ISO 27002:2022 – Kontrolle 5.35 – Unabhängige Überprüfung der Informationssicherheit

ISO 27002-Kontrolle 5.35: Warum unabhängige Sicherheitsüberprüfungen wichtig sind

Informationssicherheit ist ein zentraler Aspekt der Datenverwaltung einer Organisation Praktiken.

So sehr, dass es notwendig ist, Selbstgefälligkeit zu beseitigen, indem man regelmäßig unabhängige Überprüfungen darüber durchführt, wie eine Organisation die Menschen, Prozesse und Technologien verwaltet, die an der Aufrechterhaltung eines Unternehmens beteiligt sind effektive Informationssicherheit Erfassung sind.

Zweck der Kontrolle 5.35

Control 5.35 verlangt von Organisationen, unabhängige Überprüfungen ihrer Informationssicherheitspraktiken durchzuführen – sowohl in geplanten Abständen als auch bei größeren betrieblichen Änderungen – um sicherzustellen, dass die Richtlinien für das Informationssicherheitsmanagement:

• Ausreichend – Sie haben die Fähigkeit, die Einhaltung zu erreichen
• Geeignet – Sie versuchen, die richtigen Ziele zu erreichen
• Effektiv – Sie funktionieren wie vorgesehen

Attributtabelle

Kontrolle 5.35 ist ein vorbeugend und korrigierend Kontrolliere das hält das Risiko aufrecht durch die Schaffung von Prozessen, die regelmäßige Überprüfungen der Informationssicherheitsmanagementpraktiken einer Organisation ermöglichen.

Eigentum an der Kontrolle 5.35

Control 5.35 befasst sich hauptsächlich mit betrieblichen Angelegenheiten. Daher sollte das Eigentum beim COO oder CISO (falls vorhanden) liegen.

Allgemeine Leitlinien zur Kontrolle 5.35

Das übergeordnete Ziel ist für Das Management muss Prozesse erstellen und implementieren, die eine unabhängige Überprüfung der Informationssicherheit ermöglichen Praktiken.

Bewertungen sollten sich auf alle vorgenommenen Änderungen konzentrieren erforderlich, um den Ansatz einer Organisation zur Informationssicherheit zu verbessern, Einschließlich:

1. Das Informationssicherheitspolitik.
2. Themenspezifische Richtlinien.
3. Verwandte Steuerelemente.

Jede Überprüfung sollte von einer Person innerhalb oder außerhalb der Organisation durchgeführt werden, die kein persönliches Interesse an dem hat, was sie untersucht, wie zum Beispiel:

1. Interne Auditoren.
2. Unabhängige Abteilungsleiter.
3. Drittorganisationen.

Wer auch immer die Überprüfung durchführt, sollte über die entsprechenden Kenntnisse verfügen operative Kompetenz ein fundiertes Urteil über ihre Ergebnisse zu fällen, und (im Fall interner Mitarbeiter) ihre berufliche Rolle sollte sie nicht daran hindern, eine gültige und legitime Beurteilung vorzunehmen.

Die Ergebnisse der Überprüfung sollten sorgfältig aufgezeichnet, gespeichert und dem Manager (oder den Gruppen von Managern) gemeldet werden, der sie angefordert hat, und in bestimmten Fällen der C-Suite-Ebene oder dem Eigentümer.

Prüfer sollten versuchen festzustellen, ob die Informationssicherheitspraktiken mit den „dokumentierten Zielen und Anforderungen“ der Organisation in der Informationssicherheitsrichtlinie oder anderen themenspezifischen Richtlinien vereinbar sind.

Neben regelmäßigen Überprüfungen kann es erforderlich sein, Ad-hoc-Überprüfungen einzuleiten. Diese Bewertungen können in fünf Schlüsselbereichen gerechtfertigt werden:

1. Alle Gesetze, Richtlinien oder Vorschriften werden geändert, die sich auf die Informationssicherheitsmaßnahmen der Organisation auswirken.
2. Dur Es kommt zu Vorfällen, die Auswirkungen auf die Informationssicherheit haben (Datenverlust, Einbruch usw.).
3. Es wird ein neues Unternehmen gegründet oder es werden wesentliche Änderungen am bestehenden Unternehmen vorgenommen.
4. Das Eine Organisation führt ein neues Produkt oder eine neue Dienstleistung ein, die über Informationssicherheit verfügt Auswirkungen hat oder grundlegende Änderungen an einem aktuellen Produkt oder einer aktuellen Dienstleistung vornimmt.
5. Es werden wesentliche Änderungen an den Informationssicherheitskontrollen, -richtlinien und -verfahren der Organisation vorgenommen.

Ergänzende Anleitung

ISO / IEC 27007 und ISO/IEC TS 27008 enthalten weitere Leitlinien zur Praxis unabhängiger Überprüfungen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.35 ersetzt 27002:2013-18.1.2 (Unabhängige Überprüfung der Informationssicherheit).

27002:2022-5.35 enthält die gleichen allgemeinen Leitlinien wie 27002:2013-18.1.2, geht jedoch noch einen Schritt weiter und legt konkrete Beispiele dafür fest, wann eine Organisation neben ihren regelmäßigen Überprüfungen auch Ad-hoc-Überprüfungen durchführen sollte.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.online rationalisiert die ISO 27002 Implementierungsprozess durch Bereitstellung eines ausgefeilten cloudbasierten Frameworks zur Dokumentation von Verfahren und Checklisten des Informationssicherheitsmanagementsystems, um die Einhaltung anerkannter Standards sicherzustellen.

Wenn Sie Nutzen Sie ISMS.online, können Sie:

Erstellen Sie ein ISMS, das kompatibel ist mit ISO 27001 Standards.
Führen Sie Aufgaben aus und legen Sie den Nachweis vor, dass sie die Anforderungen der Norm erfüllt haben.
Aufgaben zuweisen und Fortschritte bei der Einhaltung der Gesetze verfolgen.
Erhalten Sie Zugang zu einem spezialisierten Beraterteam, das Sie auf Ihrem Weg zur Compliance unterstützt.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.