Zweck der Kontrolle 8.6
Kapazitätsmanagement im IKT-Kontext beschränkt sich nicht darauf, sicherzustellen, dass Unternehmen auf Servern und zugehörigen Speichermedien über ausreichend Platz für den Datenzugriff und Backup- und Disaster-Recovery-Zwecke (BUDR) verfügen.
Unternehmen müssen sicherstellen, dass sie in der Lage sind, mit einer Reihe von Ressourcen zu arbeiten, die ein breites Spektrum an Geschäftsfunktionen abdecken, darunter Personalwesen, Informationsverarbeitung, Verwaltung physischer Bürostandorte und angeschlossener Einrichtungen.
Alle diese Funktionen können die Informationsmanagementkontrollen einer Organisation negativ beeinflussen.
Control 8.6 dient zwei Zwecken präventiv und Detektivkontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch die Implementierung detektivischer Kontrollen, die angemessene Kapazitäten für die Verarbeitung von Informationen im gesamten Unternehmen ermitteln und aufrechterhalten.
Attributtabelle der Steuerung 8.6
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Integrität | #Schützen | #Kontinuität | #Governance und Ökosystem |
| #Detektiv | #Verfügbarkeit | #Identifizieren | #Schutz | |
| #Erkennen |
Eigentum an der Kontrolle 8.6
Kontrolle 8.6 befasst sich mit der Fähigkeit einer Organisation, dauerhaft als Unternehmen zu agieren.
Daher sollte die Verantwortung beim Chief Operating Officer (oder einer gleichwertigen Organisation) liegen, der für die tägliche Integrität und Effizienz der Geschäftsfunktionen einer Organisation verantwortlich ist.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Kontrolle 8.6
In groben Zügen, die nicht auf einen bestimmten Ressourcentyp beschränkt sind, enthält Control 8.6 sieben allgemeine Leitpunkte:
- Organisationen sollten darüber nachdenken Geschäftskontinuität als oberste Priorität bei der Implementierung von Kapazitätsmanagementkontrollen, einschließlich der umfassenden Implementierung von Detektivkontrollen, die potenzielle Probleme erkennen, bevor sie auftreten.
- Das Kapazitätsmanagement sollte auf den proaktiven Funktionen von basieren Abstimmung und Überwachung. Beide Elemente sollten harmonisch zusammenarbeiten, um sicherzustellen, dass Systeme und Geschäftsfunktionen nicht beeinträchtigt werden.
- In betrieblicher Hinsicht sollten Organisationen regelmäßige Leistungen erbringen Stresstests die die Fähigkeit eines Systems abfragen, den allgemeinen Geschäftsanforderungen gerecht zu werden. Solche Tests sollten von Fall zu Fall formuliert werden und für den Einsatzbereich, auf den sie abzielen, relevant sein.
- Kapazität Managementkontrollen sollte nicht auf eine Organisation beschränkt sein Strom Daten oder betriebliche Anforderungen berücksichtigen und alle Pläne für eine kommerzielle und technische Erweiterung (sowohl aus physischer als auch digitaler Sicht) umfassen, um so zukunftssicher wie realistisch möglich zu bleiben.
- Der Ausbau organisatorischer Ressourcen unterliegt je nach System oder Geschäftsfunktion unterschiedlichen Vorlaufzeiten und Kosten. Ressourcen, die teurer und schwieriger zu erweitern sind, sollten zum Schutz einer genaueren Prüfung unterzogen werden Geschäftskontinuität.
- Die Geschäftsleitung sollte sich einzelner Fehlerquellen im Zusammenhang mit der Abhängigkeit von Schlüsselpersonal oder einzelnen Ressourcen bewusst sein. Sollten bei einem dieser Faktoren Schwierigkeiten auftreten, kann es häufig zu Komplikationen kommen, die deutlich schwieriger zu beheben sind.
- Formuliere a Kapazität Managementplan, der sich speziell mit geschäftskritischen Systemen befasst und Geschäftsfunktionen.
Beratung – Nachfragemanagement
27002:2022-8.6 befürwortet einen zweigleisigen Ansatz für das Kapazitätsmanagement, der entweder erhöht die Kapazität oder reduziert die Nachfrage auf eine Ressource oder einen Satz von Ressourcen.
Beim Versuch, die Kapazität zu erhöhen, sollten Organisationen:
- Erwägen Sie die Einstellung neuer Mitarbeiter für die Wahrnehmung einer Geschäftsfunktion.
- Kaufen, leasen oder mieten Sie neue Räumlichkeiten oder Büroräume.
- Kaufen, leasen oder mieten Sie zusätzliche Verarbeitung, Datenspeicher und RAM (entweder vor Ort oder in der Cloud gehostet).
- Erwägen Sie die Verwendung elastisch und skalierbaren Cloud-Ressourcen, die mit der Rechenleistung wachsen Bedürfnisse der Organisation, mit minimalem Eingriff.
Bei dem Versuch, die Nachfrage zu reduzieren, sollten Organisationen:
- Löschen Sie veraltete Daten, um Speicherplatz auf Servern und angeschlossenen Medien freizugeben.
- Entsorgen Sie alle gedruckten Kopien sicher Informationen, die die Organisation nicht mehr benötigtund es ist weder gesetzlich noch über eine Regulierungsbehörde gesetzlich dazu verpflichtet.
- Nehmen Sie alle IKT-Ressourcen, Anwendungen oder virtuellen Umgebungen außer Betrieb, die nicht mehr benötigt werden.
- Überprüfen Sie geplante IKT-Aufgaben (einschließlich Berichte, automatisierte Wartungsfunktionen und Batch-Prozesse), um die Speicherressourcen zu optimieren und den Speicherplatzbedarf der ausgegebenen Daten zu reduzieren.
- Optimieren Sie alle Anwendungscodes oder Datenbankabfragen, die regelmäßig genug ausgeführt werden, um Auswirkungen auf die Betriebskapazität der Organisation zu haben.
- Begrenzen Sie die Bandbreite, die unkritischen Aktivitäten innerhalb der Netzwerkgrenzen der Organisation zugewiesen wird. Dazu kann die Einschränkung des Internetzugangs und die Verhinderung des Video-/Audio-Streamings von Arbeitsgeräten gehören.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022-8.6 ersetzt 27002:2013-12.1.3 (Kapazitätsmanagement).
27002:2022-8.6 enthält einen weitaus umfassenderen Satz von Richtlinien, die Organisationen anweisen, wie sie entweder die Kapazität erhöhen oder die Nachfrage reduzieren können.
Darüber hinaus enthält 27002:2013-12.1.3 keine spezifischen Leitlinien zur Erhöhung der Kapazität, im Gegensatz zu 27002:2022-8.6, in dem spezifische Vorgehensweisen beschrieben werden, die zu mehr betrieblichem Spielraum führen.
27002:2013-12.1.3 enthält auch keine Anleitung zum Stresstest der Betriebskapazität oder andernfalls die Fähigkeit einer Organisation prüfen um die Kapazität kontinuierlich zu verwalten, ohne einen Kapazitätsmanagementplan zu empfehlen.
Im Einklang mit dem kometenhaften Aufstieg des Cloud Computing im letzten Jahrzehnt empfiehlt 27002:2022-8.6 Unternehmen ausdrücklich, cloudbasierte Ressourcen zu nutzen, die sich automatisch an die Geschäftsanforderungen anpassen.
27002:2013-12.1.3 erwähnt keine externen Speicher- oder Recheneinrichtungen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002 Mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, wird die Implementierung einfacher. Ihre komplette Compliance-Lösung für ISO / IEC 27002: 2022.
- Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung
- Einfache und vollständige Compliance-Lösung
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
