As deel van ISO 27001:2022, spesifiseer Bylae A 5.1 dat organisasies 'n inligting-sekuriteit beleidsdokument in plek. Dit is om hulself teen inligtingsekuriteitsbedreigings beskerm.
Besigheidsbehoeftes, sowel as toepaslike regulasies en wetgewing, moet in ag geneem word wanneer beleide ontwikkel word.
'n Beleidsdokument vir inligtingsekuriteit is in wese 'n samestelling van Bylae A-kontroles wat die organisasie se sleutelstellings oor sekuriteit versterk en aan belanghebbendes beskikbaar stel.
In die 2022-weergawe van die standaard moet beleid ook ingesluit word by die onderwys-, opleiding- en bewusmakingsprogram, soos beskryf in Mensekontroles A.6.3.
Organisatoriese beleide spesifiseer die beginsels waaraan lede en sleutelpartye soos verskaffers moet voldoen. Hierdie beleide moet gereeld hersien en opgedateer word soos nodig.
An inligtingsekuriteitsbeleid het ten doel om werknemers, bestuur en eksterne partye (bv. kliënte en verskaffers) te voorsien van 'n raamwerk vir die bestuur van elektroniese inligting, insluitend rekenaarnetwerke.
'n Sekuriteitsbeleid moet gedefinieer, deur die bestuur goedgekeur, gepubliseer en aan werknemers en relevante eksterne partye gekommunikeer word.
Benewens die vermindering van die risiko van dataverlies as gevolg van interne en eksterne bedreigings, inligtingsekuriteitsbeleide verseker dat alle werknemers hul rol in die beskerming van die organisasie se data verstaan.
Benewens voldoen aan standaarde soos ISO 27001, kan 'n inligtingsekuriteitsbeleid ook voldoening aan wette en regulasies demonstreer.
cyber Security dreigemente sluit in korporatiewe spioene en hacktiviste, terreurgroepe, vyandige nasiestate en kriminele organisasies. Hierdie dreigemente poog om onwettig toegang tot data te verkry, digitale bedrywighede te ontwrig of inligting te beskadig.
Bedreigings vir kuberveiligheid en inligtingsekuriteit sluit in:
Inligtingsekuriteitsbeleide is ontwerp om jou maatskappy se sensitiewe inligting teen diefstal en ongemagtigde toegang te beskerm.
In in ooreenstemming met ISO 27001, Bylaebeheer A 5.1 rig die doel en implementering van die daarstelling van 'n inligtingsekuriteitsbeleid in 'n organisasie.
'n Algehele inligtingsekuriteitsbeleid word vereis deur Aanhangsel A Beheer 5.1 vir organisasies om hul inligtingsekuriteit te bestuur. Senior bestuur moet die riglyne goedkeur, wat gereeld hersien moet word indien veranderinge in die inligtingsekuriteitsomgewing plaasvind.
Die gepaste benadering is om gereeld te vergader, ten minste een keer per maand, met bykomende vergaderings soos nodig. Benewens die deel van beleide met interne en eksterne belanghebbendes, moet bestuur enige veranderinge goedkeur voordat dit geïmplementeer word.
A gedetailleerde bedryfsprosedure wat beskryf hoe die inligtingsekuriteitsbeleid geïmplementeer sal word, moet gebaseer wees op en ondersteun word deur 'n inligtingsekuriteitsbeleid.
Die beleid moet deur top goedgekeur word bestuur en aan personeel en belangstellendes gekommunikeer.
Benewens gee rigting aan die organisasie se benadering om inligtingsekuriteit te bestuur, kan die beleid gebruik word om meer gedetailleerde bedryfsprosedures te ontwikkel.
Soos vereis deur ISO/IEC 27000-standaarde, 'n Beleid is noodsaaklik vir die vestiging en instandhouding van 'n inligtingsekuriteitbestuurstelsel (ISMS). 'n Goed gedefinieerde beleid bly van kritieke belang, selfs al is die organisasie nie van plan om dit te doen nie implementeer ISO 27001 of enige ander formele sertifisering.
Inligtingsekuriteitsbeleide moet gereeld hersien word om hul voortgesette geskiktheid, toereikendheid en doeltreffendheid te verseker.
Wanneer veranderinge aan die besigheid, sy risiko's, tegnologie, wetgewing of regulasies aangebring word, of as sekuriteitsswakhede, gebeure of voorvalle aandui dat beleidsveranderinge nodig is.
As deel van ISO 27001-hersiening 2013, voeg hierdie kontrole Bylae A-kontroles 5.1.1 Beleide vir Inligtingsekuriteit en 5.1.2 Hersiening van Beleide vir Inligtingsekuriteit saam.
Bylae A beheer 5.1 duim ISO 27001:2022 is opgedateer met 'n beskrywing van die doel daarvan en uitgebreide implementeringsleiding, sowel as 'n kenmerktabel wat gebruikers toelaat om Bylae A-kontroles met industrieterminologie te versoen.
Volgens Bylae A 5.1 moet inligtingsekuriteit en onderwerpspesifieke beleide gedefinieer, deur die bestuur goedgekeur, gepubliseer, aan die toepaslike personeel gekommunikeer en erken word.
'n Organisasie se inligtingsekuriteitsbeleid moet die grootte, tipe en sensitiwiteit van inligtingsbates, industriestandaarde en toepaslike regeringsvereistes in ag neem.
Volgens klousule 5.1.2 van ISO 27001:2013 is die doel van Bylae A om te verseker dat inligtingsekuriteitsbeleide gereeld geëvalueer word indien veranderinge in die inligtingsekuriteitsomgewing ontstaan.
Volgens ISO 27001: 2013 en ISO 27001: 2022 moet topbestuur 'n sekuriteitsbeleid ontwikkel wat deur topbestuur goedgekeur word en beskryf hoe die organisasie sy data sal beskerm. Nietemin dek beide weergawes van die polisse verskillende vereistes.
Volgens ISO 27001:2013 moet inligtingsekuriteitsbeleide aan die volgende vereistes voldoen:
Inligtingsekuriteitsbeleide moet die volgende stellings insluit:
Daarteenoor het ISO 27001:2022 meer omvattende vereistes.
As deel van die inligtingsekuriteitsbeleid moet die volgende vereistes in ag geneem word:
Verklarings oor die volgende moet by die inligtingsekuriteitsbeleid ingesluit word:
Daarbenewens is ISO 27001:2022 hersien om onderwerpspesifieke beleide vir inligtingsekuriteitvoorvalbestuur, batebestuur, netwerksekuriteit, voorvalbestuur en veilige ontwikkeling as onderwerpspesifieke beleide in te sluit. Vir die doel om 'n meer holistiese raamwerk te skep, is sommige van die vereistes van ISO 27001:2013 verwyder of saamgevoeg.
In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 | Bylae A 5.1.1 Bylae A 5.1.2 | Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 | Bylae A 6.1.5 Bylae A 14.1.1 | Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 | Bylae A 8.1.1 Bylae A 8.1.2 | Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 | Bylae A 8.1.3 Bylae A 8.2.3 | Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 | Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 | Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 | Bylae A 9.1.1 Bylae A 9.1.2 | Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 | Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 | Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 | Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 | Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 | Bylae A 15.2.1 Bylae A 15.2.2 | Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 | Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 | Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 | Bylae A 18.1.1 Bylae A 18.1.5 | Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 | Bylae A 18.2.2 Bylae A 18.2.3 | Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 | Bylae A 16.1.2 Bylae A 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 | Bylae A 11.1.2 Bylae A 11.1.6 | Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 | Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 | Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 | Bylae A 6.2.1 Bylae A 11.2.8 | Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 | Bylae A 12.6.1 Bylae A 18.2.3 | Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 | Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 | Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van bevoorregte nutsprogramme |
| Tegnologiese kontroles | Bylae A 8.19 | Bylae A 12.5.1 Bylae A 12.6.2 | Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 | Bylae A 10.1.1 Bylae A 10.1.2 | Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 | Bylae A 14.1.2 Bylae A 14.1.3 | Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige stelselargitektuur en ingenieursbeginsels |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 | Bylae A 14.2.8 Bylae A 14.2.9 | Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 | Bylae A 12.1.4 Bylae A 14.2.6 | Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 | Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 | Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
Met ISMS.aanlyn, sal jy toegang hê tot 'n volledige stel gereedskap en hulpbronne om jou eie ISO 27001 Inligtingsekuriteitsbestuurstelsel (ISMS) te help bestuur, of jy nou 'n nuweling is of reeds gesertifiseer is.
Verder verskaf ISMS.online outomatiese prosesse om die hele hersieningsproses te help vereenvoudig. Hierdie prosesse bespaar aansienlike hoeveelhede administrasietyd in vergelyking met ander werkmetodes.
Jy sal 'n voorsprong kry met ISO 27001-beleide en kontroles van ISMS.online.
Intuïtiewe werkvloeie, gereedskap, raamwerke, beleide en kontroles, uitvoerbare dokumentasie en leiding, sowel as uitvoerbare leiding maak dit maklik om ISO 27001 te implementeer deur die omvang te definieer, risiko's te identifiseer en beheermaatreëls te implementeer gebaseer op ons algoritmes - of dit van nuuts af geskep word of gebaseer op die beste praktyksjablone in die industrie.
Kontak ons vandag nog om beplan 'n demo.
Bespreek 'n pasgemaakte praktiese sessie
gebaseer op jou behoeftes en doelwitte
Bespreek jou demo
