ISO 27002:2022 – Controle 5.37 – Gedocumenteerde operationele procedures

Doel van de controle 5.37

Controle 5.37 gaat over de concept van informatiebeveiliging als een operationele activiteit, waarvan de onderdelen worden uitgevoerd en/of beheerd door een of meer personen.

Controle 5.37 schetst een reeks operationele procedures die zorgen voor een informatiebeveiliging van de organisatie De faciliteit blijft efficiënt en veilig, en in overeenstemming met hun gedocumenteerde vereisten.

Attributentabel

Controle 5.37 is een preventieve en correctief controleer dat houdt het risico in stand door de oprichting van een reeks procedures die verband houden met een informatiebeveiliging van de organisatie activiteiten.

Eigendom van zeggenschap 5.37

Controle 5.37 behandelt een diverse reeks omstandigheden die mogelijk een rol kunnen spelen meerdere afdelingen en functies onder de bevoegdheid van gedocumenteerde operationele procedures. Dat gezegd zijnde kan er veilig van worden uitgegaan dat de meeste procedures gevolgen zullen hebben voor ICT-personeel, apparatuur en systemen.

Wanneer dit gebeurt, moet het eigendom berusten bij een senior lid van het managementteam dat verantwoordelijk is voor alle ICT-gerelateerde activiteiten, zoals een hoofd IT.

Algemene richtlijnen voor controle 5.37

Er moeten procedures worden gecreëerd voor activiteiten die verband houden met informatiebeveiliging in overeenstemming met 5 belangrijke operationele overwegingen:

1. Elk exemplaar van een activiteit die door een of meer mensen op dezelfde manier wordt uitgevoerd.
2. Wanneer een activiteit niet vaak wordt uitgevoerd.
3. Wanneer een procedure het risico met zich meebrengt dat deze wordt vergeten.
4. Nieuwe activiteiten die onbekend zijn voor het personeel en daardoor een groter risico met zich meebrengen.
5. Wanneer de verantwoordelijkheid voor het uitvoeren van een activiteit wordt overgedragen aan een andere medewerker of groep medewerkers.

Wanneer deze gevallen zich voordoen, moeten de gedocumenteerde operationele procedures duidelijk het volgende beschrijven:

1. Alle verantwoordelijke personen – zowel gevestigde exploitanten als nieuwe exploitanten.
2. Een reeks richtlijnen die de veiligheid garanderen tijdens de installatie en daaropvolgende configuratie van gerelateerde bedrijfssystemen.
3. Hoe informatie tijdens de activiteit wordt verwerkt.
4. BUDR-plannen en implicaties bij gegevensverlies of een grote gebeurtenis (zie Controle 8.13).
5. Gekoppelde afhankelijkheden met andere systemen, inclusief planning.
6. Een duidelijke procedure voor het omgaan met “afhandelingsfouten” of diverse gebeurtenissen die zich kunnen voordoen (zie Controle 8.18).
7. Een volledige lijst van het personeel waarmee contact moet worden opgenomen in geval van een verstoring, inclusief duidelijke escalatieprocedures.
8. Hoe u alle relevante opslagmedia gebruikt die verband houden met de activiteit (zie Bedieningselementen 7.10 en 7.14).
9. Hoe u opnieuw kunt opstarten en herstellen na een systeemfout.
10. Audit trail-logboekregistratie, inclusief alle bijbehorende gebeurtenis- en systeemlogboeken (zie Controles 8.15 en 8.17).
11. Videobewakingssystemen die activiteiten ter plaatse monitoren (zie Controle 7.4).
12. Een robuust geheel van monitoringprocedures die inspelen op de operationele capaciteit, prestatiepotentieel en veiligheid van genoemde activiteit.
13. Hoe de activiteit moet worden onderhouden om op een optimaal prestatieniveau te blijven.

Alle bovengenoemde procedures moeten worden onderworpen aan periodieke en/of ad-hocbeoordelingen, waar en wanneer dat nodig is, waarbij alle wijzigingen tijdig door het management moeten worden bekrachtigd om de informatiebeveiligingsactiviteiten in de hele organisatie te waarborgen.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-5.37 vervangt 27002:2013-12.1.1 (gedocumenteerde operationele procedures).

27002:2022-5.37 breidt 27002:2013-12.1.1 uit door een veel bredere reeks omstandigheden te bieden die de naleving van een documentprocedure zouden rechtvaardigen.

27002:2013-12.1.1 somt informatieverwerkingsactiviteiten op, zoals procedures voor het opstarten en afsluiten van computers, back-up, onderhoud van apparatuur, omgaan met media, terwijl 27002:2022-5.37 de taak van de controle uitbreidt naar algemene activiteiten die niet beperkt zijn tot specifieke activiteiten. technische functies.

Afgezien van enkele kleine toevoegingen – zoals het categoriseren van de personen die verantwoordelijk zijn voor een activiteit – bevat 27002:2022-5.37 dezelfde algemene richtlijnen als 27002:2013-12.1.1

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

• Gebruikers kunnen taken voltooien en bewijsmateriaal indienen om naleving van de norm aan te tonen.
• Het is gemakkelijk om verantwoordelijkheden te delegeren en de voortgang op weg naar naleving te monitoren.
• Het uitgebreide De toolset voor risicobeoordeling bespaart tijd en moeite tijdens het hele proces.
• We hebben een toegewijde Een team van adviseurs staat klaar om u te ondersteunen u tijdens uw hele traject naar compliance.

Neem vandaag nog contact op met boek een demo.