Die ISO 27004: 2016

Wat is ISO 27004?

ISO / IEC 27004:2016 – Monitering, meting, assessering en evaluering, bied riglyne oor hoe om die prestasie van die ISO / IEC 27001:2013 inligtingsekuriteitbestuurraamwerk te bepaal. ISO / IEC 27004:2016 verduidelik hoe om assesseringstelsels te vestig en te bedryf, en hersien en teken ook die uitwerking van 'n reeks van inligtingsekuriteitsmaatreëls.

Hoe om inligtingsekuriteit te meet

Soos die ou gesegde sê “As jy dit nie kan meet nie, kan jy dit nie bestuur nie”, maar hoekom moet ons Inligtingsekuriteit meet? Om voortdurend verbeter watter metodes, prosedures, beleide ensovoorts wat in plek is om jou organisasie te beskerm. Inligtingsekerheid is die sleutel tot die sukses van enige organisasie, een verkeerde sekuriteitsbreuk en jou reputasie as 'n ernstige sekuriteitsorganisasie word beskadig.

Jy kan regtig nie te waaksaam wees wanneer dit by inligtingsekuriteit kom nie. Kuberaanvalle is van die belangrikste bedreigings wat 'n maatskappy in die gesig staar. Die sekuriteit van persoonlike data en kommersieel sensitiewe inligting is noodsaaklik. Maar hoe weet jy of jou ISO / IEC 27001:2013 Inligtingsekuriteitbestuurstelsel (ISMS) maak 'n verskil?

SO / IEC 27004:2016 is hier om jou te help.

ISO / IEC 27004:2016 bied riglyne oor hoe om die prestasie van ISO 27001 te bepaal. Dit beskryf hoe om evalueringstelsels te skep en te bedryf en hoe om die uitwerking van 'n stel inligting-sekuriteit statistieke.

Dit is hoekom ISO / IEC 27004:2016 kritieke en realistiese hulp bied aan die baie maatskappye wat ISO / IEC 27001:2013 implementeer om hulself te beskerm teen die toenemende diversiteit van sekuriteitsaanvalle wat die maatskappy vandag in die gesig staar.

Sekuriteitsmaatstawwe kan insig gee in die doeltreffendheid van die ISMS en as sodanig die middelpunt inneem. As jy 'n ingenieur of kontrakteur is verantwoordelik vir sekuriteit en bestuur analise, of 'n uitvoerende beampte wat beter besluitnemingsinligting wil hê, het sekuriteitsmaatstawwe 'n kritieke middel geword om die status van 'n organisasie se kuberrisikoposisie te kommunikeer.

Organisasies het ondersteuning nodig om die kwessie op te los of die organisasie se belegging in inligtingsekuriteit bestuur is suksesvol, geskik om te reageer, te verdedig en te reageer op die voortdurend veranderende kuberrisiko-klimaat.

Die geskiedenis van ISO/IEC 27004:2016

ISO 27004:2009 is die eerste keer in 2009 gepubliseer as deel van die ISO 27000 familie van standaarde, is dit later in 2016 hersien en het bekend gestaan ​​as ISO 27004:2016. Beide standaarde is riglyne en nie vereistes nie, daarom is dit nie nodig nie of kan daarteen gesertifiseer word, maar wat dit wel doen, is om met die ander ISO 27000-standaarde te werk, waarna ons sal aanbeweeg.

ISO / IEC 27004:2016 kan verskeie voordele inhou

ISO / IEC 27004:2016 wys hoe om 'n inligtingsekuriteitmetingprogram te skep, hoe om te kies wat om te bereken, en hoe om die toepaslike metingsprosesse te bedryf.

Dit verskaf gedetailleerde beskrywings van verskeie tipes kontroles en hoe die doeltreffendheid van daardie kontroles gemeet kan word.

Onder die vele voordele vir organisasies wat ISO / IEC 27004:2016 gebruik, is die volgende:

• Verhoogde deursigtigheid
• Verbeterde doeltreffendheid van inligtingbestuur en ISMS-prosesse
• Bewys van ooreenstemming met die spesifikasies van ISO / IEC 27001:2013, sowel as relevante reëls, wetgewing en regulasies

ISO / IEC 27004:2016 het die 2009-uitgawe vervang en is gewysig om aan die hersiene weergawe van ISO / IEC 27001:2013 te voldoen om organisasies uitstekende toegevoegde waarde en vertroue te gee.

Watter klousules het ISO 27004?

ISO 27004 bestaan ​​uit 8 klousules en 3 bylaes. ISO 27004:2016 het 4 sleutelklousules:

• Rasionaal (klousule 5)
• Eienskappe (klousule 6)
• Tipes maatreëls (klousule 7)
• Prosesse (klousule 8)

Saam met 3 Bylae A-kontroles wat insiggewend is:

• 'n Inligtingsekuriteitmetingsmodel
• Metingskonstruksie voorbeelde
• 'n Voorbeeld van vryteksvormmetingskonstruksie

ISO/IEC 27004:2016-klousules

Klousule 1: Bestek

Klousule 2: Normatiewe verwysings

Klousule 3: Terme en definisies

Klousule 4: Struktuur en oorsig

Klousule 5: Rasionaal

• 5.1 Die behoefte aan meting
• 5.2 Voldoening aan die ISO/IEC 27001 vereistes
• 5.3 Geldigheid van resultate
• 5.4 Voordele

Klousule 6: Kenmerke

• 6.1 Algemeen
• 6.2 Wat om te monitor
• 6.3 Wat om te meet
• 6.4 Wanneer om te moniteer, meet, ontleed en evalueer
• 6.5 Wie sal monitor, meet, analiseer en evalueer

Klousule 7: Tipes maatreëls

• 7.1 Algemeen
• 7.2 Prestasiemaatreëls
• 7.3 Doeltreffendheidsmaatreëls

Klousule 8: Prosesse

• 8.1 Algemeen
• 8.2 Identifiseer inligtingsbehoeftes
• 8.3 Skep en handhaaf maatreëls
• 8.4 Stel prosedures vas
• 8.5 Monitor en meet
• 8.6 Ontleed resultate
• 8.7 Evalueer inligtingsekuriteitsprestasie en ISMS-effektiwiteit
• 8.8 Hersien en verbeter moniterings-, meting-, analise- en evalueringsprosesse
• 8.9 Behou en kommunikeer gedokumenteerde inligting

ISO/IEC 27004:2016 Bylaeklousules

Bylae A: 'n Inligtingsekuriteitmetingsmodel

Bylae B: Metingskonstruk voorbeelde

• B.1 Algemeen
• B.2 Hulpbrontoewysing
• B.3 Beleidshersiening
• B.4 Bestuursverbintenis
• B.5 Risikoblootstelling
• B.6 Ouditprogram
• B.7 Verbeteringsaksies
• B.8 Sekuriteitsinsident koste
• B.9 Leer uit inligtingsekuriteitsinsidente
• B.10 Implementering van regstellende aksie
• B.11 ISMS-opleiding of ISMS-bewustheid
• B.12 Inligtingsekuriteitsopleiding
• B.13 Nakoming van bewusmaking van inligtingsekuriteit
• B.14 doeltreffendheid van ISMS-bewusmakingsveldtogte
• B.15 Maatskaplike ingenieursgereedheid
• B.16 Wagwoordkwaliteit – handleiding
• B.17 Wagwoordkwaliteit – outomaties
• B.18 Hersiening van gebruikerstoegangsregte
• B.19 Fisiese toegangsbeheerstelselevaluering
• B.20 Fisiese toegang beheer doeltreffendheid
• B.21 Bestuur van periodieke instandhouding
• B.22 Veranderingsbestuur
• B.23 Beskerming teen kwaadwillige kode
• B.24 Anti-wanware
• B.25 Totale beskikbaarheid
• B.26 Firewall-reëls
• B.27 Hersiening van loglêers
• B.28 Toestelkonfigurasie
• B.29 Pentest en kwesbaarheidsbeoordeling
• B.30 Kwesbaarheidslandskap
• B.31 Sekuriteit in derdeparty-ooreenkomste – a
• B.32 Sekuriteit in derdeparty-ooreenkomste – B
• B.33 Doeltreffendheid van bestuur van inligtingsekuriteitsvoorvalle
• B.34 Sekuriteitsinsidente neiging
• B.35 Rapportering van sekuriteitsgebeurtenisse
• B.36 ISMS hersieningsproses
• B.37 Kwesbaarheidsdekking

Bylae C: 'n Voorbeeld van vryteksvormmetingskonstruksie

• C.1 'Opleidingseffektiwiteit' – effektiwiteitsmetingskonstruk