ISO 27002:2022 – Valvonta 5.9 – Tietojen ja muiden niihin liittyvien resurssien luettelo

Mikä on Control 5.9 -tieto- ja muu siihen liittyvä omaisuusluettelo?

Tarkistetun ISO 5.9:27002:n hallinta 2022 kuvaa, kuinka tieto- ja muu siihen liittyvä omaisuus, mukaan lukien omistajat, on kehitettävä ja ylläpidettävä.

Selitetty tietovarojen luettelo

Toimintansa toteuttamiseksi organisaation on tiedettävä, mitä tietovaroja sillä on käytössään.

An tietovarojen luettelo (IA) on luettelo kaikesta, mitä organisaatio tallentaa, käsittelee tai lähettää. Se sisältää myös kunkin kohteen sijainnin ja suojaustoiminnot. Tavoitteena on tunnistaa jokainen yksittäinen tieto. Voit ajatella sitä kirjanpidon vastineena tietosuojalle.

IA:n avulla voidaan tunnistaa aukot omassasi tietoturvaohjelma ja tiedot kyberriskien arvioinneista joissa sinulla saattaa olla haavoittuvuuksia, jotka voivat johtaa rikkomiseen. Sitä voidaan käyttää myös todisteena vaatimustenmukaisuustarkastusten aikana että olet tehnyt asianmukaista huolellisuutta arkaluonteisten tietojesi tunnistamisessa, mikä auttaa sinua välttämään sakot ja rangaistukset.

- tietovarojen luettelo tulee myös sisältää tiedot siitä, kuka omistaa kunkin omaisuuden ja kuka sitä hallinnoi. Sen tulee sisältää myös tiedot kunkin varaston kohteen arvosta ja siitä, kuinka kriittistä se on organisaation liiketoiminnan menestykselle.

On tärkeää, että varastot pidetään ajan tasalla, jotta ne heijastavat organisaatiossa tapahtuvia muutoksia.

Miksi tarvitsen tietovaraston luettelon?

Tietoomaisuuden hallinnalla on pitkä historia liiketoiminnan jatkuvuuden suunnittelussa (BCP), katastrofipalautuksessa (DR) ja häiriötilanteiden reagointisuunnittelussa.

Ensimmäinen vaihe missä tahansa näistä prosesseista sisältää kriittisten järjestelmien, verkkojen, tietokantojen, sovellusten, tietovirtojen ja muiden suojausta tarvitsevien komponenttien tunnistamisen. Jos et tiedä mikä tarvitsee suojelua tai missä se sijaitsee, et voi suunnitella kuinka suojella sitä!

Attribuuttien ohjaustaulukko 5.9

Kontrollit luokitellaan attribuuttien avulla. Näiden avulla voit nopeasti yhdistää ohjausvalintasi yleisesti käytettyihin alan termeihin ja spesifikaatioihin.

Tämä taulukko täydentää työtä, jota monet asiakkaat tekevät tällä hetkellä osana omaa toimintaansa riskinarviointi ja SOA tunnistamalla luottamuksellisuus, eheys ja saatavuus – ja muut tekijät. Ohjauksessa 5.9 määritteet ovat:

Mikä on hallinnan tarkoitus 5.9?

Tämän valvonnan tarkoituksena on tunnistaa organisaation tiedot ja muu siihen liittyvä omaisuus niiden tietoturvan säilyttämiseksi ja asianmukaisen omistajuuden osoittamiseksi.

Ohjaus 5.9 kattaa ohjauksen, tarkoituksen ja toteutusohjeet tietojen ja muiden asiaan liittyvien resurssien luettelon luomiseksi ISO 27001:n määrittämän ISMS-kehyksen mukaisesti.

Valvonta edellyttää luettelon tekemistä kaikista tiedoista ja muista niihin liittyvistä varoista, luokittelemalla ne eri luokkiin, tunnistamalla niiden omistajat ja dokumentoimalla säädöt, jotka ovat tai joiden pitäisi olla käytössä.

Tämä on ratkaiseva askel sen varmistamisessa, että kaikki tietovarat ovat asianmukaisesti suojattuja.

Mitä se sisältää ja kuinka vaatimukset täytetään

jotta täyttää uuden ISO 27002:2022 -standardin vaatimukset, sinun on tunnistettava organisaatiosi tiedot ja muu siihen liittyvä omaisuus. Sitten sinun tulee määrittää näiden kohteiden merkitys tietoturvan kannalta. Asiakirjat on tarvittaessa säilytettävä erityisissä tai olemassa olevissa inventaarioissa.

Inventaarion kehittämistä koskeva lähestymistapa vaihtelee organisaation koon ja monimutkaisuuden, sen olemassa olevien hallintalaitteiden ja käytäntöjen sekä sen käyttämien tietojen ja muiden siihen liittyvien resurssien tyypin mukaan.

Ohjauksen 5.9 mukaan tietojen ja muiden niihin liittyvien omaisuuserien luettelon tulee olla tarkkaa, ajan tasalla, johdonmukainen ja linjassa muiden varastojen kanssa. Vaihtoehtoja tietojen ja muiden niihin liittyvien resurssien luettelon tarkkuuden varmistamiseksi ovat:

a) suorittaa säännöllisiä tarkastuksia tunnistetuista tiedoista ja muista niihin liittyvistä varoista omaisuusluetteloon verrattuna;

b) varastopäivityksen automaattinen pakottaminen omaisuuden asennuksen, muuttamisen tai poistamisen yhteydessä.

Omaisuuserän sijainti tulee sisällyttää inventaarioon tarvittaessa.

Jotkut organisaatiot saattavat joutua ylläpitämään useita varastoja eri tarkoituksiin. Joillakin organisaatioilla on esimerkiksi omat varastot ohjelmistolisenssejä tai fyysisiä laitteita, kuten kannettavia tietokoneita ja tabletteja varten.

Toisilla voi olla yksi luettelo, joka sisältää kaikki fyysiset laitteet, mukaan lukien verkkolaitteet, kuten reitittimet ja kytkimet. On tärkeää, että kaikki tällaiset inventaariot tarkistetaan säännöllisesti sen varmistamiseksi, että ne pidetään ajan tasalla, jotta niitä voidaan käyttää apuna riskienhallinta toimintaa.

Lisätietoa ohjaus 5.9:n vaatimusten täyttämisestä löytyy uudesta ISO 27002:2022 -asiakirjasta.

Erot ISO 27002:2013 ja ISO 27002:2022 välillä

ISO 27002: 2022:ssa 57 ISO 27002: 2013 -ohjausobjektia yhdistettiin 24 kontrolliksi. Joten et löydä ohjausta 5.9 tietojen ja muiden liitännäisten omaisuuserien luettelona vuoden 2013 versiosta. Pikemminkin vuoden 2022 versiossa se on yhdistelmä määräysvaltaa 8.1.1 Omaisuusluettelo ja määräysvalta 8.1.2 Omaisuuden omistus.

Valvonnan tarkoitus 8.1.1 Omaisuuden inventointi on varmistaa, että kaikki tietovarat tunnistetaan, dokumentoidaan ja tarkistetaan säännöllisesti ja että käytössä on asianmukaiset prosessit ja menettelyt sen varmistamiseksi, että tämä inventaario on turvallinen.

Valvonta 8.1.2 Omaisuuden omistus on vastuussa siitä, että kaikki heidän hallinnassaan oleva tietovarallisuus tunnistetaan ja omistetaan asianmukaisesti. Kun tiedät, kuka omistaa mitä, voit määrittää, mitä omaisuutta sinun on suojeltava ja kenelle sinun on oltava tilivelvollinen.

Vaikka molemmat säätimet standardissa ISO 27002:2013 ovat samanlaisia ​​kuin ISO 5.9:27002:n ohjaus 2022, jälkimmäistä on laajennettu käyttäjäystävällisemmän tulkinnan mahdollistamiseksi. Esimerkiksi määräysvallassa olevien varojen omistusta koskevassa käyttöönotto-ohjeessa 8.1.2 todetaan, että omaisuuden omistajan tulee:

a) varmistaa, että omaisuus on inventoitu;

b) varmistaa, että omaisuus luokitellaan ja suojataan asianmukaisesti;

c) määritellä ja tarkistaa säännöllisesti tärkeiden omaisuuserien pääsyrajoitukset ja luokitukset ottaen huomioon sovellettavat kulunvalvontakäytännöt;

d) varmistaa asianmukainen käsittely, kun omaisuus poistetaan tai tuhotaan.

Nämä 4 pistettä on laajennettu 9 pisteeksi määräysvallan 5.9 omistajuusosassa.

- omaisuuden omistajan tulee olla vastuussa asianmukaisesta hoidosta omaisuuserän koko käyttöiän ajan varmistaen, että:

a) tiedot ja muut niihin liittyvät varat inventoidaan;

b) tiedot ja muut niihin liittyvät varat on asianmukaisesti luokiteltu ja suojattu;

c) luokitusta tarkistetaan määräajoin;

d) teknologiaomaisuutta tukevat komponentit luetellaan ja linkitetään, kuten tietokanta, tallennustila, ohjelmistokomponentit ja alikomponentit;

e) asetetaan vaatimukset tiedon ja muiden niihin liittyvien varojen (katso 5.10) hyväksyttävälle käytölle;

f) pääsyrajoitukset vastaavat luokitusta ja että ne ovat voimassa ja niitä tarkistetaan säännöllisesti;

g) tiedot ja muut niihin liittyvät varat, kun ne poistetaan tai hävitetään, niitä käsitellään turvallisesti ja poistetaan luettelosta;

h) he osallistuvat omaisuuteensa liittyvien riskien tunnistamiseen ja hallintaan;

i) he tukevat henkilöstöä, jolla on roolit ja vastuut tietojensa hallinnassa.

Näiden kahden säätimen yhdistäminen yhdeksi antaa käyttäjälle paremman käsityksen.

Mitä nämä muutokset merkitsevät sinulle?

Viimeisimmät ISO 27002 -muutokset eivät vaikuta nykyiseen ISO 27001 -standardien mukaiseen sertifiointiisi. ISO 27001 -päivitykset ovat ainoita, jotka vaikuttavat olemassa oleviin sertifikaatteihin, ja akkreditointielimet tekevät yhteistyötä sertifiointielinten kanssa siirtymäsyklin kehittämiseksi, joka antaa ISO 27001 -sertifikaatin omaaville organisaatioille riittävästi aikaa siirtyä versiosta toiseen.

Seuraavia vaiheita on kuitenkin noudatettava, jotta se vastaa tarkistettua versiota:

• Varmista, että yrityksesi noudattaa uutta vaatimusta tarkistamalla omasi riskirekisteri ja riskienhallintasi käytännöt.
• SoA olisi tarkistettava vastaamaan muutoksia Liite A.
• Käytäntösi ja prosessisi tulee päivittää uusien säännösten mukaisiksi.

Uuteen standardiin siirtymisen aikana on saatavilla uusia parhaita käytäntöjä ja ominaisuuksia kontrollin valintaan, mikä mahdollistaa tehokkaamman ja tehokkaamman valintaprosessin.

Tästä syystä sinun tulee jatkaa riskiperusteisen lähestymistavan käyttöä varmistaaksesi, että vain yrityksellesi valitaan osuvimmat ja tehokkaimmat hallintakeinot.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

Sinä pystyt käytä ISMS.onlinea hallintaan ISO 27002 -toteutesi, koska se on suunniteltu erityisesti auttamaan yritystä ottamaan käyttöön tietoturvan hallintajärjestelmä (ISMS) ISO 27002 -standardin vaatimusten mukaisesti.

Alusta käyttää riskiin perustuvaa lähestymistapaa yhdistettynä alan johtaviin parhaisiin käytäntöihin ja malleihin, joiden avulla voit tunnistaa organisaatiosi kohtaamat riskit ja hallintakeinot, joita tarvitaan näiden riskien hallitsemiseksi. Näin voit systemaattisesti vähentää sekä riskiäsi että noudattamisesta aiheutuvia kustannuksia.

Käyttäminen ISMS.online voit:

• Ota nopeasti käyttöön tietoturvan hallintajärjestelmä (ISMS).
• Hallitse helposti ISMS-tietojesi dokumentaatiota.
• Tehosta kaikkien asiaankuuluvien standardien noudattamista.
• Hallitse kaikkia tietoturvaan liittyviä näkökohtia riskienhallinnasta turvallisuustietoisuuskoulutukseen.
• Kommunikoi tehokkaasti koko organisaatiossasi sisäänrakennetun viestintätoiminnon avulla.

- ISMS.online-alusta perustuu Plan-Do-Check-Act (PDCA), iteratiiviseen nelivaiheiseen jatkuvaan parantamiseen tähtäävään prosessiin, ja se täyttää kaikki ISO 27002:2022 -standardin vaatimukset. Ilmaisen kokeilutilin luominen ja tarjoamiemme vaiheiden noudattaminen on helppoa.

Ota yhteyttä jo tänään varaa esittely.