ISO 27001:2022 liite A 5.23 – Pilvipalveluiden käytön tietoturva

ISO 27001:2022 liitteen A tarkoitus 5.23

ISO 27001: 2022 Liite A 5.23 on uusi ohjaus, joka hahmottaa pilvipalvelujen hankinnassa, käytössä, hallinnassa ja niistä poistumisessa tarvittavat prosessit suhteessa organisaation ainutlaatuisiin tietoturvavaatimuksiin.

Liite A Ohjaus 5.23 antaa organisaatioille mahdollisuuden määrittää ensin ja sen jälkeen hallita ja hallinnoida tietoturvakäsitteet pilvipalveluihin liittyen "pilvipalveluasiakkaana".

Liite A 5.23 on a ennaltaehkäisevä valvonta että ylläpitää riskiä määrittämällä tietoturvaa ohjaavat käytännöt ja menettelyt, kaupallisten pilvipalvelujen alalla.

Liitteen A omistusoikeus 5.23

Tällaista on pilvipalvelujen yleistyminen viimeisen vuosikymmenen aikana, ISO 27001 2022 Liite A Ohjaus 5.23 sisältää joukon menettelyjä, jotka sisältävät monia organisaation toiminnan erillisiä osia.

Koska kaikki pilvipalvelut eivät ole tieto- ja viestintätekniikkakohtaisia ​​– vaikka voidaan kohtuudella väittää, että useimmat ovat – liitteen A ohjausobjektin 5.23 omistus olisi jaettava organisaation kesken. CTO or KUJERTAA, riippuen vallitsevista käyttöolosuhteista.

Ohjeet ISO 27001:2022 liitteen A valvontaan 5.23 – Organisaatiovelvoitteet

Control 5.23:n noudattaminen edellyttää ns. a "aihekohtainen" lähestymistapa pilvipalveluihin ja tietoturvaan.

Kun otetaan huomioon tarjolla olevien pilvipalvelujen valikoima, aihekohtaiset lähestymistavat rohkaisevat organisaatioita luomaan pilvipalvelukäytäntöjä, jotka on räätälöity yksittäisiä liiketoimintatoimintoja varten sen sijaan, että noudatettaisiin yleistä käytäntöä, joka koskee tietoturva- ja pilvipalvelut kautta linjan.

On huomattava, että ISO pitää liitteen A Control 5.23:n noudattamista yhteistyönä organisaation ja sen pilvipalvelukumppanin välillä. Liite A Valvonta 5.23 olisi myös linjattava tiiviisti valvontatoimien 5.21 ja 5.22 kanssa, jotka koskevat toimitusketjun tiedonhallintaa ja toimittajapalvelujen hallintaa.

Riippumatta siitä, miten organisaatio päättää toimia, liitteen A valvontaa 5.23 ei pidä tarkastella erillään, ja sen tulisi täydentää olemassa olevia pyrkimyksiä toimittajasuhteiden hallitsemiseksi.

Tietoturvan eturintamassa organisaation tulisi määritellä:

1. Kaikki asiaankuuluvat tietoturvavaatimukset tai huolenaiheet, jotka liittyvät pilvialustan käyttöön.
2. Pilvipalveluntarjoajan valinnan kriteerit ja niiden palvelujen käyttö.
3. Yksityiskohtainen kuvaus rooleista ja asiaankuuluvista vastuista, jotka ohjaavat pilvipalvelujen käyttöä koko organisaatiossa.
4. Tarkkaan, mitä tietoturva-alueita pilvipalveluntarjoaja hallitsee ja mitkä kuuluvat organisaation itsensä toimivaltaan.
5. Parhaat tavat ensin lajitella ja sitten hyödyntää pilvipalvelualustan tarjoamia tietoturvaan liittyviä palvelukomponentteja.
6. Kuinka saada kategorisia takeita pilvipalveluntarjoajan antamista tietoturvaan liittyvistä toimenpiteistä.
7. Vaiheet, jotka on suoritettava muutosten, viestinnän ja ohjauksen hallitsemiseksi useiden eri pilvialustojen välillä, eikä aina samalta toimittajalta.
8. Tapahtumien hallinta menettelyt, jotka koskevat yksinomaan pilvipalvelujen tarjoamista.
9. Miten organisaatio odottaa hallitsevansa jatkuvaa pilvialustojen käyttöä ja/tai tukkumyyntiä laajempien tietoturvavelvoitteidensa mukaisesti.
10. Strategia pilvipalvelujen lopettamiseksi tai muuttamiseen joko toimittajakohtaisesti tai pilvestä paikan päällä tapahtuvaan siirtymiseen.

Ohjeet liitteen A hallintaan 5.23 – Pilvipalvelusopimukset

Liite A Control 5.23 tunnustaa, että toisin kuin muut toimittajasuhteet, pilvipalvelusopimukset ovat jäykkiä asiakirjoja, joita ei voi muuttaa useimmissa tapauksissa.

Tätä silmällä pitäen organisaatioiden tulee tarkastaa pilvipalvelusopimukset ja varmistaa, että neljä pääasiallista toiminnallista vaatimusta täyttyvät:

1. Luottamuksellisuus.
2. Tietoturva/tietojen eheys.
3. Palvelun saatavuus.
4. Tietojen käsittely.

Kuten muissakin toimittajasopimuksissa, pilvipalvelusopimuksille tulee ennen hyväksymistä käydä läpi perusteellinen riskiarviointi, joka tuo esiin mahdolliset ongelmat niiden lähteellä.

Vähintäänkin organisaation tulisi tehdä pilvipalvelusopimus vasta, kun se on vakuuttunut siitä, että seuraavat 10 ehtoa on täytetty:

• Pilvipalvelut tarjotaan ja toteutetaan organisaation ainutlaatuisten toiminta-alueeseen liittyvien vaatimusten mukaan, mukaan lukien alan hyväksymät pilvipohjaisen arkkitehtuurin ja isännöidyn infrastruktuurin standardit ja käytännöt.
• Pääsy mihin tahansa pilvialustaan ​​täyttää organisaation rajatietoturvavaatimukset.
• Haittaohjelmien torjunta- ja virustorjuntapalvelut, mukaan lukien ennakoiva valvonta ja uhkien suojaus, otetaan riittävästi huomioon.
• Pilvipalveluntarjoaja noudattaa ennalta määritettyjä tietojen tallennus- ja käsittelymääräyksiä, jotka liittyvät yhteen tai useampaan erilliseen globaaliin alueeseen ja sääntely-ympäristöön.
• Organisaatiolle tarjotaan ennakoivaa tukea, mikäli pilvialustaan ​​tulee katastrofaalinen vika tai tietoturvaan liittyvä tapahtuma.
• Jos tulee tarve tehdä alihankinta- tai muutoin ulkoistaa jokin pilvialustan osa, toimittajan tietoturvavaatimukset pysyvät jatkuvasti huomioituna.
• Mikäli organisaatio tarvitsee apua digitaalisen tiedon kokoamisessa mihin tahansa asiaankuuluvaan tarkoitukseen (lainvalvonta, sääntelyn yhdenmukaistaminen, kaupalliset tarkoitukset), pilvipalvelujen tarjoaja tukee organisaatiota mahdollisuuksien mukaan.
• Suhteen päätyttyä pilvipalvelun tarjoajan tulee tarjota kohtuullinen tuki ja asianmukainen saatavuus siirtymä- tai käytöstäpoistojakson aikana.
• Pilvipalveluntarjoajan tulee toimia vankalla BUDR-suunnitelmalla, joka keskittyy riittävän varmuuskopiointiin organisaation tiedoista.
• Kaikki asiaankuuluvat lisätiedot siirretään pilvipalvelujen tarjoajalta organisaatiolle, mukaan lukien konfigurointitiedot ja koodi, joihin organisaatiolla on vaatimus.

Lisätiedot liitteen A tarkastuksesta 5.23

Edellä olevan ohjeen lisäksi Liite A Control 5.23 ehdottaa, että organisaatiot muodostavat läheisen yhteistyösuhteen pilvipalveluntarjoajien kanssa niiden tarjoaman tärkeän palvelun mukaisesti, ei vain tietoturvan kannalta, vaan organisaation koko kaupallisen toiminnan osalta.

Organisaatioiden tulee mahdollisuuksien mukaan pyytää pilvipalveluntarjoajilta seuraavat ehdot parantaakseen toiminnan kestävyyttä ja nauttiakseen parannetusta tietoturvasta:

1. Kaikista infrastruktuurin muutoksista tulee ilmoittaa etukäteen, jotta ne kertovat organisaation omasta tietoturvastandardista.
2. Organisaatiota on pidettävä ajan tasalla kaikista tietojen tallennusmenetelmien muutoksista, jotka edellyttävät tietojen siirtämistä toiselle lainkäyttöalueelle tai maailmanlaajuiselle alueelle.
3. Pilvipalveluntarjoajan aikomus hyödyntää vertaispilvipalveluntarjoajia tai ulkoistaa niiden toiminta-alueita alihankkijoille, joilla voi olla tietoturvavaikutuksia organisaation kannalta.

Liitteen A valvonnan tukeminen

• ISO 27001:2022 Liite A 5.21
• ISO 27001:2022 Liite A 5.22

Mitä muutoksia ja eroja on ISO 27001:2013:sta?

Liite A Valvonta 5.23 on a uusi ohjaus jota ei mainita ISO 27001:2013:ssa missään ominaisuudessa.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.

Miten ISMS.online auttaa

ISMS.online virtaviivaistaa ISO 27001 -standardin käyttöönottoprosessia tarjoamalla kehittyneen pilvipohjaisen kehyksen tietoturvan hallintajärjestelmän menettelyjen ja tarkistuslistojen dokumentoimiseksi tunnustettujen standardien noudattamisen varmistamiseksi.

Kun käytät ISMS.onlinea, voit:

• Luo ISMS, joka on yhteensopiva ISO 27001 -standardien kanssa.
• Suorita tehtäviä ja toimita todisteet siitä, että he ovat täyttäneet standardin vaatimukset.
• Jaa tehtäviä ja seuraa edistymistä lain noudattamisessa.
• Hanki käyttöösi erikoistunut neuvonantajatiimi, joka auttaa sinua koko tielläsi kohti vaatimustenmukaisuutta.

Ota yhteyttä ja varaa esittely.