Mục đích của Kiểm soát 5.29
Bất chấp nhiều biện pháp phòng ngừa có sẵn cho các tổ chức tuân thủ ISO 27002:2022 , tình trạng gián đoạn đối với tính liên tục của hoạt động kinh doanh và hoạt động tiêu chuẩn vẫn có thể xảy ra.
Kiểm soát 5.29 nêu ra những điều chỉnh hoạt động mà các tổ chức nên áp dụng khi gặp sự cố để bảo vệ thông tin và tài sản của công ty .
Bảng Thuộc tính
5.22 là biện pháp kiểm soát phòng ngừa và khắc phục có mục đích kép , giúp duy trì rủi ro bằng cách triển khai kế hoạch tăng cường bảo mật thông tin trong thời gian gián đoạn và giảm thiểu thiệt hại cho các tài sản của tổ chức.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa #Sửa chữa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ #Phản hồi | #Tính liên tục | #Bảo vệ #Khả năng phục hồi |
Quyền sở hữu kiểm soát 5.29
Kiểm soát 5.29 đề cập đến quy trình và thủ tục bảo mật thông tin hoạt động được kích hoạt khi xảy ra các sự kiện quan trọng hoặc gián đoạn kinh doanh.
Do đó, quyền sở hữu Kiểm soát 5.29 phải thuộc về một thành viên của nhóm quản lý cấp cao giám sát các hoạt động hàng ngày của tổ chức và/hoặc các tình huống khẩn cấp trong kế hoạch duy trì hoạt động, chẳng hạn như Giám đốc điều hành (COO) .
Hướng dẫn chung về Kiểm soát 5.29
Điều 5.29 quy định rằng bảo mật thông tin phải là một phần cấu thành của quy trình quản lý tính liên tục kinh doanh rộng hơn của một tổ chức .
Các tổ chức nên lập kế hoạch nhằm duy trì tính toàn vẹn của bảo mật thông tin và sau đó khôi phục lại tính toàn vẹn đó trong trường hợp thông tin bị xâm phạm theo bất kỳ cách nào sau khi hoạt động bị gián đoạn hoặc hệ thống bị lỗi.
Mức độ bảo mật phải được khôi phục về mức trước khi bị gián đoạn và phải được khôi phục kịp thời để giảm thiểu mọi thiệt hại tiếp theo.
Khi làm như vậy, các tổ chức nên:
- Triển khai và duy trì các biện pháp kiểm soát bảo mật thông tin chung, bao gồm các hệ thống kinh doanh và nền tảng ICT nằm trong các kế hoạch duy trì hoạt động rộng hơn của tổ chức.
- Triển khai các quy trình nhằm duy trì kiểm soát bảo mật thông tin trong suốt thời gian xảy ra gián đoạn.
- Khi cần thiết, hãy triển khai các biện pháp kiểm soát bù đắp cho bất kỳ nỗ lực nào liên quan đến bảo mật thông tin không thể duy trì trong suốt thời gian gián đoạn.
Hướng dẫn bổ sung
Tiêu chuẩn Kiểm soát 5.29 thừa nhận bản chất rất thay đổi của kế hoạch đảm bảo tính liên tục và trao cho các tổ chức nhiều quyền hạn để triển khai các biện pháp kiểm soát bảo mật thông tin cụ thể cho các loại gián đoạn kinh doanh khác nhau mà tổ chức có thể gặp phải.
ISO yêu cầu tổ chức tập trung vào hai lĩnh vực chính khi xây dựng kế hoạch duy trì hoạt động kinh doanh:
a) Tất tính bảo mật
b) Tính toàn vẹn của thông tin
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022-5.29 thay thế ba điều khiển sau từ 27002:2013:
- 17.1 – Lập kế hoạch bảo mật thông tin liên tục
- 17.1.2 – Triển khai tính liên tục của an ninh thông tin
- 17.1.3 – Xác minh, xem xét và đánh giá tính liên tục của bảo mật thông tin
Nhận thức được bản chất phức tạp của các kế hoạch duy trì hoạt động kinh doanh – và cách chúng khác nhau tùy theo các loại gián đoạn khác nhau – ISO đã đơn giản hóa hướng dẫn của mình bằng cách không áp dụng cách tiếp cận chi tiết mà thay vào đó yêu cầu các tổ chức xem xét một số điểm cơ bản khi soạn thảo các kế hoạch cụ thể theo từng chủ đề (xem ở trên).
Ví dụ, một phần hướng dẫn trong mục 17.1.2 nêu rõ rằng:
“Nhân viên ứng phó sự cố có trách nhiệm, thẩm quyền và năng lực cần thiết để quản lý sự cố và duy trì an ninh thông tin được đề cử”.
Mặc dù có tầm quan trọng trong việc lập kế hoạch liên tục hiệu quả, 5.29 không đề cập cụ thể đến các nhóm ứng phó sự cố và tin tưởng rằng tổ chức sẽ xem xét họ theo tất cả các điểm trong ghi chú hướng dẫn, cụ thể hơn là:
- Triển khai và duy trì các biện pháp kiểm soát bảo mật thông tin chung, bao gồm các hệ thống kinh doanh và nền tảng ICT nằm trong các kế hoạch duy trì hoạt động rộng hơn của tổ chức.
