ISO 27001:2022, Bylae A beheer 5.4, Bestuursverantwoordelikhede dek die behoefte aan bestuur om te verseker dat alle personeel by al die inligtingsekuriteit onderwerpspesifieke beleide en prosedures soos omskryf in die gevestigde inligtingsekuriteitsbeleid van die organisasie.
Werknemers en kontrakteurs moet bewus wees van en nakom hul inligtingsekuriteitsverantwoordelikhede soos beskryf in hierdie aanhangsel.
Bylae A Beheer 5.4 beskryf hoe werknemers en kontrakteurs inligtingsekuriteit toepas volgens die organisasie se beleide en prosedures.
Die verantwoordelikhede wat op bestuurders geplaas word, moet vereistes insluit om:
Dit is die verantwoordelikheid van bestuurders om te verseker dat sekuriteitsbewustheid en pligsgetrouheid die hele organisasie deurdring en om 'n toepaslike "sekuriteitskultuur" te vestig.
An inligtingsekuriteitsbeleid is 'n formele dokument wat bestuursrigting, doelwitte en beginsels verskaf vir die beskerming van 'n organisasie se inligting. Om die toewysing van hulpbronne toepaslik te verseker, moet 'n doeltreffende inligtingsekuriteitsbeleid aangepas word by 'n organisasie se spesifieke behoeftes en ondersteun word deur senior bestuur.
Dit spesifiseer hoe die maatskappy sy sal beskerm inligtingsbates en hoe werknemers sensitiewe data moet hanteer.
brug inligtingsekuriteitsbeleide word deur senior bestuur ontwikkel in samewerking met IT-sekuriteitspersoneel en is afgelei van wette, regulasies en beste praktyke.
'n Raamwerk vir die definisie van rolle en verantwoordelikhede en 'n hersieningstydperk moet ook by beleide ingesluit word.
Bylae A Beheer 5.4 het ten doel om te verseker dat bestuur bewus is van hul verantwoordelikhede vir inligtingsekuriteit.
Dit neem stappe om te verseker dat alle werknemers bewus is van daardie verantwoordelikhede.
Inligting is 'n waardevolle bate wat teen verlies, skade of misbruik beskerm moet word. Bestuur moet verseker dat voldoende maatreëls getref word om hierdie bate te beskerm. Om dit te bereik, moet bestuur verseker dat alle personeel voldoen aan die organisasie se inligtingsekuriteitsbeleide, aktuele beleide en prosedures.
Beheer 5.4 in Bylae A definieer bestuursverantwoordelikheid rakende inligtingsekuriteit in 'n organisasie gebaseer op ISO 27001 se raamwerk.
Bestuur moet aan boord wees met die inligtingsekuriteitsprogram, en alle werknemers en kontrakteurs moet bewus wees van die inligtingsekuriteitsbeleid en dit volg. Sekuriteitsbeleide, onderwerpspesifieke beleide en prosedures moet nooit vrygestel word van verpligte nakoming deur enige werknemer of kontrakteur nie.
'n Organisasie se inligtingsekuriteitsbeleide, -standaarde en -prosedures moet deur bestuur afgedwing word om aan hierdie Bylae A-beheer te voldoen.
Om bestuur se ondersteuning en inkoop te kry is die eerste stap.
Om toewyding te toon, moet bestuur al sy beleide en prosedures volg. Byvoorbeeld, as veiligheidsbewustheid opleiding jaarliks vereis word, moet bestuurders self daardie kursusse voltooi.
Ongeag hul posisie, moet almal in die maatskappy bewus wees van die belangrikheid van inligtingsekuriteit. Soos gestel in die maatskappy se ISMS-program, moet almal hul rol in die handhawing van die sekuriteit van sensitiewe data verstaan. Dit sluit die raad van direkteure, uitvoerende beamptes en bestuurders, en werknemers in.
ISO 27001:2022 Bylae A 5.4 Bestuursverantwoordelikhede was voorheen bekend as Beheer 7.2.1 Bestuursverantwoordelikhede. Dit is nie 'n nuut bygevoegde kontrole nie, maar 'n meer robuuste interpretasie van die ooreenstemmende beheer in Die ISO 27001: 2013.
Daar is 'n paar verskille tussen Bylae A, kontrole 5.4 en kontrole 7.2.1. Hierdie verskille word in die implementeringsriglyne vir beide gedokumenteer.
Dit is die verantwoordelikheid van die bestuur om te verseker dat werknemers en kontrakteurs die volgende standaarde volg:
'n Organisasie moet:
Bestuur moet inligtingsekuriteitsbeleide, -prosedures en Bylae A-kontroles ondersteun.
Beheer 5.4 van Bylae A is meer gebruikersvriendelik en vereis dat bestuur verseker dat werknemers en kontrakteurs die volgende riglyne volg:
A) Word ingelig oor hul verantwoordelikhede en rolle in inligtingsekuriteit voordat toegang tot die organisasie se inligting verleen word.
B) Ontvang riglyne wat die verwagte vlak van inligtingsekuriteit in hul spesifieke rolle spesifiseer.
C) Voldoen aan die organisasie se inligtingsekuriteitsbeleid en onderwerpspesifieke beleide.
D) Raak bewus van hul rol en verantwoordelikhede rakende inligtingsekuriteit.
E) Nakoming van werkplekreëls, insluitend die organisasie se datasekuriteitsbeleid en werksmetodes.
F) Leer jouself voortdurend oor inligtingsekuriteitsvaardighede en -kwalifikasies.
G) In gevalle van oortredings van inligtingsekuriteitsbeleide, onderwerpspesifieke beleide of prosedures ("fluitjieblaas") moet werknemers van 'n vertroulike kommunikasiekanaal voorsien word. 'n Anonieme aanmeldingsopsie of bepalings wat verseker dat die identiteit van die verslaggewer slegs bekend is aan diegene wat hierdie verslae moet hanteer, is moontlik.
H) Verseker voldoende hulpbronne en projekbeplanningstyd om sekuriteitsverwante prosesse en Bylae A-kontroles te implementeer.
Die ISO 27001:2022-standaard vereis uitdruklik dat werkers en kontrakteurs toegang het tot die nodige hulpbronne en projekbeplanningstyd om sekuriteitsverwante prosedures en kontroles te implementeer.
ISO 27001:2013 en ISO 27001:2022 gebruik verskillende bewoording vir sommige implementeringsriglyne. Riglyn C in 2013 stel byvoorbeeld dat werknemers en kontrakteurs 'gemotiveerd' moet word om ISMS-beleide aan te neem; in 2022 word die woord 'mandaat' egter gebruik.
In die tabel hieronder sal jy meer inligting oor elke individu vind ISO 27001:2022 Bylae A Beheer.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 | Bylae A 5.1.1 Bylae A 5.1.2 | Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 | Bylae A 6.1.5 Bylae A 14.1.1 | Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 | Bylae A 8.1.1 Bylae A 8.1.2 | Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 | Bylae A 8.1.3 Bylae A 8.2.3 | Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 | Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 | Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 | Bylae A 9.1.1 Bylae A 9.1.2 | Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 | Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 | Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 | Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 | Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 | Bylae A 15.2.1 Bylae A 15.2.2 | Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 | Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 | Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 | Bylae A 18.1.1 Bylae A 18.1.5 | Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 | Bylae A 18.2.2 Bylae A 18.2.3 | Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 | Bylae A 16.1.2 Bylae A 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 | Bylae A 11.1.2 Bylae A 11.1.6 | Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 | Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 | Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 | Bylae A 6.2.1 Bylae A 11.2.8 | Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 | Bylae A 12.6.1 Bylae A 18.2.3 | Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 | Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 | Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van bevoorregte nutsprogramme |
| Tegnologiese kontroles | Bylae A 8.19 | Bylae A 12.5.1 Bylae A 12.6.2 | Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 | Bylae A 10.1.1 Bylae A 10.1.2 | Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 | Bylae A 14.1.2 Bylae A 14.1.3 | Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige stelselargitektuur en ingenieursbeginsels |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 | Bylae A 14.2.8 Bylae A 14.2.9 | Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 | Bylae A 12.1.4 Bylae A 14.2.6 | Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 | Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 | Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
Eenvoudig gestel, 'n maatskappy se bestuur verseker dat 'n ISMS (Bestuurstelsel vir inligtingsekuriteit) is in plek.
'n Inligtingsekuriteitsbestuurder wat gekwalifiseerd, ervare en verantwoordelik is vir die ontwikkeling, implementering, bestuur en voortdurende verbetering van die ISMS moet aangestel word.
By die implementering van 'n ISO 27001-belynde ISMS, 'n sleuteluitdaging is om tred te hou met jou inligtingsekuriteitskontroles. Ons stelsel maak hierdie proses eenvoudig.
Ons span verstaan die belangrikheid daarvan om jou organisasie se data en reputasie te beskerm. Gevolglik vereenvoudig ons wolk-gebaseerde platform die implementering van ISO 27001, stel jou in staat om 'n robuuste raamwerk vir inligtingsekuriteitskontroles daar te stel, en help jou om sertifisering vinnig en maklik te bereik.
Die gebruik van ISMS.aanlyn, kan jy vinnig ISO 27001-sertifisering verkry en dit daarna bestuur. Ons platform het verskeie gebruikersvriendelike kenmerke en gereedskapstelle wat jou tyd sal bespaar en verseker dat jy 'n robuuste ISMS skep.
Kontak ons vandag nog om beplan 'n demo.
Bespreek 'n pasgemaakte praktiese sessie
gebaseer op jou behoeftes en doelwitte
Bespreek jou demo
