ISO 27002:2022 – Kontrolle 5.37 – Dokumentierte Betriebsabläufe

Zweck der Kontrolle 5.37

Control 5.37 befasst sich mit dem Konzept der Informationssicherheit als betriebliche Tätigkeit, deren Bestandteile von einer oder mehreren Personen ausgeführt und/oder verwaltet werden.

Control 5.37 beschreibt eine Reihe von Betriebsabläufen, die eine gewährleisten Informationssicherheit der Organisation Die Anlage bleibt effizient und sicher und entspricht ihren dokumentierten Anforderungen.

Attributtabelle

Kontrolle 5.37 ist ein vorbeugend und korrigierend Kontrolliere das hält das Risiko aufrecht durch die Schaffung einer Datenbank von Verfahren, die mit einem verbunden sind Informationssicherheit der Organisation Aktivitäten.

Eigentum an der Kontrolle 5.37

Kontrolle 5.37 befasst sich mit einer Vielzahl von Umständen, die das Potenzial haben, Folgendes einzubeziehen mehrere Abteilungen und Jobrollen im Rahmen dokumentierter Betriebsabläufe. Dennoch kann davon ausgegangen werden, dass die meisten Verfahren Auswirkungen auf das IKT-Personal, die Ausrüstung und die Systeme haben werden.

In diesem Fall sollte die Verantwortung bei einem hochrangigen Mitglied des Managementteams liegen, das für alle IKT-bezogenen Aktivitäten verantwortlich ist, beispielsweise einem IT-Leiter.

Allgemeine Leitlinien zur Kontrolle 5.37

Für Aktivitäten im Zusammenhang mit der Informationssicherheit sollten Verfahren erstellt werden in Übereinstimmung mit 5 zentralen betrieblichen Überlegungen:

1. Jeder Vorgang, der von einer oder mehreren Personen auf die gleiche Weise ausgeführt wird.
2. Wenn eine Aktivität nicht oft ausgeführt wird.
3. Wenn ein Eingriff die Gefahr birgt, vergessen zu werden.
4. Alle neuen Tätigkeiten, die den Mitarbeitern unbekannt sind und daher einem höheren Risiko unterliegen.
5. Wenn die Verantwortung für die Durchführung einer Tätigkeit auf einen anderen Mitarbeiter oder eine andere Gruppe von Mitarbeitern übertragen wird.

Wenn diese Fälle auftreten, sollten dokumentierte Betriebsabläufe Folgendes klar darlegen:

1. Alle Verantwortlichen – sowohl bestehende als auch neue Betreiber.
2. Eine Reihe von Richtlinien, die die Sicherheit während der Installation und anschließenden Konfiguration aller zugehörigen Geschäftssysteme gewährleisten.
3. Wie Informationen während der Aktivität verarbeitet werden.
4. BUDR-Pläne und Auswirkungen im Falle eines Datenverlusts oder eines Großereignisses (siehe Kontrolle 8.13).
5. Verknüpfte Abhängigkeiten mit beliebigen anderen Systemen, einschließlich Scheduling.
6. Ein klares Verfahren für den Umgang mit „Handhabungsfehlern“ oder verschiedenen Ereignissen, die möglicherweise auftreten (siehe Kontrolle 8.18).
7. Eine vollständige Liste der Mitarbeiter, die im Falle einer Störung kontaktiert werden müssen, einschließlich klarer Eskalationsverfahren.
8. Wie alle mit der Aktivität verbundenen relevanten Speichermedien bedient werden (siehe Kontrollen 7.10 und 7.14).
9. So führen Sie einen Neustart und eine Wiederherstellung nach einem Systemausfall durch.
10. Audit-Trail-Protokollierung, einschließlich aller zugehörigen Ereignis- und Systemprotokolle (siehe Steuerung 8.15 und 8.17).
11. Videoüberwachungssysteme, die die Aktivitäten vor Ort überwachen (siehe Steuerung 7.4).
12. Ein robuster Satz von Überwachungsverfahren, die auf die Betriebskapazität zugeschnitten sind, Leistungspotenzial und Sicherheit der besagten Aktivität.
13. Wie die Aktivität aufrechterhalten werden sollte, um auf optimalem Leistungsniveau zu bleiben.

Alle oben genannten Verfahren sollten bei Bedarf regelmäßigen und/oder Ad-hoc-Überprüfungen unterzogen werden, wobei alle Änderungen zeitnah vom Management ratifiziert werden müssen, um die Informationssicherheitsaktivitäten im gesamten Unternehmen zu gewährleisten.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.37 ersetzt 27002:2013-12.1.1 (Dokumentierte Betriebsabläufe).

27002:2022-5.37 erweitert 27002:2013-12.1.1, indem es eine viel breitere Reihe von Umständen bietet, die die Einhaltung eines Dokumentenverfahrens rechtfertigen würden.

27002:2013-12.1.1 listet Informationsverarbeitungsaktivitäten wie Computer-Start- und -Abschaltvorgänge, Backup, Gerätewartung, Medienhandhabung auf, während 27002:2022-5.37 den Kontrollbereich auf allgemeine Aktivitäten ausdehnt, die nicht auf bestimmte beschränkt sind technische Funktionen.

Abgesehen von einigen kleineren Ergänzungen – wie der Kategorisierung der für eine Aktivität verantwortlichen Personen – enthält 27002:2022-5.37 die gleichen allgemeinen Leitlinien wie 27002:2013-12.1.1

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

• Benutzer können Aufgaben erledigen und Nachweise einreichen, um die Einhaltung des Standards nachzuweisen.
• Es ist einfach, Verantwortlichkeiten zu delegieren und den Fortschritt in Richtung Compliance zu überwachen.
• Das umfangreiche Das Toolset zur Risikobewertung spart während des gesamten Prozesses Zeit und Aufwand.
• Wir haben eine engagierte Ein Team von Beratern steht Ihnen zur Seite begleitet Sie auf Ihrem Weg zur Compliance.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.