ISO 27002:2022 – Valvonta 5.1 – Tietoturvakäytännöt

Mikä on Control 5.1?

Tietoturvapolitiikka tarjoaa työntekijöille, johdolle ja ulkopuolisille osapuolille (esim. asiakkaille ja tavarantoimittajille) puitteet sähköisen tiedon, mukaan lukien tietokoneverkkojen, hallintaan.

Tietoturvapolitiikan tarkoituksena on vähentää sisäisten ja ulkoisten uhkien aiheuttamien tietojen katoamisen tai varkauksien riskiä. Tietoturvapolitiikka varmistaa myös, että kaikki työntekijät ovat tietoisia vastuustaan ​​organisaationsa hallussa olevien tietojen suojaamisessa.

Tietoturvapolitiikkaa voidaan käyttää myös lakien ja määräysten noudattamisen osoittamiseen, ja se auttaa täyttämään standardit, kuten ISO 27001.

Kyberturvallisuus ja tietoturvauhat selitetty

Kyberturvallisuusuhat ovat kaikki mahdolliset haitalliset hyökkäykset, joiden tarkoituksena on päästä laittomasti käsiksi tietoihin, häiritä digitaalista toimintaa tai vahingoittaa tietoja. Kyberuhat voivat olla peräisin useilta eri toimijoilta, mukaan lukien yritysten vakoojista ja hacktivisteistä, terroristiryhmistä, vihamielisistä kansallisvaltioista ja rikollisjärjestöistä.

Jotkut suosituimmista kyberturvallisuus- ja tietoturvauhkista ovat:

• Malware: virukset, vakoiluohjelmat ja muut haittaohjelmat.
• Tietojenkalastelusähköpostit: viestit, jotka näyttävät olevan peräisin luotettavista lähteistä, mutta sisältävät linkkejä ja liitteitä, jotka asentavat haittaohjelmia.
• ransomware: haittaohjelma, joka estää käyttäjiä pääsemästä omiin tietoihinsa ennen kuin he maksavat lunnaita.
• Sosiaalinen suunnittelu: hyökkääjät manipuloivat ihmisiä antamaan arkaluontoisia tietoja, yleensä näyttämällä luotettavilta.
• Valaanpyyntihyökkäykset: tietojenkalasteluviestit, jotka on suunniteltu näyttämään siltä kuin ne olisivat peräisin organisaation korkean profiilin henkilöiltä.

Mikä on hallinnan tarkoitus 5.1?

Tietoturvapolitiikan tarkoituksena on varmistaa johdon tuki yrityksesi arkaluonteisten tietojen suojaamiseksi varkauksilta ja luvattomalta käytöltä.

Ohjaus 5.1 kattaa ohjauksen, tarkoituksen ja toteutusohjeet organisaation tietoturvapolitiikan määrittämiseksi ISO 27001:n määrittelemän viitekehyksen mukaisesti.

Ohjaus 5.1 sanoo, että organisaatioilla on oltava korkean ja matalan tason käytännöt tietoturvansa hallinnassa. Organisaation ylimmän johdon tulee hyväksyä linjaukset, jotka tulee tarkistaa säännöllisesti ja myös jos tietoturvaympäristössä tapahtuu muutoksia.

Paras tapa on tavata säännöllisesti vähintään kerran kuukaudessa ja lisätapaamisia järjestetään tarvittaessa. Jos käytäntöihin tehdään muutoksia, johdon on hyväksyttävä ne ennen kuin ne otetaan käyttöön. Politiikat tulisi myös jakaa sisäisten ja ulkoisten sidosryhmien kanssa.

Ohjauksen ominaisuudet 5.1

Attribuutit ovat väline ohjaimien luokitteluun. Niiden avulla voit nopeasti mukauttaa ohjausvalintasi yleisten alan kielten ja standardien kanssa. Ohjauksessa 5.1 nämä ovat.

Mitä se sisältää ja kuinka vaatimukset täytetään

Tietoturvapolitiikan tulee tarjota perusta ja tukea yksityiskohtaisille toimintaohjeille, jotka kuvaavat, miten tietoturvaa käytännössä hallitaan.

Ylimmän johdon tulee hyväksyä politiikka, jonka tulee varmistaa, että se välitetään henkilöstölle ja että se on asianomaisten osapuolten saatavilla.

Politiikka ohjaa organisaation lähestymistapaa tietoturvallisuuden hallintaan, ja sitä voidaan käyttää puitteena yksityiskohtaisempien toimintatapojen kehittämisessä.

Käytäntö on olennainen osa ISO/IEC 27000 -standardiperheen edellyttämän tietoturvan hallintajärjestelmän (ISMS) perustamisessa ja ylläpidossa, vaikka organisaatio ei aio toteuttaa virallista ISO 27001 -standardin tai muun standardin sertifiointia. , hyvin määritelty politiikka on edelleen tärkeä.

Muutokset ja erot standardista ISO 27002:2013

ISO 27002: 2022:ssa ohjaus 5.1 Tietoturvakäytännöt ei ole uusi ohjausobjekti, vaan se on seurausta kontrollien yhdistämisestä 5.1.1 Tietoturvakäytännöt ja 5.1.2 Tietoturvakäytäntöjen tarkastelu ISO 27002 -versiosta 2013.

ISO 27002:2022:ssa ohjaus 5.1 on päivitetty sisältämään kuvaus sen tarkoituksesta ja laajennettu käyttöönotto-opastus. Sen mukana tuli myös attribuuttitaulukko, jonka avulla käyttäjät voivat sovittaa säätimet yhteen alan terminologian kanssa.

ISO 27002:2022:n valvonnassa 5.1 todetaan, että tietoturva- ja aihekohtaiset käytännöt tulee määritellä, johdon hyväksyä, julkaista, viestiä asianomaiselle henkilöstölle ja asianomaisille osapuolille ja tunnustaa ne.

Organisaation tietoturvapolitiikan tulee heijastaa organisaation kokoa, tyyppiä ja tietovarojen herkkyyttä. Sen tulee myös olla alan standardien ja sovellettavien viranomaisten määräysten mukainen.

Vaikka itse ohjauksen olemus on samanlainen kuin ISO 5.1.1: 27002:n 2013, versio 2022 sanoo nimenomaan, että nämä tietoturvakäytännöt tulee tarkistaa säännöllisesti ja myös jos tietoturvaympäristössä tapahtuu muutoksia. Tämä ratsastaja on ISO 5.1.2:27002:n kohdan 2013 katettu.

ISO 27002: 2013 ja ISO 27002: 2022 sanovat, että organisaation korkeimman tason tulee määritellä turvallisuuspolitiikka, jonka ylin johto hyväksyy ja jossa kerrotaan, kuinka he valvovat tietojensa suojaa. Molempien versioiden käytäntöjen kattamat vaatimukset ovat kuitenkin erilaiset.

Control 5.1 2013 – 2022 Toteutusohjeet Verrattuna

ISO 27002:2013:ssa tietoturvakäytäntöjen tulee vastata vaatimuksiin, jotka ovat luoneet:

• Liiketoimintastrategiat.
• Määräykset, lait ja sopimukset.
• Nykyinen ja ennakoitu tietoturvauhkaympäristö.

Tietoturvapolitiikan tulee sisältää seuraavat lausunnot:

• Tietoturvan määrittely, tavoitteet ja periaatteet ohjaamaan kaikkea siihen liittyvää toimintaa
  tietoturva.
• Tietoturvan hallinnan yleisten ja erityisten vastuiden antaminen henkilölle
  määriteltyjä rooleja.
• Poikkeamien ja poikkeusten käsittelyprosessit.

Mutta ISO 27002:2022:n vaatimukset ovat hieman kattavampia.

Tietoturvapolitiikassa tulee ottaa huomioon seuraavat vaatimukset:

• Liiketoimintastrategia ja vaatimukset.
• Määräykset, lait ja sopimukset.
• Nykyiset ja ennustetut tietoturvariskit ja -uhat.

Tietoturvapolitiikan tulee sisältää seuraavat lausunnot:

• Tietoturvan määritelmä.
• Tietoturvatavoitteet tai puitteet tietoturvatavoitteiden asettamiselle.
• Periaatteet ohjaavat kaikkea tietoturvaan liittyvää toimintaa.
• Sitoutuminen tietoturvaan liittyvien soveltuvien vaatimusten täyttämiseen.
• Sitoutuminen tietoturvan hallintajärjestelmän jatkuvaan parantamiseen.
• Tietoturvan hallinnan vastuiden jakaminen määriteltyihin rooleihin.
• Poikkeusten käsittelymenettelyt.

Samanaikaisesti aihekohtaiset käytännöt muokattiin ISO 27002:2022:ssa sisältämään; tietoturvahäiriöiden hallinta, omaisuudenhallinta, verkkoturvallisuus, tietoturvahäiriöiden hallinta ja suojattu kehitys. Jotkut ISO 27002:2013:ssa olevista joko poistettiin tai yhdistettiin kokonaisvaltaisemman kehyksen muodostamiseksi.

Uudet ISO 27002 -säätimet

Miten ISMS.Online auttaa

ISMS.onlinen helppokäyttöinen, mutta tehokas pilvijärjestelmämme tarjoaa sinulle täydellisen valikoiman työkaluja ja resursseja, joiden avulla voit hallita omaa ISO 27001/27002 -tietoturvajärjestelmääsi (ISMS), olitpa uusi. ISO 27001/27002 tai jo sertifioitu.

Intuitiivinen vaiheittainen työnkulkumme, työkalumme, kehyksiämme, käytäntöjämme ja valvontatoimiamme, toimiva dokumentaatio ja opastus opastaa ISO 27002 -standardin käyttöönottoprosessin läpi, mikä tekee ISMS:n laajuuden määrittämisestä, riskien tunnistamisesta ja valvonnan toteuttamisesta helppoa. algoritmimme – joko tyhjästä tai parhaiden käytäntöjen malleista.

Ota yhteyttä jo tänään varaa esittely.