ISO 27001:2022 Bylae A 5.23 – Inligtingsekerheid vir die gebruik van wolkdienste

Doel van ISO 27001:2022 Bylae A 5.23

Die ISO 27001: 2022 Aanhangsel A 5.23 is 'n nuwe kontrole wat die prosesse uiteensit wat benodig word vir die verkryging, gebruik, bestuur van en verlaat van wolkdienste, in verhouding tot die organisasie se unieke inligtingsekuriteitvereistes.

Bylae A Beheer 5.23 laat organisasies toe om eers te spesifiseer en dan te bestuur en te administreer inligting sekuriteit konsepte wat verband hou met wolkdienste, in hul hoedanigheid as 'n "wolkdienstekliënt".

Bylae A 5.23 is a voorkomende beheer Wat risiko handhaaf deur te spesifiseer beleide en prosedures wat inligtingsekuriteit beheer, binne die sfeer van kommersiële wolkdienste.

Eienaarskap van Bylae A 5.23

So is die verspreiding van wolkdienste die afgelope dekade, ISO 27001 2022 Bylae A Beheer 5.23 bevat 'n magdom prosedures wat baie afsonderlike elemente van 'n organisasie se werking insluit.

Aangesien nie alle wolkdienste IKT-spesifiek is nie – alhoewel daar redelikerwys beweer kan word dat die meeste dit wel is – behoort eienaarskap van Bylae A Beheer 5.23 versprei te word tussen 'n organisasie se CTO or COO, afhangende van die heersende operasionele omstandighede.

Riglyne oor ISO 27001:2022 Bylae A Beheer 5.23 – Organisatoriese verpligtinge

Voldoening aan Beheer 5.23 behels die nakoming van wat bekend staan ​​as 'n 'onderwerpspesifieke' benadering tot wolkdienste en inligtingsekuriteit.

Gegewe die verskeidenheid wolkdienste wat aangebied word, moedig onderwerpspesifieke benaderings organisasies aan om wolkdienstebeleide te skep wat aangepas is vir individuele besigheidsfunksies, eerder as om te voldoen aan 'n algemene beleid wat van toepassing is op inligtingsekuriteit en wolkdienste oor die hele linie.

Daar moet kennis geneem word dat ISO die nakoming van Bylae A Beheer 5.23 beskou as 'n samewerkingspoging tussen die organisasie en hul wolkdiensvennoot. Bylae A Beheer 5.23 moet ook nou belyn wees met Beheer 5.21 en 5.22, wat handel oor inligtingbestuur in die voorsieningsketting en die bestuur van verskaffersdienste onderskeidelik.

Hoe 'n organisasie ook al kies om te werk, moet aanhangsel A Beheer 5.23 nie in isolasie geneem word nie en moet bestaande pogings om verskafferverhoudings te bestuur aanvul.

Met inligtingsekuriteit op die voorpunt, moet die organisasie definieer:

1. Enige relevante sekuriteitsvereistes of bekommernisse betrokke by die gebruik van 'n wolkplatform.
2. Die kriteria betrokke by die keuse van 'n wolkdiensverskaffer, en hoe hul dienste gebruik moet word.
3. Granulêre beskrywing van rolle en relevante verantwoordelikhede wat bepaal hoe wolkdienste regoor die organisasie gebruik moet word.
4. Presies watter inligtingsekuriteitsareas word deur die wolkdiensverskaffer beheer, en dié wat onder die bevoegdheid van die organisasie self val.
5. Die beste maniere om eers te versamel, gebruik dan enige inligtingsekuriteitverwante dienskomponente wat deur die wolkdiensplatform verskaf word.
6. Hoe om kategoriese versekering te verkry oor enige inligtingsekuriteitverwante kontroles wat deur die wolkdiensverskaffer ingestel is.
7. Die stappe wat geneem moet word om veranderinge, kommunikasie en kontroles oor verskeie afsonderlike wolkplatforms te bestuur, en nie altyd van dieselfde verskaffer nie.
8. Incident Management prosedures wat uitsluitlik gemoeid is met die verskaffing van wolkdienste.
9. Hoe die organisasie verwag om sy deurlopende gebruik en/of groothandelaanneming van wolkplatforms te bestuur, in lyn met hul breër inligtingsekuriteitsverpligtinge.
10. 'n Strategie vir die staking of wysiging van wolkdienste, hetsy op 'n verskaffer-vir-verskaffer-basis, of deur die proses van wolk-na-plaaslike migrasie.

Riglyne oor Bylae A Beheer 5.23 – Wolkdiensteooreenkomste

Bylae A Beheer 5.23 erken dat, anders as ander verskaffersverhoudings, wolkdiensooreenkomste rigiede dokumente is wat nie in die oorgrote meerderheid van gevalle gewysig kan word nie.

Met dit in gedagte, moet organisasies wolkdiensooreenkomste noukeurig ondersoek en verseker dat aan vier hoofbedryfsvereistes voldoen word:

1. Vertroulikheid.
2. Sekuriteit/data-integriteit.
3. Diens beskikbaarheid.
4. Inligtinghantering.

Soos met ander verskafferskontrakte, moet wolkdiensooreenkomste voor aanvaarding 'n deeglike risikobeoordeling ondergaan wat potensiële probleme by die bron uitlig.

Die organisasie moet op 'n minimum 'n wolkdiensooreenkoms aangaan slegs wanneer hulle tevrede is dat die volgende 10 bepalings nagekom is:

• Wolkdienste word voorsien en geïmplementeer op grond van die organisasie se unieke vereistes met betrekking tot hul bedryfsgebied, insluitend industrie-aanvaarde standaarde en praktyke vir wolk-gebaseerde argitektuur en gasheer infrastruktuur.
• Toegang tot enige wolkplatforms voldoen aan die grensinligtingsekuriteitsvereistes van die organisasie.
• Voldoende oorweging word gegee aan antimalware- en antivirusdienste, insluitend proaktiewe monitering en bedreigingsbeskerming.
• Die wolkverskaffer voldoen aan 'n voorafbepaalde stel databerging- en verwerkingsbepalings, wat verband hou met een of meer afsonderlike globale streke en regulatoriese omgewings.
• Proaktiewe ondersteuning word aan die organisasie verskaf, sou die wolkplatform 'n katastrofiese mislukking of inligtingsekuriteitverwante voorval ondervind.
• Indien die behoefte ontstaan ​​om enige element van die wolkplatform te subkontrakteer of andersins uit te kontrakteer, bly die verskaffer se inligtingsekuriteitsvereistes 'n konstante oorweging.
• Indien die organisasie enige hulp benodig om digitale inligting vir enige relevante doel (wetstoepassing, regulatoriese belyning, kommersiële doeleindes) te versamel, sal die wolkdiensverskaffer die organisasie so ver moontlik ondersteun.
• Aan die einde van die verhouding moet die wolkdiensverskaffer redelike ondersteuning en toepaslike beskikbaarheid verskaf tydens die oorgangs- of uitskakelingstydperk.
• Die wolkdiensverskaffer moet werk met 'n robuuste BUDR-plan wat daarop gefokus is om voldoende rugsteun van die organisasie se data uit te voer.
• Die oordrag van alle relevante aanvullende data vanaf die wolkdiensverskaffer na die organisasie, insluitend konfigurasie-inligting en kode waarop die organisasie aanspraak het.

Aanvullende inligting oor Bylae A Beheer 5.23

Benewens bogenoemde riglyne, stel Bylae A Beheer 5.23 voor dat organisasies 'n noue werksverhouding met wolkdiensverskaffers vorm, in ooreenstemming met die belangrike diens wat hulle nie net in inligtingsekuriteitsterme lewer nie, maar oor 'n organisasie se hele kommersiële bedrywighede heen.

Organisasies moet, waar moontlik, die volgende bepalings van wolkdiensverskaffers soek om operasionele veerkragtigheid te verbeter en verbeterde vlakke van inligtingsekuriteit te geniet:

1. Alle infrastruktuurwysigings moet vooraf gekommunikeer word om die organisasie se eie stel inligtingsekuriteitstandaarde in te lig.
2. Die organisasie moet op hoogte gehou word van enige veranderinge aan databergingsprosedures wat die migrasie van data na 'n ander jurisdiksie of globale streek behels.
3. Enige voorneme aan die kant van die wolkdiensverskaffer om "ewekniewolk"-verskaffers te gebruik, of areas van hul bedrywighede aan subkontrakteurs uit te kontrakteer wat inligtingsekuriteitsimplikasies vir die organisasie kan hê.

Ondersteunende Bylae A-kontroles

• ISO 27001:2022 Bylae A 5.21
• ISO 27001:2022 Bylae A 5.22

Wat is die veranderinge en verskille vanaf ISO 27001:2013?

Bylae A Beheer 5.23 is a nuwe beheer wat nie in enige hoedanigheid in ISO 27001:2013 verskyn nie.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.

Hoe ISMS.online help

ISMS.online stroomlyn die ISO 27001-implementeringsproses deur 'n gesofistikeerde wolkgebaseerde raamwerk te verskaf vir die dokumentasie van inligtingsekuriteitbestuurstelselprosedures en kontrolelyste om voldoening aan erkende standaarde te verseker.

Wanneer jy ISMS.online gebruik, sal jy in staat wees om:

• Skep 'n ISMS wat versoenbaar is met ISO 27001-standaarde.
• Voer take uit en lewer bewyse in om aan te dui dat hulle aan die vereistes van die standaard voldoen het.
• Ken take toe en volg vordering met die nakoming van die wet.
• Kry toegang tot 'n gespesialiseerde span adviseurs wat jou deur jou pad na voldoening sal bystaan.

Kontak en bespreek 'n demo.