מהי בקרה 5.4 אחריות ניהול
מהי מדיניות אבטחת מידע?
מדיניות אבטחת מידע היא מסמך רשמי המספק הנחיות ניהוליות, מטרות ועקרונות להגנה על המידע של הארגון. מדיניות אבטחת מידע יעילה צריכה להיות מותאמת לצרכים הספציפיים של הארגון ולתמוך בהנהלה הבכירה כדי להבטיח הקצאה מתאימה של משאבים.
המדיניות מפרטת את העקרונות הכוללים כיצד ההנהלה רוצה שעובדיה יטפלו במידע רגיש וכיצד החברה תגן על נכסי המידע שלה.
המדיניות נגזרת לרוב מחוקים, תקנות ושיטות עבודה מומלצות שהארגון חייב לציית אליהם. מדיניות אבטחת מידע נוצרת בדרך כלל על ידי ההנהלה הבכירה של הארגון, עם מידע מצוות אבטחת ה-IT שלו.
על המדיניות לכלול גם מסגרת להגדרת תפקידים ואחריות ולוח זמנים לבדיקה תקופתית.
טבלת תכונות
תכונות הן דרך לסווג סוגים שונים של פקדים. תכונות אלה מאפשרות לך ליישר את הפקדים שלך עם תקני התעשייה. בשליטה 5.4 הם:
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #ממשל | #ממשל ומערכת אקולוגית |
| #יושרה | ||||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
מהי מטרת בקרה 5.4?
בקרה 5.4 תוכננה להבטיח שההנהלה מבינה את אחריותה באבטחת מידע ושהיא נוקטת צעדים כדי להבטיח שכל העובדים מודעים לחובות אבטחת המידע שלהם וממלאים אותן.
בקרה 5.4 הסבר
מידע הוא נכס יקר ערך ויש להגן עליו מפני אובדן, נזק או שימוש לרעה. על הארגון להבטיח כי יינקטו אמצעים מתאימים כדי להגן על נכס זה. לשם כך, על ההנהלה להבטיח שכל הצוות מיייש את כל מדיניות אבטחת המידע, המדיניות והנהלים הספציפיים לנושא של הארגון.
בקרה 5.4 מכסה את המטרה והנחיות היישום להגדרת אחריות ניהולית בכל הנוגע לאבטחת מידע בארגון, בהתאם למסגרת של ISO 27001.
בקרה זו נועדה לוודא שההנהלה תומכת בתוכנית אבטחת המידע ושכל העובדים והקבלנים מודעים למדיניות אבטחת המידע של הארגון ומקיימים אותה. אסור לפטור איש מחובה של עמידה במדיניות האבטחה, במדיניות ובנהלים הספציפיים לנושאים של הארגון.
מה כרוך ואיך לעמוד בדרישות
המפתח לעמידה בדרישות הבקרה הזו הוא להבטיח שההנהלה מסוגלת לחייב את כל הצוות הרלוונטי לדבוק במדיניות, בסטנדרטים ובנהלים של אבטחת המידע של הארגון.
הצעד הראשון הוא אישור ותמיכה מצד ההנהלה. ההנהלה חייבת להפגין את מחויבותה על ידי ביצוע כל המדיניות והנהלים שהיא מיישמת. לדוגמה, אם אתם דורשים מעובדים לעבור קורסי הכשרה שנתיים למודעות לאבטחה , על המנהלים להוביל באמצעות דוגמה ולהשלים את הקורסים הללו תחילה.
בשלב הבא מגיעה התקשורת של חשיבות אבטחת המידע לכל אחד בחברה, ללא קשר לתפקידו. זה כולל את הדירקטוריון, המנהלים וההנהלה, כמו גם את העובדים. כל אחד חייב להבין את תפקידו בשמירה על אבטחת מידע רגיש כפי שמכוסה בתוכנית ISMS של החברה.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הבדלים בין ISO 27002:2013 ל-ISO 27002:2022
תקן ISO 27002:2022, בקרה 5.4 אחריות ניהול, היה ידוע בעבר בשם בקרה 7.2.1 אחריות ניהול בתקן ISO 27002:2013. זוהי אינה בקרה חדשה אלא פרשנות חזקה יותר של גרסת 2013.
בעוד שבקרה 5.4 ובקרה 7.2.1 מכסות באופן כללי את אותו הדבר, יש מעט הבדלים שארגונים ומנהלי עסקים צריכים לשים לב אליהם. הבדלים אלו מכוסים בהנחיית היישום של הבקרה.
Control 5.4 ISO 27002:2013-2022 הנחיות יישום בהשוואה
ב-ISO 27002: 2013, אחריות הניהול מכסה את הבטחת העובדים והקבלנים:
א) יקבלו תדרוך נאות על תפקידיהם ואחריותם בתחום אבטחת המידע לפני שיינתן להם גישה למידע סודי או למערכות מידע;
b) מסופקים עם קווים מנחים להצהיר על ציפיות אבטחת מידע מתפקידם בתוך
אִרגוּן;
ג) בעלי מוטיבציה למלא את מדיניות אבטחת המידע של הארגון;
ד) להגיע לרמת מודעות לאבטחת מידע הרלוונטית לתפקידיהם ואחריותם בארגון;
ה) לעמוד בתנאי העסקה, לרבות מדיניות אבטחת המידע של הארגון ושיטות עבודה מתאימות;
ו) להמשיך ולהחזיק במיומנויות ובכישורים המתאימים ולקבל השכלה באופן קבוע;
ז) מקבלים ערוץ דיווח אנונימי לדיווח על הפרות של מדיניות או נהלי אבטחת מידע ("הדלפות").
ההנהלה צריכה להפגין תמיכה במדיניות אבטחת מידע, נהלים ובקרות, ולשמש מודל לחיקוי.
בקרה 5.4 היא גרסה ידידותית יותר למשתמש ודורשת שאחריות הניהול תבטיח שעובדים וקבלנים:
א) יקבלו תדרוך כראוי על תפקידיהם ואחריותם בתחום אבטחת המידע לפני מתן גישה למידע של הארגון ולנכסים נלווים אחרים;
ב) יקבלו הנחיות המציינות את ציפיות אבטחת המידע לתפקידם בארגון;
ג) מחויבים למלא את מדיניות אבטחת המידע ואת המדיניות הספציפית לנושא של הארגון;
ד) להשיג רמת מודעות לאבטחת מידע הרלוונטית לתפקידיהם ולאחריותם בארגון;
ה) עמידה בתנאי העסקה, בחוזה או בהסכם, לרבות מדיניות אבטחת המידע של הארגון ושיטות עבודה מתאימות;
ו) להמשיך ולהחזיק במיומנויות והסמכות המתאימים לאבטחת מידע באמצעות חינוך מקצועי מתמשך;
ז) במידת האפשר, יסופק להם ערוץ סודי לדיווח על הפרות של מדיניות אבטחת מידע, מדיניות או נהלים ספציפיים לאבטחת מידע ("הדלפה"). דבר זה יכול לאפשר דיווח אנונימי, או לכלול הוראות שיבטיחו כי ידיעת זהות המדווח תהיה ידועה רק לאלו שצריכים לטפל בדיווחים כאלה;
ח) מקבלים משאבים וזמן לתכנון הפרויקט המתאימים ליישום תהליכים ובקרות הקשורים לאבטחה של הארגון.
כפי שניתן לראות, תקן ISO 27002:2022 דורש במפורש שכדי לבצע את הנהלים והבקרות הקשורות לאבטחה, עובדים וקבלנים יקבלו משאבים נחוצים וכן זמן תכנון הפרויקט.
גם הנוסחים בחלק מהנחיות היישום של ISO 27002:2013 לעומת ISO 27002:2020 הושפעו. כאשר הנחיה ג' של גרסת 2013 קובעת שלעובדים וקבלנים יש "מוטיבציה" לאמץ את מדיניות ה-ISMS של החברה, 2022 משתמש במילה "מנדט"
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
מי אחראי על התהליך הזה?
התשובה לשאלה זו די פשוטה: ההנהלה! באחריות ההנהלה לוודא שהטמעת ISMS (מערכת ניהול אבטחת מידע) תקינה.
זה נתמך בדרך כלל על ידי מינוי מנהל אבטחת מידע בעל הכשרה מתאימה ומנוסה, אשר יהיה אחראי להנהלה הבכירה על פיתוח, יישום, ניהול ושיפור מתמיד של ה-ISMS.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
אחד האתגרים הגדולים ביותר ביישום מערכת ניהול מידע (ISMS) התואמת לתקן ISO 27001 הוא שמירה על שליטה מלאה בבקרות אבטחת המידע שלכם. המערכת שלנו הופכת זאת לקל.
אנו מבינים את החשיבות של הגנה על הנתונים והמוניטין של הארגון שלכם . זו הסיבה שפלטפורמת הענן שלנו נועדה לפשט את יישום תקן ISO 27001, לספק לכם מסגרת חזקה של בקרות אבטחת מידע ולעזור לכם להשיג הסמכה במינימום משאבים וזמן.
כללנו מגוון תכונות וערכות כלים ידידותיות למשתמש בפלטפורמה שלנו כדי לחסוך לכם זמן ולהבטיח שאתם יוצרים מערכת ניהול מידע (ISMS) חזקה באמת . בעזרת ISMS.online , תוכלו לקבל בקלות הסמכת ISO 27001 ולאחר מכן לנהל אותה בקלות.
הזמן הדגמה עוד היום.
