ISO 27002:2022, Beheer 5.37 – Gedokumenteerde bedryfsprosedures

Algemene riglyne oor beheer 5.37

Prosedures moet geskep word vir inligtingsekuriteitverwante aktiwiteite in ooreenstemming met 5 sleutel operasionele oorwegings:

1. Enige geval van 'n aktiwiteit wat deur een of meer mense op dieselfde manier uitgevoer word.
2. Wanneer 'n aktiwiteit nie gereeld uitgevoer word nie.
3. Wanneer 'n prosedure die risiko inhou om vergeet te word.
4. Enige nuwe aktiwiteite wat onbekend is aan personeel, en dus onderhewig is aan 'n hoër mate van risiko.
5. Wanneer die verantwoordelikheid vir die uitvoering van 'n aktiwiteit na 'n ander werknemer of groep werknemers oorgedra word.

Waar hierdie gevalle voorkom, moet gedokumenteerde bedryfsprosedures duidelik uiteensit:

1. Enige individue wat verantwoordelik is – beide posbekleërs en nuwe operateurs.
2. 'n Stel riglyne wat sekuriteit handhaaf tydens die installering en daaropvolgende konfigurasie van enige verwante besigheidstelsels.
3. Hoe inligting regdeur die aktiwiteit verwerk word.
4. BUDR-planne en implikasies, in die geval van dataverlies of 'n groot gebeurtenis (sien Beheer 8.13).
5. Gekoppelde afhanklikhede met enige ander stelsels, insluitend skedulering.
6. 'n Duidelike prosedure vir die hantering van "hanteringsfoute" of diverse gebeurtenisse wat die potensiaal het om te voorkom (sien Kontrole 8.18).
7. 'n Volledige lys van personeel wat gekontak moet word in die geval van enige ontwrigting, insluitend duidelike eskaleringsprosedures.
8. Hoe om enige relevante bergingsmedia te bedryf wat met die aktiwiteit geassosieer word (sien Kontroles 7.10 en 7.14).
9. Hoe om te herlaai en te herstel van 'n stelselfout.
10. Ouditspooraantekening, insluitend alle gepaardgaande gebeurtenis- en stelsellogboeke (sien Kontroles 8.15 en 8.17).
11. Videomoniteringstelsels wat aktiwiteite op die terrein monitor (sien Beheer 7.4).
12. 'n Sterk stel moniteringsprosedures wat voorsiening maak vir die operasionele kapasiteit, prestasiepotensiaal en sekuriteit van genoemde aktiwiteit.
13. Hoe die aktiwiteit gehandhaaf moet word, om op optimale prestasievlakke gehou te word.

Al die bogenoemde prosedures moet onderhewig wees aan periodieke en/of ad-hoc hersiening, soos en wanneer vereis, met alle veranderinge wat betyds deur Bestuur bekragtig word om inligtingsekuriteitsaktiwiteit regoor die organisasie te beskerm.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022-5.37 vervang 27002:2013-12.1.1 (Gedokumenteerde bedryfsprosedures).

27002:2022-5.37 brei uit op 27002:2013-12.1.1 deur 'n veel breër stel omstandighede aan te bied wat die nakoming van 'n dokumentprosedure sal regverdig.

27002:2013-12.1.1 lys inligtingverwerkingsaktiwiteite soos rekenaarbegin- en -toemaakprosedures, rugsteun, instandhouding van toerusting, mediahantering, terwyl 27002:2022-5.37 die opdrag van die beheer uitbrei na algemene aktiwiteite wat nie beperk is tot spesifieke tegniese funksies.

Afgesien van 'n paar klein toevoegings – soos om die individue wat vir 'n aktiwiteit verantwoordelik is te kategoriseer – bevat 27002:2022-5.37 dieselfde algemene riglyne as 27002:2013-12.1.1

Hoe ISMS.online help

ISO 27002 implementering is eenvoudiger met ons stap-vir-stap kontrolelys wat jou deur die hele proses lei, van die definisie van die omvang van jou ISMS tot risiko-identifikasie en beheer-implementering.

• Gebruikers kan take voltooi en bewyse indien om voldoening aan die standaard te demonstreer.
• Dit is maklik om verantwoordelikhede te delegeer en vordering in die rigting van voldoening te monitor.
• die uitgebreide risikobepaling gereedskapstel bespaar tyd en moeite regdeur die proses.
• Ons het 'n toegewyde span konsultante byderhand om te ondersteun jou regdeur jou reis na voldoening.

Kontak vandag nog om bespreek 'n demo.