ISO 27002:2022, Control 5.35 – Unabhängige Überprüfung der Informationssicherheit

Eigentum an der Kontrolle 5.35

Control 5.35 befasst sich hauptsächlich mit betrieblichen Angelegenheiten. Daher sollte das Eigentum beim COO oder CISO (falls vorhanden) liegen.

Allgemeine Leitlinien zur Kontrolle 5.35

Das übergeordnete Ziel ist für Das Management muss Prozesse erstellen und implementieren, die eine unabhängige Überprüfung der Informationssicherheit ermöglichen Praktiken.

Bewertungen sollten sich auf alle vorgenommenen Änderungen konzentrieren erforderlich, um den Ansatz einer Organisation zur Informationssicherheit zu verbessern, Einschließlich:

1. Das Informationssicherheitspolitik.
2. Themenspezifische Richtlinien.
3. Verwandte Steuerelemente.

Jede Überprüfung sollte von einer Person innerhalb oder außerhalb der Organisation durchgeführt werden, die kein persönliches Interesse an dem hat, was sie untersucht, wie zum Beispiel:

1. Interne Auditoren.
2. Unabhängige Abteilungsleiter.
3. Drittorganisationen.

Wer auch immer die Überprüfung durchführt, sollte über die entsprechenden Kenntnisse verfügen operative Kompetenz ein fundiertes Urteil über ihre Ergebnisse zu fällen, und (im Fall interner Mitarbeiter) ihre berufliche Rolle sollte sie nicht daran hindern, eine gültige und legitime Beurteilung vorzunehmen.

Die Ergebnisse der Überprüfung sollten sorgfältig aufgezeichnet, gespeichert und dem Manager (oder den Gruppen von Managern) gemeldet werden, der sie angefordert hat, und in bestimmten Fällen der C-Suite-Ebene oder dem Eigentümer.

Prüfer sollten versuchen festzustellen, ob die Informationssicherheitspraktiken mit den „dokumentierten Zielen und Anforderungen“ der Organisation in der Informationssicherheitsrichtlinie oder anderen themenspezifischen Richtlinien vereinbar sind.

Neben regelmäßigen Überprüfungen kann es erforderlich sein, Ad-hoc-Überprüfungen einzuleiten. Diese Bewertungen können in fünf Schlüsselbereichen gerechtfertigt werden:

1. Alle Gesetze, Richtlinien oder Vorschriften werden geändert, die sich auf die Informationssicherheitsmaßnahmen der Organisation auswirken.
2. Dur Es kommt zu Vorfällen, die Auswirkungen auf die Informationssicherheit haben (Datenverlust, Einbruch usw.).
3. Es wird ein neues Unternehmen gegründet oder es werden wesentliche Änderungen am bestehenden Unternehmen vorgenommen.
4. Das Eine Organisation führt ein neues Produkt oder eine neue Dienstleistung ein, die über Informationssicherheit verfügt Auswirkungen hat oder grundlegende Änderungen an einem aktuellen Produkt oder einer aktuellen Dienstleistung vornimmt.
5. Es werden wesentliche Änderungen an den Informationssicherheitskontrollen, -richtlinien und -verfahren der Organisation vorgenommen.

Ergänzende Anleitung

ISO / IEC 27007 und ISO/IEC TS 27008 enthalten weitere Leitlinien zur Praxis unabhängiger Überprüfungen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.35 ersetzt 27002:2013-18.1.2 (Unabhängige Überprüfung der Informationssicherheit).

27002:2022-5.35 enthält die gleichen allgemeinen Leitlinien wie 27002:2013-18.1.2, geht jedoch noch einen Schritt weiter und legt konkrete Beispiele dafür fest, wann eine Organisation neben ihren regelmäßigen Überprüfungen auch Ad-hoc-Überprüfungen durchführen sollte.

Wie ISMS.online hilft

ISMS.online rationalisiert die ISO 27002 Implementierungsprozess durch Bereitstellung eines ausgefeilten cloudbasierten Frameworks zur Dokumentation von Verfahren und Checklisten des Informationssicherheitsmanagementsystems, um die Einhaltung anerkannter Standards sicherzustellen.

Wenn Sie Nutzen Sie ISMS.online, können Sie:

Erstellen Sie ein ISMS, das kompatibel ist mit ISO 27001 Standards.
Führen Sie Aufgaben aus und legen Sie den Nachweis vor, dass sie die Anforderungen der Norm erfüllt haben.
Aufgaben zuweisen und Fortschritte bei der Einhaltung der Gesetze verfolgen.
Erhalten Sie Zugang zu einem spezialisierten Beraterteam, das Sie auf Ihrem Weg zur Compliance unterstützt.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.