ISO 27002:2022, Control 5.29 – Informationssicherheit bei Störungen

Allgemeine Leitlinien zur Kontrolle 5.29

Control 5.29 legt fest, dass Informationssicherheit ein wesentlicher Bestandteil des Gesamtkonzepts einer Organisation sein sollte Verfahren zum Geschäftskontinuitätsmanagement.

Organisationen sollten Pläne erstellen, die auf die Aufrechterhaltung abzielen Integrität der Informationssicherheitwiederherstellen und anschließend wiederherstellen, falls die Informationen infolge einer Betriebsunterbrechung oder eines Systemausfalls in irgendeiner Weise gefährdet sein sollten.

Das Sicherheitsniveau sollte auf das Niveau vor der Unterbrechung wiederhergestellt werden, und zwar so rechtzeitig, dass weitere Schäden abgemildert werden.

Dabei sollten Organisationen:

1. Implementieren und pflegen Sie allgemeine Informationssicherheitskontrollen, einschließlich Geschäftssystemen und IKT-Plattformen, die in den umfassenderen Kontinuitätsplänen der Organisation enthalten sind.
2. Implementieren Sie Prozesse, die darauf abzielen, die Informationssicherheitskontrollen während jeder Störung aufrechtzuerhalten.
3. Setzen Sie gegebenenfalls kompensierende Kontrollen für alle Bemühungen im Zusammenhang mit der Informationssicherheit ein, die während einer Unterbrechungsphase nicht aufrechterhalten werden können.

Ergänzende Anleitung

Control 5.29 erkennt die äußerst variable Natur der Kontinuitätsplanung an und gibt diese an Unternehmen einen erheblichen Spielraum bei der Umsetzung der Informationssicherheit Kontrollen, die speziell auf die verschiedenen Arten von Geschäftsunterbrechungen zugeschnitten sind, denen Unternehmen ausgesetzt sein können.

Die ISO fordert die Organisation auf, sich auf zwei Schlüsselbereiche zu konzentrieren Formulierung eines Business-Continuity-Plans:

a) Verlust der Vertraulichkeit

b) die Integrität von Informationen

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.29 ersetzt die folgenden drei Kontrollen aus 27002:2013:

• 17.1 - Informationssicherheit planen Kontinuität
• 17.1.2 – Umsetzung der Kontinuität der Informationssicherheit
• 17.1.3 – Überprüfen, überprüfen und bewerten Sie die Kontinuität der Informationssicherheit

Angesichts der Komplexität von Geschäftskontinuitätsplänen – und der Tatsache, dass sie sich je nach Art der Unterbrechung unterscheiden – hat die ISO ihre Leitlinien vereinfacht, indem sie von einem granularen Ansatz abweicht und Organisationen auffordert, stattdessen einige grundlegende Punkte bei der Ausarbeitung fachspezifischer Pläne zu berücksichtigen Pläne (siehe oben).

Beispielsweise heißt es in einem Teil der Leitlinien in 17.1.2:

„Personal zur Reaktion auf Vorfälle mit der erforderlichen Verantwortung, Autorität und Kompetenz zur Bewältigung eines Vorfalls und Aufrechterhaltung der Informationssicherheit sind nominiert.“

Trotz ihrer Bedeutung für eine effektive Kontinuitätsplanung erwähnt 5.29 die Incident-Response-Teams nicht ausdrücklich und vertraut darauf, dass die Organisation sie in allen Punkten der Leitlinien berücksichtigt, insbesondere:

• Implementieren und pflegen Sie allgemeine Informationssicherheitskontrollen, einschließlich Geschäftssystemen und IKT-Plattformen, die in den umfassenderen Kontinuitätsplänen der Organisation enthalten sind.

Wie ISMS.online hilft

Eine cloudbasierte Plattform für ISO 27002 Mit der Implementierung von ISMS.online können Sie Ihre Risikomanagementprozesse im Bereich der Informationssicherheit einfach und effektiv verwalten.

Das ISMS.online-Plattform bietet eine Reihe leistungsstarker Tools, die Ihnen die Dokumentation, Implementierung, Wartung und Verbesserung Ihres Informationssicherheits-Managementsystems (ISMS) und die Einhaltung von ISO 27002 erleichtern.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.