- sien ISO 27002:2022 Beheer 5.2 vir meer inligting.
- sien ISO 27001:2013 Bylae A 6.1.1 vir meer inligting.
Afbreek ISO 27001 Bylae A 5.2: Rolle en Verantwoordelikhede
Dit is maklik vir jou om aan ISO 27001:2022 Bylae 5.2 te voldoen wanneer jy met ISMS.online werk.
Hierdie Aanhangsel A 5.2 stel 'n raamwerk daar vir die inisiëring en beheer van inligtingsekuriteit binne die organisasie.
Die beheer wat in Aanhangsel A – Inligtingsekuriteitsrolle en -verantwoordelikhede – beskryf word, is 'n noodsaaklike komponent van ISO 27001:2022.
Dit is 'n noodsaaklike komponent van die inligtingsekuriteitsbestuurstelsel (ISMS) , veral as jy ISO 27001-sertifisering probeer behaal. Kom ons ondersoek hierdie vereistes en wat hulle beteken in meer besonderhede.
Wat is die doel van ISO 27001:2022 Bylae A 5.2?
In ooreenstemming met Bylae A 5.2, stel hierdie afdeling 'n gedefinieerde, goedgekeurde en verstaanbare struktuur daar vir die implementering, bedryf en bestuur van inligtingsekuriteit binne die organisasie.
Die formele organisasiestruktuur ken verantwoordelikheid vir inligtingsekuriteit aan alle werknemers toe.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
ISO 27001:2022 Bylae A 5.2 Verduidelik
In ooreenstemming met ISO 27001 , spreek Aanhangsel A 5.2 die implementering, werking en bestuur van 'n organisasie se rolle en verantwoordelikhede vir inligtingsekuriteit aan.
Soos gestel in Bylae A 5.2, moet alle betrokkenes inligtingsekuriteitsverantwoordelikhede en -rolle duidelik definieer en verstaan. Bates word gewoonlik toegewys aan 'n aangewese eienaar wat daagliks vir hul sorg verantwoordelik is.
'n Toegewyde span kan inligtingsekuriteit hanteer , of bykomende verantwoordelikhede kan aan spesifieke werknemers toegeken word, afhangende van die grootte en hulpbronne van die organisasie.
Definieer inligtingsekuriteitsrolle en -verantwoordelikhede
Daar moet 'n duidelike definisie en toewysing van alle inligtingsekuriteitsverantwoordelikhede wees.
As deel van die inligtingsekuriteitsverantwoordelikhede, is daar algemene verantwoordelikhede (bv. die verantwoordelikheid om inligting te beskerm ) en spesifieke pligte (bv. die verantwoordelikheid om spesiale toestemmings te verleen).
Indien verantwoordelikhede gedefinieer moet word, is dit noodsaaklik om die eienaarskap of groeperings van die inligtingsbates te oorweeg.
Baie tipes besigheidsrolle kan relevant wees vir die sekuriteit van inligting, insluitend departementshoofde, eienaars van besigheidsprosesse, fasiliteitsbestuurders, menslikehulpbronbestuurders en interne ouditeure.
’n Robuuste inligtingsekuriteitstelsel hang van verskeie faktore af: die hoof van die organisasie, die hoofinligtingsekuriteitsbeampte (CISO), die IT-diensbestuur (ITSM), die stelseleienaars en alle stelselgebruikers.
As deel van hul oudit sal die ouditeur soek na versekering dat die organisasie duidelik gedefinieer het wie verantwoordelik is vir watter funksies en dat hulle dit proporsioneel en voldoende gedoen het gebaseer op die grootte en aard daarvan.
Gevolglik is dit oor die algemeen nie haalbaar om voltydse rolle met hierdie rolle en verantwoordelikhede in kleiner organisasies te hê nie. Daarom is dit van kardinale belang om spesifieke inligtingsekuriteitsverantwoordelikhede binne bestaande posrolle uit te klaar. HUB's en Bedryfsdirekteure kan die ekwivalent wees van CISO's, Hoofinligtingsekuriteitsbeamptes, met oorkoepelende verantwoordelikheid vir alle inligtingsekuriteitstelsels. Die CTO mag inligtingsbates besit wat met tegnologie verband hou.
Skep 'n kultuur van inligtingsekuriteit in u organisasie
'n Sterk sekuriteitskultuur moedig gebruikers aan om aan sekuriteitsreëls en -prosedures te voldoen. Elke stelsel het inherente gevare, en dit is aan gebruikers om daardie risiko's te versag.
Om te verseker dat elke werknemer verstaan waarvoor hulle verantwoordelik is rakende die beskerming van data, stelsels en netwerke, moet hierdie Aanhangsel A-beheermaatreël aangespreek word om suksesvol te wees.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Hoe om aan die vereistes van aanhangsel A 5.2 te voldoen en wat dit behels
Dit is noodsaaklik om die roltoekenning te formaliseer en te dokumenteer, bv. in 'n tabel of organisasiekaart, sodat die Bylae A-kontrole nagekom kan word:
- Inligtingsekuriteitsverantwoordelikhede en aanspreeklikhede moet aan spesifieke bestuursrolle of werksfunksies toegewys word.
- Om te verseker dat toepaslike bestuursaandag aan inligtingsekuriteit gegee word, moet hierdie Bylae A-kontrole duidelikheid verskaf oor die verskillende rolle en verantwoordelikhede binne die organisasie.
- Bykomende opleiding moet aan individuele terreine en verwerkingsfasiliteite verskaf word indien nodig om te help met die nakoming van hierdie verantwoordelikhede.
Organisasies moet duidelike rolle, verantwoordelikhede en owerhede toewys en verstaan. Rolle en verantwoordelikhede moet gedokumenteer, gekommunikeer en konsekwent regoor die organisasie toegepas word om voldoende skeiding van pligte te verseker.
Tabel van alle ISO 27001:2022 Bylae A-kontroles
In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 |
Bylae A 5.1.1 Bylae A 5.1.2 |
Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 |
Bylae A 6.1.5 Bylae A 14.1.1 |
Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 |
Bylae A 8.1.1 Bylae A 8.1.2 |
Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 |
Bylae A 8.1.3 Bylae A 8.2.3 |
Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 |
Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 |
Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 |
Bylae A 9.1.1 Bylae A 9.1.2 |
Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 |
Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 |
Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 |
Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 |
Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 |
Bylae A 15.2.1 Bylae A 15.2.2 |
Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 |
Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 |
Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 |
Bylae A 18.1.1 Bylae A 18.1.5 |
Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 |
Bylae A 18.2.2 Bylae A 18.2.3 |
Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 |
Bylae A 16.1.2 Bylae A 16.1.3 |
Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 |
Bylae A 11.1.2 Bylae A 11.1.6 |
Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 |
Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 |
Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 |
Bylae A 6.2.1 Bylae A 11.2.8 |
Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 |
Bylae A 12.6.1 Bylae A 18.2.3 |
Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 |
Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 |
Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van Bevoorregte Nutsdiensteprogramme Toegangsregte |
| Tegnologiese kontroles | Bylae A 8.19 |
Bylae A 12.5.1 Bylae A 12.6.2 |
Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 |
Bylae A 10.1.1 Bylae A 10.1.2 |
Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 |
Bylae A 14.1.2 Bylae A 14.1.3 |
Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige Stelselargitektuur en IngenieursbeginselsLeer uit Inligtingsekuriteitsvoorvalle |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 |
Bylae A 14.2.8 Bylae A 14.2.9 |
Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 |
Bylae A 12.1.4 Bylae A 14.2.6 |
Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 |
Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 |
Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
NHS Professionals behaal ISO 27001-sertifisering en verbeter hul infosec-bestuur
Met 'n streng sperdatum van ses maande en verskeie bestaande raamwerke om te integreer, het NHS Professionals 'n platform nodig gehad wat ISO 27001 kon inkorporeer sonder om beleide te dupliseer of risiko by hul reeds komplekse voldoeningslandskap te voeg.
Xergie-instrument Proteus genereer groei deur ISO 27001-nakoming met behulp van ISMS.online
As 'n nuwe onderneming wat sagteware vir hoogs gereguleerde ingenieurssektore bou, het Xergy ISO 27001 nodig gehad om groei deur vertroue te genereer – en 'n bewese eksterne vennoot om die streng vereistes te hanteer sonder om die ontwikkelspan af te lei.
Hoe Blue Services Drievoudige ISO-sertifiseringsukses behaal het
Blue Services het eksterne ondersteuning benodig om hulle deur die implementering en beste praktyke van ISO 27001, ISO 9001 en ISO 14001 te lei, asook 'n platform om hul algehele nakomingsbestuur te sentraliseer.
Hoe Evolusiebefondsing tot ISO 27001-sertifiseringsukses gelei het
Die verkryging van ISO 27001-sertifisering was 'n kerndoelwit vir Evolution Funding. Die span het 'n gesentraliseerde platform nodig gehad waarmee hulle die ISO 27001-standaard kon implementeer en deur die voldoeningsproses kon werk.
Hoe 4way Consulting die pad na ISO 27001-sukses gebaan het
4way, wat sensitiewe kliëntdata oor verskeie standaarde hanteer het, het 'n koste- en tyddoeltreffende manier nodig gehad om ISO 27001 na te streef – sonder om 'n ISMS van nuuts af te bou of op duur eksterne konsultante staat te maak.
nesevo se sukses met multi-sertifiseringsnakoming met IO
Nesevo het gesukkel om ISO 27001-nakoming oor verspreide dokumente en sigblaaie te bestuur, en het 'n gesentraliseerde platform nodig gehad wat hulle deur die standaard kon lei sonder die voortdurende koste van eksterne konsultante.
Wat ISMS.online vir jou kan doen
Om aan die ISO 27001:2022-vereistes te voldoen, hoef jy net jou sekuriteitsbestuurstelsel se prosesse op te gradeer om die verbeterde kontroles te weerspieël. As jou interne span dit nie kan hanteer nie, kan ISMS.online help.
Ons wolkgebaseerde sagteware maak dit maklik om jou ISMS-oplossings vanaf een plek te bestuur.
Met ons maklik-om-te-gebruik toepassing kan jy enigiets opspoor wat nodig is om te verseker dat ISO 2K7 voldoen.
Deur ons intuïtiewe werkvloei en gereedskap te gebruik, insluitend raamwerke, beleide, kontroles, bruikbare dokumentasie en leiding, word die implementering van ISO 27001 vereenvoudig.
Met ons platform kan u maklik die omvang van die ISMS definieer, risiko's identifiseer en beheermaatreëls implementeer.
Om meer te wete te kom oor hoe ISMS.online jou kan help om jou ISO 2K7-doelwitte te bereik, skakel ons asseblief by +44 (0)1273 041140.
Kontak ons vandag om 'n demonstrasie te bespreek.
