ISO 27002:2022, בקרה 5.23 – אבטחת מידע לשימוש בשירותי ענן

בעלות על שליטה 5.23

כזו היא התפשטות שירותי הענן בעשור האחרון, Control 5.23 מכיל שורה של נהלים המקיפים מרכיבים רבים ומובהקים של פעילות הארגון.

בהתחשב בכך שלא כל שירותי הענן הם ספציפיים ל-ICT - אם כי ניתן היה לטעון באופן סביר שרובם - יש לחלק את הבעלות על Control 5.22 בין הארגון של הארגון ראש אגף טכנולוגיה or COO, בהתאם לנסיבות המבצעיות הקיימות.

הנחיות בקרה 5.23 – חובות ארגוניות

עמידה ב-Control 5.23 כרוכה בשמירה על מה שמכונה א גישה 'ספציפית לנושא' לשירותי ענן ואבטחת מידע.

בהתחשב במגוון שירותי הענן המוצעים, גישות ספציפיות לנושא מעודדות ארגונים ליצור מדיניות שירותי ענן המותאמות לפונקציות עסקיות בודדות, במקום לדבוק בשמיכה מדיניות החלה על אבטחת מידע ושירותי ענן לכל אורך הדרך.

יש לציין ש-ISO רואה בדבקות ב-Control 5.23 מאמץ שיתופי בין הארגון לשותפו לשירות הענן. פקד 5.23 צריך להיות מיושר גם עם פקדים 5.21 ו-5.22, העוסקים במידע ניהול בשרשרת האספקה וניהול שירותי הספקים בהתאמה.

עם זאת ארגון בוחר לפעול, אין לקחת את בקרה 5.23 בנפרד ועליה להשלים את המאמצים הקיימים כדי לנהל קשרי ספקים.

עם אבטחת המידע בחזית, על הארגון להגדיר:

1. כל דרישות אבטחה רלוונטיות או חששות הקשורים בשימוש בפלטפורמת ענן.
2. הקריטריונים הכרוכים בבחירת ספק שירותי ענן וכיצד יש להשתמש בשירותיו.
3. תיאור מפורט של תפקידים ותחומי אחריות רלוונטיים שקובעים כיצד יש להשתמש בשירותי ענן ברחבי הארגון.
4. אילו אזורי אבטחת מידע בדיוק נשלטים על ידי ספק שירותי הענן, וכאלה שנכללים בסמכות הארגון עצמו.
5. הדרכים הטובות ביותר לאסוף תחילה ולאחר מכן להשתמש בכל רכיבי שירות הקשורים לאבטחת מידע המסופקים על ידי פלטפורמת שירותי הענן.
6. כיצד להשיג הבטחות קטגוריות לגבי כל בקרות הקשורות לאבטחת מידע שהופעלו על ידי ספק שירותי הענן.
7. הצעדים שצריך לנקוט על מנת לנהל שינויים, תקשורת ובקרות על פני מספר פלטפורמות ענן שונות, ולא תמיד מאותו ספק.
8. נהלי ניהול אירועים העוסקים אך ורק באספקת שירותי ענן.
9. כיצד הארגון מצפה לנהל את השימוש השוטף שלו ו/או האימוץ הסיטונאי של פלטפורמות ענן, בהתאם להן אבטחת מידע רחבה יותר חובות.
10. אסטרטגיה להפסקה או תיקון של שירותי ענן, בין אם על בסיס ספק-לספק, או באמצעות תהליך של הגירה מהענן ל-on-premise.

הדרכה בנושא בקרה 5.23 – הסכמי שירותי ענן

בקרה 5.23 מכירה בכך שבניגוד לקשרי ספקים אחרים, הסכמי שירותי ענן הם מסמכים נוקשים שאינם ניתנים לתיקון ברוב המכריע של המקרים.

עם זאת בחשבון, ארגונים צריכים לבחון את הסכמי שירותי הענן ולוודא שמתקיימים ארבע דרישות תפעול עיקריות:

1. סודיות
2. אבטחה/שלמות נתונים
3. זמינות השירות
4. טיפול במידע

כמו בחוזי ספקים אחרים, לפני הקבלה, הסכמי שירותי ענן צריכים לעבור א הערכת סיכונים יסודית שמדגיש בעיות פוטנציאליות במקור.

לכל הפחות, על הארגון להתקשר בהסכם שירותי ענן רק כאשר הוא משוכנע ש-10 ההוראות הבאות מולאו:

1. שירותי ענן מסופקים ומיושמים בהתבסס על הדרישות הייחודיות של הארגון הנוגעות לתחום הפעילות שלהם, לרבות סטנדרטים ושיטות עבודה מקובלות בתעשייה עבור ארכיטקטורה מבוססת ענן ותשתית מתארחת.
2. גישה לכל פלטפורמת ענן עומדת בדרישות אבטחת המידע הגבוליות של הארגון.
3. ניתנת התייחסות נאותה לשירותי אנטי-תוכנות זדוניות ואנטי-וירוס, כולל ניטור יזום והגנה מפני איומים.
4. ספק הענן מקפיד על קבוצה מוגדרת מראש של תנאי אחסון ועיבוד נתונים, המתייחסים לאזור גלובלי נפרד ולסביבות רגולטוריות אחד או יותר.
5. תמיכה יזומה ניתנת לארגון, במידה ופלטפורמת הענן תסבול מכשל קטסטרופלי או תקרית הקשורה לאבטחת מידע.
6. אם יתעורר צורך לבצע קבלן משנה או מיקור חוץ אחר של רכיב כלשהו בפלטפורמת הענן, דרישות אבטחת המידע של הספק נותרות בבחינה מתמדת.
7. במידה והארגון יזדקק לסיוע כלשהו באיסוף מידע דיגיטלי לכל מטרה רלוונטית (אכיפת חוק, התאמה רגולטורית, מטרות מסחריות), ספק שירותי הענן יתמוך בארגון ככל שניתן.
8. בתום הקשר, ספק שירותי הענן צריך לספק תמיכה סבירה וזמינות מתאימה במהלך תקופת המעבר או ההשבתה.
9. ספק שירותי הענן צריך לפעול עם תוכנית BUDR חזקה המתמקדת בביצוע גיבויים נאותים של נתוני הארגון.
10. העברת כל הנתונים המשלימים הרלוונטיים מספק שירותי הענן לארגון, לרבות מידע תצורה וקוד שיש לארגון טענה עליהם.

מידע משלים על בקרה 5.23

בנוסף להנחיה לעיל, בקרה 5.23 מציעה לארגונים ליצור קשרי עבודה הדוקים עם ספקי שירותי ענן, בהתאם לשירות החשוב שהם מספקים לא רק במונחי אבטחת מידע, אלא בכל הפעילות המסחרית של הארגון.

ארגונים, במידת האפשר, צריכים לחפש את התנאים הבאים מספקי שירותי ענן כדי לשפר את החוסן התפעולי, וליהנות מרמות משופרות של אבטחת מידע:

1. יש לדווח על כל תיקוני התשתית מראש, כדי ליידע את סט תקני אבטחת המידע של הארגון עצמו.
2. הארגון צריך להתעדכן בכל שינוי בהליכי אחסון נתונים הכוללים העברת נתונים לתחום שיפוט אחר או לאזור גלובלי אחר.
3. כל כוונה מצד ספק שירותי הענן להשתמש בספקי "ענן עמיתים", או מיקור חוץ של תחומי פעילותם לקבלני משנה שעשויות להיות להם השלכות אבטחת מידע על הארגון.

בקרות תומכות

• 5.21
• 5.22

שינויים מ-ISO 27002:2013

שליטה 5.23 היא א שליטה חדשה זה לא מופיע ב-ISO 27002:2013 בשום מעמד.

כיצד ISMS.online עוזר

ISMS.online מייעל את ISO 27002 תהליך הטמעה על ידי מתן מסגרת מתוחכמת מבוססת ענן לתיעוד נהלי מערכת ניהול אבטחת מידע ורשימות ביקורת כדי להבטיח עמידה בתקנים מוכרים.

כאשר אתה משתמש ב-ISMS.online, תוכל:

• צור ISMS שתואם ISO 27001 DELETE THIS
• בצע משימות והגשת הוכחות לכך שהן עמדו בדרישות התקן.
• הקצאת משימות ומעקב אחר ההתקדמות לקראת ציות לחוק.
• קבל גישה לצוות מיוחד של יועצים שיסייע לך לאורך כל הדרך שלך לקראת ציות.

צרו קשר ו הזמן הדגמה.