ISO 27002:2022, Controle 5.5 – Contact met autoriteiten

Wat is het doel van controle 5.5?

Het doel van Controle 5.5 is ervoor te zorgen dat er een passende informatiestroom plaatsvindt met betrekking tot informatiebeveiliging tussen de organisatie en de relevante wettelijke, regelgevende en toezichthoudende autoriteiten. Er moet een passend forum voor dialoog en samenwerking tussen de Vennootschap en de relevante juridische, regelgevende en toezichthoudende autoriteiten aanwezig zijn.

Controle 5.5 behandelt de vereisten, het doel en de implementatie-instructies voor het identificeren en informatiebeveiligingsgebeurtenissen melden tijdig te informeren en met wie en hoe u contact kunt opnemen in geval van een incident.

Het doel van controle 5.5 is om te identificeren met welke belanghebbenden (bijvoorbeeld wetshandhavingsinstanties, regelgevende instanties, toezichthoudende autoriteiten) contact moet worden opgenomen in het geval van een beveiligingsgebeurtenis. Het is belangrijk dat u deze stakeholders al in kaart heeft gebracht voordat zich een incident voordoet.

Contact met autoriteiten betekent dat de organisatie informele communicatie met autoriteiten tot stand moet brengen en implementeren over informatiebeveiligingskwesties, waaronder:

• Voortdurende communicatie met relevante autoriteiten om ervoor te zorgen dat de organisatie is op de hoogte van de huidige dreigingen en kwetsbaarheden.
• Het informeren van relevante autoriteiten over ontdekte kwetsbaarheden in de producten, diensten of systemen van de organisatie.
• Het ontvangen van informatie van relevante autoriteiten over dreigingen en kwetsbaarheden.

Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan

Het hoofddoel van controle 5.5 is het vaststellen van de relatie van de organisatie met wetshandhavingsinstanties het beheersen van informatiebeveiligingsrisico's.

Om aan de eisen voor controle 5.5 te voldoen, wordt verwacht dat als een informatiebeveiligingsincident wordt ontdektmoet de organisatie specificeren wanneer en door welke autoriteiten (zoals wetshandhavingsinstanties, regelgevende instanties en toezichthoudende autoriteiten) op de hoogte moeten worden gesteld, en ook hoe geïdentificeerde informatiebeveiligingsincidenten tijdig moeten worden gemeld.

De uitwisseling van informatie met autoriteiten moet ook worden gebruikt om een ​​beter inzicht te krijgen in de bestaande en toekomstige verwachtingen van deze instanties (bijvoorbeeld de toepasselijke regelgeving op het gebied van informatiebeveiliging).

Deze vereiste is bedoeld om ervoor te zorgen dat de organisatie een samenhangende strategie heeft voor haar relatie met wetshandhavingsinstanties en dat zij het meest geschikte contactpunt bij deze instanties heeft geïdentificeerd.

Contacten met regelgevende instanties zijn ook nuttig om te anticiperen op en voor te bereiden op komende veranderingen in relevante wet- en regelgeving die van invloed zijn op de organisatie.

Verschillen tussen ISO 27002:2013 en ISO 27002:2022

Controle 5.5: Contact met autoriteiten is geen nieuwe toevoeging in ISO 27002:2022. Het is een bestaande controle in de oorspronkelijke ISO 27002:2013 met controlenummer 6.1.3. Dit betekent dat de controlenummer is gewijzigd in de nieuwe versie van ISO 27002.

Naast het wijzigen van het controlenummer werd ook de fraseologie gewijzigd. Waar controle 5.5 stelt dat “De organisatie contact moet leggen en onderhouden met relevante autoriteiten.” Controle 6.1.3 stelt dat “Passende contacten met relevante autoriteiten moeten worden onderhouden.”. Deze wijziging in de fraseologie is bedoeld om deze bediening gebruiksvriendelijker te maken.

In de versie van 2022 was een controledoel opgenomen. Dit is niet beschikbaar in de versie van 2013.

Hoewel de essentie van beide bedieningselementen hetzelfde blijft, zijn er tegelijkertijd subtiele variaties die de een van de ander onderscheiden.

Controle 5.5 in ISO 27002:2022 voegt verder toe dat contacten met autoriteiten ook moeten worden gebruikt om het inzicht in de huidige en toekomstige verwachtingen van deze autoriteiten (bijvoorbeeld toepasselijke informatiebeveiligingsregels) te vergemakkelijken. Dit ontbreekt in de versie uit 2013.

Wie is verantwoordelijk voor dit proces?

De persoon verantwoordelijk voor deze rol is over het algemeen de Information Security Manager.

Andere personen kunnen deze functie uitoefenen, maar zij moeten rapporteren aan de Information Security Manager, zodat zij toezicht kunnen houden op deze activiteiten. Dit zorgt voor een consistente boodschap en zorgt voor een consistente relatie met autoriteiten.

Wat betekenen deze veranderingen voor u?

Wanneer er een nieuwe certificeringsstandaard wordt gepubliceerd, zal er doorgaans sprake zijn van een overgangsperiode. Voor het merendeel van de certificeringscycli geldt een overgangsperiode van twee tot drie jaar.

Dat gezegd hebbende, de nieuwste editie van ISO 27002 is absoluut essentieel als u dat van plan bent een ISMS inzetten (en mogelijk zelfs een ISMS-certificering overwegen) en u moet ervoor zorgen dat uw beveiligingsmaatregelen up-to-date zijn.

Tot de uit te voeren activiteiten behoren onder meer, maar deze zijn niet beperkt tot, de volgende:

• Aankoop van de meest recente standaard.
• Onderzoek de nieuwe standaard om te zien hoe deze is veranderd. De standaard zal een mappingtabel bevatten die laat zien hoe de nieuwe standaard overeenkomt met de ISO 27002:2013-standaard.
• Voer een risicoanalyse evenals een controlegapanalyse.
  Selecteer de bedieningselementen die relevant zijn en wijzig uw ISMS-beleid, standaarden en andere documentatie.
• Breng de nodige wijzigingen aan in uw Verklaring van toepasbaarheid.
• U dient uw interne auditprogramma te herzien om de verbeterde controles die u hebt gekozen weer te geven.

Raadpleeg onze handleiding bij ISO 27002:2022, waar u meer kunt ontdekken over de gevolgen van deze wijzigingen in Control 5.5 voor uw organisatie.

Hoe ISMS.online helpt

Het bijhouden van uw informatiebeveiligingscontroles is een van de moeilijkste aspecten van het implementeren van een ISMS dat voldoet aan ISO 27001. Maar ons cloudgebaseerde platform maakt dit eenvoudig.

Ons cloudgebaseerde platform biedt u een robuust raamwerk van informatiebeveiliging controles zodat u uw ISMS-proces onderweg kunt controleren om er zeker van te zijn dat het voldoet aan de eisen van ISO 27k. Correct gebruikt, ISMS. online kan u helpen bij het behalen van certificering met een absoluut minimum aan tijd en middelen.

Neem vandaag nog contact op met boek een demo.