Endringer i informasjonssystemer som å bytte ut en nettverksenhet, opprette en ny databaseforekomst eller oppgradere programvare er ofte nødvendige for forbedret ytelse, reduserte kostnader og høyere effektivitet.
Imidlertid kan disse endringene i informasjonsbehandlingsfasiliteter og -systemer, hvis de ikke implementeres riktig, føre til kompromittering av informasjonsressurser som er lagret i eller behandlet av disse fasilitetene.
Kontroll 8.32 tar for seg hvordan organisasjoner kan etablere og anvende endringshåndteringsprosedyrer for å overvåke, gjennomgå og kontrollere endringer som er gjort i informasjonsbehandlingsfasilitetene og systemene.
Kontroll 8.32 gjør det mulig for organisasjoner å opprettholde sikkerheten til informasjonsressurser når de utfører endringer på informasjonsbehandlingsfasilitetene og systemene ved å etablere, implementere og administrere regler og prosedyrer for endringshåndtering.
Kontroll 8.32 er forebyggende. Det krever at organisasjoner definerer, dokumenterer, spesifiserer og håndhever endringskontrollprosesser som styrer hele livssyklusen til informasjonssystemene, fra første utforming til distribusjon og bruk.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet #Integritet #Tilgjengelighet | #Beskytte | #Applikasjonssikkerhet #System- og nettverkssikkerhet | #Beskyttelse |
Tatt i betraktning at overholdelse av kontroll 8.32 innebærer etablering og håndheving av endringskontrollprosedyrer som gjelder alle stadier i livssyklusen til informasjonssystemene, bør informasjonssikkerhetssjefer, med støtte fra domeneeksperter, være ansvarlige for å utforme og håndheve disse prosedyrene.
Alle større endringer i informasjonssystemer og innføring av nye systemer bør være underlagt et avtalt sett med regler og prosedyrer. Disse endringene bør være formelt spesifisert og dokumentert. Videre bør de gå gjennom test- og kvalitetskontrollprosessene.
For å sikre at alle endringer er i samsvar med endringskontrollreglene og -standardene, bør organisasjoner tildele ledelsesansvar til passende ledelse og bør fastsette nødvendige prosedyrer.
Kontroll 8.32 lister opp ni elementer som bør inkluderes i endringshåndteringsprosedyren:
Til slutt bemerkes det at organisasjoner bør integrere endringskontrollprosedyrer for programvare og IKT-infrastruktur i størst mulig grad.
Endringer i produksjonsmiljøene som operativsystemer og databaser kan kompromittere integriteten og tilgjengeligheten til applikasjoner, spesielt overføringen av programvare fra utviklings- til produksjonsmiljø.
En annen risiko som organisasjoner bør være forsiktige med er endring av programvare i produksjonsmiljøet kan få utilsiktede konsekvenser.
For å forhindre disse risikoene bør organisasjoner utføre tester på IKT-komponenter i et miljø isolert fra utviklings- og produksjonsmiljøene.
Dette vil gjøre det mulig for organisasjoner å ha større kontroll over ny programvare og vil gi et ekstra lag med beskyttelse for virkelige data som brukes til testformål. Denne ekstra beskyttelsen kan oppnås via patcher og oppdateringspakker.
27002:2022/8.32 erstatter 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)
Samlet sett var 2013-versjonen mer preskriptiv sammenlignet med 2022-versjonen når det gjelder kravene til endringskontrollprosedyrer.
Det er tre viktige forskjeller som skal fremheves mellom de to versjonene.
Både versjonen 27002:2022 og 27002:2013 lister opp hva en "endringsprosedyre" skal inkludere på en ikke-uttømmende måte.
Imidlertid inneholdt 2013-versjonen følgende elementer som ikke ble referert til i 2022-versjonen:
Kontroll 14.2.3 i versjon 27002:2013 omhandlet hvordan organisasjoner kan minimere uheldige effekter på og forstyrrelser i forretningsdriften når det gjøres endringer i operativsystemer.
27002:2022-versjonen inneholder derimot ikke krav til slike endringer.
Kontroll 14.2.4 i 27002:2013 versjon adressert 'Endringer i programvarepakker'. Tvert imot inneholder ikke 27002:2022-versjonen krav til slike endringer.
Vår skybaserte plattform gir deg et robust rammeverk av informasjonssikkerhetskontroller slik at du kan sjekke ISMS-prosessen din mens du går for å sikre at den oppfyller kravene til ISO 27000k.
Brukt riktig, ISMS. online kan hjelpe deg med å oppnå sertifisering med et minimum av tid og ressurser.
Ta kontakt i dag for å bestill en demo.
Bestill en skreddersydd hands-on økt
basert på dine behov og mål
Bestill demoen din
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | Ny | Trusselintelligens |
| 5.23 | Ny | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | Ny | IKT-beredskap for forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhetsovervåking |
| 8.9 | Ny | Konfigurasjonsstyring |
| 8.10 | Ny | Sletting av informasjon |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebygging av datalekkasje |
| 8.16 | Ny | Overvåking av aktiviteter |
| 8.23 | Ny | Web-filtrering |
| 8.28 | Ny | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | Ny | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
