Wat is Controle 5.9 Inventarisatie van informatie en andere bijbehorende activa?
Controle 5.9 in de herziene ISO 27002:2022 beschrijft hoe een inventaris van informatie en andere bijbehorende activa, inclusief eigenaren, moet worden ontwikkeld en onderhouden.
Inventarisatie van informatiemiddelen uitgelegd
Om haar activiteiten te kunnen uitvoeren, moet de organisatie weten welke informatiemiddelen zij tot haar beschikking heeft.
Een inventaris van informatieactiva (IA) is een lijst van alles wat een organisatie opslaat, verwerkt of verzendt. Het bevat ook de locatie en de beveiligingsmaatregelen voor elk item. Het doel is om elk afzonderlijk stukje data te identificeren. Je kunt het zien als het financiële equivalent voor gegevensbescherming.
Een informatieanalyse (IA) kan worden gebruikt om lacunes in uw beveiligingsprogramma te identificeren en cyberrisicobeoordelingen te onderbouwen, waarbij u mogelijke kwetsbaarheden aan het licht brengt die tot een datalek kunnen leiden. Het kan ook dienen als bewijs tijdens compliance-audits dat u de nodige zorgvuldigheid hebt betracht bij het identificeren van uw gevoelige gegevens, wat u helpt boetes en sancties te voorkomen.
De inventaris van informatieactiva moet ook details bevatten over wie de eigenaar is van elk actief en wie het beheert. Daarnaast moet de inventaris informatie bevatten over de waarde van elk item en hoe cruciaal het is voor het succes van de bedrijfsactiviteiten van de organisatie.
Het is belangrijk dat de inventarissen up-to-date worden gehouden, zodat ze de veranderingen binnen de organisatie weerspiegelen.
Waarom heb ik een inventaris van informatiemiddelen nodig?
Het beheer van informatiemiddelen heeft een lange geschiedenis op het gebied van bedrijfscontinuïteitsplanning (BCP), rampherstel (DR) en planning van incidentrespons.
De eerste stap in elk van deze processen omvat het identificeren van kritieke systemen, netwerken, databases, applicaties, datastromen en andere componenten die bescherming nodig hebben. Als je niet weet wat beschermd moet worden of waar het zich bevindt, dan kun je ook geen plan maken hoe je het moet beschermen!
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Attributen Controletabel 5.9
Besturingselementen worden geclassificeerd met behulp van attributen. Hiermee kunt u uw besturingsselectie snel afstemmen op veelgebruikte termen en specificaties in de branche.
Deze tabel vormt een aanvulling op het werk dat veel klanten momenteel uitvoeren als onderdeel van hun risicobeoordeling en SOA, door de vertrouwelijkheid , integriteit en beschikbaarheid – en andere factoren – in kaart te brengen. In controlepunt 5.9 zijn de attributen:
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Identificeren | #Vermogensbeheer | #Governance en ecosysteem |
| #Integriteit | #Bescherming | |||
| #Beschikbaarheid |
Wat is het doel van controle 5.9?
Het doel van deze controle is het identificeren van de informatie van de organisatie en andere bijbehorende activa om de informatiebeveiliging ervan te waarborgen en het juiste eigendom toe te wijzen.
Controle 5.9 behandelt de controle-, doel- en implementatierichtlijnen voor het creëren van een inventaris van informatie en andere bijbehorende activa in lijn met het ISMS-framework zoals gedefinieerd door ISO 27001.
De controle vereist het inventariseren van alle informatie en andere bijbehorende activa, het classificeren ervan in verschillende categorieën, het identificeren van hun eigenaren, en het documenteren van de controles die aanwezig zijn of zouden moeten zijn.
Dit is een cruciale stap om ervoor te zorgen dat alle informatiemiddelen adequaat worden beschermd.
Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan
Om te voldoen aan de eisen van de nieuwe ISO 27002:2022 , moet u de informatie en andere bijbehorende activa binnen uw organisatie in kaart brengen. Vervolgens moet u het belang van deze items bepalen in termen van informatiebeveiliging. Indien van toepassing, dient de documentatie te worden bijgehouden in speciale of bestaande inventarissen.
De aanpak voor het opstellen van een inventarisatie zal variëren afhankelijk van de omvang en complexiteit van een organisatie, haar bestaande controles en beleid, en de soorten informatie en andere bijbehorende middelen die zij gebruikt.
Volgens controle 5.9 moet de inventaris van informatie en andere daarmee samenhangende activa nauwkeurig, actueel, consistent en in lijn met andere inventarissen zijn. Opties voor het garanderen van de nauwkeurigheid van een inventaris van informatie en andere bijbehorende activa zijn onder meer:
a) het regelmatig controleren van geïdentificeerde informatie en andere bijbehorende activa aan de hand van de activa-inventaris;
b) het automatisch afdwingen van een inventarisupdate tijdens het installeren, wijzigen of verwijderen van een asset.
De locatie van een actief moet, indien van toepassing, in de inventaris worden opgenomen.
Sommige organisaties moeten mogelijk meerdere inventarissen bijhouden voor verschillende doeleinden. Sommige organisaties hebben bijvoorbeeld speciale inventarissen voor softwarelicenties of voor fysieke apparatuur zoals laptops en tablets.
Sommige organisaties hebben één inventaris die alle fysieke apparatuur omvat, inclusief netwerkapparaten zoals routers en switches. Het is belangrijk dat dergelijke inventarissen regelmatig worden gecontroleerd om ervoor te zorgen dat ze actueel blijven, zodat ze kunnen worden gebruikt ter ondersteuning van risicobeheeractiviteiten.
Meer informatie over het voldoen aan de eisen voor controle 5.9 vindt u in het nieuwe ISO 27002:2022 document.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Verschillen tussen ISO 27002:2013 en ISO 27002:2022
In ISO 27002:2022 zijn 57 controles uit ISO 27002:2013 samengevoegd tot 24 controles. Controle 5.9 als Inventarisatie van Informatie en Andere Bijbehorende Activa vindt u dus niet in de 2013-versie. In de versie van 2022 is het eerder een combinatie van controle 8.1.1 Inventarisatie van activa en controle 8.1.2 Eigendom van activa.
De bedoeling van controle 8.1.1 Inventarisatie van bedrijfsmiddelen is ervoor te zorgen dat alle informatiemiddelen worden geïdentificeerd, gedocumenteerd en regelmatig beoordeeld, en dat er passende processen en procedures zijn om ervoor te zorgen dat deze inventarisatie veilig is.
Controle 8.1.2 Eigendom van activa is ervoor verantwoordelijk dat alle informatiemiddelen onder hun beheer op de juiste manier worden geïdentificeerd en eigendom zijn. Als u weet wie wat bezit, kunt u bepalen welke activa u moet beschermen en aan wie u verantwoording moet afleggen.
Hoewel beide controles in ISO 27002:2013 vergelijkbaar zijn met controle 5.9 in ISO 27002:2022, is deze laatste verbreed om een gebruiksvriendelijkere interpretatie mogelijk te maken. In de implementatierichtlijn voor eigendom van activa onder controle 8.1.2 staat bijvoorbeeld dat de eigenaar van activa:
a) ervoor zorgen dat de activa worden geïnventariseerd;
b) ervoor zorgen dat activa op de juiste wijze worden geclassificeerd en beschermd;
c) het definiëren en periodiek herzien van toegangsbeperkingen en classificaties tot belangrijke activa, rekening houdend met het toepasselijke toegangscontrolebeleid;
d) zorg voor een correcte afhandeling wanneer het actief wordt verwijderd of vernietigd.
Deze 4 punten zijn uitgebreid naar 9 punten in het eigendomsgedeelte van controle 5.9.
De eigenaar van het actief is verantwoordelijk voor het juiste beheer ervan gedurende de gehele levenscyclus, en moet ervoor zorgen dat:
a) informatie en andere bijbehorende activa worden geïnventariseerd;
b) informatie en andere bijbehorende activa worden op passende wijze geclassificeerd en beschermd;
c) de classificatie wordt periodiek herzien;
d) De componenten die de technologische activa ondersteunen, zoals databases, opslag, softwarecomponenten en subcomponenten, worden opgesomd en gekoppeld;
e) eisen voor het acceptabele gebruik van informatie en andere bijbehorende activa (zie 5.10) worden vastgesteld;
f) dat de toegangsbeperkingen overeenkomen met de classificatie en dat ze effectief zijn en periodiek worden herzien;
g) dat informatie en andere bijbehorende activa, wanneer ze worden verwijderd of afgestoten, op een veilige manier worden verwerkt en uit de inventaris worden verwijderd;
h) zij zijn betrokken bij de identificatie en het beheer van risico's die verbonden zijn aan hun activa;
i) zij ondersteunen personeel dat de taken en verantwoordelijkheden heeft om hun informatie te beheren.
Het samenvoegen van deze twee besturingselementen tot één zorgt voor een beter begrip voor de gebruiker.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wat betekenen deze veranderingen voor u?
De meest recente wijzigingen in ISO 27002 hebben geen invloed op uw huidige certificering volgens de ISO 27001-normen. Alleen upgrades van ISO 27001 hebben invloed op bestaande certificeringen . Accreditatie-instanties zullen samenwerken met certificeringsinstanties om een overgangscyclus te ontwikkelen die organisaties met een ISO 27001-certificaat voldoende tijd geeft om van de ene naar de andere versie over te stappen.
Dat gezegd hebbende, moeten de volgende stappen worden gevolgd om aan de herziene versie te voldoen:
- Zorg ervoor dat uw bedrijf voldoet aan de nieuwe vereiste door uw risicoregister en uw risicobeheer praktijken.
- SoA moet worden herzien om wijzigingen in de regelgeving weer te geven bijlage A.
- Uw beleid en processen moeten worden bijgewerkt om te voldoen aan de nieuwe regelgeving.
Tijdens de overgangsperiode naar de nieuwe standaard zullen nieuwe best practices en kwaliteiten voor controleselectie beschikbaar zijn, wat een effectiever en efficiënter selectieproces mogelijk zal maken.
Daarom is het belangrijk dat u een risicogebaseerde aanpak blijft hanteren om ervoor te zorgen dat alleen de meest relevante en effectieve beheersmaatregelen voor uw bedrijf worden gekozen.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
U kunt ISMS.online gebruiken om uw ISO 27002-implementatie te beheren. Het platform is specifiek ontworpen om bedrijven te helpen bij de implementatie van hun informatiebeveiligingsmanagementsysteem (ISMS) dat voldoet aan de eisen van ISO 27002.
Het platform maakt gebruik van een op risico's gebaseerde aanpak in combinatie met toonaangevende best practices en sjablonen om u te helpen de risico's waarmee uw organisatie wordt geconfronteerd te identificeren en de controles die nodig zijn om deze risico's te beheersen. Hierdoor kunt u zowel uw risicoblootstelling als uw compliancekosten systematisch verminderen.
Met ISMS.online kunt u:
- Implementeer snel een Information Security Management System (ISMS).
- Beheer eenvoudig de documentatie van uw ISMS.
- Stroomlijn de naleving van alle relevante normen.
- Beheer alle aspecten van informatiebeveiliging, van risicobeheer tot beveiligingsbewustzijnstraining.
- Communiceer effectief door uw hele organisatie met behulp van onze ingebouwde communicatiefunctionaliteit.
Het ISMS.online-platform is gebaseerd op Plan-Do-Check-Act (PDCA), een iteratief proces in vier stappen voor continue verbetering, en voldoet aan alle eisen van ISO 27002:2022. Het is heel eenvoudig: maak een gratis proefaccount aan en volg de stappen die wij aangeven.
Neem vandaag nog contact op om een demo te boeken.
