ISO 27002:2022, Kontroll 5.8 – Informasjonssikkerhet i prosjektledelse

Informasjonssikkerhet i prosjektledelse

Ettersom flere og flere virksomheter håndterer sine aktiviteter på nett, er det ingen overraskelse at informasjonssikkerhet i prosjektledelse har blitt et hett tema. Prosjektledere har å gjøre med et økende antall personer som jobber utenfor kontoret, samt ansatte som bruker sine personlige enheter til jobbformål.

Ved å lage en sikkerhetspolicy for virksomheten din, vil du kunne minimere risikoen for et brudd eller tap av data og sikre at du er i stand til å produsere nøyaktige rapporter om prosjektstatus og økonomi til enhver tid.

Den beste måten å inkludere informasjonssikkerhet i prosjekterings- og gjennomføringsprosessen er å:

• Definer informasjonssikkerhetskravene for prosjektet, inkludert forretningsbehov og juridiske forpliktelser.
• Vurder risikopåvirkningene fra informasjonssikkerhet trusler.
• Administrer risikopåvirkningene ved å implementere passende kontroller og prosesser.
• Overvåke og rapportere om effektiviteten til disse kontrollene.

For å beskytte forretningsprosjektene dine må du sørge for at alt prosjektledere er bevisste på informasjonssikkerhet og følge den mens de fullfører arbeidet.

Attributttabell

Kontroller klassifiseres ved hjelp av attributter. Ved å bruke disse kan du raskt matche kontrollutvalget ditt med ofte brukte bransjetermer og spesifikasjoner. I kontroll 5.8 er attributtene:

Hva er hensikten med kontroll 5.8?

Hensikten med dette kontroll i henhold til ISO 27002:2022 er å sikre informasjonssikkerhet risiko knyttet til prosjekter og leveranser håndteres effektivt i prosjektledelsen gjennom hele prosjektets livssyklus.

Informasjonssikkerhet er et sentralt hensyn for prosjektledelse og prosjekter.

Kontroll 5.8 dekker kontroll, formål og implementeringsveiledning for integrering av informasjonssikkerhet i prosjektledelse i henhold til rammeverket som definert av ISO 27001.

Kontroll 5.8 forstår at prosjektledelse krever koordinering av ressurser, inkludert informasjonsressurser, for å oppnå et definert forretningsmål. Dette er fordi prosjekter ofte inkluderer nye forretningsprosesser og systemer, som har informasjonssikkerhetsimplikasjoner.

Prosjekter kan også spenne over flere avdelinger og organisasjoner, noe som betyr at kontroll 5.8-mål, som handler om å sikre at riktige informasjonssikkerhetsprotokoller er på plass, må koordineres på tvers av interne og eksterne interessenter.

Denne kontrollen kan sees på som en retningslinje som identifiserer informasjonssikkerhetsproblemer i prosjekter, og sikrer at disse problemene blir adressert gjennom hele prosjektets livssyklus.

Hva er involvert og hvordan du oppfyller kravene

Det er viktig å integrere informasjonssikkerhet i prosjektledelsen fordi dette gir mulighet for organisasjoner til å sikre at informasjonssikkerhetsrisikoer blir identifisert, evaluert og adressert som en del av prosjektledelsen.

For eksempel, hvis en organisasjon ønsker å implementere et nytt produktutviklingssystem, kan de identifisere informasjonssikkerhetsrisikoen knyttet til et nytt produktutviklingssystem – for eksempel uautorisert avsløring av proprietær selskapsinformasjon – og ta skritt for å redusere disse risikoene.

Derfor, for å oppfylle kravene til ny ISO 27002:2022, bør informasjonssikkerhetslederen samarbeide med prosjektlederen for å sikre at informasjonssikkerhetsrisikoen blir identifisert, vurdert og adressert som en del av prosjektledelsesprosessene. Informasjonssikkerhet bør integreres i prosjektledelsen slik at det er en «del av prosjektet» i stedet for noe som gjøres «til prosjektet».

I henhold til kontroll 5.8 skal prosjektledelsen i bruk kreve at:

• informasjonssikkerhetsrisikoer vurderes og behandles på et tidlig stadium og periodisk som en del av prosjektrisiko gjennom hele prosjektets livssyklus.
• informasjonssikkerhetskrav [f.eks. krav til applikasjonssikkerhet (8.26), krav til overholdelse av immaterielle rettigheter (5.32), etc.] tas opp i de tidlige stadiene av
  prosjekter.
• informasjonssikkerhetsrisiko knyttet til gjennomføring av prosjekter, som sikkerhet for interne og eksterne kommunikasjonsaspekter, vurderes og behandles gjennom hele prosjektets livssyklus.
• fremdriften i behandling av informasjonssikkerhetsrisiko vurderes og effektiviteten av behandlingen evalueres og testes.

Prosjektlederen (PM) bør fastsette kravene til informasjonssikkerhet for alle typer prosjekter, uavhengig av kompleksitet, størrelse, varighet, disiplin eller bruksområde, ikke bare IKT-utviklingsprosjekter. PMs bør være klar over Informasjonssikkerhetspolicy og relaterte prosedyrer, og viktigheten av informasjonssikkerhet.

Flere detaljer om implementeringsretningslinjene finnes i den reviderte ISO 27002:2022.

Forskjeller mellom ISO 27002:2013 og ISO 27002:2022

Informasjonssikkerhet i prosjektledelse ble revidert i ISO 27002:2022 for å gjenspeile flere avklaringer i implementeringsveiledningen sammenlignet med ISO 27002:2013. For eksempel, i ISO 27002:2013 er det 3 punkter som enhver prosjektleder bør vite da det påvirker informasjonssikkerheten. Men i 2022-versjonen ble dette utvidet til 4 poeng.

Kontroll 5.8 i ISO 27002:2022 er heller ikke en ny kontroll, snarere er det en kombinasjon av kontrollene 6.1.5 og 14.1.1 i ISO 27002:2013.

Kontroll 14.1.1 i ISO 27002: 2013 snakker om informasjonssikkerhetsrelaterte krav til nye informasjonssystemer eller forbedringer av eksisterende informasjonssystemer. Implementeringsretningslinjene for kontroll 14.1.1 ligner avsnittet i kontroll 5.8 som snakker om å sikre at arkitektur og utforming av informasjonssystemer er beskyttet mot kjente trusler basert på driftsmiljøet.

Kontroll 5.8, selv om det ikke er en ny kontroll, bringer noen viktige endringer i standarden. I tillegg gjør å kombinere de to kontrollene i ISO 27002:2022 standarden mer brukervennlig.

Hvem er ansvarlig for denne prosessen?

Prosjektlederen (PM) er ansvarlig for å sikre at informasjonssikkerhet implementeres i livssyklusen til hvert prosjekt. Imidlertid kan statsministeren finne det nyttig å konsultere en Informasjonssikkerhetsansvarlig (ISO) å bestemme hvilke krav til informasjonssikkerhet som er nødvendig for ulike typer prosjekter.

Hva betyr disse endringene for deg?

Det er ingen endringer i ISO/IEC 27001 standard, og eksisterende ISMS trenger derfor ikke å oppdateres. Dessuten er det en frist på to år før organisasjoner må omfavne den nye standarden.

Imidlertid fordi Vedlegg A til ISO/IEC 27001 vil bli matchet med de nye ISO/IEC 27002-kontrollene innen utgangen av 2022, anbefales det at aktiviteter basert på informasjonen som for øyeblikket er tilgjengelig om de nye ISO/IEC 27002-kontrollene fullføres.

For eksempel kan organisasjoner:

• Ta en titt på omfanget av deres ISMS.
• Oppdater organisasjonens informasjonssikkerhetspolicy og alle andre regler for å sikre at relevante referanser og kontroller implementeres.
• Sørg for å forstå din posisjon i forhold til nye kontroller og standardens nye struktur ved å gjøre en gapvurdering.
• Inkluder de nye informasjonssikkerhetskontrollene i din risikovurderingsmetode.

Hvordan ISMS.online hjelper

En skybasert plattform for ISO 27002-implementering, ISMS.online, hjelper deg med å administrere dine risikostyringsprosesser for informasjonssikkerhet enkelt og effektivt.

Med vår skybaserte plattform vil du ha tilgang til et bibliotek med forhåndsskrevne retningslinjer, prosedyrer, arbeidsinstruksjoner og skjemaer klare for deg.

De ISMS.online plattform tilbyr en rekke kraftige verktøy som forenkler måten du kan dokumentere, implementere, vedlikeholde og forbedre styringssystemet for informasjonssikkerhet (ISMS) og oppnå samsvar med ISO 27002.

Den omfattende pakken med verktøy gir deg ett sentralt sted hvor du kan lage et skreddersydd sett med retningslinjer og prosedyrer som stemmer overens med dine organisasjonens spesifikke risikoer og behov. Det åpner også for samarbeid mellom kolleger så vel som eksterne partnere som leverandører eller tredjepartsrevisorer.

Ved å bruke en nettapp spesielt utviklet for å hjelpe bedrifter med å implementere et styringssystem for informasjonssikkerhet (ISMS) basert på ISO 27001, sparer du ikke bare tid, men øker også sikkerheten til organisasjonen din.

Ta kontakt i dag for å bestill en demo.