ISO 27002:2022, valvonta 5.5 – Ota yhteyttä viranomaisiin

Mikä on hallinnan tarkoitus 5.5?

Valvonta 5.5:n tarkoituksena on varmistaa tietoturvallisuuden kannalta asianmukainen tiedonkulku organisaation ja asiaankuuluvien laki-, sääntely- ja valvontaviranomaisten välillä. Yhtiön ja asiaankuuluvien laki-, sääntely- ja valvontaviranomaisten välillä tulee olla asianmukainen foorumi vuoropuhelua ja yhteistyötä varten.

Valvonta 5.5 kattaa vaatimuksen, tarkoituksen ja toteutusohjeet kuinka tunnistaa ja ilmoittaa tietoturvatapahtumista ajoissa sekä keneen ja miten ottaa yhteyttä onnettomuuden sattuessa.

Valvonnan 5.5 tavoitteena on tunnistaa, mihin sidosryhmiin (esim. lainvalvontaviranomaiset, sääntelyelimet, valvontaviranomaiset) olisi otettava yhteyttä turvallisuustapahtuman sattuessa. On tärkeää, että olet jo tunnistanut nämä sidosryhmät ennen tapauksen sattumista.

Yhteydenpito viranomaisiin tarkoittaa, että organisaation tulee luoda ja toteuttaa epävirallista viestintää viranomaisten kanssa tietoturvakysymyksistä, mukaan lukien:

• Jatkuva yhteydenpito asianomaisten viranomaisten kanssa sen varmistamiseksi, että organisaatio on tietoinen nykyisistä uhkista ja haavoittuvuuksista.
• Asianomaisille viranomaisille tiedottaminen organisaation tuotteissa, palveluissa tai järjestelmissä havaituista haavoittuvuuksista.
• Tietojen saaminen asiaankuuluvilta viranomaisilta uhista ja haavoittuvuuksista.

Mitä se sisältää ja kuinka vaatimukset täytetään

Valvonnan 5.5 päätavoitteena on luoda organisaation suhde lainvalvontaviranomaisiin, kun se liittyy tietoturvariskien hallintaan.

Ohjauksen 5.5 vaatimusten täyttämiseksi oletetaan, että jos an tietoturvahäiriö havaitaan, organisaation tulee määrittää, milloin ja mitkä viranomaiset (kuten lainvalvontaviranomaiset, sääntelyelimet ja valvontaviranomaiset) ilmoittavat, sekä kuinka tunnistetuista tietoturvaloukkauksista tulee raportoida oikea-aikaisesti.

Tietojen vaihtoa viranomaisten kanssa tulisi käyttää myös näiden virastojen nykyisten ja tulevien odotusten (esim. sovellettavien tietoturvamääräysten) ymmärtämiseen.

Tämä vaatimus on suunniteltu varmistamaan, että organisaatiolla on johdonmukainen strategia suhteelleen lainvalvontaviranomaisiin ja että se on tunnistanut sopivimman yhteyspisteen näissä virastoissa.

Yhteydet sääntelyelimiin ovat hyödyllisiä myös ennakoitaessa ja valmistauduttaessa tuleviin organisaatioon vaikuttaviin lakeihin tai säännöksiin.

Erot ISO 27002:2013 ja ISO 27002:2022 välillä

Valvonta 5.5: Yhteydenpito viranomaisiin ei ole uusi lisäys ISO 27002:2022:ssa. Se on olemassa oleva kontrolli alkuperäisessä ISO 27002:2013 -standardissa ohjausnumerolla 6.1.3. Tämä tarkoittaa, että kontrollinumeroa muutettiin ISO 27002:n uudessa versiossa.

Kontrollinumeron muuttamisen lisäksi myös fraseologiaa muutettiin. Kun valvonnassa 5.5 todetaan, että "Organisation tulee luoda ja ylläpitää yhteyksiä asiaankuuluviin viranomaisiin." Valvontakohdassa 6.1.3 todetaan, että "asianmukaisia ​​yhteyksiä asiaankuuluviin viranomaisiin tulee ylläpitää." Tämä fraseologian muutos on suunniteltu tekemään tästä ohjaimesta käyttäjäystävällisempi.

2022-versioon sisältyi ohjaustarkoitus. Tämä ei ole saatavilla vuoden 2013 versiossa.

Samaan aikaan, vaikka molempien säätimien olemus pysyy samana, niissä on hienovaraisia ​​muunnelmia, jotka erottavat toisistaan.

ISO 5.5:27002:n valvonta 2022 lisää lisäksi, että yhteyksiä viranomaisiin tulee käyttää myös näiden viranomaisten tämänhetkisten ja tulevien odotusten ymmärtämisen helpottamiseksi (esim. sovellettavat tietoturvamääräykset). Tämä puuttuu vuoden 2013 versiosta.

Kuka on vastuussa tästä prosessista?

- tästä roolista vastaava henkilö on yleensä tietoturvapäällikkö.

Muut henkilöt voivat suorittaa tämän toiminnon, mutta heidän on raportoitava tietoturvapäällikölle, jotta he voivat valvoa näitä toimintoja. Tämä ylläpitää johdonmukaista viestiä ja varmistaa johdonmukaisen suhteen viranomaisiin.

Mitä nämä muutokset merkitsevät sinulle?

Kun uusi sertifiointistandardi julkaistaan, tulee yleensä siirtymäaika. Suurimmalla osalla sertifiointijaksoista siirtymäaika on kahdesta kolmeen vuotta.

ISO 27002:n uusin painos on kuitenkin ehdottomasti välttämätön, jos aiot tehdä niin ottaa käyttöön ISMS:n (ja mahdollisesti jopa harkitse ISMS-sertifiointia) ja sinun on varmistettava, että turvatoimenpiteesi ovat ajan tasalla.

Suoritettaviin toimiin kuuluvat, mutta eivät rajoitu niihin, seuraavat:

• Uusimman standardin ostaminen.
• Tutki uutta standardia nähdäksesi, miten se on muuttunut. Standardi sisältää kartoitustaulukon, joka näyttää kuinka uusi standardi vastaa ISO 27002:2013 -standardia.
• Suorita a riskianalyysi sekä kontrolliaukon analyysi.
  Valitse tarvittavat säätimet ja muuta ISMS-käytännöt, standardit ja muut asiakirjat.
• Tee tarvittavat muutokset omaan Ilmoitus soveltuvuudesta.
• Sinun tulee tarkistaa sisäisen tarkastuksen ohjelmasi vastaamaan valitsemaasi parannettua valvontaa.

Tutustu ISO 27002:2022 -oppaaseen, josta saat lisätietoja siitä, kuinka nämä muutokset 5.5:n hallintaan vaikuttavat organisaatioosi.

Miten ISMS.online auttaa

Tietoturvaohjaimien pitäminen kirjaa on yksi vaikeimmista osista toteutettaessa ISMS, joka on yhteensopiva ISO 27001:n kanssa. Mutta pilvipohjainen alustamme tekee tämän helpoksi.

Pilvipohjainen alustamme tarjoaa sinulle vankan kehyksen tietoturva ohjaimia, jotta voit tarkistaa ISMS-prosessisi samalla kun varmistat, että se täyttää ISO 27k:n vaatimukset. Oikein käytettynä, ISMS. online voi auttaa sinua saamaan sertifioinnin mahdollisimman vähän aikaa ja resursseja käyttäen.

Ota yhteyttä jo tänään varaa esittely.