ISO 27002:2022, Kontrolle 5.5 – Kontakt mit Behörden

Was ist der Zweck der Kontrolle 5.5?

Der Zweck der Kontrolle 5.5 besteht darin, sicherzustellen, dass ein angemessener Informationsfluss im Hinblick auf die Informationssicherheit zwischen der Organisation und den relevanten Rechts-, Regulierungs- und Aufsichtsbehörden stattfindet. Es muss ein geeignetes Forum für den Dialog und die Zusammenarbeit zwischen dem Unternehmen und den zuständigen Rechts-, Regulierungs- und Aufsichtsbehörden vorhanden sein.

Kontrolle 5.5 umfasst die Anforderungen, den Zweck und die Implementierungsanweisungen zur Identifizierung und Informationssicherheitsereignisse melden rechtzeitig zu informieren und zu erfahren, an wen und wie man sich im Falle eines Vorfalls wenden kann.

Das Ziel der Kontrolle 5.5 besteht darin, zu ermitteln, welche Stakeholder (z. B. Strafverfolgungsbehörden, Regulierungsbehörden, Aufsichtsbehörden) im Falle eines Sicherheitsereignisses kontaktiert werden müssten. Es ist wichtig, dass Sie diese Stakeholder bereits identifiziert haben, bevor es zu einem Vorfall kommt.

Kontakt mit Behörden bedeutet, dass die Organisation eine informelle Kommunikation mit Behörden zu Fragen der Informationssicherheit einrichten und umsetzen sollte, einschließlich:

• Laufende Kommunikation mit den zuständigen Behörden, um sicherzustellen, dass die Die Organisation ist sich dessen bewusst über aktuelle Bedrohungen und Schwachstellen.
• Informieren Sie die zuständigen Behörden über Schwachstellen, die in den Produkten, Dienstleistungen oder Systemen der Organisation entdeckt wurden.
• Erhalt von Informationen von zuständigen Behörden über Bedrohungen und Schwachstellen.

Was dazugehört und wie man die Anforderungen erfüllt

Das Hauptziel der Kontrolle 5.5 besteht darin, die Beziehung der Organisation zu den Strafverfolgungsbehörden in ihrem jeweiligen Zusammenhang herzustellen Management von Informationssicherheitsrisiken.

Um die Anforderungen für Kontrolle 5.5 zu erfüllen, wird erwartet, dass, wenn ein Es wird ein Informationssicherheitsvorfall entdeckt, sollte die Organisation festlegen, wann und von welchen Behörden (z. B. Strafverfolgungsbehörden, Regulierungsbehörden und Aufsichtsbehörden) benachrichtigt werden sollen und wie festgestellte Informationssicherheitsvorfälle zeitnah gemeldet werden sollen.

Der Informationsaustausch mit Behörden soll auch dazu genutzt werden, bessere Erkenntnisse über die bestehenden und künftigen Erwartungen dieser Behörden (z. B. geltende Informationssicherheitsvorschriften) zu gewinnen.

Diese Anforderung soll sicherstellen, dass die Organisation über eine kohärente Strategie für ihre Beziehungen zu Strafverfolgungsbehörden verfügt und dass sie in diesen Behörden die am besten geeigneten Ansprechpartner identifiziert hat.

Kontakte zu Regulierungsbehörden sind auch nützlich, um bevorstehende Änderungen relevanter Gesetze oder Vorschriften, die sich auf die Organisation auswirken, vorherzusehen und sich darauf vorzubereiten.

Unterschiede zwischen ISO 27002:2013 und ISO 27002:2022

Kontrolle 5.5: Der Kontakt mit Behörden ist keine neue Ergänzung in ISO 27002:2022. Es handelt sich um eine bestehende Kontrolle in der ursprünglichen ISO 27002:2013 mit der Kontrollnummer 6.1.3. Dies bedeutet, dass die Die Kontrollnummer wurde in der neuen Version von ISO 27002 geändert.

Neben der Änderung der Kontrollnummer wurde auch die Phraseologie geändert. In der Kontrolle 5.5 heißt es: „Die Organisation sollte Kontakt zu den zuständigen Behörden herstellen und aufrechterhalten.“ In Kontrolle 6.1.3 heißt es: „Angemessene Kontakte zu den zuständigen Behörden sollten gepflegt werden.“ Diese Änderung in der Ausdrucksweise soll diese Steuerung benutzerfreundlicher machen.

In der Version 2022 wurde ein Kontrollzweck aufgenommen. Dies ist in der Version 2013 nicht verfügbar.

Obwohl die Essenz beider Bedienelemente gleich bleibt, gibt es dennoch subtile Unterschiede, die sie voneinander unterscheiden.

Control 5.5 in ISO 27002:2022 fügt darüber hinaus hinzu, dass Kontakte mit Behörden auch genutzt werden sollten, um das Verständnis über die aktuellen und kommenden Erwartungen dieser Behörden (z. B. geltende Vorschriften zur Informationssicherheit) zu erleichtern. Dies fehlt in der Version 2013.

Wer ist für diesen Prozess verantwortlich?

Die Person, die für diese Rolle verantwortlich ist ist im Allgemeinen der Informationssicherheitsmanager.

Andere Personen können diese Funktion ausführen, müssen jedoch dem Informationssicherheitsmanager Bericht erstatten, damit dieser die Aufsicht über diese Aktivitäten behalten kann. Dadurch wird eine konsistente Botschaft aufrechterhalten und eine konsistente Beziehung zu den Behörden sichergestellt.

Was bedeuten diese Veränderungen für Sie?

Wenn ein neuer Zertifizierungsstandard veröffentlicht wird, gibt es in der Regel eine Übergangszeit. Für die meisten Zertifizierungszyklen gibt es eine Übergangszeit von zwei bis drei Jahren.

Allerdings ist die neueste Ausgabe von ISO 27002 auf jeden Fall unerlässlich, wenn Sie dies beabsichtigen ein ISMS einsetzen (und möglicherweise sogar eine ISMS-Zertifizierung in Betracht ziehen) und Sie müssen sicherstellen, dass Ihre Sicherheitsmaßnahmen auf dem neuesten Stand sind.

Zu den durchzuführenden Tätigkeiten gehören unter anderem die folgenden:

• Kauf des neuesten Standards.
• Untersuchen Sie den neuen Standard, um zu sehen, wie er sich geändert hat. Der Standard wird eine Zuordnungstabelle bereitstellen, die zeigt, wie der neue Standard dem ISO 27002:2013-Standard entspricht.
• Verhalten a Risikoanalyse sowie eine Kontrolllückenanalyse.
  Wählen Sie die relevanten Steuerelemente aus und ändern Sie Ihre ISMS-Richtlinien, Standards und andere Dokumentation.
• Nehmen Sie alle erforderlichen Änderungen an Ihrem vor Erklärung zur Anwendbarkeit.
• Sie sollten Ihr internes Auditprogramm überarbeiten, um die von Ihnen gewählten verbesserten Kontrollen widerzuspiegeln.

Bitte lesen Sie unseren Leitfaden zu ISO 27002:2022, in dem Sie mehr darüber erfahren können, wie sich diese Änderungen an Control 5.5 auf Ihr Unternehmen auswirken werden.

Wie ISMS.online hilft

Den Überblick über Ihre Informationssicherheitskontrollen zu behalten, ist einer der schwierigsten Aspekte bei der Implementierung einer ISMS, das ISO 27001 entspricht. Aber unsere cloudbasierte Plattform macht das ganz einfach.

Unsere cloudbasierte Plattform bietet Ihnen ein robustes Framework für Informationssicherheit Kontrollen, damit Sie Ihren ISMS-Prozess unterwegs überprüfen können, um sicherzustellen, dass er die Anforderungen für ISO 27k erfüllt. Richtig verwendet, ISMS. online kann Ihnen dabei helfen, die Zertifizierung mit minimalem Zeit- und Ressourcenaufwand zu erreichen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.