ISO 27002 Controle 5.35: Waarom onafhankelijke beveiligingsbeoordelingen belangrijk zijn
Informatiebeveiliging is een kernaspect van het databeheer van een organisatie praktijken.
Zozeer zelfs dat het nodig is om zelfgenoegzaamheid te elimineren door regelmatig onafhankelijke evaluaties uit te voeren van de manier waarop een organisatie omgaat met de mensen, processen en technologieën die betrokken zijn bij het in stand houden van een organisatie. effectieve informatiebeveiliging operatie.
Doel van de controle 5.35
Controle 5.35 vereist dat organisaties onafhankelijke beoordelingen van hun informatiebeveiligingspraktijken uitvoeren – zowel met geplande tussenpozen als wanneer zich grote operationele veranderingen voordoen – om ervoor te zorgen dat het beleid voor het beheer van informatiebeveiliging:
- Adequaat – Ze hebben het vermogen om therapietrouw te bereiken
- Geschikt – Ze proberen de juiste doelen te bereiken
- Effectief – Ze werken zoals bedoeld
Attributentabel
Controle 5.35 is een preventieve en correctief controleer dat houdt het risico in stand door processen te creëren die regelmatige evaluaties van de informatiebeveiligingsbeheerpraktijken van een organisatie mogelijk maken.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Identificeren | #Informatiebeveiligingsgarantie | #Governance en ecosysteem |
| #Correctief | #Integriteit | #Beschermen | ||
| #Beschikbaarheid |
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Eigendom van zeggenschap 5.35
Controle 5.35 gaat vooral over operationele zaken. Als zodanig moet het eigendom bij de COO of CISO (indien aanwezig) liggen.
Algemene richtlijnen voor controle 5.35
Het overkoepelende doel is management om processen te creëren en te implementeren die zorgen voor onafhankelijke beoordelingen van hun informatiebeveiliging praktijken.
Recensies moeten zich richten op eventuele wijzigingen nodig om de benadering van informatiebeveiliging van een organisatie te verbeteren, Waaronder:
- Het informatiebeveiligingsbeleid.
- Onderwerpspecifiek beleid.
- Gerelateerde bedieningselementen.
Elke beoordeling moet worden uitgevoerd door een persoon binnen of buiten de organisatie die geen gevestigd belang heeft bij wat zij onderzoeken, zoals:
- Interne auditors.
- Onafhankelijke afdelingsmanagers.
- Externe organisaties.
Degene die de beoordeling uitvoert, moet over de relevante beschikken operationele competentie om een goed oordeel te kunnen vellen over hun bevindingen, en (in het geval van intern personeel) mag hun functie hen er niet van weerhouden een geldige en legitieme beoordeling te maken.
De resultaten van de beoordeling moeten grondig worden vastgelegd, opgeslagen en gerapporteerd aan de manager (of groepen managers) die erom heeft gevraagd, en in bepaalde gevallen aan het C-suiteniveau of de eigenaar.
Beoordelaars moeten proberen vast te stellen of de informatiebeveiligingspraktijken wel of niet in overeenstemming zijn met de “gedocumenteerde doelstellingen en vereisten” van de organisatie, zoals vastgelegd in het informatiebeveiligingsbeleid, of enig onderwerpspecifiek beleid.
Naast periodieke reviews kan het nodig zijn om ad hoc reviews te initiëren. Deze beoordelingen kunnen op vijf belangrijke gebieden worden gerechtvaardigd:
- Alle wetten, richtlijnen of voorschriften worden gewijzigd die van invloed zijn op de informatiebeveiligingsoperatie van de organisatie.
- Groot Er vinden incidenten plaats die impact hebben op de informatiebeveiliging (gegevensverlies, inbraak, enz.).
- Er wordt een nieuw bedrijf opgericht of er worden grote veranderingen doorgevoerd in het huidige bedrijf.
- Het organisatie adopteert een nieuw product of nieuwe dienst met informatiebeveiliging implicaties, of brengt onderliggende wijzigingen aan in een huidig product of dienst.
- Er worden grote wijzigingen aangebracht in de controles, het beleid en de procedures op het gebied van informatiebeveiliging van de organisatie.
Aanvullende begeleiding
ISO / IEC 27007 en ISO/IEC TS 27008 bevatten verdere richtlijnen voor de praktijk van onafhankelijke beoordelingen.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022-5.35 vervangt 27002:2013-18.1.2 (Onafhankelijke beoordeling van informatiebeveiliging).
27002:2022-5.35 bevat dezelfde algemene richtlijnen als 27002:2013-18.1.2, maar gaat een stap verder door specifieke voorbeelden te geven van wanneer een organisatie ad-hoc beoordelingen zou moeten uitvoeren, naast de periodieke beoordelingen.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISMS.online stroomlijnt de ISO 27002 implementatieproces door het bieden van een geavanceerd cloudgebaseerd raamwerk voor het documenteren van procedures en checklists voor informatiebeveiligingsbeheersystemen om naleving van erkende normen te garanderen.
Wanneer je gebruik ISMS.online, je zal in staat zijn:
creëer een ISMS dat compatibel is met ISO 27001
normen.
taken uitvoeren en bewijs overleggen waaruit blijkt dat zij aan de eisen van de norm hebben voldaan.
wijs taken toe en volg de voortgang in de richting van naleving van de wet.
krijg toegang tot een gespecialiseerd team van adviseurs dat u zal bijstaan tijdens uw hele traject richting compliance.
Neem vandaag nog contact op met boek een demo.
