ISO 27002 Beheer 5.35: Waarom onafhanklike sekuriteitsbeoordelings saak maak
Inligtingsekerheid is 'n kernaspek van 'n organisasie se databestuur praktyke.
Soveel so dat dit nodig is om selfvoldaanheid uit te skakel deur gereelde onafhanklike oorsigte uit te voer van hoe 'n organisasie die mense, prosesse en tegnologieë bestuur wat betrokke is by die instandhouding van 'n effektiewe inligtingsekuriteit operasie.
Doel van beheer 5.35
Beheer 5.35 vereis van organisasies om onafhanklike hersiening van hul inligtingsekuriteitspraktyke uit te voer – beide met beplande tussenposes en wanneer groot operasionele veranderinge plaasvind – om te verseker dat inligtingsekuriteitbestuurbeleide:
- Voldoende – Hulle het die vermoë om nakoming te bereik
- Geskik – Hulle probeer om die regte doelwitte te bereik
- Effektief - Hulle werk soos bedoel
Eienskappe tabel
Beheer 5.35 is a voorkomende en korrektiewe beheer dit risiko handhaaf deur prosesse te skep wat gereelde hersiening van 'n organisasie se inligtingsekuriteitbestuurspraktyke fasiliteer.
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Identifiseer | #Inligtingsekerheidversekering | #Beheer en ekosisteem |
| #Regstellend | #Integriteit | #Beskerm | ||
| #Beskikbaarheid |
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Eienaarskap van beheer 5.35
Beheer 5.35 handel hoofsaaklik oor operasionele aangeleenthede. As sodanig behoort eienaarskap by die COO, of CISO (indien teenwoordig) te wees.
Algemene riglyne oor beheer 5.35
Die oorkoepelende doel is vir bestuur om prosesse te skep en te implementeer wat voorsiening maak vir onafhanklike hersiening van hul inligtingsekuriteit praktyke.
Resensies moet fokus op enige veranderinge wat is vereis om 'n organisasie se benadering tot inligtingsekuriteit te verbeter, Insluitend:
- Die inligtingsekuriteitsbeleid.
- Onderwerpspesifieke beleide.
- Verwante kontroles.
Enige hersiening moet uitgevoer word deur 'n persoon binne of buite die organisasie wat nie 'n gevestigde belang het in wat hulle ondersoek nie, soos:
- Interne ouditeure.
- Onafhanklike departementele bestuurders.
- Derdeparty-organisasies.
Wie ook al die hersiening doen, moet die relevante hê operasionele bevoegdheid om 'n gesonde oordeel oor hul bevindings te vel, en (in die geval van interne personeel) moet hul werksrol hulle nie verhinder om 'n geldige en wettige beoordeling te maak nie.
Die resultate van die hersiening moet deeglik aangeteken, gestoor en gerapporteer word aan die Bestuurder (of groepe Bestuurders) wat dit versoek het, en in sekere gevalle tot C-suite vlak of eienaarskap.
Beoordelaars moet poog om vas te stel of inligtingsekuriteitspraktyke voldoen aan die organisasie se “gedokumenteerde doelwitte en vereistes” wat in die inligtingsekuriteitsbeleid, of enige onderwerpspesifieke beleide gestel word, al dan nie.
Benewens periodieke hersiening, kan dit nodig wees om ad hoc-oorsigte te begin. Hierdie resensies kan oor 5 sleutelareas geregverdig word:
- Enige wette, riglyne of regulasies word gewysig wat die organisasie se inligtingsekuriteitswerking beïnvloed.
- Groot voorvalle vind plaas wat 'n impak op inligtingsekuriteit het (dataverlies, indringing, ens.).
- 'n Nuwe besigheid word geskep, of groot veranderinge word aan die huidige besigheid deurgevoer.
- Die organisasie aanvaar 'n nuwe produk of diens wat inligtingsekuriteit het implikasies, of maak onderliggende veranderinge aan 'n huidige produk of diens.
- Groot veranderinge word aangebring aan die organisasie se bank van inligtingsekuriteitskontroles, -beleide en -prosedures.
Aanvullende leiding
ISO / IEC 27007 en ISO/IEC TS 27008 bevat verdere leiding oor die praktyk van onafhanklike resensies.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Veranderinge en verskille vanaf ISO 27002:2013
27002:2022-5.35 vervang 27002:2013-18.1.2 (Onafhanklike hersiening van inligtingsekuriteit).
27002:2022-5.35 bevat dieselfde algemene riglyne as 27002:2013-18.1.2, maar gaan 'n stap verder deur spesifieke voorbeelde te stipuleer van wanneer 'n organisasie ad-hoc-oorsigte moet uitvoer, saam met sy periodieke hersiening.
Nuwe ISO 27002-kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | NUWE | Bedreigingsintelligensie |
| 5.23 | NUWE | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 8.9 | NUWE | Konfigurasiebestuur |
| 8.10 | NUWE | Inligting verwydering |
| 8.11 | NUWE | Datamaskering |
| 8.12 | NUWE | Voorkoming van datalekkasies |
| 8.16 | NUWE | Moniteringsaktiwiteite |
| 8.23 | NUWE | Webfiltrering |
| 8.28 | NUWE | Veilige kodering |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Hoe ISMS.online help
ISMS.online stroomlyn die ISO 27002 implementeringsproses deur 'n gesofistikeerde wolk-gebaseerde raamwerk te verskaf vir die dokumentasie van inligtingsekuriteitbestuurstelselprosedures en kontrolelyste om voldoening aan erkende standaarde te verseker.
Wanneer jy gebruik ISMS.online, Jy sal in staat wees om:
skep 'n ISMS wat versoenbaar is met ISO 27001 standaarde.
take uit te voer en bewyse in te dien om aan te dui dat hulle aan die vereistes van die standaard voldoen het.
take toe te ken en vordering met die nakoming van die wet te volg.
kry toegang tot 'n gespesialiseerde span adviseurs wat jou deur jou pad na voldoening sal bystaan.
Kontak vandag nog om bespreek 'n demo.
