ISO 27001 Eis 8.2 – Risicobeoordeling van informatiebeveiliging

ISO 27001:2022-vereisten

• 4.1 Inzicht in de organisatie en haar context

• 4.2 Inzicht in de behoeften en verwachtingen van geïnteresseerde partijen

• 4.3 Bepalen van de reikwijdte van het ISMS

• 4.4 Informatiebeveiligingsbeheersysteem (ISMS)

• 5.1 Leiderschap en betrokkenheid

• 5.2 Informatiebeveiligingsbeleid

• 5.3 Organisatorische rollen, verantwoordelijkheden en bevoegdheden

• 6.1 Acties om risico's en kansen aan te pakken

• 6.2 Informatiebeveiligingsdoelstellingen en de planning om deze te bereiken

• 7.1 Resources

• 7.2 Competentie

• 7.3 Awareness

• 7.4 Communicatie

• 7.5 Gedocumenteerde informatie

• 8.1 Operationele planning en controle

• 8.2 Risicobeoordeling informatiebeveiliging

• 8.3 Behandeling van informatiebeveiligingsrisico's

• 9.1 Monitoring, meting, analyse en evaluatie

• 9.2 Interne audit

• 9.3 Managementbeoordeling

• 10.1 Non-conformiteit en corrigerende maatregelen

• 10.2 Continue verbetering

ISO 27001:2022 Bijlage A Controles

Organisatorische controles

• Een 5.1 Informatiebeveiligingsbeleid

• Een 5.2 Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging

• Een 5.3 Scheiding van taken

• Een 5.4 Directie verantwoordelijkheden

• Een 5.5 Contact met overheidsinstanties

• Een 5.6 Contact met speciale interessegroepen

• Een 5.7 Bedreiging Intelligentie

• Een 5.8 Informatiebeveiliging in projectmanagement

• Een 5.9 Inventarisatie van informatie en andere bijbehorende activa

• Een 5.10 Aanvaardbaar gebruik van informatie en andere bijbehorende activa

• Een 5.11 Teruggave van activa

• Een 5.12 Classificatie van informatie

• Een 5.13 Etikettering van informatie

• Een 5.14 Informatieoverdracht

• Een 5.15 Access Controle

• Een 5.16 Identiteitsbeheer

• Een 5.17 Authenticatie-informatie

• Een 5.18 Toegangsrechten

• Een 5.19 Informatiebeveiliging in leveranciersrelaties

• Een 5.20 Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten

• Een 5.21 Beheer van informatiebeveiliging in de ICT-toeleveringsketen

• Een 5.22 Monitoring en beoordeling en wijzigingsbeheer van leveranciersdiensten

• Een 5.23 Informatiebeveiliging voor gebruik van cloudservices

• Een 5.24 Planning en voorbereiding van informatiebeveiligingsincidentbeheer

• Een 5.25 Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen

• Een 5.26 Reactie op informatiebeveiligingsincidenten

• Een 5.27 Leren van informatiebeveiligingsincidenten

• Een 5.28 Verzameling van bewijsmateriaal

• Een 5.29 Informatiebeveiliging tijdens disruptie

• Een 5.30 ICT-gereedheid voor bedrijfscontinuïteit

• Een 5.31 Wettelijke, statutaire, regelgevende en contractuele vereisten

• Een 5.32 Intellectuele eigendomsrechten

• Een 5.33 Bescherming van records

• Een 5.34 Privacy en bescherming van PII

• Een 5.35 Onafhankelijke beoordeling van informatiebeveiliging

• Een 5.36 Naleving van beleid, regels en normen voor informatiebeveiliging

• Een 5.37 Gedocumenteerde operationele procedures

Mensencontroles

• Een 6.1 Doorlichting

• Een 6.2 Arbeidsvoorwaarden

• Een 6.3 Informatiebeveiligingsbewustzijn, onderwijs en training

• Een 6.4 Disciplinair proces

• Een 6.5 Verantwoordelijkheden na beëindiging of verandering van dienstverband

• Een 6.6 Vertrouwelijkheids- of geheimhoudingsovereenkomsten

• Een 6.7 Werken op afstand

• Een 6.8 Rapportage van informatiebeveiligingsgebeurtenissen

Fysieke controles

• Een 7.1 Fysieke beveiligingsperimeters

• Een 7.2 Fysieke toegang

• Een 7.3 Beveiliging van kantoren, kamers en faciliteiten

• Een 7.4 Fysieke beveiligingsmonitoring

• Een 7.5 Bescherming tegen fysieke en ecologische bedreigingen

• Een 7.6 Werken in beveiligde gebieden

• Een 7.7 Duidelijk bureau en helder scherm

• Een 7.8 Apparatuurlocatie en bescherming

• Een 7.9 Beveiliging van activa buiten gebouwen

• Een 7.10 Opslag media

• Een 7.11 Ondersteunende nutsvoorzieningen

• Een 7.12 Beveiliging van bekabeling

• Een 7.13 Equipment Maintenance

• Een 7.14 Veilige verwijdering of hergebruik van apparatuur

Technologische controles

• Een 8.1 Eindpuntapparaten van gebruikers

• Een 8.2 Bevoorrechte toegangsrechten

• Een 8.3 Beperking van toegang tot informatie

• Een 8.4 Toegang tot broncode

• Een 8.5 Veilige authenticatie

• Een 8.6 Capaciteitsmanagement

• Een 8.7 Bescherming tegen malware

• Een 8.8 Beheer van technische kwetsbaarheden

• Een 8.9 Configuration Management

• Een 8.10 Informatie verwijderen

• Een 8.11 Gegevensmaskering

• Een 8.12 Preventie van gegevenslekken

• Een 8.13 Informatieback-up

• Een 8.14 Redundantie van informatieverwerkingsfaciliteiten

• Een 8.15 Logging

• Een 8.16 Bewakingsactiviteiten

• Een 8.17 Kloksynchronisatie

• Een 8.18 Gebruik van bevoorrechte hulpprogramma's

• Een 8.19 Installatie van software op besturingssystemen

• Een 8.20 Netwerk veiligheid

• Een 8.21 Beveiliging van netwerkdiensten

• Een 8.22 Segregatie van netwerken

• Een 8.23 Webfiltering

• Een 8.24 Gebruik van cryptografie

• Een 8.25 Levenscyclus van veilige ontwikkeling

• Een 8.26 Beveiligingsvereisten voor applicaties

• Een 8.27 Veilige systeemarchitectuur en engineeringprincipes

• Een 8.28 Veilig coderen

• Een 8.29 Beveiligingstesten bij ontwikkeling en acceptatie

• Een 8.30 Uitbestede ontwikkeling

• Een 8.31 Scheiding van ontwikkel-, test- en productieomgevingen

• Een 8.32 Change Management

• Een 8.33 Test informatie

• Een 8.34 Bescherming van informatiesystemen tijdens audittests

Over ISO 27001

• Over ISO 27001

• ISO 27001 behalen

• ISO 27001 Vereisten en controles

• Asset management

• ISO 27001 Certification

• Wat is een ISMS?

• Belangrijke overwegingen voor uw ISMS

• Uw ISMS migreren naar ISMS.online

• ISO 27002 uitgelegd