- nähdä ISO 27002:2022 Control 5.2 lisätietoja.
- nähdä ISO 27001:2013 Liite A 6.1.1 lisätietoja.
Erittely ISO 27001 liite A 5.2: Roolit ja vastuut
ISO 27001:2022 liitteen 5.2 noudattaminen on helppoa, kun työskentelet ISMS.onlinen kanssa.
Tämä liite A 5.2 määrittelee organisaation tietoturvallisuuden aloittamisen ja hallinnan kehyksen .
Liitteessä A – Tietoturvallisuuden roolit ja vastuut – kuvattu valvonta on olennainen osa standardia ISO 27001:2022.
Tämä on olennainen osa tietoturvallisuuden hallintajärjestelmää (ISMS) , erityisesti jos pyrit saavuttamaan ISO 27001 -sertifioinnin. Tarkastellaan näitä vaatimuksia ja niiden merkitystä tarkemmin.
Mikä on ISO 27001:2022 liitteen A 5.2 tarkoitus?
Liitteen A 5.2 mukaisesti tässä osiossa luodaan määritelty, hyväksytty ja ymmärretty rakenne tietoturvan toteuttamista, toimintaa ja hallintaa varten organisaatiossa.
Muodollinen organisaatiorakenne antaa vastuun tietoturvasta kaikille työntekijöille.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
ISO 27001:2022 Liite A 5.2 Selitys
ISO 27001 -standardin mukaisesti liite A 5.2 käsittelee organisaation tietoturvaan liittyvien roolien ja vastuiden toteuttamista, toimintaa ja hallintaa.
Kuten liitteessä A 5.2 todetaan, kaikkien asianosaisten on määriteltävä selkeästi ja ymmärrettävä tietoturvavastuut ja -roolit. Omaisuus osoitetaan yleensä nimetylle omistajalle, joka vastaa niiden hoidosta päivittäin.
Tietoturvasta voi huolehtia erillinen tiimi , tai tietyille työntekijöille voidaan antaa lisävastuita organisaation koosta ja resursseista riippuen.
Tietoturvaroolien ja -vastuiden määrittely
Kaikki tietoturvavastuut on määriteltävä ja jaettava selkeästi.
Tietoturvavastuisiin kuuluu yleisiä vastuita (esim. vastuu tietojen suojaamisesta ) ja erityisiä tehtäviä (esim. vastuu erityisoikeuksien myöntämisestä).
Jos vastuut on määriteltävä, on tärkeää ottaa huomioon tietoresurssien omistajuus tai ryhmittely.
Monen tyyppiset liiketoimintaroolit voivat olla tärkeitä tietoturvan kannalta, mukaan lukien osastopäälliköt, liiketoimintaprosessien omistajat, laitospäälliköt, henkilöstöjohtajat ja sisäiset tarkastajat.
Vankka tietoturvajärjestelmä riippuu useista tekijöistä: organisaation johtajasta, tietoturvajohtajasta (CISO), IT-palveluhallinnasta (ITSM), järjestelmän omistajista ja kaikista järjestelmän käyttäjistä.
Osana tarkastustaan tilintarkastaja pyrkii varmistamaan, että organisaatio on selkeästi määritellyt, kuka on vastuussa mistäkin toiminnosta, ja että se on tehty oikeasuhteisesti ja riittävästi organisaation kokoon ja luonteeseen nähden.
Tästä johtuen pienemmissä organisaatioissa ei yleensä ole mahdollista yhdistää näihin rooleihin ja vastuisiin kokopäiväisiä rooleja. Siksi nykyisten työtehtävien erityisten tietoturvavastuiden selventäminen on ratkaisevan tärkeää. Toimitusjohtajat ja operatiiviset johtajat voisivat olla CISO:n (Chief Information Security Officer) vastaavia, joilla on kattava vastuu kaikista tietoturvajärjestelmistä. Teknologiajohtaja voi omistaa teknologiaan liittyvää tietovarallisuutta.
Tietoturvakulttuurin luominen organisaatioosi
Vahva turvallisuuskulttuuri kannustaa käyttäjiä noudattamaan turvallisuussääntöjä ja -menettelyjä. Jokaisessa järjestelmässä on luontaisia vaaroja, ja käyttäjien tehtävänä on vähentää näitä riskejä.
Jotta jokainen työntekijä ymmärtäisi vastuunsa tietojen, järjestelmien ja verkkojen suojaamisessa, tämä liitteen A mukainen valvontatoimenpide on otettava huomioon, jotta se toimisi onnistuneesti.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Liitteen A 5.2 vaatimusten täyttäminen ja mitä siihen liittyy
On välttämätöntä virallistaa ja dokumentoida roolijako esimerkiksi taulukossa tai organisaatiokaaviossa, jotta liitteen A valvonta voidaan täyttää:
- Tietoturvavastuut ja -vastuut tulisi osoittaa tietyille johtorooleille tai työtehtäville.
- Jotta varmistetaan, että johto kiinnittää asianmukaista huomiota tietoturvaan, tämän liitteen A tarkastuksen tulisi selventää organisaation eri rooleja ja vastuita.
- Yksittäisille toimipisteille ja käsittelylaitoksille olisi tarjottava lisäkoulutusta, jos se on tarpeen näiden velvollisuuksien täyttämisessä.
Organisaatioiden tulee määrittää ja ymmärtää selkeät roolit, vastuut ja valtuudet. Roolit ja vastuut on dokumentoitava, niistä on tiedotettava ja niitä on sovellettava johdonmukaisesti koko organisaatiossa, jotta tehtävien riittävä erottelu voidaan varmistaa.
Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista
Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Organisaation valvonta | Liite A 5.1 |
Liite A 5.1.1 Liite A 5.1.2 |
Tietoturvakäytännöt |
| Organisaation valvonta | Liite A 5.2 | Liite A 6.1.1 | Tietoturvan roolit ja vastuut |
| Organisaation valvonta | Liite A 5.3 | Liite A 6.1.2 | Tehtävien erottelu |
| Organisaation valvonta | Liite A 5.4 | Liite A 7.2.1 | Johtamisvastuut |
| Organisaation valvonta | Liite A 5.5 | Liite A 6.1.3 | Ota yhteyttä viranomaisiin |
| Organisaation valvonta | Liite A 5.6 | Liite A 6.1.4 | Ota yhteyttä erityisiin eturyhmiin |
| Organisaation valvonta | Liite A 5.7 | UUSI | Threat Intelligence |
| Organisaation valvonta | Liite A 5.8 |
Liite A 6.1.5 Liite A 14.1.1 |
Tietoturva projektinhallinnassa |
| Organisaation valvonta | Liite A 5.9 |
Liite A 8.1.1 Liite A 8.1.2 |
Tietojen ja muiden niihin liittyvien omaisuuserien luettelo |
| Organisaation valvonta | Liite A 5.10 |
Liite A 8.1.3 Liite A 8.2.3 |
Tietojen ja muiden niihin liittyvien omaisuuserien hyväksyttävä käyttö |
| Organisaation valvonta | Liite A 5.11 | Liite A 8.1.4 | Omaisuuden palautus |
| Organisaation valvonta | Liite A 5.12 | Liite A 8.2.1 | Tietojen luokitus |
| Organisaation valvonta | Liite A 5.13 | Liite A 8.2.2 | Tietojen merkitseminen |
| Organisaation valvonta | Liite A 5.14 |
Liite A 13.2.1 Liite A 13.2.2 Liite A 13.2.3 |
Tietojen siirto |
| Organisaation valvonta | Liite A 5.15 |
Liite A 9.1.1 Liite A 9.1.2 |
Kulunvalvonta |
| Organisaation valvonta | Liite A 5.16 | Liite A 9.2.1 | Identity Management |
| Organisaation valvonta | Liite A 5.17 |
Liite A 9.2.4 Liite A 9.3.1 Liite A 9.4.3 |
Todennustiedot |
| Organisaation valvonta | Liite A 5.18 |
Liite A 9.2.2 Liite A 9.2.5 Liite A 9.2.6 |
Käyttöoikeudet |
| Organisaation valvonta | Liite A 5.19 | Liite A 15.1.1 | Tietoturva toimittajasuhteissa |
| Organisaation valvonta | Liite A 5.20 | Liite A 15.1.2 | Tietoturvasta huolehtiminen toimittajasopimusten puitteissa |
| Organisaation valvonta | Liite A 5.21 | Liite A 15.1.3 | Tietoturvan hallinta ICT:n toimitusketjussa |
| Organisaation valvonta | Liite A 5.22 |
Liite A 15.2.1 Liite A 15.2.2 |
Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta |
| Organisaation valvonta | Liite A 5.23 | UUSI | Tietoturva pilvipalveluiden käyttöön |
| Organisaation valvonta | Liite A 5.24 | Liite A 16.1.1 | Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu |
| Organisaation valvonta | Liite A 5.25 | Liite A 16.1.4 | Tietoturvatapahtumien arviointi ja päätös |
| Organisaation valvonta | Liite A 5.26 | Liite A 16.1.5 | Vastaus tietoturvaloukkauksiin |
| Organisaation valvonta | Liite A 5.27 | Liite A 16.1.6 | Tietoturvahäiriöistä oppimista |
| Organisaation valvonta | Liite A 5.28 | Liite A 16.1.7 | Todisteiden kerääminen |
| Organisaation valvonta | Liite A 5.29 |
Liite A 17.1.1 Liite A 17.1.2 Liite A 17.1.3 |
Tietoturva häiriön aikana |
| Organisaation valvonta | Liite A 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuutta varten |
| Organisaation valvonta | Liite A 5.31 |
Liite A 18.1.1 Liite A 18.1.5 |
Oikeudelliset, lakisääteiset, sääntely- ja sopimusvaatimukset |
| Organisaation valvonta | Liite A 5.32 | Liite A 18.1.2 | Immateriaalioikeudet |
| Organisaation valvonta | Liite A 5.33 | Liite A 18.1.3 | Tietueiden suojaus |
| Organisaation valvonta | Liite A 5.34 | Liite A 18.1.4 | Yksityisyys ja henkilötietojen suoja |
| Organisaation valvonta | Liite A 5.35 | Liite A 18.2.1 | Tietoturvan riippumaton katsaus |
| Organisaation valvonta | Liite A 5.36 |
Liite A 18.2.2 Liite A 18.2.3 |
Tietoturvakäytäntöjen, -sääntöjen ja -standardien noudattaminen |
| Organisaation valvonta | Liite A 5.37 | Liite A 12.1.1 | Dokumentoidut toimintaohjeet |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Ihmisten ohjaukset | Liite A 6.1 | Liite A 7.1.1 | Seulonta |
| Ihmisten ohjaukset | Liite A 6.2 | Liite A 7.1.2 | Palvelussuhteen ehdot |
| Ihmisten ohjaukset | Liite A 6.3 | Liite A 7.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| Ihmisten ohjaukset | Liite A 6.4 | Liite A 7.2.3 | Kurinpitoprosessi |
| Ihmisten ohjaukset | Liite A 6.5 | Liite A 7.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| Ihmisten ohjaukset | Liite A 6.6 | Liite A 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| Ihmisten ohjaukset | Liite A 6.7 | Liite A 6.2.2 | Etätyö |
| Ihmisten ohjaukset | Liite A 6.8 |
Liite A 16.1.2 Liite A 16.1.3 |
Tietoturvatapahtumien raportointi |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Fyysiset säätimet | Liite A 7.1 | Liite A 11.1.1 | Fyysisen turvallisuuden rajat |
| Fyysiset säätimet | Liite A 7.2 |
Liite A 11.1.2 Liite A 11.1.6 |
Fyysinen sisäänpääsy |
| Fyysiset säätimet | Liite A 7.3 | Liite A 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| Fyysiset säätimet | Liite A 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| Fyysiset säätimet | Liite A 7.5 | Liite A 11.1.4 | Fyysisiltä ja ympäristöuhkilta suojautuminen |
| Fyysiset säätimet | Liite A 7.6 | Liite A 11.1.5 | Työskentely turvallisilla alueilla |
| Fyysiset säätimet | Liite A 7.7 | Liite A 11.2.9 | Selkeä työpöytä ja selkeä näyttö |
| Fyysiset säätimet | Liite A 7.8 | Liite A 11.2.1 | Laitteiden sijoitus ja suojaus |
| Fyysiset säätimet | Liite A 7.9 | Liite A 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| Fyysiset säätimet | Liite A 7.10 |
Liite A 8.3.1 Liite A 8.3.2 Liite A 8.3.3 Liite A 11.2.5 |
Tallennusväline |
| Fyysiset säätimet | Liite A 7.11 | Liite A 11.2.2 | Apuohjelmat |
| Fyysiset säätimet | Liite A 7.12 | Liite A 11.2.3 | Kaapeloinnin turvallisuus |
| Fyysiset säätimet | Liite A 7.13 | Liite A 11.2.4 | Laitteiden huolto |
| Fyysiset säätimet | Liite A 7.14 | Liite A 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Tekniset säädöt | Liite A 8.1 |
Liite A 6.2.1 Liite A 11.2.8 |
Käyttäjän päätelaitteet |
| Tekniset säädöt | Liite A 8.2 | Liite A 9.2.3 | Etuoikeutetut käyttöoikeudet |
| Tekniset säädöt | Liite A 8.3 | Liite A 9.4.1 | Tietoihin pääsyn rajoitus |
| Tekniset säädöt | Liite A 8.4 | Liite A 9.4.5 | Pääsy lähdekoodiin |
| Tekniset säädöt | Liite A 8.5 | Liite A 9.4.2 | Suojattu todennus |
| Tekniset säädöt | Liite A 8.6 | Liite A 12.1.3 | Kapasiteetin hallinta |
| Tekniset säädöt | Liite A 8.7 | Liite A 12.2.1 | Suojaus haittaohjelmia vastaan |
| Tekniset säädöt | Liite A 8.8 |
Liite A 12.6.1 Liite A 18.2.3 |
Teknisten haavoittuvuuksien hallinta |
| Tekniset säädöt | Liite A 8.9 | UUSI | Configuration Management |
| Tekniset säädöt | Liite A 8.10 | UUSI | Tietojen poistaminen |
| Tekniset säädöt | Liite A 8.11 | UUSI | Tietojen peittäminen |
| Tekniset säädöt | Liite A 8.12 | UUSI | Tietovuotojen esto |
| Tekniset säädöt | Liite A 8.13 | Liite A 12.3.1 | Tietojen varmuuskopiointi |
| Tekniset säädöt | Liite A 8.14 | Liite A 17.2.1 | Tietojenkäsittelylaitteiden redundanssi |
| Tekniset säädöt | Liite A 8.15 |
Liite A 12.4.1 Liite A 12.4.2 Liite A 12.4.3 |
Hakkuu |
| Tekniset säädöt | Liite A 8.16 | UUSI | Seurantatoiminnot |
| Tekniset säädöt | Liite A 8.17 | Liite A 12.4.4 | Kellon synkronointi |
| Tekniset säädöt | Liite A 8.18 | Liite A 9.4.4 | Etuoikeutettujen apuohjelmien käyttöoikeudet |
| Tekniset säädöt | Liite A 8.19 |
Liite A 12.5.1 Liite A 12.6.2 |
Ohjelmistojen asennus käyttöjärjestelmiin |
| Tekniset säädöt | Liite A 8.20 | Liite A 13.1.1 | Verkkoturvallisuus |
| Tekniset säädöt | Liite A 8.21 | Liite A 13.1.2 | Verkkopalveluiden turvallisuus |
| Tekniset säädöt | Liite A 8.22 | Liite A 13.1.3 | Verkkojen erottelu |
| Tekniset säädöt | Liite A 8.23 | UUSI | Web-suodatus |
| Tekniset säädöt | Liite A 8.24 |
Liite A 10.1.1 Liite A 10.1.2 |
Kryptografian käyttö |
| Tekniset säädöt | Liite A 8.25 | Liite A 14.2.1 | Turvallisen kehityksen elinkaari |
| Tekniset säädöt | Liite A 8.26 |
Liite A 14.1.2 Liite A 14.1.3 |
Sovelluksen suojausvaatimukset |
| Tekniset säädöt | Liite A 8.27 | Liite A 14.2.5 | Turvallisen järjestelmän arkkitehtuuri ja suunnitteluperiaatteet Tietoturvapoikkeamista oppiminen |
| Tekniset säädöt | Liite A 8.28 | UUSI | Turvallinen koodaus |
| Tekniset säädöt | Liite A 8.29 |
Liite A 14.2.8 Liite A 14.2.9 |
Tietoturvatestaus kehitys- ja hyväksymisvaiheessa |
| Tekniset säädöt | Liite A 8.30 | Liite A 14.2.7 | Ulkoistettu kehitys |
| Tekniset säädöt | Liite A 8.31 |
Liite A 12.1.4 Liite A 14.2.6 |
Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan |
| Tekniset säädöt | Liite A 8.32 |
Liite A 12.1.2 Liite A 14.2.2 Liite A 14.2.3 Liite A 14.2.4 |
Muutoksen hallinta |
| Tekniset säädöt | Liite A 8.33 | Liite A 14.3.1 | Testitiedot |
| Tekniset säädöt | Liite A 8.34 | Liite A 12.7.1 | Tietojärjestelmien suojaus tarkastustestauksen aikana |
NHS Professionals saavuttaa ISO 27001 -sertifikaatin ja parantaa tietoturvan hallintaansa
Tiukan kuuden kuukauden määräajan ja useiden olemassa olevien integroitavien viitekehysten edessä NHS Professionals tarvitsi alustan, joka voisi sisällyttää ISO 27001 -standardin ilman käytäntöjen päällekkäisyyttä tai riskien lisäämistä jo ennestään monimutkaiseen vaatimustenmukaisuusympäristöönsä.
Xergy-työkalu Proteus luo kasvua ISO 27001 -vaatimustenmukaisuuden avulla ISMS.online-palvelun avulla
Startup-yrityksenä, joka kehittää ohjelmistoja tarkasti säännellyille tekniikan aloille, Xergy tarvitsi ISO 27001 -standardin luodakseen kasvua luottamuksen kautta – ja luotettavan ulkoisen kumppanin, joka pystyisi käsittelemään tiukat vaatimukset ilman, että kehitystiimin työmäärä häiriintyy.
Kuinka Blue Services saavutti kolminkertaisen ISO-sertifioinnin
Blue Services tarvitsi ulkoista tukea ISO 27001-, ISO 9001- ja ISO 14001 -standardien käyttöönotossa ja parhaiden käytäntöjen noudattamisessa sekä alustan, jolla se voisi keskittää vaatimustenmukaisuuden hallinnan.
Kuinka Evolution Funding onnistui ISO 27001 -sertifioinnissa
ISO 27001 -sertifioinnin saavuttaminen oli Evolution Fundingin keskeinen tavoite. Tiimi tarvitsi keskitetyn alustan, jonka avulla he voisivat ottaa ISO 27001 -standardin käyttöön ja työskennellä vaatimustenmukaisuusprosessin läpi.
Kuinka 4way Consulting tasoitti tietä ISO 27001 -menestykseen
Käsitellessään arkaluonteisia asiakastietoja useiden standardien mukaisesti 4way tarvitsi kustannus- ja aikatehokkaan tavan noudattaa ISO 27001 -standardia – ilman, että ISMS-järjestelmää rakennettaisiin tyhjästä tai turvauduttaisiin kalliisiin ulkopuolisiin konsultteihin.
Nesevon monisertifikaattien vaatimustenmukaisuus onnistui IO:n kanssa
Nesevo kamppaili ISO 27001 -standardin noudattamisen kanssa hajanaisissa dokumenteissa ja laskentataulukoissa, joten yritys tarvitsi keskitetyn alustan, joka voisi opastaa heitä standardin läpi ilman jatkuvia ulkoisten konsulttien kustannuksia.
Mitä ISMS.online voi tehdä sinulle
ISO 27001:2022 -standardin vaatimusten täyttämiseksi sinun tarvitsee vain päivittää tietoturvajärjestelmäsi prosessit parannettujen ohjausten mukaisiksi. Jos sisäinen tiimisi ei pysty käsittelemään tätä, ISMS.online voi auttaa.
Pilvipohjainen ohjelmistomme helpottaa tietoturvanhallintaratkaisujesi hallintaa yhdestä paikasta.
Helppokäyttöisen sovelluksemme avulla voit seurata kaikkea, mitä tarvitaan ISO 2K7 -yhteensopivuuden varmistamiseksi.
Intuitiivisen työnkulkumme ja työkalujemme, kuten viitekehysten, käytäntöjen, kontrollien, käytännönläheisen dokumentaation ja ohjeistuksen, avulla ISO 27001 -standardin käyttöönotto on yksinkertaistettu.
Alustamme avulla voit helposti määritellä tietoturvallisuuden hallintajärjestelmän laajuuden, tunnistaa riskit ja ottaa käyttöön kontrollit.
Jos haluat lisätietoja siitä, kuinka ISMS.online voi auttaa sinua saavuttamaan ISO 2K7 -tavoitteesi, soita meille numeroon +44 (0)1273 041140.
Ota yhteyttä jo tänään varataksesi demon.
