מהי בקרה 5.2: תפקידים ואחריות של אבטחת מידע?
ISO 27002: 2022, בקרה 5.2 - תפקידי אבטחת מידע ואחריות - היא אחת הבקרות החשובות ביותר ב-ISO 27002:2022. זהו שינוי של בקרה 6.1.1 ב-ISO 27002:2013 והוא מגדיר כיצד ארגונים צריכים להגדיר ולהקצות תפקידים ואחריות של אבטחת מידע.
הסבר על תפקידים ואחריות באבטחת מידע
ראש הארגון, קציני אבטחת המידע הראשיים (CISOs), ניהול שירותי ה-IT (ITSMs), בעלי המערכות ומשתמשי המערכת כולם תורמים לחוסן של אבטחת מידע. חלק זה מסכם ודן ב אחריותם של בעלי התפקידים הללו.
מנהיג הארגון נושא בנטל האחריות
אבטחת מידע היא באחריותך כמנכ"ל הסוכנות שלך. בנוסף, אתה משמש כגוף ההסמכה של הארגון.
אבטחת מידע היא באחריות ה-CISO
שיטות עבודה טובות במגזר האבטחה ובממשל הם מה ש-CISO אחראים עליהם. קיום תפקיד זה מבטיח זאת אבטחת המידע מנוהלת כהלכה ברמות הגבוהות ביותר של הארגון.
ניהול שירותי IT (ITSM) אחראי על יישום אמצעי אבטחה וכן מתן מומחיות
ITSM הוא פקיד בכיר בחברה. מנהלי המערכת פועלים בשיתוף עם קצין אבטחת המידע הראשי על מנת לבצע את ההנחיות האסטרטגיות של המנכ"ל.
בעלי מערכות אחראים לתחזוקתן ולתפעולן
נדרש בעלים לכל מערכת. כתוצאה מכך, חובה על כל בעל מערכת להבטיח עמידה בכללי ממשל ה-IT ומילוי הצרכים העסקיים.
משתמשי מערכת מגנים על מערכות על ידי הקפדה על מדיניות ונהלים
משתמשי מערכת נוטים יותר לדבוק בכללי ונהלי אבטחה אם ישנה תרבות אבטחה חזקה. לכל מערכת יש סכנות טבועות, ועל המשתמשים לקחת אחריות על הפחתת סכנות כאלה.
טיפול בשליטה זו הוא קריטי כדי להבטיח שכל עובד מבין מה הוא אחראי בכל הנוגע להגנה על נתונים, מערכות ורשתות. יש להודות, זהו אתגר עבור חברות רבות, במיוחד קטנות שבהן העובדים בדרך כלל חובשים יותר מכובע אחד.
טבלת בקרה של תכונות 5.2
קטע תכונות כלול כעת ב- הגרסה האחרונה של ISO 27002. הגדרת תכונות היא דרך לסווג פקדים. אלה מאפשרים לך להתאים בקלות את בחירת הבקרה שלך למינוח טיפוסי בתעשייה. התכונות עבור בקרה 5.2 הן:
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #ממשל | #ממשל ומערכת אקולוגית |
| #יושרה | #כּוֹשֵׁר הִתאוֹשְׁשׁוּת | |||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
מהי מטרת בקרה 5.2?
מטרת בקרה 5.2 היא להקים מבנה מוגדר, מאושר ומובן ליישום, תפעול וניהול אבטחת מידע בתוך הארגון. זה רשמי מבנה ארגוני המחלק אחריות לאבטחת מידע בכל הארגון.
בקרה 5.2 הסבר
בקרה 5.2 מתייחסת ליישום, תפעול וניהול של תפקידים ואחריות לאבטחת מידע בארגון על פי המסגרת כפי שהוגדרה ב-ISO 27001.
הבקרה קובעת כי תפקידים ואחריות אבטחת מידע צריכים להיות מוגדרים היטב וכי כל המעורבים צריכים להבין את תפקידם. בדרך כלל, לנכסים מוקצה בעלים ייעודי שנוטל אחריות על הטיפול היומיומי שלהם.
עם זאת, בהתאם לגודל הארגון ולמשאבים הזמינים, אבטחת מידע יכולה להתבצע על ידי צוות ייעודי או אחריות נוספת להטיל על העובדים הנוכחיים.
מה כרוך ואיך לעמוד בדרישות
הקצאת תפקידים ואחריות לאבטחת מידע חיונית להבטחת שמירה ושיפור של אבטחת המידע של הארגון. כדי לעמוד בדרישות לבקרה זו, הקצאת התפקידים צריכה להיות פורמלית ולתעד, למשל, בטופס טבלה או בצורה של תרשים ארגוני.
- על הארגון להגדיר את האחריות והאחריות לאבטחת מידע בתוך הארגון ולהקצות אותם לתפקידים או תפקידים ספציפיים של תפקידי ניהול.
- בקרה זו אמורה להבטיח שקיימת בהירות לגבי התפקידים והאחריות השונים בתוך הארגון, על מנת להבטיח תשומת לב ניהולית מתאימה לאבטחת מידע.
- במידת הצורך, יש לספק הכשרה נוספת לאתרים בודדים ולמתקני עיבוד מידע כדי לסייע במילוי חובות אלו.
הכוונה כאן היא להבטיח שתפקידים ברורים, אחריות וסמכויות מוקצים ומובנים בכל הארגון. על מנת להבטיח הפרדת תפקידים יעילה, יש לתעד את התפקידים והאחריות, לתקשר וליישם באופן עקבי ברחבי הארגון.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
הבדלים בין ISO 27002:2013 ל-27002:2022
כפי שכבר צוין, בקרה 5.2 ב-ISO 27002:2022, תפקידים ואחריות של אבטחת מידע, אינה בקרה חדשה. זהו פשוט פקד שונה שנמצא ב-ISO 27002:2013 כפקד 6.1.1.
המטרה של Control 5.2 הוגדרה, והוראות יישום חדשות נכללו בגרסה האחרונה של ISO 27002. בעוד שהמהות של שני הפקדים זהה בעצם, ישנם שיפורים קלים בגרסת 2022.
לדוגמה, ISO 27002:2022 קובע שאנשים הלוקחים פונקציית אבטחת מידע ספציפית צריכים להיות מוכשרים בידע ובמיומנויות נדרש מהתפקיד ונתמך כדי להישאר מעודכן בהתקדמות הקשורה לתפקיד והכרחי כדי למלא את חובות התפקיד. נקודה זו אינה חלק מגרסת 2013.
בנוסף, הנחיות היישום של שתי הגרסאות שונות במקצת. הבה נשווה חלקים מבין השניים להלן:
ISO 27002:2013 קובע את התחומים עליהם אחראים אנשים. אזורים אלו הם:
a) יש לזהות ולהגדיר את הנכסים ותהליכי אבטחת המידע;
b) יש להקצות את הישות האחראית לכל נכס או תהליך אבטחת מידע ולתעד את פרטי אחריות זו;
c) יש להגדיר ולתעד את רמות ההרשאה;
d) כדי להיות מסוגלים למלא אחריות בתחום אבטחת המידע על האנשים הממונים להיות מוכשרים בתחום וניתן להם הזדמנויות להתעדכן בהתפתחויות;
e) תיאום ופיקוח על היבטי אבטחת מידע יש לזהות ולתעד את קשרי הספקים.
ISO 27002:2022 דחוס יותר. זה פשוט קובע שהארגון צריך להגדיר ולנהל אחריות עבור:
a) הגנה על מידע ונכסים קשורים אחרים;
b) ביצוע תהליכי אבטחת מידע ספציפיים;
c) ניהול סיכוני אבטחת מידע פעילויות ובפרט קבלה של סיכונים שיוריים (למשל לבעלי סיכונים);
d) כל הצוות המשתמש במידע של ארגון ובנכסים קשורים אחרים.
עם זאת, שתי גרסאות הבקרה מציעות שארגונים יכולים למנות מנהל אבטחת מידע שייקח אחריות כוללת לפיתוח והטמעה של אבטחת מידע ולתמוך בזיהוי בקרות.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
מי אחראי על התהליך הזה?
מנהל אבטחת מידע מתמנה לרוב על ידי חברות על מנת לפקח על יצירה וביצוע של אמצעי אבטחה ולסייע באיתור איומים ובקרות פוטנציאליות.
משאבים ו לשים את הפקדים במקום בדרך כלל ייפול למנהלים בודדים. נוהג תכוף הוא להגדיר אדם עבור כל נכס, אשר לאחר מכן אחראי על האבטחה השוטפת של הנכס.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
לא מצפים ממך לעשות הרבה במונחים של עמידה בדרישות לתקן ISO 27002:2022 החדש למעט משדרג את ה-ISMS שלך תהליכים שישקפו את הבקרות המשופרות, אם הצוות הפנימי שלך לא יכול להתמודד עם זה, ISMS.online יכול לעזור.
בנוסף לאספקת מסגרת מתוחכמת מבוססת ענן לתיעוד נהלי ISMS ורשימות ביקורת כדי להבטיח עמידה בנורמות שנקבעו, ISMS.online מייעלת גם את תהליך ההסמכה של ISO 27001 ואת תהליך ההטמעה של ISO 27002.
כל שלך פתרונות ISMS ניתן לנהל במיקום מרכזי הודות לתוכנה מבוססת הענן שלנו. אתה יכול להשתמש באפליקציה הקלה לשימוש שלנו כדי לעקוב אחר כל מה שיש נדרש לאמת התאמה ל-ISO מפרט 2K7.
יישום ISO 27002 מפושט עם זרימת העבודה והכלים האינטואיטיביים שלנו שלב אחר שלב הכוללים מסגרות, מדיניות ובקרות, תיעוד והנחיה ניתנים לפעולה. אתה יכול להגדיר את היקף ה-ISMS, זהה סיכונים והטמיע בקרות באמצעות הפלטפורמה שלנו - בכמה קליקים בלבד.
יש לנו גם צוות פנימי של מומחי טכנולוגיות מידע שיספקו לכם ייעוץ וסיוע כדי שתוכלו להוכיח עמידה בתקן ומסירות לאבטחת מידע ללקוחות שלכם.
על מנת ללמוד עוד על האופן שבו ISMS.online יכול לסייע לך בהשגת יעדי ISO 2K7 שלך, אנא התקשר אלינו בטלפון +44 (0)1273 041140.
צור קשר עוד היום כדי הזמן הדגמה.
