ISO 27002: 2022, בקרה 5.2 - תפקידי אבטחת מידע ואחריות - היא אחת הבקרות החשובות ביותר ב-ISO 27002:2022. זהו שינוי של בקרה 6.1.1 ב-ISO 27002:2013 והוא מגדיר כיצד ארגונים צריכים להגדיר ולהקצות תפקידים ואחריות של אבטחת מידע.
ראש הארגון, קציני אבטחת המידע הראשיים (CISOs), ניהול שירותי ה-IT (ITSMs), בעלי המערכות ומשתמשי המערכת כולם תורמים לחוסן של אבטחת מידע. חלק זה מסכם ודן ב אחריותם של בעלי התפקידים הללו.
אבטחת מידע היא באחריותך כמנכ"ל הסוכנות שלך. בנוסף, אתה משמש כגוף ההסמכה של הארגון.
שיטות עבודה טובות במגזר האבטחה ובממשל הם מה ש-CISO אחראים עליהם. קיום תפקיד זה מבטיח זאת אבטחת המידע מנוהלת כהלכה ברמות הגבוהות ביותר של הארגון.
ITSM הוא פקיד בכיר בחברה. מנהלי המערכת פועלים בשיתוף עם קצין אבטחת המידע הראשי על מנת לבצע את ההנחיות האסטרטגיות של המנכ"ל.
נדרש בעלים לכל מערכת. כתוצאה מכך, חובה על כל בעל מערכת להבטיח עמידה בכללי ממשל ה-IT ומילוי הצרכים העסקיים.
משתמשי מערכת נוטים יותר לדבוק בכללי ונהלי אבטחה אם ישנה תרבות אבטחה חזקה. לכל מערכת יש סכנות טבועות, ועל המשתמשים לקחת אחריות על הפחתת סכנות כאלה.
טיפול בשליטה זו הוא קריטי כדי להבטיח שכל עובד מבין מה הוא אחראי בכל הנוגע להגנה על נתונים, מערכות ורשתות. יש להודות, זהו אתגר עבור חברות רבות, במיוחד קטנות שבהן העובדים בדרך כלל חובשים יותר מכובע אחד.
קטע תכונות כלול כעת ב- הגרסה האחרונה של ISO 27002. הגדרת תכונות היא דרך לסווג פקדים. אלה מאפשרים לך להתאים בקלות את בחירת הבקרה שלך למינוח טיפוסי בתעשייה. התכונות עבור בקרה 5.2 הן:
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות #יושרה #זמינות | #לזהות | #ממשל | #ממשל ומערכת אקולוגית #כּוֹשֵׁר הִתאוֹשְׁשׁוּת |
מטרת בקרה 5.2 היא להקים מבנה מוגדר, מאושר ומובן ליישום, תפעול וניהול אבטחת מידע בתוך הארגון. זה רשמי מבנה ארגוני המחלק אחריות לאבטחת מידע בכל הארגון.
בקרה 5.2 מתייחסת ליישום, תפעול וניהול של תפקידים ואחריות לאבטחת מידע בארגון על פי המסגרת כפי שהוגדרה ב-ISO 27001.
הבקרה קובעת כי תפקידים ואחריות אבטחת מידע צריכים להיות מוגדרים היטב וכי כל המעורבים צריכים להבין את תפקידם. בדרך כלל, לנכסים מוקצה בעלים ייעודי שנוטל אחריות על הטיפול היומיומי שלהם.
עם זאת, בהתאם לגודל הארגון ולמשאבים הזמינים, אבטחת מידע יכולה להתבצע על ידי צוות ייעודי או אחריות נוספת להטיל על העובדים הנוכחיים.
הקצאת תפקידים ואחריות לאבטחת מידע חיונית להבטחת שמירה ושיפור של אבטחת המידע של הארגון. כדי לעמוד בדרישות לבקרה זו, הקצאת התפקידים צריכה להיות פורמלית ולתעד, למשל, בטופס טבלה או בצורה של תרשים ארגוני.
הכוונה כאן היא להבטיח שתפקידים ברורים, אחריות וסמכויות מוקצים ומובנים בכל הארגון. על מנת להבטיח הפרדת תפקידים יעילה, יש לתעד את התפקידים והאחריות, לתקשר וליישם באופן עקבי ברחבי הארגון.
כפי שכבר צוין, בקרה 5.2 ב-ISO 27002:2022, תפקידים ואחריות של אבטחת מידע, אינה בקרה חדשה. זהו פשוט פקד שונה שנמצא ב-ISO 27002:2013 כפקד 6.1.1.
המטרה של Control 5.2 הוגדרה, והוראות יישום חדשות נכללו בגרסה האחרונה של ISO 27002. בעוד שהמהות של שני הפקדים זהה בעצם, ישנם שיפורים קלים בגרסת 2022.
לדוגמה, ISO 27002:2022 קובע שאנשים הלוקחים פונקציית אבטחת מידע ספציפית צריכים להיות מוכשרים בידע ובמיומנויות נדרש מהתפקיד ונתמך כדי להישאר מעודכן בהתקדמות הקשורה לתפקיד והכרחי כדי למלא את חובות התפקיד. נקודה זו אינה חלק מגרסת 2013.
בנוסף, הנחיות היישום של שתי הגרסאות שונות במקצת. הבה נשווה חלקים מבין השניים להלן:
ISO 27002:2013 קובע את התחומים עליהם אחראים אנשים. אזורים אלו הם:
a) יש לזהות ולהגדיר את הנכסים ותהליכי אבטחת המידע;
b) יש להקצות את הישות האחראית לכל נכס או תהליך אבטחת מידע ולתעד את פרטי אחריות זו;
c) יש להגדיר ולתעד את רמות ההרשאה;
d) כדי להיות מסוגלים למלא אחריות בתחום אבטחת המידע על האנשים הממונים להיות מוכשרים בתחום וניתן להם הזדמנויות להתעדכן בהתפתחויות;
e) תיאום ופיקוח על היבטי אבטחת מידע יש לזהות ולתעד את קשרי הספקים.
ISO 27002:2022 דחוס יותר. זה פשוט קובע שהארגון צריך להגדיר ולנהל אחריות עבור:
a) הגנה על מידע ונכסים קשורים אחרים;
b) ביצוע תהליכי אבטחת מידע ספציפיים;
c) ניהול סיכוני אבטחת מידע פעילויות ובפרט קבלה של סיכונים שיוריים (למשל לבעלי סיכונים);
d) כל הצוות המשתמש במידע של ארגון ובנכסים קשורים אחרים.
עם זאת, שתי גרסאות הבקרה מציעות שארגונים יכולים למנות מנהל אבטחת מידע שייקח אחריות כוללת לפיתוח והטמעה של אבטחת מידע ולתמוך בזיהוי בקרות.
מנהל אבטחת מידע מתמנה לרוב על ידי חברות על מנת לפקח על יצירה וביצוע של אמצעי אבטחה ולסייע באיתור איומים ובקרות פוטנציאליות.
משאבים ו לשים את הפקדים במקום בדרך כלל ייפול למנהלים בודדים. נוהג תכוף הוא להגדיר אדם עבור כל נכס, אשר לאחר מכן אחראי על האבטחה השוטפת של הנכס.
לא מצפים ממך לעשות הרבה במונחים של עמידה בדרישות לתקן ISO 27002:2022 החדש למעט משדרג את ה-ISMS שלך תהליכים שישקפו את הבקרות המשופרות, אם הצוות הפנימי שלך לא יכול להתמודד עם זה, ISMS.online יכול לעזור.
בנוסף לאספקת מסגרת מתוחכמת מבוססת ענן לתיעוד נהלי ISMS ורשימות ביקורת כדי להבטיח עמידה בנורמות שנקבעו, ISMS.online מייעלת גם את תהליך ההסמכה של ISO 27001 ואת תהליך ההטמעה של ISO 27002.
כל שלך פתרונות ISMS ניתן לנהל במיקום מרכזי הודות לתוכנה מבוססת הענן שלנו. אתה יכול להשתמש באפליקציה הקלה לשימוש שלנו כדי לעקוב אחר כל מה שיש נדרש לאמת התאמה ל-ISO מפרט 2K7.
יישום ISO 27002 מפושט עם זרימת העבודה והכלים האינטואיטיביים שלנו שלב אחר שלב הכוללים מסגרות, מדיניות ובקרות, תיעוד והנחיה ניתנים לפעולה. אתה יכול להגדיר את היקף ה-ISMS, זהה סיכונים והטמיע בקרות באמצעות הפלטפורמה שלנו - בכמה קליקים בלבד.
יש לנו גם צוות פנימי של מומחי טכנולוגיות מידע שיספקו לכם ייעוץ וסיוע כדי שתוכלו להוכיח עמידה בתקן ומסירות לאבטחת מידע ללקוחות שלכם.
על מנת ללמוד עוד על האופן שבו ISMS.online יכול לסייע לך בהשגת יעדי ISO 2K7 שלך, אנא התקשר אלינו בטלפון +44 (0)1273 041140.
צור קשר עוד היום כדי הזמן הדגמה.
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 5.7 | חדש | אינטליגנציה מאיימת |
| 5.23 | חדש | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | חדש | מוכנות ICT להמשכיות עסקית |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 8.9 | חדש | ניהול תצורה |
| 8.10 | חדש | מחיקת מידע |
| 8.11 | חדש | מיסוך נתונים |
| 8.12 | חדש | מניעת דליפת נתונים |
| 8.16 | חדש | פעילויות ניטור |
| 8.23 | חדש | סינון אינטרנט |
| 8.28 | חדש | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
