ISO 27002:2022, Control 5.24 – Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen

Eigentum an der Kontrolle 5.24

Im weiteren Sinne ist Incident Management in der Regel auf servicebezogene Incidents anwendbar. Angesichts der Tatsache, dass sich Control 5.24 speziell mit Vorfällen und Verstößen im Zusammenhang mit der Informationssicherheit befasst, sollte die Eigentümerschaft von Control 5.24 unter Berücksichtigung der hohen Sensibilität dieser Ereignisse idealerweise bei a liegen KKVoder ein organisatorisches Äquivalent.

Da CISOs normalerweise nur in größeren Unternehmen und Organisationen auf Unternehmensebene anzutreffen sind, könnte die Verantwortung auch bei ihnen liegen COO, oder Service Manager, abhängig von der Art der Organisation.

Anleitung – Rollen und Verantwortlichkeiten

Incident Management liefert die besten Ergebnisse, wenn die Mitarbeiter einer Organisation zusammenarbeiten, um ein bestimmtes Problem zu lösen.

Um dies zu erreichen, nennt Control 5.24 fünf Hauptleitpunkte, die Organisationen dabei helfen, einen kohärenten, effizienten IM-Betrieb zu schaffen.

Organisationen sollten:

1. Vereinbaren und dokumentieren Sie eine einheitliche Methode zur Meldung von Informationssicherheitsereignissen. Dazu gehört auch die Einrichtung einer zentralen Anlaufstelle, an die alle derartigen Ereignisse gemeldet werden können.
2. Erstellen Sie eine Reihe von Vorfällen Managementprozesse, die die Informationssicherheit verwalten damit verbundene Vorfälle im Bereich verschiedener technischer und administrativer Funktionen:
   
   a) Verwaltung
   b) Dokumentation
   c) Entdeckung
   d) Triage
   e) Priorisierung
   f) Analyse
   g) Kommunikation
3. Formulieren Sie ein Verfahren zur Reaktion auf Vorfälle, das es der Organisation ermöglicht, Vorfälle zu bewerten und darauf zu reagieren. Auch Organisationen sollten sich dieser Notwendigkeit bewusst sein um aus Vorfällen zu lernen, sobald sie gelöst sind, um etwaige Wiederholungen abzumildern und den Mitarbeitern den historischen Kontext für zukünftige Szenarien bereitzustellen.
4. Beschränken Sie die Beteiligung an Vorfällen auf geschultes und kompetentes Personal, die vollen Zugriff auf die Verfahrensdokumentation haben und von regelmäßigen Auffrischungsschulungen speziell zu Informationssicherheitsvorfällen profitieren.
5. Richten Sie einen Prozess ein, der den Schulungsbedarf aller Mitarbeiter ermittelt, die an der Lösung von Vorfällen im Zusammenhang mit der Informationssicherheit beteiligt sind. Dies sollte alle herstellerspezifischen oder beruflichen Zertifizierungen umfassen und den Mitarbeitern die Möglichkeit geben, etwaige berufliche Entwicklungsbedürfnisse im Zusammenhang mit der Informationssicherheit hervorzuheben.

Anleitung – Vorfallmanagement

Das Ziel des Vorfallmanagementprozesses einer Organisation sollte darin bestehen, sicherzustellen, dass alle für die Lösung von Informationssicherheitsvorfällen verantwortlichen Personen über ein solides Verständnis von drei Hauptbereichen verfügen:

• Die Zeit, die zur Lösung eines Vorfalls benötigt wird
• Mögliche Konsequenzen
• Die Schwere des Vorfalls

Alle Prozesse sollten harmonisch funktionieren, um sicherzustellen, dass diese drei Variablen weiterhin höchste Priorität haben.

Control 5.24 beschreibt 8 Hauptaktivitäten, die bei der Lösung von Vorfällen im Zusammenhang mit der Informationssicherheit berücksichtigt werden sollten.

1. Potenzielle Informationssicherheitsereignisse sollten nach strengen Kriterien bewertet werden, die sie als genehmigten Vorfall validieren.
2. Das Management von Informationssicherheitsereignissen und -vorfällen sollte in fünf Hauptunterthemen kategorisiert werden, entweder manuell oder durch Prozessautomatisierung:
   
   a) Überwachung (siehe Kontrollen 8.15 und 8.16)
   b) Erkennung (siehe Steuerung 8.16)
   c) Klassifizierung (siehe Kontrolle 5.25)
   d) Analyse
   e) Berichterstattung (siehe Steuerung 6.8)
3. Beim Versuch, Informationssicherheitsvorfälle zu einem erfolgreichen Abschluss zu bringen, sollten Organisationen Verfahren implementieren, die Folgendes vorsehen:
   
   a) Reaktion und Eskalation (siehe Steuerung 5.26) entsprechend der Art des Vorfalls
   b) Aktivierung von Krisenmanagementplänen bzw Business Continuity-Pläne, im Einzelfall
   c) Verwaltete Wiederherstellung nach einem Vorfall, die den verursachten betrieblichen/finanziellen Schaden mindert
   d) Gründliche Kommunikation vorfallbezogener Ereignisse an alle internen und externen Parteien
4. Kollaboratives Arbeiten mit internem und externem Personal (siehe Kontrollen 5.5 und 5.6).
5. Gründliche, zugängliche und transparente Protokollierung aller auf Vorfällen basierenden Aktivitäten.
6. Verantwortungsvoller Umgang mit Beweismitteln (einschließlich Daten und Gesprächen) gemäß internen und externen Richtlinien und Vorschriften (siehe Kontrolle 5.28).
7. Ursachenanalyse und ein gründliches Überprüfungsverfahren, sobald der Vorfall gelöst wurde.
8. Eine umfassende Aufzeichnung aller Verbesserungen, die erforderlich sind, um ein erneutes Auftreten des Vorfalls zu verhindern, einschließlich aller Änderungen am Vorfallmanagementprozess selbst.

Anleitung – Berichterstattung

Die Berichterstattung ist ein wesentlicher Bestandteil jedes Vorfalls Verwaltungsrichtlinie Dies stellt sicher, dass Informationen in der gesamten Organisation korrekt verbreitet werden. Die Berichtsaktivitäten sollten sich auf vier Hauptbereiche konzentrieren:

1. Alle Maßnahmen, die ergriffen werden müssen, sobald ein Informationssicherheitsereignis eintritt.
2. Vorfallformulare, die eine klare und prägnante Möglichkeit bieten, Informationen aufzuzeichnen und das Personal bei der Erfüllung seiner Aufgaben zu unterstützen.
3. Feedback-Prozesse, um sicherzustellen, dass das Personal über das Ergebnis von Informationssicherheitsereignissen informiert wird, sobald der Vorfall gelöst wurde.
4. Vorfallberichte, die alle relevanten Informationen zu einem Vorfall dokumentieren.

Es ist zu beachten, dass Control 5.24 keine Anleitung dazu enthält, wie externe Anforderungen an die Meldung von Vorfällen erfüllt werden können (z. B. behördliche Richtlinien und/oder geltende Gesetze), Organisationen sollten jedoch Schritte unternehmen, um Informationen über Vorfälle mit allen relevanten Parteien auszutauschen. und koordinieren Sie eine Reaktion, die alle regulatorischen, branchenspezifischen und gesetzlichen Anforderungen erfüllt.

Unterstützende Kontrollen

• 5.25
• 5.26
• 5.5
• 5.6
• 6.8
• 8.15
• 8.16

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.24 ersetzt 27002:2013-16.1.1 (Management von Informationssicherheitsvorfällen und Verbesserungen – Verantwortlichkeiten und Verfahren).

27002:2022-5.24 erkennt die Notwendigkeit einer gründlichen Vorbereitung für Unternehmen an, um angesichts potenzieller Informationssicherheitsvorfälle widerstandsfähig und konform zu bleiben.

Daher bietet 27002:2022-5.24 eine weitaus umfassendere Aufschlüsselung der Schritte, die Organisationen in den Bereichen Rollendelegierung, Vorfallmanagement und Berichtsfunktionen unternehmen müssen, mit spezifischer Bezugnahme auf andere ISO-Kontrollen die Organisationen helfen, einen umfassenderen Überblick über das Vorfallmanagement als Ganzes zu gewinnen, nicht nur in Bezug auf Informationssicherheitsereignisse.

Um Organisationen dabei zu helfen, ihre Vorfallmanagementvorgänge zu unterteilen, weicht 27002:2022-5.24 von 27002:2013-16.1.1 ab, indem der Schwerpunkt auf drei verschiedene Bereiche gelegt wird, die berücksichtigt werden müssen:

• Rollen und Verantwortlichkeiten
• Vorfallmanagementprozesse
• Reporting

Wie ISMS.online hilft

Wenn Sie verwenden, ISMS.online, können Sie:

• Erstellen Sie ein ISMS, das mit ISO 27001 kompatibel ist Standards.
• Führen Sie Aufgaben aus und legen Sie Nachweise vor, um nachzuweisen, dass sie die Anforderungen der Norm erfüllt haben.
• Weisen Sie Aufgaben zu und verfolgen Sie den Fortschritt bei der Einhaltung der Gesetze.
• Erhalten Sie Zugang zu einem spezialisierten Beraterteam, das Sie auf Ihrem Weg zur Compliance unterstützt.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.