ISO 27002:2022 – Kontrolle 8.6 – Kapazitätsmanagement

Zweck der Kontrolle 8.6

Kapazitätsmanagement im IKT-Kontext beschränkt sich nicht darauf, sicherzustellen, dass Unternehmen auf Servern und zugehörigen Speichermedien über ausreichend Platz für den Datenzugriff und Backup- und Disaster-Recovery-Zwecke (BUDR) verfügen.

Unternehmen müssen sicherstellen, dass sie in der Lage sind, mit einer Reihe von Ressourcen zu arbeiten, die ein breites Spektrum an Geschäftsfunktionen abdecken, darunter Personalwesen, Informationsverarbeitung, Verwaltung physischer Bürostandorte und angeschlossener Einrichtungen.

Alle diese Funktionen können die Informationsmanagementkontrollen einer Organisation negativ beeinflussen.

Control 8.6 dient zwei Zwecken präventiv und Detektivkontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch die Implementierung detektivischer Kontrollen, die angemessene Kapazitäten für die Verarbeitung von Informationen im gesamten Unternehmen ermitteln und aufrechterhalten.

Attributtabelle der Steuerung 8.6

Eigentum an der Kontrolle 8.6

Kontrolle 8.6 befasst sich mit der Fähigkeit einer Organisation, dauerhaft als Unternehmen zu agieren.

Daher sollte die Verantwortung beim Chief Operating Officer (oder einer gleichwertigen Organisation) liegen, der für die tägliche Integrität und Effizienz der Geschäftsfunktionen einer Organisation verantwortlich ist.

Allgemeine Leitlinien zur Kontrolle 8.6

In groben Zügen, die nicht auf einen bestimmten Ressourcentyp beschränkt sind, enthält Control 8.6 sieben allgemeine Leitpunkte:

1. Organisationen sollten darüber nachdenken Geschäftskontinuität als oberste Priorität bei der Implementierung von Kapazitätsmanagementkontrollen, einschließlich der umfassenden Implementierung von Detektivkontrollen, die potenzielle Probleme erkennen, bevor sie auftreten.
2. Das Kapazitätsmanagement sollte auf den proaktiven Funktionen von basieren Abstimmung und Überwachung. Beide Elemente sollten harmonisch zusammenarbeiten, um sicherzustellen, dass Systeme und Geschäftsfunktionen nicht beeinträchtigt werden.
3. In betrieblicher Hinsicht sollten Organisationen regelmäßige Leistungen erbringen Stresstests die die Fähigkeit eines Systems abfragen, den allgemeinen Geschäftsanforderungen gerecht zu werden. Solche Tests sollten von Fall zu Fall formuliert werden und für den Einsatzbereich, auf den sie abzielen, relevant sein.
4. Kapazität Managementkontrollen sollte nicht auf eine Organisation beschränkt sein Strom Daten oder betriebliche Anforderungen berücksichtigen und alle Pläne für eine kommerzielle und technische Erweiterung (sowohl aus physischer als auch digitaler Sicht) umfassen, um so zukunftssicher wie realistisch möglich zu bleiben.
5. Der Ausbau organisatorischer Ressourcen unterliegt je nach System oder Geschäftsfunktion unterschiedlichen Vorlaufzeiten und Kosten. Ressourcen, die teurer und schwieriger zu erweitern sind, sollten zum Schutz einer genaueren Prüfung unterzogen werden Geschäftskontinuität.
6. Die Geschäftsleitung sollte sich einzelner Fehlerquellen im Zusammenhang mit der Abhängigkeit von Schlüsselpersonal oder einzelnen Ressourcen bewusst sein. Sollten bei einem dieser Faktoren Schwierigkeiten auftreten, kann es häufig zu Komplikationen kommen, die deutlich schwieriger zu beheben sind.
7. Formuliere a Kapazität Managementplan, der sich speziell mit geschäftskritischen Systemen befasst und Geschäftsfunktionen.

Beratung – Nachfragemanagement

27002:2022-8.6 befürwortet einen zweigleisigen Ansatz für das Kapazitätsmanagement, der entweder erhöht die Kapazität, oder auch reduziert die Nachfrage auf eine Ressource oder einen Satz von Ressourcen.

Beim Versuch, die Kapazität zu erhöhen, sollten Organisationen:

1. Erwägen Sie die Einstellung neuer Mitarbeiter für die Wahrnehmung einer Geschäftsfunktion.
2. Kaufen, leasen oder mieten Sie neue Räumlichkeiten oder Büroräume.
3. Kaufen, leasen oder mieten Sie zusätzliche Verarbeitung, Datenspeicher und RAM (entweder vor Ort oder in der Cloud gehostet).
4. Erwägen Sie die Verwendung elastisch und skalierbaren Cloud-Ressourcen, die mit der Rechenleistung wachsen Bedürfnisse der Organisation, mit minimalem Eingriff.

Bei dem Versuch, die Nachfrage zu reduzieren, sollten Organisationen:

1. Löschen Sie veraltete Daten, um Speicherplatz auf Servern und angeschlossenen Medien freizugeben.
2. Entsorgen Sie alle gedruckten Kopien sicher Informationen, die die Organisation nicht mehr benötigtund es ist weder gesetzlich noch über eine Regulierungsbehörde gesetzlich dazu verpflichtet.
3. Nehmen Sie alle IKT-Ressourcen, Anwendungen oder virtuellen Umgebungen außer Betrieb, die nicht mehr benötigt werden.
4. Überprüfen Sie geplante IKT-Aufgaben (einschließlich Berichte, automatisierte Wartungsfunktionen und Batch-Prozesse), um die Speicherressourcen zu optimieren und den Speicherplatzbedarf der ausgegebenen Daten zu reduzieren.
5. Optimieren Sie alle Anwendungscodes oder Datenbankabfragen, die regelmäßig genug ausgeführt werden, um Auswirkungen auf die Betriebskapazität der Organisation zu haben.
6. Begrenzen Sie die Bandbreite, die unkritischen Aktivitäten innerhalb der Netzwerkgrenzen der Organisation zugewiesen wird. Dazu kann die Einschränkung des Internetzugangs und die Verhinderung des Video-/Audio-Streamings von Arbeitsgeräten gehören.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-8.6 ersetzt 27002:2013-12.1.3 (Kapazitätsmanagement).

27002:2022-8.6 enthält einen weitaus umfassenderen Satz von Richtlinien, die Organisationen anweisen, wie sie entweder die Kapazität erhöhen oder die Nachfrage reduzieren können.

Darüber hinaus enthält 27002:2013-12.1.3 keine spezifischen Leitlinien zur Erhöhung der Kapazität, im Gegensatz zu 27002:2022-8.6, in dem spezifische Vorgehensweisen beschrieben werden, die zu mehr betrieblichem Spielraum führen.

27002:2013-12.1.3 enthält auch keine Anleitung zum Stresstest der Betriebskapazität oder andernfalls die Fähigkeit einer Organisation prüfen um die Kapazität kontinuierlich zu verwalten, ohne einen Kapazitätsmanagementplan zu empfehlen.

Im Einklang mit dem kometenhaften Aufstieg des Cloud Computing im letzten Jahrzehnt empfiehlt 27002:2022-8.6 Unternehmen ausdrücklich, cloudbasierte Ressourcen zu nutzen, die sich automatisch an die Geschäftsanforderungen anpassen.

27002:2013-12.1.3 erwähnt keine externen Speicher- oder Recheneinrichtungen.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002 Mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, wird die Implementierung einfacher. Ihre komplette Compliance-Lösung für ISO / IEC 27002: 2022.

• Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung
• Einfache und vollständige Compliance-Lösung

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.