ISO 27001:2022 Bijlage A 5.37 – Gedocumenteerde operationele procedures

Wat is het doel van ISO 27001:2022 bijlage A 5.37?

ISO 27001:2022 Bijlage A 5.37 beschrijft informatiebeveiliging als een operationele activiteit, waarvan de onderdelen door individuen worden uitgevoerd en/of beheerd.

Bijlage A 5.37 schetst de operationele procedures voor het onderhouden van de informatiebeveiligingsfaciliteit van een organisatie volgens de gedocumenteerde behoeften ervan om ervoor te zorgen dat deze efficiënt en veilig blijft.

Wie is eigenaar van bijlage A 5.37?

Bijlage A 5.37 behandelt verschillende omstandigheden waarbij meerdere afdelingen en functies betrokken kunnen zijn. Dat gezegd hebbende, is het veilig om aan te nemen dat de meeste procedures gevolgen zullen hebben voor ICT-personeel, apparatuur en systemen.

Een senior managementteamlid dat verantwoordelijk is voor alle ICT-gerelateerde activiteiten, zoals de Hoofd IT, moet verantwoordelijk zijn voor de eigendom van bijlage A 5.37.

Algemene richtlijnen voor bijlage A 5.37

Informatiebeveiligingsgerelateerde procedures moeten worden ontwikkeld op basis van vijf belangrijke operationele overwegingen:

1. Instanties van een activiteit die door een of meer individuen op dezelfde manier wordt uitgevoerd.
2. Wanneer een activiteit niet vaak wordt uitgevoerd.
3. Wanneer er procedures zijn die vergeten dreigen te worden.
4. Nieuwe activiteiten waar medewerkers niet bekend mee zijn en daardoor een hoger risico met zich meebrengen.
5. Wanneer de verantwoordelijkheid voor het uitvoeren van een activiteit wordt overgedragen aan een andere medewerker of groep medewerkers.

Wanneer deze gevallen zich voordoen, moeten de operationele procedures duidelijk aangeven wat er in deze situaties moet gebeuren:

• Individuen die verantwoordelijk zijn – zowel gevestigde exploitanten als nieuwe exploitanten.
• Richtlijnen voor het handhaven van de beveiliging tijdens de installatie en configuratie van gerelateerde bedrijfssystemen.
• Hoe informatie wordt verwerkt tijdens de activiteit.
• BUDR-plannen en implicaties in geval van gegevensverlies of een ramp (zie Bijlage A 8.13).
• Er moet een link zijn tussen afhankelijkheden en elk ander systeem, inclusief planning.
• Er moet een duidelijke procedure zijn voor het omgaan met “afhandelingsfouten” of diverse gebeurtenissen die kunnen optreden (zie Bijlage A 8.18).
• Er moet een volledige lijst zijn van het personeel waarmee contact moet worden opgenomen in geval van verstoring, samen met duidelijke escalatieprocedures.
• Operationele richtlijnen voor alle relevante opslag media verbonden aan de activiteit (zie Bijlage A 7.10 en Bijlage A 7.14).
• In geval van een systeemfout: hoe u opnieuw opstart en herstelt.
• Loggen van audittrajecten, inclusief systeem- en gebeurtenislogboeken (zie Bijlage A 8.15 en Bijlage A 8.17).
• Observatiesystemen voor activiteiten ter plaatse die plaatsvinden (zie Bijlage A 7.4).
• Een robuust monitoringsysteem dat rekening houdt met de operationele capaciteit, het prestatiepotentieel en de veiligheid van de activiteit.
• Om optimale prestatieniveaus te behouden, is het essentieel om te weten wat er moet gebeuren om de activiteit in stand te houden.

Bovenstaande benaderingen moeten worden onderworpen aan periodieke en/of ad-hocbeoordelingen wanneer dat nodig is. Alle wijzigingen in de procedures moeten onmiddellijk door het management worden goedgekeurd om alle binnen de organisatie uitgevoerde informatiebeveiligingsactiviteiten te waarborgen.

Wat zijn de veranderingen ten opzichte van ISO 27001:2013?

ISO 27001:2022 bijlage A 5.37 vervangt ISO 27001:2013 Bijlage A 12.1.1 ('Gedocumenteerde operationele procedures').

ISO 27001:2022 bijlage A 5.37 breidt ISO 27001:2013 bijlage A 12.1.1 uit door een veel bredere reeks omstandigheden te bieden die de naleving van een gedocumenteerde procedure zouden rechtvaardigen.

ISO 27001:2013 Bijlage A 12.1.1 schetst informatieverwerkingsactiviteiten zoals het opstarten en afsluiten van computers, back-up, onderhoud van apparatuur en mediaverwerking. In tegenstelling tot, ISO 27001:2022 Bijlage A 5.37 breidt de reikwijdte van de controle uit naar algemene activiteiten die niet beperkt zijn tot specifieke technische functies.

Afgezien van enkele kleine toevoegingen, zoals het categoriseren van de personen die verantwoordelijk zijn voor een activiteit, bevat ISO 27001:2022 Annex A 5.37 dezelfde algemene richtlijnen als ISO 27001:2013 Annex A 12.1.1

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

Implementatie van ISO 27001:2022 wordt vereenvoudigd met onze stapsgewijze checklist die u door alle fasen leidt, van het definiëren van de reikwijdte van uw ISMS tot het identificeren van risico's en het implementeren van controles.

Voordelen van ISMS.online zijn onder meer:

• Naleving kan worden aangetoond door het voltooien van taken en het overleggen van bewijsmateriaal.
• Het monitoren van de nalevingsvoortgang en het delegeren van verantwoordelijkheden is eenvoudig.
• Er wordt tijd en moeite bespaard tijdens het hele proces risico-evaluatie proces met de uitgebreide toolset voor risicobeoordeling.
• Tijdens uw compliancetraject staat een toegewijd team van consultants klaar om u te helpen.

Neem vandaag nog contact op met boek een korte demo van 30 minuten.