ISO 27002:2022, Controle 5.35 – Onafhankelijke beoordeling van informatiebeveiliging

Eigendom van zeggenschap 5.35

Controle 5.35 gaat vooral over operationele zaken. Als zodanig moet het eigendom bij de COO of CISO (indien aanwezig) liggen.

Algemene richtlijnen voor controle 5.35

Het overkoepelende doel is management om processen te creëren en te implementeren die zorgen voor onafhankelijke beoordelingen van hun informatiebeveiliging praktijken.

Recensies moeten zich richten op eventuele wijzigingen nodig om de benadering van informatiebeveiliging van een organisatie te verbeteren, Waaronder:

1. De informatiebeveiligingsbeleid.
2. Onderwerpspecifiek beleid.
3. Gerelateerde bedieningselementen.

Elke beoordeling moet worden uitgevoerd door een persoon binnen of buiten de organisatie die geen gevestigd belang heeft bij wat zij onderzoeken, zoals:

1. Interne auditors.
2. Onafhankelijke afdelingsmanagers.
3. Externe organisaties.

Degene die de beoordeling uitvoert, moet over de relevante beschikken operationele competentie om een ​​goed oordeel te kunnen vellen over hun bevindingen, en (in het geval van intern personeel) mag hun functie hen er niet van weerhouden een geldige en legitieme beoordeling te maken.

De resultaten van de beoordeling moeten grondig worden vastgelegd, opgeslagen en gerapporteerd aan de manager (of groepen managers) die erom heeft gevraagd, en in bepaalde gevallen aan het C-suiteniveau of de eigenaar.

Beoordelaars moeten proberen vast te stellen of de informatiebeveiligingspraktijken wel of niet in overeenstemming zijn met de “gedocumenteerde doelstellingen en vereisten” van de organisatie, zoals vastgelegd in het informatiebeveiligingsbeleid, of enig onderwerpspecifiek beleid.

Naast periodieke reviews kan het nodig zijn om ad hoc reviews te initiëren. Deze beoordelingen kunnen op vijf belangrijke gebieden worden gerechtvaardigd:

1. Alle wetten, richtlijnen of voorschriften worden gewijzigd die van invloed zijn op de informatiebeveiligingsoperatie van de organisatie.
2. Groot Er vinden incidenten plaats die impact hebben op de informatiebeveiliging (gegevensverlies, inbraak, enz.).
3. Er wordt een nieuw bedrijf opgericht of er worden grote veranderingen doorgevoerd in het huidige bedrijf.
4. De organisatie adopteert een nieuw product of nieuwe dienst met informatiebeveiliging implicaties, of brengt onderliggende wijzigingen aan in een huidig ​​product of dienst.
5. Er worden grote wijzigingen aangebracht in de controles, het beleid en de procedures op het gebied van informatiebeveiliging van de organisatie.

Aanvullende begeleiding

ISO / IEC 27007 en ISO/IEC TS 27008 bevatten verdere richtlijnen voor de praktijk van onafhankelijke beoordelingen.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-5.35 vervangt 27002:2013-18.1.2 (Onafhankelijke beoordeling van informatiebeveiliging).

27002:2022-5.35 bevat dezelfde algemene richtlijnen als 27002:2013-18.1.2, maar gaat een stap verder door specifieke voorbeelden te geven van wanneer een organisatie ad-hoc beoordelingen zou moeten uitvoeren, naast de periodieke beoordelingen.

Hoe ISMS.online helpt

ISMS.online stroomlijnt de ISO 27002 implementatieproces door het bieden van een geavanceerd cloudgebaseerd raamwerk voor het documenteren van procedures en checklists voor informatiebeveiligingsbeheersystemen om naleving van erkende normen te garanderen.

Wanneer je gebruik ISMS.online, je zal in staat zijn:

creëer een ISMS dat compatibel is met ISO 27001 normen.
taken uitvoeren en bewijs overleggen waaruit blijkt dat zij aan de eisen van de norm hebben voldaan.
wijs taken toe en volg de voortgang in de richting van naleving van de wet.
krijg toegang tot een gespecialiseerd team van adviseurs dat u zal bijstaan ​​tijdens uw hele traject richting compliance.

Neem vandaag nog contact op met boek een demo.