Hva er kontroll 5.5 kontakt med myndigheter?
Kontroller klassifiseres ved hjelp av attributter. Ved å bruke disse kan du raskt matche kontrollutvalget ditt med ofte brukte bransjetermer og spesifikasjoner. Dette er de som finnes i kontroll 5.5.
Kontrollattributter 5.5
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Identifisere | #Styresett | #Forsvar |
| #Korrigerende | #Integritet | #Beskytte | #Motstandsdyktighet | |
| #Tilgjengelighet | #Svar | |||
| #Gjenopprette |
Hva er hensikten med kontroll 5.5?
Hensikten med Kontroll 5.5 er å sikre at det finner sted hensiktsmessig flyt av informasjon med hensyn til informasjonssikkerhet mellom organisasjonen og relevante lov-, regulerings- og tilsynsmyndigheter. Et hensiktsmessig forum for dialog og samarbeid mellom Selskapet og relevante juridiske, regulatoriske og tilsynsmyndigheter må være på plass.
Kontroll 5.5 dekker krav, formål og implementeringsinstruksjoner om hvordan identifisere og rapportere informasjonssikkerhetshendelser i tide, samt hvem og hvordan man skal kontakte ved en hendelse.
Målet med kontroll 5.5 er å identifisere hvilke interessenter (f.eks. rettshåndhevelse, reguleringsorganer, tilsynsmyndigheter) som må kontaktes i tilfelle en sikkerhetshendelse. Det er viktig at du allerede har identifisert disse interessentene før en hendelse inntreffer.
Kontakt med myndigheter innebærer at organisasjonen bør etablere og gjennomføre uformell kommunikasjon med myndigheter om informasjonssikkerhetsspørsmål, herunder:
- Løpende kommunikasjon med relevante myndigheter for å sikre at organisasjonen er klar over av aktuelle trusler og sårbarheter.
- Informere relevante myndigheter om sårbarheter oppdaget i organisasjonens produkter, tjenester eller systemer.
- Motta informasjon fra relevante myndigheter om trusler og sårbarheter.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Hva er involvert og hvordan du oppfyller kravene
Hovedmålet med kontroll 5.5 er å etablere organisasjonens forhold til rettshåndhevende instanser når det gjelder håndtering av informasjonssikkerhetsrisikoer.
For å oppfylle kravene til kontroll 5.5 forventes det at dersom en informasjonssikkerhetshendelse oppdages, bør organisasjonen spesifisere når og av hvilke myndigheter (som rettshåndhevelse, reguleringsorganer og tilsynsmyndigheter) skal varsles, samt hvordan identifiserte informasjonssikkerhetshendelser skal rapporteres i tide.
Informasjonsutveksling med myndigheter bør også brukes for å få bedre kunnskap om eksisterende og kommende forventninger til disse etatene (f.eks. gjeldende informasjonssikkerhetsforskrifter).
Dette kravet er utformet for å sikre at organisasjonen har en sammenhengende strategi for sitt forhold til rettshåndhevende instanser og at den har identifisert det mest hensiktsmessige kontaktpunktet i disse byråene.
Kontakter med tilsynsorganer er også nyttig for å forutse og forberede kommende endringer i relevante lover eller forskrifter som påvirker organisasjonen.
Forskjeller mellom ISO 27002:2013 og ISO 27002:2022
Kontroll 5.5: Kontakt med myndigheter er ikke et nytt tillegg i ISO 27002:2022. Det er en eksisterende kontroll i den originale ISO 27002:2013 med kontrollnummer 6.1.3. Dette betyr at kontrollnummeret ble endret i den nye versjonen av ISO 27002.
Bortsett fra å endre kontrollnummeret, ble fraseologien også endret. Hvor kontroll 5.5 sier at "Organisasjonen bør etablere og opprettholde kontakt med relevante myndigheter." Kontroll 6.1.3 sier at "Det bør opprettholdes hensiktsmessige kontakter med relevante myndigheter." Denne endringen i fraseologi er designet for å gjøre denne kontrollen mer brukervennlig.
I 2022-versjonen var et kontrollformål inkludert. Dette er ikke tilgjengelig i 2013-versjonen.
Samtidig, mens essensen av begge kontrollene forblir den samme, er det subtile variasjoner som skiller hverandre fra hverandre.
Kontroll 5.5 i ISO 27002:2022 legger videre til at kontakter med myndigheter også bør brukes for å lette forståelsen av gjeldende og kommende forventninger til disse myndighetene (f.eks. gjeldende informasjonssikkerhetsforskrifter). Dette mangler i 2013-versjonen.
Hvem er ansvarlig for denne prosessen?
Ocuco person ansvarlig for denne rollen er vanligvis informasjonssikkerhetssjef.
Andre personer kan utføre denne funksjonen, men de må rapportere til informasjonssikkerhetssjefen slik at de kan ha tilsyn med disse aktivitetene. Dette opprettholder et konsistent budskap og sikrer et konsistent forhold til myndighetene.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hva betyr disse endringene for deg?
Når en ny sertifiseringsstandard publiseres, vil det vanligvis være en overgangstid. For de fleste sertifiseringssyklusene er det en overgangstid på to til tre år.
Når det er sagt, er den siste utgaven av ISO 27002 definitivt viktig hvis du har tenkt å gjøre det distribuere en ISMS (og muligens til og med vurdere en ISMS-sertifisering), og du må sørge for at sikkerhetstiltakene dine er oppdatert.
Blant aktivitetene som skal utføres er, men er ikke begrenset til, følgende:
- Kjøper den nyeste standarden.
- Undersøk den nye standarden for å se hvordan den har endret seg. Standarden vil gi en kartleggingstabell som viser hvordan den nye standarden samsvarer med ISO 27002:2013-standarden.
- Gjennomføre a risikoanalyse samt en kontrollgapanalyse.
Velg kontrollene som er relevante og endre din ISMS-policyer, standarder og annen dokumentasjon. - Gjør eventuelle nødvendige endringer i din Anvendelseserklæring.
- Du bør revidere internrevisjonsprogrammet for å gjenspeile de forbedrede kontrollene du har valgt.
Se vår veiledning til ISO 27002:2022, hvor du kan finne ut mer om hvordan disse endringene for kontroll 5.5 vil påvirke organisasjonen din.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
Å holde styr på informasjonssikkerhetskontrollene dine er en av de vanskeligste aspektene ved å implementere en ISMS som er i samsvar med ISO 27001. Men vår skybaserte plattform gjør dette enkelt.
Vår skybaserte plattform gir deg et robust rammeverk av informasjonssikkerhet kontroller slik at du kan sjekke ISMS-prosessen din mens du går for å sikre at den oppfyller kravene til ISO 27k. Brukt riktig, ISMS. online kan hjelpe deg med å oppnå sertifisering med et minimum av tid og ressurser.
Ta kontakt i dag for å bestill en demo.
