- sien ISO 27002:2022 Beheer 5.4 vir meer inligting.
- sien ISO 27001:2013 Bylae A 7.2.1 vir meer inligting.
Verseker nakoming: Bestuursgids tot ISO 27001-beheer 5.4
ISO 27001:2022, Bylae A beheer 5.4, Bestuursverantwoordelikhede dek die behoefte aan bestuur om te verseker dat alle personeel by al die inligtingsekuriteit onderwerpspesifieke beleide en prosedures soos omskryf in die gevestigde inligtingsekuriteitsbeleid van die organisasie.
Wat is ISO 27001:2022 Bylae A 5.4 Bestuursverantwoordelikhede?
Werknemers en kontrakteurs moet bewus wees van en nakom hul inligtingsekuriteitsverantwoordelikhede soos beskryf in hierdie aanhangsel.
Bylae A Beheer 5.4 beskryf hoe werknemers en kontrakteurs inligtingsekuriteit toepas volgens die organisasie se beleide en prosedures.
Die verantwoordelikhede wat op bestuurders geplaas word, moet vereistes insluit om:
- Hulle moet die inligtingsekuriteitsbedreigings, kwesbaarhede en kontroles wat relevant is tot hul werksrolle verstaan en gereelde opleiding ontvang (soos uiteengesit in Bylae A 7.2.2).
- Versterk die vereistes van die diensbepalings en -voorwaardes deur inkoop te verseker tot proaktiewe en voldoende ondersteuning vir toepaslike inligtingsekuriteitsbeleide en -kontroles in Bylae A.
Dit is die verantwoordelikheid van bestuurders om te verseker dat sekuriteitsbewustheid en pligsgetrouheid die hele organisasie deurdring en om 'n toepaslike "sekuriteitskultuur" te vestig.
Inligtingsekuriteitsbeleide – wat is dit?
An inligtingsekuriteitsbeleid is 'n formele dokument wat bestuursrigting, doelwitte en beginsels verskaf vir die beskerming van 'n organisasie se inligting. Om die toewysing van hulpbronne toepaslik te verseker, moet 'n doeltreffende inligtingsekuriteitsbeleid aangepas word by 'n organisasie se spesifieke behoeftes en ondersteun word deur senior bestuur.
Dit spesifiseer hoe die maatskappy sy sal beskerm inligtingsbates en hoe werknemers sensitiewe data moet hanteer.
brug inligtingsekuriteitsbeleide word deur senior bestuur ontwikkel in samewerking met IT-sekuriteitspersoneel en is afgelei van wette, regulasies en beste praktyke.
'n Raamwerk vir die definisie van rolle en verantwoordelikhede en 'n hersieningstydperk moet ook by beleide ingesluit word.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Waarom is ISO 27001:2022 Bylae A 5.4 betekenisvol?
Bylae A Beheer 5.4 het ten doel om te verseker dat bestuur bewus is van hul verantwoordelikhede vir inligtingsekuriteit.
Dit neem stappe om te verseker dat alle werknemers bewus is van daardie verantwoordelikhede.
Hoe Bylae A 5.4 Werk
Information is a valuable asset that must be protected against loss, damage, or misuse. Management must ensure that adequate measures are taken to protect this asset. To achieve this, management must ensure that all personnel adhere to the organisation’s information security policies, topical policies, and procedures.
Beheer 5.4 in Bylae A definieer bestuursverantwoordelikheid rakende inligtingsekuriteit in 'n organisasie gebaseer op ISO 27001 se raamwerk.
Bestuur moet aan boord wees met die inligtingsekuriteitsprogram, en alle werknemers en kontrakteurs moet bewus wees van die inligtingsekuriteitsbeleid en dit volg. Sekuriteitsbeleide, onderwerpspesifieke beleide en prosedures moet nooit vrygestel word van verpligte nakoming deur enige werknemer of kontrakteur nie.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Die proses van aanhangsel A 5.4 en wat om te verwag
'n Organisasie se inligtingsekuriteitsbeleide, -standaarde en -prosedures moet deur bestuur afgedwing word om aan hierdie Bylae A-beheer te voldoen.
Om bestuur se ondersteuning en inkoop te kry is die eerste stap.
Om toewyding te toon, moet bestuur al sy beleide en prosedures volg. Byvoorbeeld, as veiligheidsbewustheid opleiding jaarliks vereis word, moet bestuurders self daardie kursusse voltooi.
Ongeag hul posisie, moet almal in die maatskappy bewus wees van die belangrikheid van inligtingsekuriteit. Soos gestel in die maatskappy se ISMS-program, moet almal hul rol in die handhawing van die sekuriteit van sensitiewe data verstaan. Dit sluit die raad van direkteure, uitvoerende beamptes en bestuurders, en werknemers in.
Wat is die veranderinge en verskille vanaf ISO 27001:2013?
ISO 27001:2022 Bylae A 5.4 Bestuursverantwoordelikhede was voorheen bekend as Beheer 7.2.1 Bestuursverantwoordelikhede. Dit is nie 'n nuut bygevoegde kontrole nie, maar 'n meer robuuste interpretasie van die ooreenstemmende beheer in Die ISO 27001: 2013.
Daar is 'n paar verskille tussen Bylae A, kontrole 5.4 en kontrole 7.2.1. Hierdie verskille word in die implementeringsriglyne vir beide gedokumenteer.
ISO 27001 Implementeringsriglyne Vergelyking vir Bylae A 5.4
Dit is die verantwoordelikheid van die bestuur om te verseker dat werknemers en kontrakteurs die volgende standaarde volg:
- Voordat hulle toegang tot vertroulike inligting of inligtingstelsels verkry, word werknemers voldoende opgelei in inligtingsekuriteitsrolle en -verantwoordelikhede.
- Verskaf riglyne vir die vermelding van die inligtingsekuriteitsverwagtinge van hul rol binne die organisasie.
'n Organisasie moet:
- Wees gemotiveerd om te verseker dat die organisasie se inligtingsekuriteitsbeleide gevolg word.
- Wees vertroud met hul rolle en verantwoordelikhede in terme van inligtingsekuriteit.
- Voldoen aan die organisasie se inligtingsekuriteitsbeleid en toepaslike werksmetodes.
- Maak seker dat werknemers die toepaslike vaardighede en kwalifikasies het en gereelde opleiding ontvang.
- Rapporteer oortredings van inligtingsekuriteit beleide of prosedures kan anoniem gedoen word (“fluitjieblaas”).
Bestuur moet inligtingsekuriteitsbeleide, -prosedures en Bylae A-kontroles ondersteun.
Beheer 5.4 van Bylae A is meer gebruikersvriendelik en vereis dat bestuur verseker dat werknemers en kontrakteurs die volgende riglyne volg:
A) Word ingelig oor hul verantwoordelikhede en rolle in inligtingsekuriteit voordat toegang tot die organisasie se inligting verleen word.
B) Ontvang riglyne wat die verwagte vlak van inligtingsekuriteit in hul spesifieke rolle spesifiseer.
C) Voldoen aan die organisasie se inligtingsekuriteitsbeleid en onderwerpspesifieke beleide.
D) Raak bewus van hul rol en verantwoordelikhede rakende inligtingsekuriteit.
E) Nakoming van werkplekreëls, insluitend die organisasie se datasekuriteitsbeleid en werksmetodes.
F) Leer jouself voortdurend oor inligtingsekuriteitsvaardighede en -kwalifikasies.
G) In gevalle van oortredings van inligtingsekuriteitsbeleide, onderwerpspesifieke beleide of prosedures ("fluitjieblaas") moet werknemers van 'n vertroulike kommunikasiekanaal voorsien word. 'n Anonieme aanmeldingsopsie of bepalings wat verseker dat die identiteit van die verslaggewer slegs bekend is aan diegene wat hierdie verslae moet hanteer, is moontlik.
H) Verseker voldoende hulpbronne en projekbeplanningstyd om sekuriteitsverwante prosesse en Bylae A-kontroles te implementeer.
Die ISO 27001:2022-standaard vereis uitdruklik dat werkers en kontrakteurs toegang het tot die nodige hulpbronne en projekbeplanningstyd om sekuriteitsverwante prosedures en kontroles te implementeer.
ISO 27001:2013 en ISO 27001:2022 gebruik verskillende bewoording vir sommige implementeringsriglyne. Riglyn C in 2013 stel byvoorbeeld dat werknemers en kontrakteurs 'gemotiveerd' moet word om ISMS-beleide aan te neem; in 2022 word die woord 'mandaat' egter gebruik.
Tabel van alle ISO 27001:2022 Bylae A-kontroles
In die tabel hieronder sal jy meer inligting oor elke individu vind ISO 27001:2022 Bylae A Beheer.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 |
Bylae A 5.1.1 Bylae A 5.1.2 |
Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 |
Bylae A 6.1.5 Bylae A 14.1.1 |
Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 |
Bylae A 8.1.1 Bylae A 8.1.2 |
Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 |
Bylae A 8.1.3 Bylae A 8.2.3 |
Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 |
Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 |
Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 |
Bylae A 9.1.1 Bylae A 9.1.2 |
Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 |
Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 |
Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 |
Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 |
Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 |
Bylae A 15.2.1 Bylae A 15.2.2 |
Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 |
Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 |
Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 |
Bylae A 18.1.1 Bylae A 18.1.5 |
Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 |
Bylae A 18.2.2 Bylae A 18.2.3 |
Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 |
Bylae A 16.1.2 Bylae A 16.1.3 |
Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 |
Bylae A 11.1.2 Bylae A 11.1.6 |
Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 |
Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 |
Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 |
Bylae A 6.2.1 Bylae A 11.2.8 |
Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 |
Bylae A 12.6.1 Bylae A 18.2.3 |
Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 |
Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 |
Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van Bevoorregte Nutsdiensteprogramme Toegangsregte |
| Tegnologiese kontroles | Bylae A 8.19 |
Bylae A 12.5.1 Bylae A 12.6.2 |
Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 |
Bylae A 10.1.1 Bylae A 10.1.2 |
Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 |
Bylae A 14.1.2 Bylae A 14.1.3 |
Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige Stelselargitektuur en IngenieursbeginselsLeer uit Inligtingsekuriteitsvoorvalle |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 |
Bylae A 14.2.8 Bylae A 14.2.9 |
Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 |
Bylae A 12.1.4 Bylae A 14.2.6 |
Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 |
Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 |
Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
[case_study_slider ids=”88859,101932,92016″ outospeel=”waar” outospeelspoed=”5000″]
Hoe word hierdie proses bestuur?
Eenvoudig gestel, 'n maatskappy se bestuur verseker dat 'n ISMS (Bestuurstelsel vir inligtingsekuriteit) is in plek.
'n Inligtingsekuriteitsbestuurder wat gekwalifiseerd, ervare en verantwoordelik is vir die ontwikkeling, implementering, bestuur en voortdurende verbetering van die ISMS moet aangestel word.
ISMS.online: Hoe ons kan help
By die implementering van 'n ISO 27001-belynde ISMS, 'n sleuteluitdaging is om tred te hou met jou inligtingsekuriteitskontroles. Ons stelsel maak hierdie proses eenvoudig.
Ons span verstaan die belangrikheid daarvan om jou organisasie se data en reputasie te beskerm. Gevolglik vereenvoudig ons wolk-gebaseerde platform die implementering van ISO 27001, stel jou in staat om 'n robuuste raamwerk vir inligtingsekuriteitskontroles daar te stel, en help jou om sertifisering vinnig en maklik te bereik.
Die gebruik van ISMS.aanlyn, kan jy vinnig ISO 27001-sertifisering verkry en dit daarna bestuur. Ons platform het verskeie gebruikersvriendelike kenmerke en gereedskapstelle wat jou tyd sal bespaar en verseker dat jy 'n robuuste ISMS skep.
Kontak ons vandag nog om beplan 'n demo.
