ISO 27002:2022 – Controle 5.24 – Planning en voorbereiding van informatiebeveiligingsincidentenbeheer

Doel van de controle 5.24

Controle 5.24 behandelt informatiebeveiliging onder de paraplu van Incident Management.

Controle 5.24 schetst hoe organisaties dat zouden moeten doen het beheren van informatiebeveiligingsincidenten door middel van adequate planning en voorbereiding, door het creëren van efficiënte processen en het gedetailleerd beschrijven van hoe het personeel op incidenten moet reageren op basis van duidelijk gedefinieerde rollen en verantwoordelijkheden.

In de gehele begeleiding wordt de nadruk gelegd op constructieve communicatie en het bevorderen van een professionele reactie op scenario's die vaak onder hoge druk staan, vooral als het gaat om commercieel gevoelige gegevens of PII.

5.24 een corrigerende controle uit die houdt het risico in stand door een gemeenschappelijke reeks Incident Management-procedures vast te stellen die commerciële of operationele schade veroorzaakt door kritieke informatiebeveiligingsgebeurtenissen beperken.

Kenmerken van controle 5.24

Eigendom van zeggenschap 5.24

Incident Management is in bredere zin doorgaans van toepassing op servicegerelateerde incidenten. Gezien het feit dat Controle 5.24 zich specifiek bezighoudt met informatiebeveiligingsgerelateerde incidenten en inbreuken, en rekening houdend met de zeer gevoelige aard van deze gebeurtenissen, zou het eigendom van Controle 5.24 idealiter moeten berusten bij een CISO, of organisatorisch equivalent.

Aangezien CISO's doorgaans alleen binnen grotere bedrijven en organisaties op ondernemingsniveau voorkomen, zou het eigenaarschap ook bij de CISO kunnen liggen COOof Servicemanager, afhankelijk van de aard van de organisatie.

Begeleiding – Rollen en verantwoordelijkheden

Incident Management levert de beste resultaten op als de medewerkers van een organisatie samenwerken om een ​​specifiek probleem op te lossen.

Om dat te bereiken specificeert Control 5.24 vijf belangrijke richtpunten die organisaties helpen een samenhangende, efficiënte IM-operatie te creëren.

Organisaties moeten:

1. Maak afspraken over en documenteer een homogene methode voor het rapporteren van informatiebeveiligingsgebeurtenissen. Dit zou ook het opzetten van een centraal contactpunt moeten inhouden waar al dergelijke gebeurtenissen aan gerapporteerd moeten worden.
2. Breng een reeks incidenten tot stand Beheerprocessen die de informatiebeveiliging beheren gerelateerde incidenten binnen de sfeer van diverse technische en administratieve functies:

   a) Administratie
   b) Documentatie
   c) Detectie
   d) Triage
   e) Prioritering
   f) Analyse
   g) Communicatie

3. Formuleer een incidentresponsprocedure waarmee de organisatie incidenten kan beoordelen en erop kan reageren. Organisaties moeten zich ook bewust zijn van de noodzaak om te leren van incidenten zodra deze zijn opgelost, om herhaling te beperken en personeel te voorzien van historische context in toekomstige scenario's.
4. Beperk de betrokkenheid bij incidenten tot opgeleid en bekwaam personeel, die volledige toegang hebben tot procedurele documentatie en profiteren van regelmatige opfriscursussen die specifiek betrekking hebben op informatiebeveiligingsincidenten.
5. Zet een proces op dat de trainingsbehoeften identificeert van elk personeelslid dat betrokken is bij het oplossen van informatiebeveiligingsincidenten. Dit moet alle leveranciersspecifieke of professionele certificeringen omvatten en het personeel de mogelijkheid bieden om eventuele professionele ontwikkelingsbehoeften met betrekking tot informatiebeveiliging onder de aandacht te brengen.

Begeleiding – Incidentbeheer

Het doel van het incidentbeheerproces van een organisatie moet zijn ervoor te zorgen dat iedereen die verantwoordelijk is voor het oplossen van informatiebeveiligingsincidenten een goed inzicht heeft in drie hoofdgebieden:

• De tijd die nodig is om een ​​incident op te lossen
• Eventuele gevolgen
• De ernst van het incident

Alle processen moeten in harmonie samenwerken om ervoor te zorgen dat deze drie variabelen een topprioriteit blijven.

Controle 5.24 schetst acht hoofdactiviteiten die moeten worden aangepakt bij pogingen om informatiebeveiligingsgerelateerde incidenten op te lossen.

1. Potentiële informatiebeveiligingsgebeurtenissen moeten worden beoordeeld in overeenstemming met strikte criteria die ze valideren als een goedgekeurd incident.
2. Het beheer van informatiebeveiligingsgebeurtenissen en -incidenten moet worden onderverdeeld in 5 hoofdonderwerpen, handmatig of via procesautomatisering:

   a) Monitoring (zie controles 8.15 en 8.16)
   b) Detectie (zie Controle 8.16)
   c) Classificatie (zie Controle 5.25)
   d) Analyse
   e) Rapportage (zie Controle 6.8)

3. Wanneer organisaties proberen informatiebeveiligingsincidenten tot een goed einde te brengen, moeten zij procedures implementeren die het volgende regelen:

   a) Respons en escalatie (zie Controle 5.26) in overeenstemming met het type incident
   b) Activering van crisisbeheersingsplannen of bedrijfscontinuïteitsplannen, van geval tot geval
   c) Beheerd herstel na een incident dat eventuele veroorzaakte operationele/financiële schade beperkt
   d) Grondige communicatie van incidentgerelateerde gebeurtenissen naar alle interne en externe partijen

4. Samenwerking met intern en extern personeel (zie Controles 5.5 en 5.6).
5. Grondige, toegankelijke en transparante registratie van alle incidentbeheerde activiteiten.
6. Verantwoord omgaan met bewijsmateriaal (waaronder data en gesprekken), conform interne en externe richtlijnen en regelgeving (zie Controle 5.28).
7. Analyse van de hoofdoorzaken en een grondige beoordelingsprocedure, zodra het incident is opgelost.
8. Een uitgebreid overzicht van alle verbeteringen die nodig zijn om te voorkomen dat het incident zich opnieuw voordoet, inclusief eventuele wijzigingen in het incidentbeheerproces zelf.

Begeleiding – Rapportage

Rapportage is een essentieel onderdeel van elk incident Management beleid dat ervoor zorgt dat informatie accuraat door de hele organisatie wordt verspreid. Rapportageactiviteiten moeten zich concentreren op vier hoofdgebieden:

1. Alle acties die moeten worden ondernomen zodra zich een informatiebeveiligingsgebeurtenis voordoet.
2. Incidentformulieren die een overzichtelijke en overzichtelijke manier bieden om informatie vast te leggen en personeel te ondersteunen bij de uitvoering van hun taken.
3. Feedbackprocessen om ervoor te zorgen dat het personeel op de hoogte wordt gesteld van de uitkomst van informatiebeveiligingsgebeurtenissen, zodra het incident is opgelost.
4. Incidentrapporten waarin alle relevante informatie met betrekking tot een incident wordt gedocumenteerd.

Opgemerkt moet worden dat Controle 5.24 geen richtlijnen bevat over hoe te voldoen aan externe vereisten met betrekking tot de manier waarop incidenten worden gerapporteerd (bijvoorbeeld richtlijnen voor regelgeving en/of geldende wetgeving), maar organisaties moeten stappen ondernemen om informatie over incidenten te delen met alle relevante partijen. en een reactie coördineren die voldoet aan alle regelgevende, sectorspecifieke en wettelijke vereisten.

Ondersteunende controles

• 5.25
• 5.26
• 5.5
• 5.6
• 6.8
• 8.15
• 8.16

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-5.24 vervangt 27002:2013-16.1.1 (Beheer van informatiebeveiligingsincidenten en verbeteringen – Verantwoordelijkheden en procedures).

27002:2022-5.24 erkent de noodzaak voor organisaties om een ​​grondige voorbereiding te ondergaan, om veerkrachtig en compliant te blijven in het licht van potentiële informatiebeveiligingsincidenten.

Als zodanig biedt 27002:2022-5.24 een veel uitgebreider overzicht van de stappen die organisaties moeten nemen op het gebied van roldelegatie, incidentbeheer en rapportagefuncties, waarbij specifieke verwijzingen worden gegeven naar andere functies. ISO-controles die organisaties helpen een completer beeld te krijgen van incidentbeheer als geheel, en niet alleen gerelateerd aan informatiebeveiligingsgebeurtenissen.

Om organisaties te helpen hun incidentbeheeractiviteiten in compartimenten te verdelen, wijkt 27002:2022-5.24 af van 27002:2013-16.1.1 door zich te concentreren op drie verschillende aandachtsgebieden:

• Rollen en verantwoordelijkheden
• Processen voor incidentbeheer
• Rapportage

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

Wanneer u gebruik maken van ISMS.online, je zal in staat zijn:

• Maak een ISMS dat compatibel is met ISO 27001 normen.
• Voer taken uit en overleg bewijsstukken waaruit blijkt dat ze aan de eisen van de norm voldoen.
• Verdeel taken en volg de voortgang richting naleving van de wet.
• Krijg toegang tot een gespecialiseerd team van adviseurs dat u bijstaat tijdens uw hele traject richting compliance.

Neem vandaag nog contact op met boek een demo.