- sien ISO 27002:2022 Beheer 6.4 vir meer inligting.
- sien ISO 27001:2013 Bylae A 7.2.3 vir meer inligting.
Wat is ISO 27001:2022 Bylae A 6.4?
ISO 27001:2022 Bylae A 6.4 vereis dat organisasies 'n dissiplinêre proses instel om as 'n afskrikmiddel teen inligting-sekuriteit oortredings.
Formele kommunikasie van hierdie proses moet geïmplementeer word en 'n boete wat geskik is vir werknemers en ander belanghebbendes wat die inligtingsekuriteitsbeleid oortree, moet ingestel word.
Oortreding van inligtingsekuriteit verduidelik
inligting veiligheidsbeleid oortredings is 'n oortreding van die regulasies wat die behoorlike hantering van inligting reguleer. Organisasies stel hierdie beleide in om vertroulike, eiendoms- en persoonlike data te beskerm, soos kliënterekords en kredietkaartnommers. Daarbenewens word rekenaarsekuriteitsbeleide ook hierby ingesluit om te verseker dat data wat op rekenaars gestoor is, veilig en ongeskonde bly.
As jy maatskappy-e-pos gebruik om persoonlike kommunikasie te stuur sonder toestemming van jou toesighouer, kan dit 'n oortreding van die maatskappybeleid wees. Verder, sou jy 'n fout maak terwyl jy die firma se toerusting of sagteware gebruik, wat lei tot skade aan óf die toerusting óf die data wat daarop gestoor is, is dit ook 'n oortreding van die inligtingsekuriteitsbeleid.
Indien 'n werknemer 'n organisasie se inligtingsekuriteitsbeleid oortree, kan dissiplinêre stappe of ontslag tot gevolg hê. In sekere situasies kan 'n besigheid kies om nie 'n werker te ontslaan wat sy rekenaargebruikbeleid oortree nie, maar om ander geskikte stappe te neem om enige verdere oortredings van maatskappybeleid te stop.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Die doel van ISO 27001:2022 Bylae A 6.4?
Die doel van die dissiplinêre proses is om seker te maak dat personeel en enige ander belanghebbende partye die uitkomste van 'n oortreding van die inligtingsekuriteitsbeleid erken.
Bylae A 6.4 is ontwerp om enige oortredings van inligtingsekuriteitsbeleide af te skrik en te help om dit te hanteer, om te verseker dat werknemers en ander verwante belanghebbendes bewus is van die gevolge.
’n Doeltreffende inligtingsekuriteitsprogram moet die kapasiteit insluit om geskikte dissiplinêre maatreëls te administreer vir werkers wat inligtingsekuriteitsregulasies oortree. Deur dit te doen, verseker dat personeel die implikasies van die verontagsaming van voorafbepaalde regulasies verstaan, en sodoende die waarskynlikheid van doelbewuste of onopsetlike datalekkasie verminder.
Voorbeelde van aktiwiteite wat ingesluit kan word terwyl hierdie beheer afgedwing word, is:
- Voer gereelde opleidingsessies uit om personeel op hoogte te hou van beleidsveranderinge.
- Ontwerp dissiplinêre maatreëls vir versuim om by inligtingsekuriteitsbeleide te hou.
- Voorsien elke werknemer van 'n afskrif van die organisasie se dissiplinêre prosedures.
- In soortgelyke situasies, verseker dat dissiplinêre prosedures konsekwent gevolg word.
Die dissiplinêre maatreëls wat in die raamwerk uiteengesit word, moet vinnig geïmplementeer word ná 'n voorval, om enige verdere oortredings van organisatoriese beleide te ontmoedig.
Wat is betrokke en hoe om aan die vereistes te voldoen
Om die vereistes van aanhangsel A 6.4, dissiplinêre stappe moet geneem word wanneer daar bewyse is dat die organisasie se beleide, prosedures of regulasies nie nagekom word nie. Dit sluit ook enige toepaslike wetgewing en regulasies in.
Volgens Bylae A 6.4 moet die formele dissiplinêre proses rekening hou met die volgende elemente wanneer 'n gegradueerde benadering gevolg word:
- Die omvang van die oortreding, die aard, erns en gevolge daarvan moet alles in ag geneem word.
- Of die oortreding opsetlik of toevallig was.
- Ongeag of dit die aanvanklike of herhaalde oortreding is.
- Of die oortreder voldoende opleiding ontvang het, moet oorweeg word.
Oorweeg alle relevante wetlike, wetgewende, regulatoriese, kontraktuele en korporatiewe verpligtinge, sowel as enige ander relevante faktore, wanneer aksie geneem word.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Veranderinge en verskille vanaf ISO 27001:2013
ISO 27001:2022 Bylae A 6.4 vervang ISO 27001:2013 Bylae A 7.2.3 in die hersiene 2022-weergawe van ISO 27001.
ISO 27001:2022 gebruik gebruikersvriendelike taal om te verseker dat die standaard se gebruikers die inhoud daarvan kan begryp. Daar is geringe variasies in bewoording, maar die algehele konteks en inhoud bly dieselfde.
Die enigste onderskeid wat jy sal waarneem, is die Bylae A-kontrolenommer wat van 7.2.3 na 6.4 verander is. Boonop het die 2022-standaard die bykomende voordeel van 'n kenmerktabel en doelstelling wat in die 2013-weergawe afwesig is.
Tabel van alle ISO 27001:2022 Bylae A-kontroles
In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 |
Bylae A 5.1.1 Bylae A 5.1.2 |
Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 |
Bylae A 6.1.5 Bylae A 14.1.1 |
Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 |
Bylae A 8.1.1 Bylae A 8.1.2 |
Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 |
Bylae A 8.1.3 Bylae A 8.2.3 |
Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 |
Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 |
Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 |
Bylae A 9.1.1 Bylae A 9.1.2 |
Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 |
Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 |
Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 |
Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 |
Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 |
Bylae A 15.2.1 Bylae A 15.2.2 |
Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 |
Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 |
Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 |
Bylae A 18.1.1 Bylae A 18.1.5 |
Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 |
Bylae A 18.2.2 Bylae A 18.2.3 |
Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 |
Bylae A 16.1.2 Bylae A 16.1.3 |
Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 |
Bylae A 11.1.2 Bylae A 11.1.6 |
Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 |
Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 |
Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 |
Bylae A 6.2.1 Bylae A 11.2.8 |
Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 |
Bylae A 12.6.1 Bylae A 18.2.3 |
Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 |
Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 |
Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van Bevoorregte Nutsdiensteprogramme Toegangsregte |
| Tegnologiese kontroles | Bylae A 8.19 |
Bylae A 12.5.1 Bylae A 12.6.2 |
Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 |
Bylae A 10.1.1 Bylae A 10.1.2 |
Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 |
Bylae A 14.1.2 Bylae A 14.1.3 |
Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige Stelselargitektuur en IngenieursbeginselsLeer uit Inligtingsekuriteitsvoorvalle |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 |
Bylae A 14.2.8 Bylae A 14.2.9 |
Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 |
Bylae A 12.1.4 Bylae A 14.2.6 |
Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 |
Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 |
Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
Wie is in beheer van hierdie proses?
In die meeste gevalle word die dissiplinêre proses deur die departementsbestuurder of MH-verteenwoordiger toesig gehou. Dit is nie ongewoon dat die MH-verteenwoordiger die verantwoordelikheid van dissiplinêre optrede aan iemand anders in die organisasie gee, soos 'n inligtingsekuriteitskenner nie.
Die primêre doel van dissiplinêre optrede is om die organisasie te beskerm teen enige bykomende oortredings van die personeellid. Dit het verder ten doel om enige verdere voorkoms van soortgelyke voorvalle te voorkom deur seker te maak dat alle werknemers bewus is van die belangrikheid van inligtingsekuriteitsbreuke.
Dit is noodsaaklik vir enige organisasie om te verseker dat dissiplinêre stappe geneem word wanneer 'n personeellid enige van sy beleide of prosedures oortree het. Om dit te verseker, moet duidelike leiding vasgestel word oor hoe om sulke situasies te hanteer, insluitend instruksies oor hoe om ondersoeke uit te voer en die aksies om daarna te neem.
Wat beteken hierdie veranderinge vir jou?
As jy nadink oor hoe hierdie veranderinge jou raak, hier is 'n bondige opsomming van die mees kritieke punte:
- Nie nodig om te hersertifiseer nie; dit is slegs 'n geringe verandering.
- Behou jou huidige sertifisering totdat dit verval, mits dit geldig bly.
- Geen groot veranderings is aan ISO 27001:2022 Bylae A 6.4 aangebring nie.
- Die doel is om die standaard in lyn te bring met die mees onlangse beste praktyke en standaarde.
As jy mik om te wen ISMS-sertifisering, moet jy jou sekuriteitsmaatreëls assesseer om te verseker dat dit aan die hersiene standaard voldoen.
Om insig te kry in die impak wat die nuwe ISO 27001:2022 op jou datasekuriteitsprosedures en ISO 27001-akkreditasie kan hê, verwys asseblief na ons komplimentêre ISO 27001:2022-gids.
[case_study_slider ids=”88859,101932,92016″ outospeel=”waar” outospeelspoed=”5000″]
Hoe ISMS.Online Help
ISMS.online is die voorste ISO 27001 bestuurstelsel sagteware, wat bydra tot voldoening aan die ISO 27001-standaard. Dit help maatskappye om te verseker dat hul sekuriteitsbeleide en -prosedures in lyn is met die vereiste.
dit wolk-gebaseerde platform bied 'n volledige reeks gereedskap om organisasies te help om 'n inligtingsekuriteitbestuurstelsel (ISMS) te vestig wat op ISO 27001 gebaseer is.
Hierdie gereedskap bestaan uit:
- 'n Biblioteek van sjablone vir gereelde korporatiewe dokumente is beskikbaar.
- 'n Versameling voorafbepaalde riglyne en protokolle is in plek.
- 'n Oudithulpmiddel om interne oudits te fasiliteer is beskikbaar.
- 'n Raakvlak om beleide en prosedures vir inligtingsekuriteitbestuurstelsel (ISMS) te verpersoonlik, word verskaf.
- Alle veranderinge aan beleide en prosedures moet deur 'n werkvloeiproses goedgekeur word.
- Skep 'n lys om te verseker dat jou beleid en inligtingbeskermingsmaatreëls in lyn is met internasionale standaarde.
ISMS.Online bied gebruikers die vermoë om:
- Hanteer alle areas van die ISMS-lewensiklus met gemak.
- Kry onmiddellike begrip van hul sekuriteitstatus en voldoeningsprobleme.
- Integreer met ander stelsels soos HR, finansies en projekbestuur.
- Verseker voldoening van die ISMS aan ISO 27001-kriteria.
ISMS.Online bied raad oor hoe om jou ISMS optimaal uit te voer, met leiding oor die vorming van beleide en protokolle wat verband hou met risiko bestuur, personeel sekuriteit bewustheid opleiding en voorval reaksie voorbereiding.
Reik nou uit na ons om skeduleer 'n demonstrasie.