ISO 27002:2022 – Controle 8.6 – Capaciteitsbeheer

Doel van de controle 8.6

Capaciteitsbeheer beperkt zich in de context van ICT niet tot het garanderen dat organisaties voldoende ruimte hebben op servers en bijbehorende opslagmedia voor gegevenstoegang en back-up- en noodhersteldoeleinden (BUDR).

Organisaties moeten ervoor zorgen dat ze over de mogelijkheid beschikken om te werken met een reeks middelen die tegemoetkomen aan een breed scala aan zakelijke functies, waaronder HR, informatieverwerking, het beheer van fysieke kantoorlocaties en bijbehorende faciliteiten.

Al deze functies kunnen de informatiebeheercontroles van een organisatie negatief beïnvloeden.

Controle 8.6 heeft een tweeledig doel preventieve en detective controle uit die houdt het risico in stand door detectiecontroles te implementeren die adequate capaciteit voor het verwerken van informatie in de hele organisatie identificeren en behouden.

Attributen Controletabel 8.6

Eigendom van zeggenschap 8.6

Controle 8.6 gaat over het vermogen van een organisatie om continu als bedrijf te opereren.

Als zodanig moet het eigendom berusten bij de Chief Operating Officer (of het equivalent van de organisatie), die verantwoordelijk is voor de dagelijkse integriteit en efficiëntie van de zakelijke functies van een organisatie.

Algemene richtlijnen voor controle 8.6

In algemene termen, die niet uniek zijn voor één bepaald type hulpbron, bevat Controle 8.6 zeven algemene richtlijnen:

1. Organisaties moeten nadenken bedrijfscontinuïteit als topprioriteit bij het implementeren van capaciteitsbeheercontroles, inclusief de grootschalige implementatie van detectiecontroles die potentiële problemen signaleren voordat ze zich voordoen.
2. Capaciteitsbeheer moet gebaseerd zijn op de proactieve functies van stemming en Grensverkeer. Beide elementen moeten in harmonie samenwerken om ervoor te zorgen dat systemen en bedrijfsfuncties niet in gevaar komen.
3. In operationele termen moeten organisaties regelmatig presteren stresstests die het vermogen van een systeem om tegemoet te komen aan de algemene bedrijfsbehoeften ondervragen. Dergelijke tests moeten van geval tot geval worden geformuleerd en relevant zijn voor het werkgebied waarop ze zijn gericht.
4. Inhoud beheerscontroles mag niet beperkt blijven tot die van een organisatie actueel data- of operationele behoeften, en zou alle plannen voor commerciële en technische expansie moeten omvatten (zowel vanuit fysiek als digitaal perspectief) om zo toekomstbestendig te blijven als realistisch mogelijk is.
5. Het uitbreiden van organisatiemiddelen is onderhevig aan verschillende doorlooptijden en kosten, afhankelijk van het systeem of de bedrijfsfunctie in kwestie. Hulpbronnen die duurder zijn en moeilijker uit te breiden moeten aan een hogere mate van toezicht worden onderworpen, om de bedrijfscontinuïteit.
6. Het senior management moet rekening houden met afzonderlijke faalpunten die verband houden met de afhankelijkheid van sleutelpersoneel of individuele hulpbronnen. Mochten er zich problemen voordoen met een van deze factoren, dan kan dit vaak leiden tot complicaties die aanzienlijk moeilijker te verhelpen zijn.
7. Formuleer een managementplan dat specifiek ingaat op bedrijfskritische systemen en zakelijke functies.

Begeleiding – Beheer van de vraag

27002:2022-8.6 pleit voor een tweeledige benadering van capaciteitsbeheer die ofwel verhoogt de capaciteitof vermindert de vraag op een hulpbron of een reeks hulpbronnen.

Wanneer organisaties proberen de capaciteit te vergroten, moeten ze:

1. Overweeg om nieuwe medewerkers aan te nemen om een ​​zakelijke functie uit te voeren.
2. Nieuwe faciliteiten of kantoorruimte kopen, leasen of huren.
3. Koop, lease of huur extra verwerking, gegevensopslag en RAM (on-premise of in de cloud gehost).
4. Overweeg het gebruik elastisch en schaalbare cloudbronnen die uitbreiden met de rekenkracht behoeften van de organisatie, met minimale tussenkomst.

Wanneer organisaties proberen de vraag terug te dringen, moeten ze:

1. Verwijder verouderde gegevens om opslagruimte vrij te maken op servers en aangesloten media.
2. Gooi alle papieren exemplaren op een veilige manier weg informatie die de organisatie niet langer nodig heeft, en is niet wettelijk verplicht om te verkrijgen, noch bij wet, noch via een toezichthoudende instantie.
3. Stel ICT-middelen, applicaties of virtuele omgevingen buiten gebruik die niet langer nodig zijn.
4. Onderzoek geplande ICT-taken (waaronder rapporten, geautomatiseerde onderhoudsfuncties en batchprocessen) nauwkeurig om de geheugenbronnen te optimaliseren en de opslagruimte te verminderen die wordt ingenomen door uitgevoerde gegevens.
5. Optimaliseer alle applicatiecode- of databasequery's die voldoende regelmatig worden uitgevoerd om een ​​effect te hebben op de operationele capaciteit van de organisatie.
6. Beperk de hoeveelheid bandbreedte die wordt toegewezen aan niet-kritieke activiteiten binnen de grenzen van het netwerk van de organisatie. Dit kan het beperken van de internettoegang en het voorkomen van video-/audiostreaming vanaf werkapparaten omvatten.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-8.6 vervangt 27002:2013-12.1.3 (Capaciteitsbeheer).

27002:2022-8.6 bevat een veel uitgebreidere reeks richtlijnen die organisaties instrueren over hoe ze de capaciteit kunnen vergroten of de vraag kunnen verminderen.

Daarnaast bevat 27002:2013-12.1.3 geen specifieke richtlijnen over hoe de capaciteit kan worden vergroot, in tegenstelling tot 27002:2022-8.6, waarin specifieke handelwijzen worden geschetst die tot meer operationele ademruimte leiden.

27002:2013-12.1.3 bevat ook geen richtlijnen voor het stresstesten van de operationele capaciteit, of anderszins de capaciteiten van een organisatie controleren om de capaciteit op permanente basis te beheren, buiten het aanbevelen van een capaciteitsbeheerplan.

In overeenstemming met de snelle opkomst van cloud computing in de afgelopen tien jaar is 27002:2022-8.6 expliciet in zijn advies aan organisaties om cloudgebaseerde bronnen te gebruiken die automatisch meeschalen met de zakelijke vereisten.

27002:2013-12.1.3 maakt geen melding van externe opslag of computerfaciliteiten.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt. Uw complete compliance-oplossing voor ISO / IEC 27002: 2022.

• Tot 81% voortgang vanaf het moment dat u inlogt
• Eenvoudige en totale compliance-oplossing

Neem vandaag nog contact op met boek een demo.