ISO 27001:2022 Liite A 5.8 – Tietoturva projektinhallinnassa

• nähdä ISO 27002:2022 Control 5.8 lisätietoja.
• nähdä ISO 27001:2013 Liite A 6.1.5 lisätietoja.
• nähdä ISO 27001:2013 Liite A 14.1.1 lisätietoja.

Mikä on ISO 27001:2022 liitteen A 5.8 tarkoitus?

Tavoitteena ISO 27001:2022 liite A Valvonta 5.8 on varmistaa, että projektinhallinta sisältää tietoturvatoimenpiteet.

Standardin ISO 27001:2022 mukaisesti tämän liitteen A valvonnan tavoitteena on varmistaa, että projekteihin ja suoritteisiin liittyvät tietoturvariskit hallitaan tehokkaasti projektinhallinnan aikana.

Projektinhallinta ja projektin turvallisuus ovat tärkeitä näkökohtia.

Koska monet projektit sisältävät päivityksiä liiketoimintaprosesseihin ja järjestelmiin vaikuttaa tietoturvaan, Liite A Valvonta 5.8 dokumentoi projektinhallintavaatimukset.

Koska hankkeet voivat kattaa useita osastoja ja organisaatioita, liitteen A valvonnan 5.8 tavoitteet on koordinoitava sisäisten ja ulkoisten sidosryhmien kesken.

Ohjeena liitteen A kontrollit tunnistavat tietoturvaongelmat projekteissa ja varmistaa niiden ratkaisun koko projektin elinkaaren ajan.

Tietoturvan hallinta projekteissa

Projektinhallinnan keskeinen näkökohta on tietoturva projektityypistä riippumatta. Tietoturvan tulee olla juurtunut organisaation rakenteeseen, ja projektinhallinta on tässä avainasemassa. Mallikehystä käyttäville projekteille suositellaan yksinkertaista, toistettavaa tarkistuslistaa, joka osoittaa, että tietoturvaa harkitaan.

Tarkastajat etsivät tietoturvatietoisuutta projektin elinkaaren kaikissa vaiheissa. Tämän tulisi myös olla osa koulutusta ja tietoisuutta, joka on kohdistettu A.6.6:n HR-turvallisuuteen.

Osoittaakseen yleisen tietosuoja-asetuksen noudattamisen (GDPR) ja vuoden 2018 tietosuojalain mukaan innovatiiviset organisaatiot sisällyttävät A.5.8:aan siihen liittyvät henkilötietoja koskevat velvoitteet ja harkitsevat sisäänrakennettua turvallisuutta, Data Protection Impact Assessment (DPIA:t) ja vastaavia prosesseja.

Tietoturvavaatimusten analysointi ja määrittäminen

Tietoturvavaatimukset on sisällytettävä, jos uusia tietojärjestelmiä kehitetään tai olemassa olevia tietojärjestelmiä päivitetään.

Kohtaa A.5.6 voidaan käyttää yhdessä kohdan A.5.8 kanssa tietoturvatoimenpiteenä. Se ottaisi myös huomioon vaarassa olevien tietojen arvon, mikä voisi olla yhdenmukainen kohdan A.5.12 tietojen luokittelujärjestelmän kanssa.

Riskinarviointi tulee tehdä aina, kun täysin uutta järjestelmää kehitetään tai olemassa olevaan järjestelmään tehdään muutos. Tällä määritetään tietoturvavalvonnan liiketoimintavaatimukset.

Tämän vuoksi turvallisuusnäkökohdat tulee ottaa huomioon ennen ratkaisun valintaa tai sen kehittämisen aloittamista. Oikeat vaatimukset tulee tunnistaa ennen kuin vastaus valitaan.

Turvallisuusvaatimukset tulee hahmotella ja sopia hankinta- tai kehitysprosessin aikana, jotta ne toimivat vertailukohtana.

Ei ole hyvä käytäntö valita tai luoda ratkaisu ja arvioida sen tietoturvatasoa myöhemmin. Seurauksena on yleensä korkeammat riskit ja korkeammat kustannukset. Se voi myös aiheuttaa ongelmia sovellettavan lainsäädännön kanssa, kuten GDPR, joka kannustaa turvalliseen suunnittelufilosofiaan ja tekniikoihin, kuten Data Protection Privacy Impact Assessment (DPIA) -arviointiin. Kansallinen kyberturvallisuuskeskus (NCSC) on myös hyväksynyt tiettyjä kehityskäytäntöjä ja kriittisiä periaatteita harkittavaksi. ISO 27001 sisältää myös täytäntöönpanoa koskevia ohjeita. Kaikki noudatetut määräykset on dokumentoitava.

Tarkastajan vastuulla on varmistaa, että turvallisuusnäkökohdat otetaan huomioon projektin elinkaaren kaikissa vaiheissa. Tämä pätee riippumatta siitä, onko hanke tarkoitettu vasta kehitettyyn järjestelmään vai olemassa olevan järjestelmän muuttamiseen.

Lisäksi he odottavat, että luottamuksellisuus, eheys ja saatavuus otetaan huomioon ennen valinta- tai kehitysprosessin alkamista.

Löydät lisätietoja ISO 27001 -vaatimuksista ja liitteen A ohjaimista osoitteesta ISMS.online Virtual Coach, joka täydentää puitteitamme, työkalujamme ja käytäntömateriaaliamme.

Tietoturvan merkitys projektinhallinnassa

Verkossa toimintaansa harjoittavien yritysten lisääntyvä määrä on lisännyt tietoturvan merkitystä projektinhallinnassa. Tämän seurauksena projektipäälliköt kohtaavat yhä enemmän työntekijöitä, jotka työskentelevät toimiston ulkopuolella ja käyttävät henkilökohtaisia ​​​​laitteitaan työssään.

Luomalla tietoturvapolitiikan yrityksellesi voit minimoida tietomurron tai tietojen menetyksen riskin. Lisäksi pystyt tuottamaan tarkkoja raportteja projektin tilasta ja taloudesta milloin tahansa.

Osana projektin suunnittelu- ja toteutusprosessia tietoturva tulee sisällyttää seuraavilla tavoilla:

• Määrittele projektin tietoturvavaatimukset ottaen huomioon liiketoiminnan tarpeet ja lain vaatimukset.
• Tietoturvauhkia pitäisi olla arvioitaessa niiden riskivaikutuksia.
• Riskivaikutusten hallitsemiseksi ota käyttöön asianmukaiset kontrollit ja prosessit.
• Varmista, että näitä valvontatoimia seurataan ja niistä raportoidaan säännöllisesti.

Avain liiketoimintaprojektien turvaamiseen on varmistaa, että projektipäällikkösi ymmärtävät tietoturvan tärkeyden ja noudattavat sitä työtehtävissään.

Kuinka täyttää vaatimukset ja mitä se sisältää

Tietoturvan integrointi Projektinhallintaan osallistuminen on välttämätöntä, koska sen avulla organisaatiot voivat tunnistaa, arvioida ja käsitellä turvallisuusriskejä.

Harkitse esimerkkiä organisaatiosta, joka ottaa käyttöön kehittyneemmän tuotekehitysjärjestelmän.

Äskettäin kehitetyssä tuotekehitysjärjestelmässä voidaan arvioida tietoturvariskejä, mukaan lukien omistusoikeudellisten yritystietojen luvaton luovuttaminen. Näiden riskien vähentämiseksi voidaan ryhtyä toimiin.

Noudata tarkistettu ISO 27001:2022, tietoturvapäällikön tulee tehdä yhteistyötä projektipäällikön kanssa tietoturvariskien tunnistamiseksi, arvioimiseksi ja käsittelemiseksi osana projektinhallintaprosessia, jotta se täyttää tarkistetun ISO 27001:2022 -standardin vaatimukset. Projektinhallinnan tulee integroida tietoturva niin, että se ei ole jotain "tehty" projektille vaan jotain, joka on "osa projektia".

Liitteen A valvonnan kohdan 5.8 mukaan projektinhallintajärjestelmän tulee edellyttää seuraavaa:

• Tietoturvariskit arvioidaan ja niihin puututaan varhaisessa vaiheessa ja määräajoin koko projektin elinkaaren ajan.
• Turvallisuusvaatimukset tulee ottaa huomioon jo projektin kehitysprosessin varhaisessa vaiheessa, esimerkiksi sovellusten turvallisuusvaatimukset (8.26), immateriaalioikeuksien noudattamisen vaatimukset (5.32) jne.
• Osana projektin elinkaarta huomioidaan projektin toteuttamiseen liittyvät tietoturvariskit ja niihin puututaan. Näitä ovat sisäisten ja ulkoisten viestintäkanavien turvallisuus.
• Tietoturvariskien hallinnan tehokkuutta arvioidaan ja testataan.

Projektipäällikön (PM) tulee arvioida tietoturvavaatimukset kaikkien hankkeiden monimutkaisuudesta, koosta, kestosta, tieteenalasta tai sovellusalueesta riippumatta, mukaan lukien ICT-kehitysprojektit. Tietoturvajohtajien pitäisi ymmärtää tietoturvapolitiikan ja niihin liittyvät menettelyt sekä tietoturvan merkitys.

Uudistettu ISO 27001:2022 sisältää tarkempia tietoja toteutusohjeista.

Mitä muutoksia ja eroja on ISO 27001:2013:sta?

In ISO 27001: 2022, Projektinhallinnan tietoturvan käyttöönotto-ohjetta on tarkistettu vastaamaan enemmän selvennyksiä kuin ISO 27001:2013. ISO 27001:2013:n mukaan jokaisen projektipäällikön tulee tietää kolme tietoturvaan liittyvää seikkaa. Tämä on kuitenkin laajennettu neljään pisteeseen ISO 27001:2022:ssa.

Ohjaus 5.8 standardin ISO 27001:2022 liitteessä A ei ole uusi, vaan se on yhdistelmä ISO 6.1.5:14.1.1:n säätimiä 27001 ja 2013.

Uusien tai parannettujen tietojärjestelmien tietoturvaan liittyviä vaatimuksia käsitellään ISO 14.1.1:27001:n liitteen A Ohjaus 2013.

Liite A ohjauksen 14.1.1 toteutusohjeet ovat samankaltaisia ​​kuin ohjaus 5.8, jossa varmistetaan, että tietojärjestelmien arkkitehtuuri ja suunnittelu on suojattu toimintaympäristön tunnetuilta uhilta.

Huolimatta siitä, että liite A Ohjaus 5.8 ei ole uusi ohjaus, se tuo joitain merkittäviä muutoksia standardiin. Lisäksi näiden kahden säätimen yhdistäminen tekee standardista käyttäjäystävällisemmän.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.

Kuka vastaa ISO 27001:2022 -standardin liitteen A kohdasta 5.8?

Projektipäällikkö vastaa siitä, että tietoturva toteutuu projektin koko elinkaaren ajan.

Pääministerille saattaa kuitenkin olla hyödyllistä kuulla tietoturvavastaavaa (ISO) selvittääkseen, mitä tietoturvavaatimuksia kullekin projektille tarvitaan.

Miten ISMS.online auttaa

ISMS.onlinen avulla voit hallita tietoturvariskinhallintaprosessejasi tehokkaasti ja tuloksellisesti.

Kautta ISMS.online-alusta, voit käyttää erilaisia ​​tehokkaita työkaluja, jotka on suunniteltu yksinkertaistamaan tietoturvan hallintajärjestelmän (ISMS) dokumentointia, käyttöönottoa, ylläpitoa ja parantamista sekä ISO 27001 -standardin mukaisuuden saavuttamista.

Yrityksen tarjoaman kattavan työkalupaketin avulla on mahdollista luoda räätälöityjä käytäntöjä ja menettelytapoja. Nämä käytännöt ja käytännöt räätälöidään vastaamaan organisaatiosi erityisiä riskejä ja tarpeita. Lisäksi, meidän alustamme mahdollistaa yhteistyön kollegoiden ja ulkoisten kumppanien, mukaan lukien tavarantoimittajien ja ulkopuolisten tilintarkastajien, välillä.

DPIA:n ja muiden asiaan liittyvien henkilötietojen arviointien, kuten LIA-arviointien, lisäksi ISMS.online tarjoaa yksinkertaiset, käytännölliset puitteet ja mallit projektinhallinnan tietoturvaan.

jotta aikataulun esittely, ota meihin yhteyttä jo tänään.