ISO 27002:2022 – Beheer 5.23 – Inligtingsekuriteit vir die gebruik van wolkdienste

Doel van beheer 5.23

5.23 is 'n nuwe kontrole wat die prosesse uiteensit wat nodig is vir die verkryging, gebruik, bestuur van en verlaat van wolkdienste, met betrekking tot die organisasie se unieke inligting sekuriteit vereistes.

Beheer 5.23 laat organisasies toe om eers te spesifiseer en dan te bestuur en inligtingsekuriteit administreer konsepte wat verband hou met wolkdienste, in hul hoedanigheid as 'n "wolkdienstekliënt".

5.23 is 'n voorkomende beheer Wat risiko handhaaf deur beleide en prosedures te spesifiseer wat inligtingsekuriteit beheer, binne die sfeer van kommersiële wolkdienste.

Eienskappe van beheer 5.23

Eienaarskap van beheer 5.23

So is die verspreiding van wolkdienste oor die afgelope dekade, Beheer 5.23 bevat 'n magdom prosedures wat baie verskillende elemente van 'n organisasie se werking insluit.

Aangesien nie alle wolkdienste IKT-spesifiek is nie – alhoewel daar redelikerwys beweer kan word dat die meeste dit wel is – behoort eienaarskap van Beheer 5.22 tussen 'n organisasie se CTO or COO, afhangende van die heersende operasionele omstandighede.

Riglyne oor beheer 5.23 – Organisatoriese verpligtinge

Voldoening aan Beheer 5.23 behels die nakoming van wat bekend staan ​​as 'n 'onderwerpspesifieke' benadering tot wolkdienste en inligtingsekuriteit.

Gegewe die verskeidenheid wolkdienste wat aangebied word, moedig onderwerpspesifieke benaderings organisasies aan om wolkdienstebeleide te skep wat aangepas is vir individuele besigheidsfunksies, eerder as om aan 'n kombers te voldoen beleid wat op inligtingsekuriteit van toepassing is en wolkdienste oor die hele linie.

Daar moet kennis geneem word dat ISO die nakoming van Beheer 5.23 beskou as 'n samewerkingspoging tussen die organisasie en hul wolkdiensvennoot. Beheer 5.23 moet ook nou belyn wees met Beheer 5.21 en 5.22, wat handel oor inligting bestuur in die voorsieningsketting en die bestuur van verskafferdienste onderskeidelik.

Hoe 'n organisasie ook al kies om te werk, Beheer 5.23 moet nie in isolasie geneem word nie en moet bestaande pogings aanvul om verskafferverhoudings te bestuur.

Met inligtingsekuriteit op die voorpunt, moet die organisasie definieer:

1. Enige relevante sekuriteitsvereistes of bekommernisse betrokke by die gebruik van 'n wolkplatform.
2. Die kriteria betrokke by die keuse van 'n wolkdiensverskaffer, en hoe hul dienste gebruik moet word.
3. Granulêre beskrywing van rolle en relevante verantwoordelikhede wat bepaal hoe wolkdienste regoor die organisasie gebruik moet word.
4. Presies watter inligtingsekuriteitsareas word deur die wolkdiensverskaffer beheer, en dié wat onder die bevoegdheid van die organisasie self val.
5. Die beste maniere om eers te versamel, gebruik dan enige inligtingsekuriteitverwante dienskomponente wat deur die wolkdiensplatform verskaf word.
6. Hoe om kategoriese versekering te verkry oor enige inligtingsekuriteitverwante kontroles wat deur die wolkdiensverskaffer ingestel is.
7. Die stappe wat geneem moet word om veranderinge, kommunikasie en kontroles oor verskeie afsonderlike wolkplatforms te bestuur, en nie altyd van dieselfde verskaffer nie.
8. Voorvalbestuursprosedures wat uitsluitlik gemoeid is met die verskaffing van wolkdienste.
9. Hoe die organisasie verwag om sy deurlopende gebruik en/of groothandelaanneming van wolkplatforms te bestuur, in lyn met hul breër inligtingsekuriteit verpligtinge.
10. 'n Strategie vir die staking of wysiging van wolkdienste, hetsy op 'n verskaffer-vir-verskaffer-basis, of deur die proses van wolk-na-plaaslike migrasie.

Riglyne oor beheer 5.23 – Wolkdienste-ooreenkomste

Beheer 5.23 erken dat, anders as ander verskafferverhoudings, wolkdiensooreenkomste rigiede dokumente is wat nie in die oorgrote meerderheid van gevalle gewysig kan word nie.

Met dit in gedagte, moet organisasies wolkdiensooreenkomste noukeurig ondersoek en verseker dat aan vier hoofbedryfsvereistes voldoen word:

1. Vertroulikheid
2. Sekuriteit/data-integriteit
3. Diensbeskikbaarheid
4. Inligtinghantering

Soos met ander verskafferskontrakte, moet wolkdiensooreenkomste voor aanvaarding a deeglike risiko-evaluering wat potensiële probleme by die bron uitlig.

Die organisasie moet op 'n minimum 'n wolkdiensooreenkoms aangaan slegs wanneer hulle tevrede is dat die volgende 10 bepalings nagekom is:

1. Wolkdienste word voorsien en geïmplementeer op grond van die organisasie se unieke vereistes met betrekking tot hul bedryfsgebied, insluitend industrie-aanvaarde standaarde en praktyke vir wolk-gebaseerde argitektuur en gasheer infrastruktuur.
2. Toegang tot enige wolkplatforms voldoen aan die grensinligtingsekuriteitsvereistes van die organisasie.
3. Voldoende oorweging word gegee aan antimalware- en antivirusdienste, insluitend proaktiewe monitering en bedreigingsbeskerming.
4. Die wolkverskaffer voldoen aan 'n voorafbepaalde stel databerging- en verwerkingsbepalings, wat verband hou met een of meer afsonderlike globale streke en regulatoriese omgewings.
5. Proaktiewe ondersteuning word aan die organisasie verskaf, sou die wolkplatform 'n katastrofiese mislukking of inligtingsekuriteitverwante voorval ondervind.
6. Indien die behoefte ontstaan ​​om enige element van die wolkplatform te subkontrakteer of andersins uit te kontrakteer, bly die verskaffer se inligtingsekuriteitsvereistes 'n konstante oorweging.
7. Indien die organisasie enige hulp benodig om digitale inligting vir enige relevante doel (wetstoepassing, regulatoriese belyning, kommersiële doeleindes) te versamel, sal die wolkdiensverskaffer die organisasie so ver moontlik ondersteun.
8. Aan die einde van die verhouding moet die wolkdiensverskaffer redelike ondersteuning en toepaslike beskikbaarheid verskaf tydens die oorgangs- of uitskakelingstydperk.
9. Die wolkdiensverskaffer moet werk met 'n robuuste BUDR-plan wat daarop gefokus is om voldoende rugsteun van die organisasie se data uit te voer.
10. Die oordrag van alle relevante aanvullende data vanaf die wolkdiensverskaffer na die organisasie, insluitend konfigurasie-inligting en kode waarop die organisasie aanspraak het.

Aanvullende inligting oor beheer 5.23

Benewens bogenoemde leiding, stel Beheer 5.23 voor dat organisasies 'n noue werksverhouding met wolkdiensverskaffers vorm, in ooreenstemming met die belangrike diens wat hulle nie net in inligtingsekuriteitsterme lewer nie, maar oor 'n organisasie se hele kommersiële bedrywighede heen.

Organisasies moet, waar moontlik, die volgende bepalings van wolkdiensverskaffers soek om operasionele veerkragtigheid te verbeter en verbeterde vlakke van inligtingsekuriteit te geniet:

1. Alle infrastruktuurwysigings moet vooraf gekommunikeer word om die organisasie se eie stel inligtingsekuriteitstandaarde in te lig.
2. Die organisasie benodig op hoogte gehou te word van enige veranderinge aan databergingsprosedures wat die migreer van data na 'n ander jurisdiksie of globale streek behels.
3. Enige voorneme aan die kant van die wolkdiensverskaffer om "ewekniewolk"-verskaffers te gebruik, of areas van hul bedrywighede aan subkontrakteurs uit te kontrakteer wat inligtingsekuriteitsimplikasies vir die organisasie kan hê.

Ondersteunende kontroles

• 5.21
• 5.22

Veranderinge vanaf ISO 27002:2013

Beheer 5.23 is a nuwe beheer wat nie in enige hoedanigheid in ISO 27002:2013 verskyn nie.

Nuwe ISO 27002-kontroles

Hoe ISMS.online help

ISMS.online stroomlyn die ISO 27002 implementeringsproses deur 'n gesofistikeerde wolk-gebaseerde raamwerk te verskaf vir die dokumentasie van inligtingsekuriteitbestuurstelselprosedures en kontrolelyste om voldoening aan erkende standaarde te verseker.

Wanneer jy ISMS.online gebruik, sal jy in staat wees om:

• Skep 'n ISMS wat versoenbaar is met ISO 27001 standaarde.
• Voer take uit en lewer bewyse in om aan te dui dat hulle aan die vereistes van die standaard voldoen het.
• Ken take toe en volg vordering met die nakoming van die wet.
• Kry toegang tot 'n gespesialiseerde span adviseurs wat jou deur jou pad na voldoening sal bystaan.

Kontak en bespreek 'n demo.