Hva er kontroll 5.4 Ledelsesansvar
Hva er en informasjonssikkerhetspolicy?
En informasjonssikkerhetspolicy er et formelt dokument som gir ledelsen retning, mål og prinsipper for å beskytte en organisasjons informasjon. En effektiv informasjonssikkerhetspolicy bør skreddersys til de spesifikke behovene til en organisasjon og støttes av toppledelsen for å sikre riktig ressursallokering.
Retningslinjene kommuniserer de overordnede prinsippene for hvordan ledelsen ønsker at ansatte skal håndtere sensitive data og hvordan selskapet vil beskytte sine informasjonsressurser.
Politikken er ofte utledet fra lover, forskrifter og beste praksis som organisasjonen må følge. Informasjonssikkerhetspolicyer lages vanligvis av en organisasjons toppledelse, med innspill fra IT-sikkerhetspersonalet.
Retningslinjene bør også inneholde et rammeverk for å definere roller og ansvar , og en tidslinje for periodisk gjennomgang.
Attributttabell
Attributter er en måte å kategorisere ulike typer kontroller. Disse attributtene lar deg justere kontrollene dine etter industristandarder. I kontroll 5.4 er de:
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Identifisere | #Styresett | #Governance og økosystem |
| #Integritet | ||||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Hva er hensikten med kontroll 5.4?
Kontroll 5.4 ble utformet for å sikre at ledelsen forstår sitt ansvar innen informasjonssikkerhet, og at de tar grep for å sikre at alle ansatte er klar over og oppfyller sine forpliktelser innen informasjonssikkerhet.
Kontroll 5.4 Forklart
Informasjon er en verdifull ressurs og må beskyttes mot tap, skade eller misbruk. Organisasjonen skal sørge for at det iverksettes nødvendige tiltak for å beskytte denne ressursen. For at dette skal skje, må ledelsen sørge for at alt personell anvender alle organisasjonens retningslinjer for informasjonssikkerhet, emnespesifikke retningslinjer og prosedyrer.
Kontroll 5.4 dekker formålet med og implementeringsveiledningen for å definere ledelsesansvar med hensyn til informasjonssikkerhet i en organisasjon i tråd med rammeverket i ISO 27001.
Denne kontrollen handler om å sørge for at ledelsen er med på informasjonssikkerhetsprogrammet, og at alle ansatte og kontraktører er klar over og følger organisasjonens informasjonssikkerhetspolicy. Ingen skal noen gang være unntatt fra obligatorisk overholdelse av organisasjonens sikkerhetspolicyer, emnespesifikke policyer og prosedyrer.
Hva er involvert og hvordan du oppfyller kravene
Nøkkelen til å oppfylle kravene til denne kontrollen er å sikre at ledelsen er i stand til å tvinge alt relevant personell til å følge organisasjonens retningslinjer, standarder og prosedyrer for informasjonssikkerhet.
Det første trinnet er ledelsens engasjement og støtte. Ledelsen må vise sin forpliktelse ved å følge opp alle retningslinjer og prosedyrer den har på plass. Hvis du for eksempel krever at ansatte tar årlige sikkerhetsbevissthetskurs , bør ledere gå foran med et godt eksempel og fullføre disse kursene først.
Deretter gjelder det å kommunisere viktigheten av informasjonssikkerhet til alle i selskapet, uavhengig av rolle. Dette inkluderer styret, ledere og ledelse, samt ansatte. Alle må forstå sin rolle i å opprettholde sikkerheten til sensitive data som dekket i selskapets ISMS- program.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Forskjeller mellom ISO 27002:2013 og ISO 27002:2022
ISO 27002:2022 kontroll 5.4 Ledelsesansvar var tidligere kjent som kontroll 7.2.1 Ledelsesansvar i ISO 27002:2013. Dette er ikke en ny kontroll, men en mer robust tolkning av 2013-versjonen.
Mens kontroll 5.4 og kontroll 7.2.1 stort sett dekker det samme, er det få forskjeller som organisasjoner og bedriftsledere bør legge merke til. Disse forskjellene er dekket i implementeringsveiledningen for kontrollen.
Kontroll 5.4 ISO 27002:2013-2022 Implementeringsretningslinjer sammenlignet
I ISO 27002: 2013 dekker ledelsesansvar å sikre at ansatte og kontraktører:
a) er behørig informert om sine roller og ansvar innen informasjonssikkerhet før de får tilgang til konfidensiell informasjon eller informasjonssystemer;
b) er utstyrt med retningslinjer for å angi informasjonssikkerhetsforventninger til deres rolle innenfor
Organisasjon;
c) er motiverte til å oppfylle organisasjonens retningslinjer for informasjonssikkerhet;
d) oppnå et bevissthetsnivå om informasjonssikkerhet som er relevant for deres roller og ansvar i organisasjonen;
e) overholde ansettelsesvilkårene, som inkluderer organisasjonens informasjonssikkerhetspolicy og passende arbeidsmetoder;
f) fortsette å ha de nødvendige ferdighetene og kvalifikasjonene og få jevnlig opplæring;
g) får tilgang til en anonym rapporteringskanal for å rapportere brudd på retningslinjer eller prosedyrer for informasjonssikkerhet («varsling»).
Ledelsen bør demonstrere støtte til retningslinjer, prosedyrer og kontroller for informasjonssikkerhet, og fungere som en rollemodell.
Kontroll 5.4 er en mer brukervennlig versjon og krever at ledelsens ansvar sikrer at ansatte og kontraktører:
a) Bli behørig informert om sine roller og ansvar innen informasjonssikkerhet før de får tilgang til organisasjonens informasjon og andre tilknyttede eiendeler;
b) Får retningslinjer som angir forventningene til informasjonssikkerhet for deres rolle i organisasjonen;
c) Har mandat til å oppfylle organisasjonens retningslinjer for informasjonssikkerhet og emnespesifikke retningslinjer;
d) Oppnå et bevissthetsnivå om informasjonssikkerhet som er relevant for deres roller og ansvar i organisasjonen;
e) Overholdelse av ansettelsesvilkår, kontrakt eller avtale, inkludert organisasjonens informasjonssikkerhetspolicy og passende arbeidsmetoder;
f) Fortsette å ha nødvendige ferdigheter og kvalifikasjoner innen informasjonssikkerhet gjennom kontinuerlig faglig utdanning;
g) Der det er praktisk mulig, få tilgang til en konfidensiell kanal for rapportering av brudd på retningslinjer for informasjonssikkerhet, emnespesifikke retningslinjer eller prosedyrer for informasjonssikkerhet («varsling»). Dette kan tillate anonym rapportering, eller ha bestemmelser som sikrer at kun de som trenger å håndtere slike rapporter, får vite hvem som varsler;
h) Får tilstrekkelige ressurser og prosjektplanleggingstid for å implementere organisasjonens sikkerhetsrelaterte prosesser og kontroller.
Som du kan se, krever ISO 27002:2022 spesifikt at for å utføre organisasjonens sikkerhetsrelaterte prosedyrer og kontroller, får arbeidere og entreprenører nødvendige ressurser samt prosjektplanleggingstid.
Ordlydene i noen av implementeringsretningslinjene til ISO 27002:2013 vs ISO 27002:2020 ble også påvirket. Der retningslinje C i 2013-versjonen sier at ansatte og kontraktører er "motivert" til å ta i bruk selskapets ISMS-policyer, bruker 2022 ordet "mandat"
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvem er ansvarlig for denne prosessen?
Svaret på dette spørsmålet er ganske enkelt: ledelsen! Det er ledelsens ansvar å sørge for at et forsvarlig ISMS (Information Security Management System) implementeres.
Dette støttes normalt av utnevnelsen av en passende kvalifisert og erfaren informasjonssikkerhetssjef, som vil være ansvarlig overfor toppledelsen for å utvikle, implementere, administrere og kontinuerlig forbedre ISMS.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
En av de største utfordringene ved å implementere et ISO 27001-tilpasset ISMS er å holde oversikt over informasjonssikkerhetskontrollene. Systemet vårt gjør dette enkelt.
Vi forstår viktigheten av å beskytte organisasjonens data og omdømme. Derfor er vår skybaserte plattform utviklet for å forenkle implementeringen av ISO 27001, gi deg et robust rammeverk for informasjonssikkerhetskontroller og hjelpe deg med å oppnå sertifisering med minimale ressurser og tid.
Vi har inkludert en rekke brukervennlige funksjoner og verktøysett i plattformen vår for å spare deg tid og garantere at du lager et virkelig robust ISMS . Med ISMS.online kan du enkelt få ISO 27001-sertifisering og deretter enkelt administrere det.
Bestill en demonstrasjon i dag.
