ISO 27001:2022 Anhang A 5.37 – Dokumentierte Betriebsverfahren

Was ist der Zweck von ISO 27001:2022 Anhang A 5.37?

ISO 27001:2022 Anhang A 5.37 beschreibt Informationssicherheit als betriebliche Tätigkeit, deren Bestandteile von Einzelpersonen ausgeführt und/oder verwaltet werden.

Anhang A 5.37 beschreibt die betrieblichen Verfahren zur Aufrechterhaltung der Informationssicherheitseinrichtung einer Organisation gemäß ihren dokumentierten Anforderungen, um sicherzustellen, dass sie effizient und sicher bleibt.

Wem gehört Anhang A 5.37?

Anhang A 5.37 behandelt verschiedene Umstände, die mehrere Abteilungen und Aufgabenbereiche betreffen können. Dennoch kann davon ausgegangen werden, dass sich die meisten Verfahren auf IKT-Personal, -Geräte und -Systeme auswirken.

Ein Mitglied des leitenden Managementteams, das für alle IKT-bezogenen Aktivitäten verantwortlich ist, wie z Head of IT, sollte für das Eigentum an Anhang A 5.37 verantwortlich sein.

Allgemeine Hinweise zu Anhang A 5.37

Informationssicherheitsbezogene Verfahren sollten auf der Grundlage von fünf zentralen betrieblichen Überlegungen entwickelt werden:

1. Beispiele einer Aktivität, die von einer oder mehreren Personen auf die gleiche Weise ausgeführt wird.
2. Wenn eine Aktivität selten ausgeführt wird.
3. Wenn es Vorgänge gibt, die Gefahr laufen, vergessen zu werden.
4. Neue Tätigkeiten, mit denen die Mitarbeiter nicht vertraut sind und die daher ein höheres Risiko bergen.
5. Wenn die Verantwortung für die Durchführung einer Tätigkeit auf einen anderen Mitarbeiter oder eine andere Gruppe von Mitarbeitern übertragen wird.

Wenn diese Fälle auftreten, sollten die Betriebsanweisungen klar darlegen, was in diesen Situationen zu tun ist:

• Menschen, die Verantwortung tragen – ob etablierte Betreiber oder neue Betreiber.
• Richtlinien zur Aufrechterhaltung der Sicherheit während der Installation und Konfiguration aller zugehörigen Geschäftssysteme.
• Wie Informationen während der gesamten Aktivität verarbeitet werden.
• BUDR-Pläne und Auswirkungen im Falle eines Datenverlusts oder eines Katastrophenereignisses (siehe Anhang A 8.13).
• Es sollte eine Verbindung zwischen Abhängigkeiten und jedem anderen System, einschließlich der Planung, bestehen.
• Es muss ein klares Verfahren für den Umgang mit „Handhabungsfehlern“ oder sonstigen Ereignissen geben, die auftreten können (vgl Anhang A 8.18).
• Es sollte eine vollständige Liste der im Falle einer Störung zu kontaktierenden Mitarbeiter sowie klare Eskalationsverfahren vorhanden sein.
• Betriebsrichtlinien für alle relevanten Speichermedium mit der Aktivität verbunden (vgl Anhang A 7.10 und Anhang A 7.14).
• Im Falle eines Systemausfalls: So starten Sie das System neu und führen eine Wiederherstellung durch.
• Ausloggen Buchungsprotokolle, einschließlich System- und Ereignisprotokollen (siehe Anhang A 8.15 und Anhang A 8.17).
• Beobachtungssysteme für stattfindende Aktivitäten vor Ort (vgl Anhang A 7.4).
• Ein robustes Überwachungssystem, das die Betriebskapazität, das Leistungspotenzial und die Sicherheit der Aktivität berücksichtigt.
• Um ein optimales Leistungsniveau aufrechtzuerhalten, ist es wichtig zu wissen, was getan werden muss, um die Aktivität aufrechtzuerhalten.

Die oben genannten Ansätze sollten bei Bedarf regelmäßigen und/oder Ad-hoc-Überprüfungen unterzogen werden. Alle Änderungen an den Verfahren sollten vom Management umgehend genehmigt werden, um alle innerhalb der Organisation durchgeführten Informationssicherheitsaktivitäten zu gewährleisten.

Was sind die Änderungen gegenüber ISO 27001:2013?

ISO 27001:2022 Anhang A 5.37 ersetzt ISO 27001:2013 Anhang A 12.1.1 („Dokumentierte Betriebsabläufe“).

ISO 27001:2022 Anhang A 5.37 erweitert ISO 27001:2013 Anhang A 12.1.1, indem es eine viel breitere Reihe von Umständen bietet, die die Einhaltung eines dokumentierten Verfahrens rechtfertigen würden.

ISO 27001:2013 Anhang A 12.1.1 beschreibt Informationsverarbeitungsaktivitäten wie das Starten und Herunterfahren des Computers, Backup, Gerätewartung und Medienhandhabung. Im Gegensatz, ISO 27001:2022 Anhang A 5.37 erweitert den Umfang der Kontrolle auf allgemeine Tätigkeiten, die nicht auf bestimmte technische Funktionen beschränkt sind.

Abgesehen von einigen kleineren Ergänzungen, wie der Kategorisierung der für eine Tätigkeit verantwortlichen Personen, enthält ISO 27001:2022 Anhang A 5.37 die gleichen allgemeinen Leitlinien wie ISO 27001:2013 Anhang A 12.1.1

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

Implementierung der ISO 27001:2022 wird mit unserer Schritt-für-Schritt-Checkliste vereinfacht, die Sie durch alle Phasen führt, von der Definition des Umfangs Ihres ISMS über die Identifizierung von Risiken bis hin zur Implementierung von Kontrollen.

Zu den Vorteilen von ISMS.online gehören:

• Die Einhaltung kann durch die Erledigung von Aufgaben und die Vorlage von Nachweisen nachgewiesen werden.
• Das Überwachen des Compliance-Fortschritts und das Delegieren von Verantwortlichkeiten ist einfach.
• Zeit und Mühe werden im gesamten Prozess gespart Risikobewertung Prozess mit dem umfangreichen Toolset zur Risikobewertung.
• Während Ihrer gesamten Compliance-Reise steht Ihnen ein engagiertes Beraterteam zur Seite.

Nehmen Sie noch heute Kontakt mit uns auf Buchen Sie eine kurze 30-minütige Demo.