ISO 27002 Control 5.35: Miksi riippumattomilla suojausarvioinneilla on merkitystä?
Tietoturva on organisaation tiedonhallintakäytäntöjen ydin.
Niin paljon, että on välttämätöntä päästä eroon omahyväisyydestä tekemällä säännöllisiä riippumattomia arviointeja siitä, miten organisaatio hallitsee tehokkaan tietoturvatoiminnan ylläpitämiseen liittyviä ihmisiä, prosesseja ja teknologioita.
Valvonnan tarkoitus 5.35
Valvonta 5.35 edellyttää, että organisaatiot suorittavat riippumattomia tietoturvakäytäntöjensä tarkastuksia – sekä suunnitelluin väliajoin että suurten toiminnallisten muutosten tapahtuessa – varmistaakseen, että tietoturvan hallintakäytännöt ovat:
- Riittävä – Heillä on kyky saavuttaa sitoutuminen
- Sopiva – He yrittävät saavuttaa oikeat tavoitteet
- Tehokas – Ne toimivat tarkoitetulla tavalla
Ominaisuustaulukko
Control 5.35 on ennaltaehkäisevä ja korjaava kontrolli, joka ylläpitää riskiä luomalla prosesseja, jotka mahdollistavat organisaation tietoturvallisuuden hallintakäytäntöjen säännölliset tarkastelut.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Tunnistaa | #Tietoturvatakuu | #Hallinto ja ekosysteemi |
| #Korjaava | #Integrity | #Suojella | ||
| #Saatavuus |
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Määräysvallan omistus 5.35
Valvonta 5.35 koskee ensisijaisesti operatiivisia asioita. Sellaisenaan omistusoikeuden tulisi sijaita COO:lla tai CISO:lla (jos sellainen on).
Yleiset valvontaohjeet 5.35
Yleisenä tavoitteena on, että johto luo ja ottaa käyttöön prosesseja, jotka mahdollistavat tietoturvakäytäntöjensä riippumattoman tarkastelun.
Arviointien tulisi keskittyä kaikkiin muutoksiin, joita tarvitaan organisaation tietoturvalähestymistavan parantamiseksi , mukaan lukien:
- tietoturvapolitiikka.
- Aihekohtaiset käytännöt.
- Aiheeseen liittyvät säätimet.
Kaikki tarkistukset tulee suorittaa organisaatiossa tai sen ulkopuolella olevan henkilön, jolla ei ole omaa etua tutkittavaan asiaan, kuten:
- Sisäiset tarkastajat.
- Riippumattomat osastonjohtajat.
- Kolmannen osapuolen organisaatiot.
Arvioinnin suorittajalla tulisi olla tarvittava operatiivinen pätevyys tehdä perustellun arvion havainnoistaan, ja (sisäisen henkilöstön tapauksessa) heidän työtehtävänsä ei saisi estää heitä tekemästä pätevää ja oikeutettua arviointia.
Tarkastuksen tulokset tulee tallentaa perusteellisesti, tallentaa ja raportoida sitä pyytäneelle Managerille (tai johtajien ryhmille) ja tietyissä tapauksissa C-sarjan tasolle tai omistajille.
Arvioijien tulee pyrkiä toteamaan, ovatko tietoturvakäytännöt organisaation tietoturvapolitiikan tai aihekohtaisten käytäntöjen sisältämien "dokumentoitujen tavoitteiden ja vaatimusten" mukaisia.
Säännöllisten tarkistusten lisäksi voi olla tarpeen käynnistää tapauskohtaisia tarkastuksia. Nämä arvostelut voidaan perustella viidellä avainalueella:
- Organisaation tietoturvatoimintaan vaikuttavia lakeja, ohjeita tai määräyksiä muutetaan.
- Merkittävä tapahtuu tapauksia, jotka vaikuttavat tietoturvaan (tietojen katoaminen, tunkeutuminen jne.).
- Uusi yritys perustetaan tai nykyiseen liiketoimintaan tehdään suuria muutoksia.
- organisaatio ottaa käyttöön uuden tuotteen tai palvelun, jolla on tietoturva vaikuttaa tai tekee taustalla olevia muutoksia nykyiseen tuotteeseen tai palveluun.
- Organisaation tietoturvavalvontapankissa, politiikoissa ja menettelytavoissa tehdään suuria muutoksia.
Täydentävä opas
ISO/IEC 27007 ja ISO/IEC TS 27008 sisältävät lisäohjeita riippumattomien arviointien käytännöistä.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022-5.35 korvaa 27002:2013-18.1.2 (tietoturvan riippumaton katsaus).
27002:2022-5.35 sisältää saman yleisen ohjeen kuin 27002:2013-18.1.2, mutta menee askeleen pidemmälle määrittelemällä konkreettisia esimerkkejä siitä, milloin organisaation tulee suorittaa ad hoc -tarkastuksia säännöllisten tarkistustensa ohella.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.online virtaviivaistaa ISO 27002 -standardin käyttöönottoprosessia tarjoamalla kehittyneen pilvipohjaisen kehyksen tietoturvallisuuden hallintajärjestelmän menettelyjen ja tarkistuslistojen dokumentointiin tunnustettujen standardien noudattamisen varmistamiseksi.
Kun käytät ISMS.online-palvelua , voit:
luo ISMS, joka on yhteensopiva ISO 27001 standardit.
suorittaa tehtäviä ja toimittaa todisteet siitä, että he ovat täyttäneet standardin vaatimukset.
jakaa tehtäviä ja seurata edistymistä lain noudattamisessa.
pääset käsiksi erikoistuneeseen neuvonantajatiimiin, joka auttaa sinua koko tielläsi kohti vaatimustenmukaisuutta.
Ota yhteyttä jo tänään varataksesi demon.
