ISO 27002:2022 – Controle 5.35 – Onafhankelijke beoordeling van informatiebeveiliging

ISO 27002 Controle 5.35: Waarom onafhankelijke beveiligingsbeoordelingen belangrijk zijn

Informatiebeveiliging is een kernaspect van het databeheer van een organisatie praktijken.

Zozeer zelfs dat het nodig is om zelfgenoegzaamheid te elimineren door regelmatig onafhankelijke evaluaties uit te voeren van de manier waarop een organisatie omgaat met de mensen, processen en technologieën die betrokken zijn bij het in stand houden van een organisatie. effectieve informatiebeveiliging operatie.

Doel van de controle 5.35

Controle 5.35 vereist dat organisaties onafhankelijke beoordelingen van hun informatiebeveiligingspraktijken uitvoeren – zowel met geplande tussenpozen als wanneer zich grote operationele veranderingen voordoen – om ervoor te zorgen dat het beleid voor het beheer van informatiebeveiliging:

• Adequaat – Ze hebben het vermogen om therapietrouw te bereiken
• Geschikt – Ze proberen de juiste doelen te bereiken
• Effectief – Ze werken zoals bedoeld

Attributentabel

Controle 5.35 is een preventieve en correctief controleer dat houdt het risico in stand door processen te creëren die regelmatige evaluaties van de informatiebeveiligingsbeheerpraktijken van een organisatie mogelijk maken.

Eigendom van zeggenschap 5.35

Controle 5.35 gaat vooral over operationele zaken. Als zodanig moet het eigendom bij de COO of CISO (indien aanwezig) liggen.

Algemene richtlijnen voor controle 5.35

Het overkoepelende doel is management om processen te creëren en te implementeren die zorgen voor onafhankelijke beoordelingen van hun informatiebeveiliging praktijken.

Recensies moeten zich richten op eventuele wijzigingen nodig om de benadering van informatiebeveiliging van een organisatie te verbeteren, Waaronder:

1. Uw partner voor informatiebeveiligingsbeleid.
2. Onderwerpspecifiek beleid.
3. Gerelateerde bedieningselementen.

Elke beoordeling moet worden uitgevoerd door een persoon binnen of buiten de organisatie die geen gevestigd belang heeft bij wat zij onderzoeken, zoals:

1. Interne auditors.
2. Onafhankelijke afdelingsmanagers.
3. Externe organisaties.

Degene die de beoordeling uitvoert, moet over de relevante beschikken operationele competentie om een ​​goed oordeel te kunnen vellen over hun bevindingen, en (in het geval van intern personeel) mag hun functie hen er niet van weerhouden een geldige en legitieme beoordeling te maken.

De resultaten van de beoordeling moeten grondig worden vastgelegd, opgeslagen en gerapporteerd aan de manager (of groepen managers) die erom heeft gevraagd, en in bepaalde gevallen aan het C-suiteniveau of de eigenaar.

Beoordelaars moeten proberen vast te stellen of de informatiebeveiligingspraktijken wel of niet in overeenstemming zijn met de “gedocumenteerde doelstellingen en vereisten” van de organisatie, zoals vastgelegd in het informatiebeveiligingsbeleid, of enig onderwerpspecifiek beleid.

Naast periodieke reviews kan het nodig zijn om ad hoc reviews te initiëren. Deze beoordelingen kunnen op vijf belangrijke gebieden worden gerechtvaardigd:

1. Alle wetten, richtlijnen of voorschriften worden gewijzigd die van invloed zijn op de informatiebeveiligingsoperatie van de organisatie.
2. Groot Er vinden incidenten plaats die impact hebben op de informatiebeveiliging (gegevensverlies, inbraak, enz.).
3. Er wordt een nieuw bedrijf opgericht of er worden grote veranderingen doorgevoerd in het huidige bedrijf.
4. Uw partner voor organisatie adopteert een nieuw product of nieuwe dienst met informatiebeveiliging implicaties, of brengt onderliggende wijzigingen aan in een huidig ​​product of dienst.
5. Er worden grote wijzigingen aangebracht in de controles, het beleid en de procedures op het gebied van informatiebeveiliging van de organisatie.

Aanvullende begeleiding

ISO / IEC 27007 en ISO/IEC TS 27008 bevatten verdere richtlijnen voor de praktijk van onafhankelijke beoordelingen.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-5.35 vervangt 27002:2013-18.1.2 (Onafhankelijke beoordeling van informatiebeveiliging).

27002:2022-5.35 bevat dezelfde algemene richtlijnen als 27002:2013-18.1.2, maar gaat een stap verder door specifieke voorbeelden te geven van wanneer een organisatie ad-hoc beoordelingen zou moeten uitvoeren, naast de periodieke beoordelingen.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISMS.online stroomlijnt de ISO 27002 implementatieproces door het bieden van een geavanceerd cloudgebaseerd raamwerk voor het documenteren van procedures en checklists voor informatiebeveiligingsbeheersystemen om naleving van erkende normen te garanderen.

Wanneer je gebruik ISMS.online, je zal in staat zijn:

creëer een ISMS dat compatibel is met ISO 27001 normen.
taken uitvoeren en bewijs overleggen waaruit blijkt dat zij aan de eisen van de norm hebben voldaan.
wijs taken toe en volg de voortgang in de richting van naleving van de wet.
krijg toegang tot een gespecialiseerd team van adviseurs dat u zal bijstaan ​​tijdens uw hele traject richting compliance.

Neem vandaag nog contact op met boek een demo.