ISO 27002:2022 – Valvonta 5.23 – Pilvipalveluiden käytön tietoturva

Valvonnan tarkoitus 5.23

5.23 on uusi ohjaus, joka hahmottaa prosessit, joita tarvitaan pilvipalvelujen hankinnassa, käytössä, hallinnassa ja niistä poistumisessa suhteessa organisaation ainutlaatuiseen tietoturvavaatimukset.

Ohjaus 5.23 antaa organisaatioille mahdollisuuden ensin määrittää ja sitten hallita ja hallinnoida tietoturvaa pilvipalveluihin liittyviä konsepteja "pilvipalveluasiakkaana".

5.23 on ennaltaehkäisevä valvonta että ylläpitää riskiä määrittelemällä käytännöt ja menettelyt, jotka hallitsevat tietoturvaa, kaupallisten pilvipalvelujen alalla.

Ohjauksen ominaisuudet 5.23

Määräysvallan omistus 5.23

Sellaista on pilvipalvelujen yleistyminen viimeisen vuosikymmenen aikana. Control 5.23 sisältää joukon toimenpiteitä, jotka kattavat monia organisaation toiminnan erillisiä elementtejä.

Koska kaikki pilvipalvelut eivät ole ICT-spesifisiä – vaikka voidaan kohtuudella väittää, että useimmat ovat – Control 5.22:n omistus olisi jaettava organisaation kesken. CTO or KUJERTAA, riippuen vallitsevista käyttöolosuhteista.

Ohjausohjeet 5.23 – Organisaatiovelvoitteet

Control 5.23:n noudattaminen edellyttää ns. a "aihekohtainen" lähestymistapa pilvipalveluihin ja tietoturvaan.

Kun otetaan huomioon tarjolla olevien pilvipalvelujen valikoima, aihekohtaiset lähestymistavat rohkaisevat organisaatioita luomaan pilvipalvelukäytäntöjä, jotka on räätälöity yksittäisiin liiketoimintatoimintoihin sen sijaan, että ne noudattaisivat kokonaisuutta. tietoturvaa koskeva politiikka ja pilvipalveluita kaikkialla.

On huomattava, että ISO pitää Control 5.23:n noudattamista yhteistyönä organisaation ja pilvipalvelukumppaninsa välillä. Ohjauskohdat 5.23 tulisi myös olla tiukasti linjassa hallintaosien 5.21 ja 5.22 kanssa, jotka käsittelevät tietoja toimitusketjun hallinta ja vastaavasti toimittajapalvelujen hallinta.

Riippumatta siitä, miten organisaatio päättää toimia, valvontaa 5.23 ei pidä tarkastella erillään, ja sen tulisi täydentää olemassa olevia pyrkimyksiä hoitaa toimittajasuhteita.

Tietoturvan eturintamassa organisaation tulisi määritellä:

1. Kaikki asiaankuuluvat tietoturvavaatimukset tai huolenaiheet, jotka liittyvät pilvialustan käyttöön.
2. Pilvipalveluntarjoajan valinnan kriteerit ja niiden palvelujen käyttö.
3. Yksityiskohtainen kuvaus roolit ja asiaankuuluvat vastuut jotka säätelevät, kuinka pilvipalveluita käytetään koko organisaatiossa.
4. Tarkkaan, mitä tietoturva-alueita pilvipalveluntarjoaja hallitsee ja mitkä kuuluvat organisaation itsensä toimivaltaan.
5. Parhaat tavat ensin lajitella ja sitten hyödyntää pilvipalvelualustan tarjoamia tietoturvaan liittyviä palvelukomponentteja.
6. Kuinka saada kategorisia takeita pilvipalveluntarjoajan antamista tietoturvaan liittyvistä toimenpiteistä.
7. Vaiheet, jotka on suoritettava muutosten, viestinnän ja ohjauksen hallitsemiseksi useiden eri pilvialustojen välillä, eikä aina samalta toimittajalta.
8. Tapahtumanhallintamenettelyt jotka koskevat yksinomaan pilvipalvelujen tarjoamista.
9. Miten organisaatio odottaa hallitsevansa jatkuvaa pilvialustojen käyttöä ja/tai tukkumyyntiä niiden vaatimusten mukaisesti laajempaa tietoturvaa velvoitteet.
10. Strategia pilvipalvelujen lopettamiseksi tai muuttamiseen joko toimittajakohtaisesti tai pilvestä paikan päällä tapahtuvaan siirtymiseen.

Ohjausohjeet 5.23 – Pilvipalvelusopimukset

Control 5.23 myöntää, että toisin kuin muut toimittajasuhteet, pilvipalvelusopimukset ovat jäykkiä asiakirjoja, joita ei voi muuttaa useimmissa tapauksissa.

Tätä silmällä pitäen organisaatioiden tulee tarkastaa pilvipalvelusopimukset ja varmistaa, että neljä pääasiallista toiminnallista vaatimusta täyttyvät:

1. Luottamuksellisuus
2. Tietoturva/tietojen eheys
3. Palvelun saatavuus
4. Tietojen käsittely

Kuten muissakin toimittajasopimuksissa, pilvipalvelusopimuksille tulee tehdä ennen hyväksymistä a perusteellinen riskinarviointi joka korostaa mahdollisia ongelmia niiden lähteellä.

Vähintäänkin organisaation tulisi tehdä pilvipalvelusopimus vasta, kun se on vakuuttunut siitä, että seuraavat 10 ehtoa on täytetty:

1. Pilvipalvelut tarjotaan ja toteutetaan organisaation ainutlaatuisten toiminta-alueeseen liittyvien vaatimusten mukaan, mukaan lukien alan hyväksymät pilvipohjaisen arkkitehtuurin ja isännöidyn infrastruktuurin standardit ja käytännöt.
2. Pääsy mihin tahansa pilvialustaan ​​täyttää organisaation rajatietoturvavaatimukset.
3. Haittaohjelmien torjunta- ja virustorjuntapalvelut, mukaan lukien ennakoiva valvonta ja uhkien suojaus, otetaan riittävästi huomioon.
4. Pilvipalveluntarjoaja noudattaa ennalta määritettyjä tietojen tallennus- ja käsittelymääräyksiä, jotka liittyvät yhteen tai useampaan erilliseen globaaliin alueeseen ja sääntely-ympäristöön.
5. Organisaatiolle tarjotaan ennakoivaa tukea, mikäli pilvialustaan ​​tulee katastrofaalinen vika tai tietoturvaan liittyvä tapahtuma.
6. Jos tulee tarve tehdä alihankinta- tai muutoin ulkoistaa jokin pilvialustan osa, toimittajan tietoturvavaatimukset pysyvät jatkuvasti huomioituna.
7. Mikäli organisaatio tarvitsee apua digitaalisen tiedon kokoamisessa mihin tahansa asiaankuuluvaan tarkoitukseen (lainvalvonta, sääntelyn yhdenmukaistaminen, kaupalliset tarkoitukset), pilvipalvelujen tarjoaja tukee organisaatiota mahdollisuuksien mukaan.
8. Suhteen päätyttyä pilvipalvelun tarjoajan tulee tarjota kohtuullinen tuki ja asianmukainen saatavuus siirtymä- tai käytöstäpoistojakson aikana.
9. Pilvipalveluntarjoajan tulee toimia vankalla BUDR-suunnitelmalla, joka keskittyy riittävän varmuuskopiointiin organisaation tiedoista.
10. Kaikki asiaankuuluvat lisätiedot siirretään pilvipalvelujen tarjoajalta organisaatiolle, mukaan lukien konfigurointitiedot ja koodi, joihin organisaatiolla on vaatimus.

Lisätiedot valvonnasta 5.23

Ohjaus 5.23 ehdottaa yllä olevan ohjeen lisäksi, että organisaatiot muodostavat läheisen yhteistyösuhteen pilvipalveluntarjoajien kanssa niiden tarjoaman tärkeän palvelun mukaisesti, ei vain tietoturvan kannalta, vaan koko organisaation kaupallisen toiminnan osalta.

Organisaatioiden tulee mahdollisuuksien mukaan pyytää pilvipalveluntarjoajilta seuraavat ehdot parantaakseen toiminnan kestävyyttä ja nauttiakseen parannetusta tietoturvasta:

1. Kaikista infrastruktuurin muutoksista tulee ilmoittaa etukäteen, jotta ne kertovat organisaation omasta tietoturvastandardista.
2. Organisaatio tarvitsee olla ajan tasalla kaikista tietojen tallennusmenetelmien muutoksista, jotka edellyttävät tietojen siirtämistä toiselle lainkäyttöalueelle tai maailmanlaajuiselle alueelle.
3. Pilvipalveluntarjoajan aikomus hyödyntää vertaispilvipalveluntarjoajia tai ulkoistaa niiden toiminta-alueita alihankkijoille, joilla voi olla tietoturvavaikutuksia organisaation kannalta.

Ohjaimet tukevat

• 5.21
• 5.22

Muutoksia standardista ISO 27002:2013

Ohjaus 5.23 on a uusi ohjaus jota ei mainita ISO 27002:2013:ssa missään ominaisuudessa.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISMS.online virtaviivaistaa ISO 27002 käyttöönottoprosessin tarjoamalla kehittynyt pilvipohjainen kehys tietoturvan hallintajärjestelmän menettelyjen ja tarkistuslistojen dokumentoimiseksi tunnustettujen standardien noudattamisen varmistamiseksi.

Kun käytät ISMS.onlinea, voit:

• Luo ISMS, joka on yhteensopiva ISO 27001 standardit.
• Suorita tehtäviä ja toimita todisteet siitä, että he ovat täyttäneet standardin vaatimukset.
• Jaa tehtäviä ja seuraa edistymistä lain noudattamisessa.
• Hanki käyttöösi erikoistunut neuvonantajatiimi, joka auttaa sinua koko tielläsi kohti vaatimustenmukaisuutta.

Ota yhteyttä ja varaa esittely.