ISO 27002:2022, Kontroll 8.6 – Kapasitetsstyring

Eierskap til kontroll 8.6

Kontroll 8.6 omhandler en organisasjons evne til å drive virksomhet på løpende basis.

Som sådan bør eierskapet ligge hos Chief Operating Officer (eller tilsvarende organisatorisk), med ansvar for den daglige integriteten og effektiviteten til en organisasjons forretningsfunksjoner.

Generell veiledning om kontroll 8.6

I grove trekk som ikke er unike for én bestemt type ressurs, inneholder Control 8.6 7 generelle veiledningspunkter:

1. Organisasjoner bør vurdere forretningskontinuitet som en topp prioritet ved implementering av kapasitetsstyringskontroller, inkludert engrosimplementering av detektivkontroller som flagger opp potensielle problemer før de oppstår.
2. Kapasitetsstyring bør være basert på de proaktive funksjonene til tuning og overvåking. Begge disse elementene bør fungere i harmoni for å sikre at systemer og forretningsfunksjoner ikke kompromitteres.
3. I operasjonelle termer bør organisasjoner utføre regelmessig stresstester som avhører en systemevne for å imøtekomme generelle forretningsbehov. Slike tester bør formuleres fra sak til sak og være relevante for det virksomhetsområdet de er rettet mot.
4. Kapasitet ledelseskontroller bør ikke begrenses til en organisasjons nåværende data eller operasjonelle behov, og bør inkludere eventuelle planer for kommersiell og teknisk utvidelse (både fra et fysisk og digitalt perspektiv) for å forbli så fremtidssikret som det er realistisk mulig.
5. Utvidelse av organisasjonsressurser er underlagt varierende ledetider og kostnader, avhengig av systemet eller forretningsfunksjonen det gjelder. Ressurser som er dyrere og vanskeligere å bygge ut bør underkastes en høyere grad av gransking, for å ivareta Forretnings kontinuitet.
6. Seniorledelsen bør være oppmerksom på enkelte feilpunkter knyttet til avhengighet av nøkkelpersonell eller individuelle ressurser. Skulle det oppstå vanskeligheter med en av disse faktorene, kan det ofte føre til komplikasjoner som er betydelig vanskeligere å rette opp.
7. Formuler a kapasitet styringsplan som omhandler spesielt forretningskritiske systemer og forretningsfunksjoner.

Veiledning – Håndtering av etterspørsel

27002:2022-8.6 tar til orde for en tofronts tilnærming til kapasitetsstyring som enten øker kapasiteteneller reduserer etterspørselen på en ressurs, eller sett med ressurser.

Når de forsøker å øke kapasiteten, bør organisasjoner:

1. Vurder å ansette nye medarbeidere for å utføre en forretningsfunksjon.
2. Kjøpe, leie eller leie nye lokaler eller kontorlokaler.
3. Kjøp, leas eller lei tilleggsbehandling, datalagring og RAM (enten på stedet eller nettsky).
4. Vurder å bruke elastisk og skalerbar skyressurser som utvides med beregningene organisasjonens behov, med minimal intervensjon.

Når de prøver å redusere etterspørselen, bør organisasjoner:

1. Slett foreldede data for å frigjøre lagringsplass på servere og tilknyttede medier.
2. Kast eventuelle papirkopier på en sikker måte informasjon som organisasjonen ikke lenger trenger, og er ikke lovpålagt å skaffe, verken ved lov eller via et reguleringsorgan.
3. Ta ut IKT-ressurser, applikasjoner eller virtuelle miljøer som ikke lenger er nødvendige.
4. Granske planlagte IKT-oppgaver (inkludert rapporter, automatiserte vedlikeholdsfunksjoner og batchprosesser) for å optimalisere minneressurser og redusere lagringsplassen som tas opp av utdata.
5. Optimaliser enhver applikasjonskode eller databasespørringer som kjøres regelmessig nok til å ha en effekt på organisasjonens operasjonelle kapasitet.
6. Begrens mengden båndbredde som allokeres til ikke-kritiske aktiviteter innenfor grensene til organisasjonens nettverk. Dette kan inkludere å begrense Internett-tilgang og forhindre video-/lydstrømming fra arbeidsenheter.

Endringer og forskjeller fra ISO 27002:2013

27002:2022-8.6 erstatter 27002:2013-12.1.3 (Kapasitetsstyring).

27002:2022-8.6 inneholder et langt mer omfattende sett med retningslinjer som instruerer organisasjoner om hvordan de enten kan øke kapasiteten eller redusere etterspørselen.

Utover dette inneholder 27002:2013-12.1.3 ingen spesifikk veiledning om hvordan man kan øke kapasiteten, i motsetning til 27002:2022-8.6 som skisserer spesifikke handlingsforløp som fører til mer operativt pusterom.

27002:2013-12.1.3 inneholder heller ingen veiledning om hvordan man stresstester operativ kapasitet, eller ellers revidere en organisasjons evner å administrere kapasitet på løpende basis, utenom å anbefale en kapasitetsstyringsplan.

I samsvar med den voldsomme økningen av cloud computing det siste tiåret, er 27002:2022-8.6 eksplisitt i sine råd til organisasjoner om å bruke skybaserte ressurser som automatisk skaleres med forretningskrav.

27002:2013-12.1.3 nevner ikke lagring utenfor stedet eller databehandlingsfasiliteter.

Hvordan ISMS.online hjelper

ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen. Din komplette samsvarsløsning for ISO / IEC 27002: 2022.

• Opptil 81 % fremgang fra du logger på
• Enkel og total overholdelsesløsning

Ta kontakt i dag for å bestill en demo.