ISO 27002:2022 – Controle 5.36 – Naleving van beleid, regels en normen voor informatiebeveiliging

Doel van de controle 5.36

Een belangrijk onderdeel van het werken met een robuuste, veilige set van informatiebeveiligingspraktijken is de noodzaak om te blijven voldoen aan gepubliceerd beleid en procedures.

Controle 5.36 vereist dat organisaties een top-down-sturing krijgen visie op informatiebeveiliging compliance, met betrekking tot de verschillende beleidslijnen (zowel enkelvoudig als onderwerpspecifiek), regels en normen.

Attributentabel

Controle 5.36 is een preventieve en correctief controleer dat wijzigt het risico door vast te houden aan reeds bestaande beleid en procedures op het gebied van informatiebeveiliging.

Eigendom van zeggenschap 5.36

Controle 5.36 gaat vooral over operationele zaken. Als zodanig moet het eigendom bij de COO of CISO (indien aanwezig) liggen.

Algemene richtlijnen voor controle 5.36

Managers en informatie-eigenaren (inclusief service- en producteigenaren) moeten in staat zijn de naleving van het gehele informatiebeveiligingsbeleid, de regels en standaarden van een organisatie te beoordelen.

Managers moeten bedrijfsspecifieke rapportagemethoden implementeren (waarbij alle benodigde technische hulpmiddelen zijn inbegrepen) over de naleving van informatiebeveiliging, met als algemeen doel het uitvoeren van periodieke beoordelingen – die grondig worden vastgelegd, opgeslagen en gerapporteerd – waarin gebieden voor verbetering worden benadrukt.

Als er problemen worden ontdekt en gevallen van niet-naleving worden aangetroffen, moeten managers het volgende kunnen doen:

1. Stel de onderliggende oorzaak van de niet-naleving vast.
2. Beslissen of corrigerende maatregelen zijn vereist.
3. Plan en implementeer indien nodig de corrigerende maatregelen om voortdurende naleving te garanderen.
4. Zodra deze van kracht is, moet u alle corrigerende maatregelen beoordelen die zijn genomen om de effectiviteit ervan te onderzoeken en eventuele gebieden voor verdere ontwikkeling te benadrukken.

Corrigerende maatregelen moeten tijdig worden genomen, en idealiter bij de volgende beoordeling. Als de acties niet zijn voltooid tegen de tijd dat de volgende beoordeling plaatsvindt, moeten managers op zijn minst de voortgang kunnen aantonen.

Ondersteunende controles

• 5.35
• 8.15
• 8.16
• 8.17

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-5.36 vervangt twee controles uit 27002:2013, namelijk:

• 18.2.2 – Naleving van beveiligingsbeleid en -normen
• 18.2.3 – Technische nalevingsbeoordeling

27002:2022-5.36 vat alle complexe technische richtlijnen samen die in 27002:2013-18.2.3 worden geboden, door simpelweg te stellen dat managers de naleving moeten kunnen beoordelen waar dat nodig is.

27002:2022-5.36 bevat precies dezelfde reeks richtpunten als 27002:2013-18.2.2, met betrekking tot de acties die nodig zijn wanneer een beoordeling gevallen van niet-naleving aan het licht brengt.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Neem vandaag nog contact op met boek een demo.