Kontroll 5.9, Inventar av informasjon og andre tilknyttede eiendeler

Hvorfor trenger jeg en oversikt over informasjonsressurser?

Informasjonsforvaltning har en lang historie innen forretningskontinuitetsplanlegging (BCP), katastrofegjenoppretting (DR) og hendelsesresponsplanlegging.

Det første trinnet i en av disse prosessene innebærer å identifisere kritiske systemer, nettverk, databaser, applikasjoner, datastrømmer og andre komponenter som trenger beskyttelse. Hvis du ikke vet hva som må beskyttes eller hvor det befinner seg, kan du ikke planlegge for hvordan du skal beskytte det!

Attributttabell

Kontroller klassifiseres ved hjelp av attributter. Ved å bruke disse kan du raskt matche kontrollutvalget ditt med ofte brukte bransjetermer og spesifikasjoner.

Denne tabellen utfyller arbeid som mange kunder for tiden utfører som en del av deres risikovurdering og SOA ved å identifisere konfidensialiteten, integritet og tilgjengelighet – og andre faktorer. I kontroll 5.9 er attributtene:

Hva er hensikten med kontroll 5.9?

Formålet med denne kontrollen er å identifisere organisasjonens informasjon og andre tilhørende eiendeler for å bevare deres informasjonssikkerhet og tildele passende eierskap.

Kontroll 5.9 dekker kontroll, formål og implementeringsveiledning for å lage en oversikt over informasjon og andre tilknyttede eiendeler i tråd med ISMS-rammeverket som definert av ISO 27001.

Kontrollen krever å ta en oversikt over all informasjon og andre tilknyttede eiendeler, klassifisere dem i forskjellige kategorier, identifisere deres eiere og dokumentere kontrollene som er eller bør være på plass.

Dette er et avgjørende skritt mot å sikre at alle informasjonsressurser er tilstrekkelig beskyttet.

Hva er involvert og hvordan du oppfyller kravene

Til oppfylle kravene til den nye ISO 27002:2022, må du identifisere informasjonen og andre tilknyttede eiendeler i organisasjonen din. Deretter bør du bestemme viktigheten av disse elementene når det gjelder informasjonssikkerhet. Hvis det er hensiktsmessig, bør dokumentasjon opprettholdes i dedikerte eller eksisterende varelager.

Tilnærmingen til å utvikle en inventar vil variere avhengig av en organisasjons størrelse og kompleksitet, dens eksisterende kontroller og retningslinjer, og typen informasjon og andre tilhørende eiendeler den bruker.

I henhold til kontroll 5.9 skal beholdningen av informasjon og andre tilknyttede eiendeler være nøyaktig, oppdatert, konsistent og på linje med andre beholdninger. Alternativer for å sikre nøyaktigheten av en beholdning av informasjon og andre tilknyttede eiendeler inkluderer:

a) gjennomføre regelmessige gjennomganger av identifisert informasjon og andre tilknyttede eiendeler mot eiendelbeholdningen;

b) automatisk håndheve en inventaroppdatering i prosessen med å installere, endre eller fjerne en ressurs.

Plasseringen av en eiendel bør inkluderes i beholdningen etter behov.

Noen organisasjoner kan ha behov for å vedlikeholde flere varelager for forskjellige formål. For eksempel har noen organisasjoner dedikerte varelager for programvarelisenser eller for fysisk utstyr som bærbare datamaskiner og nettbrett.

Andre kan ha en enkelt beholdning som inkluderer alt fysisk utstyr, inkludert nettverksenheter som rutere og svitsjer. Det er viktig at slike varebeholdninger jevnlig gjennomgås for å sikre at de holdes oppdatert slik at de kan brukes til å hjelpe med risikostyring aktiviteter.

Mer informasjon om oppfyllelse av kravene til kontroll 5.9 finnes i det nye ISO 27002:2022-dokumentet.

Forskjeller mellom ISO 27002:2013 og ISO 27002:2022

I ISO 27002: 2022 ble 57 kontroller fra ISO 27002: 2013 slått sammen til 24 kontroller. Så du vil ikke finne kontroll 5.9 som Inventory of Information and Other Assets Assets i 2013-versjonen. Snarere i 2022-versjonen er det en kombinasjon av kontroll 8.1.1 Beholdning av eiendeler og kontroll 8.1.2 Eierskap til eiendeler.

Hensikten med kontroll 8.1.1 Inventar av eiendeler er å sikre at alle informasjonsressurser er identifisert, dokumentert og regelmessig gjennomgått, og passende prosesser og prosedyrer er på plass for å sikre at denne beholdningen er trygg.

Kontroll 8.1.2 Eierskap til eiendeler er ansvarlig for å sikre at alle informasjonsmidler under deres kontroll er korrekt identifisert og eies. Å vite hvem som eier hva kan hjelpe deg med å finne ut hvilke eiendeler du trenger å beskytte, og hvem du må holde ansvarlig overfor.

Mens begge kontrollene i ISO 27002:2013 ligner kontroll 5.9 i ISO 27002:2022, har sistnevnte blitt utvidet for å gi en mer brukervennlig tolkning. For eksempel sier implementeringsveiledningen for eierskap av eiendeler i kontroll 8.1.2 at eiendelseieren skal:

a) sikre at eiendeler er inventar;

b) sikre at eiendeler er riktig klassifisert og beskyttet;

c) definere og periodisk gjennomgå tilgangsbegrensninger og klassifiseringer til viktige eiendeler, med hensyn til gjeldende retningslinjer for tilgangskontroll;

d) sikre forsvarlig håndtering når eiendelen slettes eller destrueres.

Disse 4 punktene er utvidet til 9 punkter i eierskapsdelen av kontroll 5.9.

De Eiendelseier bør være ansvarlig for forsvarlig forvaltning av en eiendel over hele eiendelens livssyklus, og sikrer at:

a) informasjon og andre tilknyttede eiendeler er inventarisert;

b) informasjon og andre tilknyttede eiendeler er hensiktsmessig klassifisert og beskyttet;

c) klassifiseringen vurderes med jevne mellomrom;

d) komponenter som støtter teknologiske eiendeler er listet opp og koblet sammen, for eksempel database, lagring, programvarekomponenter og underkomponenter;

e) krav til akseptabel bruk av informasjon og andre tilhørende eiendeler (se 5.10) er etablert;

f) tilgangsbegrensninger samsvarer med klassifiseringen og at de er effektive og vurderes med jevne mellomrom;

g) informasjon og andre tilknyttede eiendeler, når de slettes eller avhendes, håndteres på en sikker måte og fjernes fra inventaret;

h) de er involvert i identifisering og styring av risikoer knyttet til deres eiendel(e);

i) de støtter personell som har roller og ansvar for å administrere informasjonen deres.

Å slå sammen disse to kontrollene til én gir bedre forståelse for brukeren.

Hva betyr disse endringene for deg?

De siste ISO 27002-modifikasjonene har ingen innvirkning på din nåværende sertifisering mot ISO 27001-standarder. ISO 27001-oppgraderinger er de eneste som har innflytelse på eksisterende sertifiseringer, og akkrediteringsorganer vil samarbeide med sertifiseringsorganene for å utvikle en overgangssyklus som vil gi organisasjoner som har ISO 27001-sertifikater tilstrekkelig tid til å overføre fra en versjon til en annen.

Når det er sagt, må følgende trinn følges for å møte den reviderte versjonen:

• Sørg for at bedriften din er i samsvar med det nye kravet ved å gå gjennom din risikoregister og din risikohåndtering øver.
• SoA bør revideres for å gjenspeile endringer i Vedlegg A.
• Dine retningslinjer og prosesser bør oppdateres for å overholde de nye forskriftene.

Ny beste praksis og kvaliteter for kontrollutvelgelse vil være tilgjengelig i overgangstiden til den nye standarden, som vil gi en mer effektiv og effektiv utvelgelsesprosess.

På grunn av dette bør du fortsette å bruke en risikobasert tilnærming for å sikre at kun de mest relevante og effektive kontrollene er valgt for din virksomhet.

Hvordan ISMS.online hjelper

Du kan bruk ISMS.online for å administrere din ISO 27002-implementering, ettersom den er designet spesielt for å hjelpe et selskap med å implementere deres styringssystem for informasjonssikkerhet (ISMS) for å oppfylle kravene i ISO 27002.

Plattformen bruker en risikobasert tilnærming kombinert med bransjeledende beste praksis og maler for å hjelpe deg med å identifisere risikoene organisasjonen står overfor og kontrollene som er nødvendige for å håndtere disse risikoene. Dette lar deg systematisk redusere både risikoeksponeringen og etterlevelseskostnadene.

Ved hjelp av ISMS.online du kan:

• Implementer raskt et styringssystem for informasjonssikkerhet (ISMS).
• Administrer enkelt dokumentasjonen til ISMS.
• Strømlinjeform overholdelse av alle relevante standarder.
• Administrer alle aspekter av informasjonssikkerhet, fra risikostyring til opplæring i sikkerhetsbevissthet.
• Kommuniser effektivt gjennom hele organisasjonen ved å bruke vår innebygde kommunikasjonsfunksjonalitet.

De ISMS.online plattform er basert på Plan-Do-Check-Act (PDCA), en iterativ fire-trinns prosess for kontinuerlig forbedring, og den oppfyller alle kravene i ISO 27002:2022. Det er en enkel sak å opprette en gratis prøvekonto og følge trinnene vi tilbyr.

Ta kontakt i dag for å bestill en demo.