Valvonnan tarkoitus 5.37
Kontrolli 5.37 käsittelee tietoturvallisuuden käsitettä operatiivisena toimintana, jonka osatekijöitä suorittaa ja/tai hallinnoi yksi tai useampi henkilö.
Kontrolli 5.37 esittää sarjan operatiivisia menettelyjä, joilla varmistetaan, että organisaation tietoturvajärjestelmä pysyy tehokkaana ja turvallisena sekä dokumentoitujen vaatimusten mukaisena.
Ominaisuustaulukko
Kontrolli 5.37 on ennaltaehkäisevä ja korjaava kontrolli, joka ylläpitää riskiä luomalla organisaation tietoturvatoimintaan liittyvän menettelypankin.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Vahvuuksien hallinta | #Hallinto ja ekosysteemi |
| #Korjaava | #Integrity | #Palauta | #Fyysinen turvallisuus | #Suojaus |
| #Saatavuus | #Järjestelmä- ja verkkoturvallisuus | #Puolustus | ||
| #Sovellusturvallisuus | ||||
| #Suojattu määritys | ||||
| #Identiteetti- ja käyttöoikeushallinta | ||||
| #Uhkien ja haavoittuvuuksien hallinta | ||||
| #Jatkuvuus | ||||
| #Tietoturvatapahtumanhallinta |
Määräysvallan omistus 5.37
Kontrolli 5.37 käsittelee monenlaisia tilanteita, joihin voi sisältyä useita osastoja ja työtehtäviä dokumentoitujen toimintatapojen piiriin. Tästä huolimatta voidaan turvallisesti olettaa, että useimmat menettelyistä vaikuttavat ICT-henkilöstöön, laitteisiin ja järjestelmiin.
Jos näin tapahtuu, omistusoikeuden tulisi olla johtoryhmän vanhemmalla jäsenellä, joka vastaa kaikista tieto- ja viestintätekniikkaan liittyvistä toiminnoista, kuten IT-päällikkö.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Yleiset valvontaohjeet 5.37
Tietoturvallisuuteen liittyville toimille tulisi luoda menettelytavat viiden keskeisen operatiivisen näkökohdan mukaisesti:
- Mikä tahansa toiminto, jonka yksi tai useampi henkilö suorittaa samalla tavalla.
- Kun toimintaa ei usein suoriteta.
- Kun menettelyyn liittyy riski tulla unohdetuksi.
- Kaikki uudet toiminnot, jotka ovat henkilökunnalle tuntemattomia ja ovat siksi alttiita suuremmalle riskille.
- Kun vastuu toiminnan suorittamisesta siirtyy toiselle työntekijälle tai työntekijäryhmälle.
Jos tällaisia tapauksia esiintyy, dokumentoiduissa toimintamenetelmissä tulee kuvata selkeästi:
- Kaikki vastuussa olevat henkilöt – sekä vakiintuneet että uudet toimijat.
- Ohjeet, jotka ylläpitävät tietoturvaa asiaan liittyvien liiketoimintajärjestelmien asennuksen ja myöhemmän määrityksen aikana.
- Miten tietoa käsitellään koko toiminnan ajan.
- BUDR-suunnitelmat ja vaikutukset tietojen katoamisen tai suuren tapahtuman sattuessa (katso ohjaus 8.13).
- Linkitetyt riippuvuudet muihin järjestelmiin, mukaan lukien ajoitus.
- Selkeä menettely "käsittelyvirheiden" tai sekalaisten mahdollisten tapahtumien käsittelemiseksi (katso valvonta 8.18).
- Täydellinen luettelo henkilöistä, joihin on otettava yhteyttä häiriötilanteissa, mukaan lukien selkeät eskalointimenettelyt.
- Kuinka käyttää mitä tahansa toimintaan liittyvää tallennusvälinettä (katso Ohjaimet 7.10 ja 7.14).
- Kuinka käynnistää uudelleen ja toipua järjestelmävirheestä.
- Jälkijälkikirjaus, mukaan lukien kaikki liittyvät tapahtuma- ja järjestelmälokit (katso kontrollit 8.15 ja 8.17).
- Videovalvontajärjestelmät, jotka valvovat paikan päällä tapahtuvaa toimintaa (katso Ohjaus 7.4).
- Vankka joukko valvontamenettelyjä, jotka vastaavat toimintakykyä, suorituskykypotentiaali ja turvallisuus mainitusta toiminnasta.
- Kuinka aktiivisuutta tulisi ylläpitää, jotta se pysyy optimaalisella suoritustasolla.
Kaikille edellä mainituille menettelyille tulee tehdä määräajoin ja/tai tapauskohtaisia tarkastuksia tarpeen mukaan, ja johdon on ratifioitava kaikki muutokset ajoissa tietoturvatoiminnan turvaamiseksi koko organisaatiossa.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot ISO 27002:2013:sta
27002:2022-5.37 korvaa 27002:2013-12.1.1 (dokumentoidut käyttötavat).
27002:2022-5.37 laajentaa 27002:2013-12.1.1:tä tarjoamalla paljon laajemman joukon olosuhteita, jotka oikeuttaisivat asiakirjamenettelyn noudattamisen.
27002:2013-12.1.1 luetellaan tietojenkäsittelytoiminnot, kuten tietokoneen käynnistys- ja sulkemistoimenpiteet, varmuuskopiointi, laitteiden ylläpito, median käsittely, kun taas 27002:2022-5.37 laajentaa valvonnan yleisiin toimintoihin, jotka eivät rajoitu tiettyihin tekniset toiminnot.
Muutamia pieniä lisäyksiä, kuten toiminnasta vastuussa olevien henkilöiden luokittelua lukuun ottamatta 27002:2022-5.37 sisältää samat yleiset ohjeet kuin 27002:2013-12.1.1.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISO 27002 -standardin käyttöönotto on yksinkertaisempaa vaiheittaisen tarkistuslistamme avulla, joka opastaa sinua koko prosessin läpi aina tietoturvanhallintajärjestelmän laajuuden määrittelystä riskien tunnistamiseen ja valvonnan toteuttamiseen asti.
- Käyttäjät voivat suorittaa tehtäviä ja toimittaa todisteita standardin noudattamisesta.
- On helppoa delegoida vastuita ja seurata edistymistä vaatimustenmukaisuuden saavuttamisessa.
- Laaja riskinarvioinnin työkalusarja säästää aikaa ja vaivaa koko prosessin ajan.
- Meillä on omistautunut konsulttien tiimi valmiina tukemaan sinua koko matkasi ajan vaatimustenmukaisuuteen.
Ota yhteyttä jo tänään varataksesi demon.
