdes, for å holdes på optimale prestasjonsnivåer.

Alle de ovennevnte prosedyrene bør være gjenstand for periodiske og/eller ad-hoc gjennomganger, etter behov, med alle endringer ratifisert av ledelsen i tide for å ivareta informasjonssikkerhetsaktivitet på tvers av organisasjonen.

Endringer og forskjeller fra ISO 27002:2013

27002:2022-5.37 erstatter 27002:2013-12.1.1 (Dokumenterte driftsprosedyrer).

27002:2022-5.37 utvider 27002:2013-12.1.1 ved å tilby et mye bredere sett av omstendigheter som vil rettferdiggjøre overholdelse av en dokumentprosedyre.

27002:2013-12.1.1 lister informasjonsbehandlingsaktiviteter som prosedyrer for oppstart og avslutning av datamaskiner, sikkerhetskopiering, vedlikehold av utstyr, mediehåndtering, mens 27002:2022-5.37 utvider kontrollens ansvarsområde til generaliserte aktiviteter som ikke er begrenset til spesifikke tekniske funksjoner.

Bortsett fra noen få mindre tillegg – som å kategorisere personene som er ansvarlige for en aktivitet – inneholder 27002:2022-5.37 de samme generelle retningslinjene som 27002:2013-12.1.1

Hvordan ISMS.online hjelper

ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.

• Brukere kan fullføre oppgaver og sende inn bevis for å demonstrere samsvar med standarden.
• Det er enkelt å delegere ansvar og overvåke fremdriften mot overholdelse.
• Det omfattende verktøysett for risikovurdering sparer tid og krefter gjennom hele prosessen.
• Vi har en dedikert team av konsulenter tilgjengelig for å støtte deg gjennom hele reisen mot samsvar.

Ta kontakt i dag for å bestill en demo.