ISO 27002:2022, Kontroll 5.5 – Kontakt med myndigheter

Hva er hensikten med kontroll 5.5?

Hensikten med Kontroll 5.5 er å sikre at det finner sted hensiktsmessig flyt av informasjon med hensyn til informasjonssikkerhet mellom organisasjonen og relevante lov-, regulerings- og tilsynsmyndigheter. Et hensiktsmessig forum for dialog og samarbeid mellom Selskapet og relevante juridiske, regulatoriske og tilsynsmyndigheter må være på plass.

Kontroll 5.5 dekker krav, formål og implementeringsinstruksjoner om hvordan identifisere og rapportere informasjonssikkerhetshendelser i tide, samt hvem og hvordan man skal kontakte ved en hendelse.

Målet med kontroll 5.5 er å identifisere hvilke interessenter (f.eks. rettshåndhevelse, reguleringsorganer, tilsynsmyndigheter) som må kontaktes i tilfelle en sikkerhetshendelse. Det er viktig at du allerede har identifisert disse interessentene før en hendelse inntreffer.

Kontakt med myndigheter innebærer at organisasjonen bør etablere og gjennomføre uformell kommunikasjon med myndigheter om informasjonssikkerhetsspørsmål, herunder:

• Løpende kommunikasjon med relevante myndigheter for å sikre at organisasjonen er klar over av aktuelle trusler og sårbarheter.
• Informere relevante myndigheter om sårbarheter oppdaget i organisasjonens produkter, tjenester eller systemer.
• Motta informasjon fra relevante myndigheter om trusler og sårbarheter.

Hva er involvert og hvordan du oppfyller kravene

Hovedmålet med kontroll 5.5 er å etablere organisasjonens forhold til rettshåndhevende instanser når det gjelder håndtering av informasjonssikkerhetsrisikoer.

For å oppfylle kravene til kontroll 5.5 forventes det at dersom en informasjonssikkerhetshendelse oppdages, bør organisasjonen spesifisere når og av hvilke myndigheter (som rettshåndhevelse, reguleringsorganer og tilsynsmyndigheter) skal varsles, samt hvordan identifiserte informasjonssikkerhetshendelser skal rapporteres i tide.

Informasjonsutveksling med myndigheter bør også brukes for å få bedre kunnskap om eksisterende og kommende forventninger til disse etatene (f.eks. gjeldende informasjonssikkerhetsforskrifter).

Dette kravet er utformet for å sikre at organisasjonen har en sammenhengende strategi for sitt forhold til rettshåndhevende instanser og at den har identifisert det mest hensiktsmessige kontaktpunktet i disse byråene.

Kontakter med tilsynsorganer er også nyttig for å forutse og forberede kommende endringer i relevante lover eller forskrifter som påvirker organisasjonen.

Forskjeller mellom ISO 27002:2013 og ISO 27002:2022

Kontroll 5.5: Kontakt med myndigheter er ikke et nytt tillegg i ISO 27002:2022. Det er en eksisterende kontroll i den originale ISO 27002:2013 med kontrollnummer 6.1.3. Dette betyr at kontrollnummeret ble endret i den nye versjonen av ISO 27002.

Bortsett fra å endre kontrollnummeret, ble fraseologien også endret. Hvor kontroll 5.5 sier at "Organisasjonen bør etablere og opprettholde kontakt med relevante myndigheter." Kontroll 6.1.3 sier at "Det bør opprettholdes hensiktsmessige kontakter med relevante myndigheter." Denne endringen i fraseologi er designet for å gjøre denne kontrollen mer brukervennlig.

I 2022-versjonen var et kontrollformål inkludert. Dette er ikke tilgjengelig i 2013-versjonen.

Samtidig, mens essensen av begge kontrollene forblir den samme, er det subtile variasjoner som skiller hverandre fra hverandre.

Kontroll 5.5 i ISO 27002:2022 legger videre til at kontakter med myndigheter også bør brukes for å lette forståelsen av gjeldende og kommende forventninger til disse myndighetene (f.eks. gjeldende informasjonssikkerhetsforskrifter). Dette mangler i 2013-versjonen.

Hvem er ansvarlig for denne prosessen?

De person ansvarlig for denne rollen er vanligvis informasjonssikkerhetssjef.

Andre personer kan utføre denne funksjonen, men de må rapportere til informasjonssikkerhetssjefen slik at de kan ha tilsyn med disse aktivitetene. Dette opprettholder et konsistent budskap og sikrer et konsistent forhold til myndighetene.

Hva betyr disse endringene for deg?

Når en ny sertifiseringsstandard publiseres, vil det vanligvis være en overgangstid. For de fleste sertifiseringssyklusene er det en overgangstid på to til tre år.

Når det er sagt, er den siste utgaven av ISO 27002 definitivt viktig hvis du har tenkt å gjøre det distribuere en ISMS (og muligens til og med vurdere en ISMS-sertifisering), og du må sørge for at sikkerhetstiltakene dine er oppdatert.

Blant aktivitetene som skal utføres er, men er ikke begrenset til, følgende:

• Kjøper den nyeste standarden.
• Undersøk den nye standarden for å se hvordan den har endret seg. Standarden vil gi en kartleggingstabell som viser hvordan den nye standarden samsvarer med ISO 27002:2013-standarden.
• Gjennomføre a risikoanalyse samt en kontrollgapanalyse.
  Velg kontrollene som er relevante og endre din ISMS-policyer, standarder og annen dokumentasjon.
• Gjør eventuelle nødvendige endringer i din Anvendelseserklæring.
• Du bør revidere internrevisjonsprogrammet for å gjenspeile de forbedrede kontrollene du har valgt.

Se vår veiledning til ISO 27002:2022, hvor du kan finne ut mer om hvordan disse endringene for kontroll 5.5 vil påvirke organisasjonen din.

Hvordan ISMS.online hjelper

Å holde styr på informasjonssikkerhetskontrollene dine er en av de vanskeligste aspektene ved å implementere en ISMS som er i samsvar med ISO 27001. Men vår skybaserte plattform gjør dette enkelt.

Vår skybaserte plattform gir deg et robust rammeverk av informasjonssikkerhet kontroller slik at du kan sjekke ISMS-prosessen din mens du går for å sikre at den oppfyller kravene til ISO 27k. Brukt riktig, ISMS. online kan hjelpe deg med å oppnå sertifisering med et minimum av tid og ressurser.

Ta kontakt i dag for å bestill en demo.