Zweck der Kontrolle 5.37
Control 5.37 befasst sich mit dem Konzept der Informationssicherheit als betriebliche Tätigkeit, deren Bestandteile von einer oder mehreren Personen ausgeführt und/oder verwaltet werden.
Control 5.37 beschreibt eine Reihe von Betriebsabläufen, die eine gewährleisten Informationssicherheit der Organisation Die Anlage bleibt effizient und sicher und entspricht ihren dokumentierten Anforderungen.
Attributtabelle
Kontrolle 5.37 ist ein vorbeugend und korrigierend Kontrolliere das hält das Risiko aufrecht durch die Schaffung einer Datenbank von Verfahren, die mit einem verbunden sind Informationssicherheit der Organisation Aktivitäten.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Vermögensverwaltung | #Governance und Ökosystem |
| #Korrektur | #Integrität | #Genesen | #Physische Sicherheit | #Schutz |
| #Verfügbarkeit | #System- und Netzwerksicherheit | #Verteidigung | ||
| #Anwendungssicherheit | ||||
| #Sichere Konfiguration | ||||
| #Identitäts- und Zugriffsmanagement | ||||
| #Bedrohungs- und Schwachstellenmanagement | ||||
| #Kontinuität | ||||
| #Informationssicherheits-Ereignismanagement |
Eigentum an der Kontrolle 5.37
Kontrolle 5.37 befasst sich mit einer Vielzahl von Umständen, die das Potenzial haben, Folgendes einzubeziehen mehrere Abteilungen und Jobrollen im Rahmen dokumentierter Betriebsabläufe. Dennoch kann davon ausgegangen werden, dass die meisten Verfahren Auswirkungen auf das IKT-Personal, die Ausrüstung und die Systeme haben werden.
In diesem Fall sollte die Verantwortung bei einem hochrangigen Mitglied des Managementteams liegen, das für alle IKT-bezogenen Aktivitäten verantwortlich ist, beispielsweise einem IT-Leiter.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Allgemeine Leitlinien zur Kontrolle 5.37
Für Aktivitäten im Zusammenhang mit der Informationssicherheit sollten Verfahren erstellt werden in Übereinstimmung mit 5 zentralen betrieblichen Überlegungen:
- Jeder Vorgang, der von einer oder mehreren Personen auf die gleiche Weise ausgeführt wird.
- Wenn eine Aktivität nicht oft ausgeführt wird.
- Wenn ein Eingriff die Gefahr birgt, vergessen zu werden.
- Alle neuen Tätigkeiten, die den Mitarbeitern unbekannt sind und daher einem höheren Risiko unterliegen.
- Wenn die Verantwortung für die Durchführung einer Tätigkeit auf einen anderen Mitarbeiter oder eine andere Gruppe von Mitarbeitern übertragen wird.
Wenn diese Fälle auftreten, sollten dokumentierte Betriebsabläufe Folgendes klar darlegen:
- Alle Verantwortlichen – sowohl bestehende als auch neue Betreiber.
- Eine Reihe von Richtlinien, die die Sicherheit während der Installation und anschließenden Konfiguration aller zugehörigen Geschäftssysteme gewährleisten.
- Wie Informationen während der Aktivität verarbeitet werden.
- BUDR-Pläne und Auswirkungen im Falle eines Datenverlusts oder eines Großereignisses (siehe Kontrolle 8.13).
- Verknüpfte Abhängigkeiten mit beliebigen anderen Systemen, einschließlich Scheduling.
- Ein klares Verfahren für den Umgang mit „Handhabungsfehlern“ oder verschiedenen Ereignissen, die möglicherweise auftreten (siehe Kontrolle 8.18).
- Eine vollständige Liste der Mitarbeiter, die im Falle einer Störung kontaktiert werden müssen, einschließlich klarer Eskalationsverfahren.
- Wie alle mit der Aktivität verbundenen relevanten Speichermedien bedient werden (siehe Kontrollen 7.10 und 7.14).
- So führen Sie einen Neustart und eine Wiederherstellung nach einem Systemausfall durch.
- Audit-Trail-Protokollierung, einschließlich aller zugehörigen Ereignis- und Systemprotokolle (siehe Steuerung 8.15 und 8.17).
- Videoüberwachungssysteme, die die Aktivitäten vor Ort überwachen (siehe Steuerung 7.4).
- Ein robuster Satz von Überwachungsverfahren, die auf die Betriebskapazität zugeschnitten sind, Leistungspotenzial und Sicherheit der besagten Aktivität.
- Wie die Aktivität aufrechterhalten werden sollte, um auf optimalem Leistungsniveau zu bleiben.
Alle oben genannten Verfahren sollten bei Bedarf regelmäßigen und/oder Ad-hoc-Überprüfungen unterzogen werden, wobei alle Änderungen zeitnah vom Management ratifiziert werden müssen, um die Informationssicherheitsaktivitäten im gesamten Unternehmen zu gewährleisten.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022-5.37 ersetzt 27002:2013-12.1.1 (Dokumentierte Betriebsabläufe).
27002:2022-5.37 erweitert 27002:2013-12.1.1, indem es eine viel breitere Reihe von Umständen bietet, die die Einhaltung eines Dokumentenverfahrens rechtfertigen würden.
27002:2013-12.1.1 listet Informationsverarbeitungsaktivitäten wie Computer-Start- und -Abschaltvorgänge, Backup, Gerätewartung, Medienhandhabung auf, während 27002:2022-5.37 den Kontrollbereich auf allgemeine Aktivitäten ausdehnt, die nicht auf bestimmte beschränkt sind technische Funktionen.
Abgesehen von einigen kleineren Ergänzungen – wie der Kategorisierung der für eine Aktivität verantwortlichen Personen – enthält 27002:2022-5.37 die gleichen allgemeinen Leitlinien wie 27002:2013-12.1.1
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.
- Benutzer können Aufgaben erledigen und Nachweise einreichen, um die Einhaltung des Standards nachzuweisen.
- Es ist einfach, Verantwortlichkeiten zu delegieren und den Fortschritt in Richtung Compliance zu überwachen.
- Das umfangreiche Das Toolset zur Risikobewertung spart während des gesamten Prozesses Zeit und Aufwand.
- Wir haben eine engagierte Ein Team von Beratern steht Ihnen zur Seite begleitet Sie auf Ihrem Weg zur Compliance.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
