ISO 27002:2022, Kiểm soát 5.24 – Lập kế hoạch và chuẩn bị quản lý sự cố an ninh thông tin

Mục đích của Kiểm soát 5.24

Kiểm soát 5.24 xử lý vấn đề bảo mật thông tin trong phạm vi Quản lý sự cố .

Kiểm soát 5.24 phác thảo cách các tổ chức nên quản lý các sự cố bảo mật thông tin thông qua việc lập kế hoạch và chuẩn bị đầy đủ, bằng cách tạo ra các quy trình hiệu quả và nêu chi tiết cách nhân viên nên ứng phó với các sự cố dựa trên các vai trò và trách nhiệm được xác định rõ ràng.

Trong suốt hướng dẫn, chúng tôi tập trung vào việc giao tiếp mang tính xây dựng và thúc đẩy phản ứng chuyên nghiệp đối với những tình huống thường có áp lực cao, đặc biệt là khi xử lý dữ liệu nhạy cảm về mặt thương mại hoặc PII.

5.24 là biện pháp kiểm soát khắc phục giúp duy trì rủi ro bằng cách thiết lập một bộ quy trình Quản lý sự cố chung giúp giảm thiểu mọi thiệt hại về thương mại hoặc hoạt động do các sự kiện bảo mật thông tin quan trọng gây ra.

Bảng Thuộc tính

Quyền sở hữu kiểm soát 5.24

Quản lý sự cố, theo nghĩa rộng hơn, thường áp dụng cho các sự cố liên quan đến dịch vụ. Vì Kiểm soát 5.24 xử lý cụ thể các sự cố và vi phạm liên quan đến bảo mật thông tin, có tính đến bản chất cực kỳ nhạy cảm của các sự kiện này, quyền sở hữu Kiểm soát 5.24 lý tưởng nhất nên thuộc về CISO hoặc tổ chức tương đương.

Do CISO thường chỉ xuất hiện trong các công ty lớn và các tổ chức cấp doanh nghiệp nên quyền sở hữu cũng có thể thuộc về COO hoặc Quản lý dịch vụ , tùy thuộc vào bản chất của tổ chức.

Hướng dẫn – Vai trò và Trách nhiệm

Quản lý sự cố mang lại kết quả tốt nhất khi nhân viên trong tổ chức cùng nhau làm việc để giải quyết một vấn đề cụ thể.

Để đạt được điều đó, Control 5.24 nêu cụ thể 5 điểm hướng dẫn chính giúp các tổ chức tạo ra hoạt động IM gắn kết và hiệu quả.

Các tổ chức nên:

1. Đồng ý và lập tài liệu về phương pháp đồng nhất để báo cáo các sự kiện bảo mật thông tin. Điều này cũng bao gồm việc thiết lập một điểm liên lạc chính để báo cáo tất cả các sự kiện như vậy.
2. Thiết lập một loạt các quy trình Quản lý Sự cố để quản lý các sự cố liên quan đến bảo mật thông tin trong phạm vi các chức năng kỹ thuật và hành chính khác nhau:
   
   a) Quản trị
   b) Tài liệu
   c) Phát hiện
   d) Phân loại
   e) Xếp hạng ưu tiên
   f) Phân tích
   g) Truyền thông
3. Xây dựng quy trình ứng phó sự cố cho phép tổ chức đánh giá và ứng phó với sự cố. Các tổ chức cũng nên lưu ý đến nhu cầu rút kinh nghiệm từ các sự cố sau khi đã giải quyết, để giảm thiểu mọi sự tái diễn và cung cấp cho nhân viên bối cảnh lịch sử trong các tình huống tương lai.
4. Giới hạn sự tham gia vào các sự cố chỉ dành cho những nhân viên được đào tạo và có năng lực , những người có quyền truy cập đầy đủ vào tài liệu thủ tục và được hưởng lợi từ chương trình đào tạo bồi dưỡng thường xuyên liên quan cụ thể đến các sự cố an ninh thông tin.
5. Thiết lập quy trình xác định nhu cầu đào tạo của từng nhân viên tham gia giải quyết các sự cố liên quan đến bảo mật thông tin. Quy trình này phải bao gồm bất kỳ chứng chỉ chuyên môn hoặc chứng chỉ cụ thể của nhà cung cấp nào và cung cấp cho nhân viên cơ hội nêu bật bất kỳ nhu cầu phát triển chuyên môn nào liên quan đến bảo mật thông tin.

Hướng dẫn – Quản lý sự cố

Mục tiêu của quy trình quản lý sự cố của một tổ chức là đảm bảo rằng tất cả những người chịu trách nhiệm giải quyết các sự cố bảo mật thông tin đều hiểu rõ về ba lĩnh vực chính:

• Thời gian cần thiết để giải quyết một sự cố
• Bất kỳ hậu quả tiềm ẩn nào
• Mức độ nghiêm trọng của sự cố

Tất cả các quy trình phải hoạt động hài hòa để đảm bảo ba biến số này luôn là ưu tiên hàng đầu.

Kiểm soát 5.24 nêu ra 8 hoạt động chính cần được thực hiện khi cố gắng giải quyết các sự cố liên quan đến bảo mật thông tin.

1. Các sự kiện bảo mật thông tin tiềm ẩn phải được đánh giá theo tiêu chí nghiêm ngặt để xác nhận chúng là sự cố đã được chấp thuận.
2. Việc quản lý các sự kiện và sự cố bảo mật thông tin cần được phân loại thành 5 chủ đề phụ chính, có thể là thủ công hoặc thông qua quy trình tự động hóa:
   
   a) Giám sát (xem Kiểm soát 8.15 và 8.16)
   b) Phát hiện (xem Kiểm soát 8.16)
   c) Phân loại (xem Kiểm soát 5.25)
   d) Phân tích
   e) Báo cáo (xem Kiểm soát 6.8)
3. Khi cố gắng đưa các sự cố bảo mật thông tin đến hồi kết thành công, các tổ chức nên triển khai các quy trình ban hành các điều sau:
   
   a) Phản hồi và leo thang (xem Kiểm soát 5.26) theo loại sự cố
   b) Kích hoạt các kế hoạch quản lý khủng hoảng hoặc kế hoạch duy trì hoạt động kinh doanh , trên cơ sở từng trường hợp cụ thể
   c) Phục hồi được quản lý sau sự cố giúp giảm thiểu mọi thiệt hại về hoạt động/tài chính gây ra
   d) Truyền đạt đầy đủ các sự kiện liên quan đến sự cố tới tất cả các bên nội bộ và bên ngoài
4. Làm việc hợp tác với nhân viên nội bộ và bên ngoài (xem Kiểm soát 5.5 và 5.6).
5. Ghi nhật ký toàn diện, dễ tiếp cận và minh bạch về tất cả các hoạt động được quản lý dựa trên sự cố.
6. Xử lý bằng chứng một cách có trách nhiệm (bao gồm dữ liệu và cuộc trò chuyện), theo các hướng dẫn và quy định nội bộ và bên ngoài (xem Kiểm soát 5.28).
7. Phân tích nguyên nhân gốc rễ và thực hiện quy trình đánh giá kỹ lưỡng sau khi sự cố đã được giải quyết.
8. Hồ sơ toàn diện về mọi cải tiến cần thiết để ngăn ngừa sự cố tái diễn, bao gồm mọi sửa đổi đối với quy trình quản lý sự cố.

Hướng dẫn – Báo cáo

Báo cáo là một yếu tố thiết yếu của bất kỳ chính sách Quản lý sự cố nào đảm bảo thông tin được truyền đạt chính xác trong toàn bộ tổ chức. Các hoạt động báo cáo nên tập trung vào 4 lĩnh vực chính:

1. Bất kỳ hành động nào cần thực hiện khi sự kiện bảo mật thông tin xảy ra.
2. Biểu mẫu sự cố cung cấp phương tiện rõ ràng và ngắn gọn để ghi lại thông tin và hỗ trợ nhân viên thực hiện nhiệm vụ.
3. Quy trình phản hồi nhằm đảm bảo nhân viên được thông báo về kết quả của các sự kiện bảo mật thông tin sau khi sự cố đã được giải quyết.
4. Báo cáo sự cố ghi lại tất cả thông tin có liên quan đến sự cố.

Cần lưu ý rằng Kiểm soát 5.24 không bao gồm bất kỳ hướng dẫn nào về cách đáp ứng các yêu cầu bên ngoài về cách báo cáo sự cố (ví dụ: hướng dẫn theo quy định và/hoặc luật hiện hành), nhưng các tổ chức nên thực hiện các bước để chia sẻ thông tin liên quan đến sự cố với tất cả các bên liên quan và phối hợp phản ứng đáp ứng mọi yêu cầu theo quy định, theo ngành và pháp lý.

Kiểm soát hỗ trợ

• 5,25
• 5.26
• 5,5
• 5.6
• 6.8
• 8.15
• 8.16

Những thay đổi và khác biệt so với ISO 27002:2013

27002:2022 -5.24 thay thế 27002:2013-16.1.1 (Quản lý sự cố bảo mật thông tin và cải tiến – Trách nhiệm và quy trình).

27002:2022-5.24 thừa nhận các tổ chức cần phải trải qua quá trình chuẩn bị kỹ lưỡng để duy trì khả năng phục hồi và tuân thủ khi đối mặt với các sự cố bảo mật thông tin tiềm ẩn.

Do đó, 27002:2022-5.24 cung cấp bản phân tích toàn diện hơn nhiều về các bước mà tổ chức cần thực hiện trong việc phân công vai trò, quản lý sự cố và chức năng báo cáo, với tham chiếu cụ thể đến các biện pháp kiểm soát ISO khác giúp tổ chức có được cái nhìn toàn diện hơn về quản lý sự cố nói chung, không chỉ liên quan đến các sự kiện bảo mật thông tin.

Để giúp tổ chức phân chia hoạt động quản lý sự cố của mình, 27002:2022-5.24 khác với 27002:2013-16.1.1 bằng cách tập trung vào ba lĩnh vực riêng biệt cần xem xét:

• Vai trò và trách nhiệm
• Quy trình quản lý sự cố
• Báo cáo