ISO 27001 A-lisa: viige 93 meedet ellu

A-lisa annab turvameeskondadele kasuliku viitekogumi. Selle tegevuslik väärtus tuleneb sellest, et see näitab, miks meede kohaldub, kuidas see on rakendatud ja millised tõendid seda teie keskkonnas toetavad. Register, milles on 93 rohelist olekunäitajat, ei ole piisav, kui keegi ei oska selgitada, milliseid süsteeme need näitajad hõlmavad.

Tehnoloogiajuhi jaoks on praktiline väljakutse muuta meetme eesmärk inseneri- ja tegevustööks, ilma et infoturbe juhtimissüsteemist saaks paralleelne bürokraatia. Juurdepääsu ülevaatused peaksid kasutama tegelikke õiguste andmeid. Taasteplaanid peaksid kajastama teenuste sõltuvusi. Tarnijate hindamised peaksid käsitlema teenuseid, mida ettevõte tegelikult kasutab.

See juhend selgitab, kuidas meetmeid valida, omandit jaotada, rakendusi määratleda ja nendest tulenevaid väiteid testida. Allpool toodud ülevaatuste sagedused ja rakendusnäited on praktilised soovitused, mitte standardis ette nähtud üldised intervallid.

Mõistke, mida A-lisa teeb ja mida mitte

ISO/IEC 27001:2022 sisaldab 93 A-lisa meedet nelja teema all. Punktid 4–10 sisaldavad juhtimissüsteemi nõudeid: organisatsiooni kontekst, eestvedamine, planeerimine, tugi, toimimine, toimivuse hindamine ja parendamine. A-lisa toetab meetmete valikut; see ei asenda neid nõudeid ega teie riskihindamist.

See eristus on rakendamise ajal oluline. Varunduse konfiguratsioon võib toetada valitud meedet, kuid see ei tõenda, et olete määratlenud ISMS-i ulatuse, hinnanud riske, korraldanud siseauditi või lõpetanud juhtkonna ülevaatuse. Need on eraldi tegevused eraldi tõenditega.

Meetmete valik on riskipõhine. Tehke kindlaks meetmed, mis on vajalikud teie riskide käsitlemiseks, ja võrrelge neid seejärel A-lisaga, et kontrollida, kas vajalikke meetmeid pole välja jäetud. Vajalikud võivad olla ka täiendavad meetmed väljaspool A-lisa. Seevastu on võimalik põhjendatud väljaarvamine; puudub reegel, et iga organisatsioon peab midagi välja arvama või rakendama täpselt sama valiku.

ISO/IEC 27002:2022 annab meetmete rakendamise juhised. Selle atribuudid aitavad meetmeid korraldada meetme liigi, infoturbe omaduse, küberturvalisuse kontseptsiooni, tegevusvõimekuse ja turbevaldkonna järgi. Need on kasulikud filtreerimisvahendid, mitte täiendavad sertifitseerimise kontroll-loendid. Autoriteetse sõnastuse leiate litsentsitud standarditest.

Kasutage nelja teemat õigete omanike leidmiseks

Teemad pakuvad navigeerimisstruktuuri, mitte nelja sõltumatut töösuunda. Näiteks lahkuja protsess seob omavahel töösuhtega seotud kohustused, identiteedihalduse, seadmete tagastamise ja rakenduste juurdepääsu.

Korralduslikud meetmed: siduge juhtimine tegevusotsustega

Need meetmed hõlmavad poliitikaid, kohustusi, ülesannete lahusust, varasid, teabe liigitamist ja käitlemist, juurdepääsu juhtimist, tarnijaid, intsidente, talitluspidevust, õiguslikke kohustusi ja ülevaatustegevusi.

Alustage sellest, kus otsuseid tehakse. Kes kiidab heaks uue pilveteenuse? Kes määrab teabe liigituse? Kes otsustab, kas teatatud sündmus on intsident? Poliitika peaks muutma need otsused korratavaks ja andma volitused, mitte ainult väljendama toetust turvalisusele.

Tarnijate turvalisus vajab teenusepõhist tõendite ahelat: teenuse äriline eesmärk, selle käideldav teave, hinnatud riskid, lepingulised kohustused ja jätkuv ülevaatus. Tarnija kindlustandmise aruanne võib seda hindamist toetada, kuid selle ulatus, periood ja kliendi kohustused peavad vastama teie kasutusele.

Samamoodi vajab intsidentide haldus enamat kui hädaolukorra kontaktide loetelu. Määratlege teatamisteed, hindamiskriteeriumid, reageerimisvolitused, tõendite käitlemine ja õppimistegevused. Salvestage õppused või tegelikud reageerimised, sealhulgas järelmeetmed ja omanikud.

Inimestega seotud meetmed: muutke töösuhte sündmused usaldusväärseteks käivitajateks

Kaheksa inimestega seotud meedet käsitlevad taustakontrolli, töötingimusi, teadlikkust ja koolitust, distsiplinaarprotsesse, kohustusi pärast töösuhte muutumist, konfidentsiaalsust, kaugtööd ja sündmustest teatamist.

Ehitage need olemasolevatesse töösuhte töövoogudesse. Liitujal on vaja asjakohaseid kohustusi, juurdepääsu ja juhendamist. Rolli vahetaja õigused tuleb uuesti hinnata, mitte lihtsalt neid juurde lisada. Lahkujal on vaja juurdepääsu eemaldamist, varade tagastamist ja selgust jätkuvate konfidentsiaalsuskohustuste kohta.

Omand ulatub sageli üle mitme meeskonna. Personaliosakond võib algatada lahkumise, identiteedihaldurid keelavad keskse konto, rakenduste omanikud eemaldavad kohalikult hallatava juurdepääsu ja juht kinnitab lõpetamise. Kogu protsessi turvalisusele määramine peidab need sõltuvused.

Kasulikud tõendid hõlmavad heakskiidetud töövookirjeid, koolituse läbimist ja tähtaja ületanud järeltegevust, kinnitatud tingimusi ja valimisse võetud töösuhte muudatusi. Piirake juurdepääsu tundlikele personalitõenditele; meetme ülevaatajal ei ole automaatselt vaja täielikke personalitoimikuid.

Füüsilised meetmed: dokumenteerige oma piir ja tarnija piir

Füüsilised meetmed käsitlevad ruume, sisenemist, seiret, keskkonnaohte, turvaalasid, töölaudu ja ekraane, seadmeid, andmekandjaid, kommunaalteenuseid, kaabeldust, hooldust ja kõrvaldamist.

Ka pilvekeskne organisatsioon peab füüsilist turvalisust arvesse võtma. Osa rakendusest võib pakkuda pilvetarnija, samal ajal kui kontori juurdepääs ja töötajate seadmed jäävad organisatsiooni enda vastutusele. Salvestage see jaotus, selle asemel et kogu teema automaatselt välja arvata.

Oma asukohtade puhul tehke kindlaks, kes saab siseneda, kuidas juurdepääs muutub, kus asuvad tundlikud seadmed ja kuidas külastajaid käsitletakse. Kaugseadmete puhul määratlege nende riskidele vastav hoidmise, transpordi, remondi ja kõrvaldamise kord.

Tõendid võivad hõlmata juurdepääsuõiguste kirjeid, külastajate protseduure, seadmete inventuure ja kõrvaldamiskirjeid. Tarnija tõendid peaksid selgitama hõlmatud rajatisi ja teenuseid; neid ei tohiks käsitleda teie kontori või sülearvutite meetmete tõendina.

Tehnoloogilised meetmed: määratlege katvus enne tööriistade valimist

Tehnoloogiline teema hõlmab lõppseadmeid, privilegeeritud juurdepääsu, autentimist, lähtekoodi juurdepääsu, jõudlust, pahavara, haavatavusi, konfiguratsioone, andmete käitlemist, varukoopiaid, vastupidavust, logimist, seiret, võrke, krüptograafiat, arendust ja muudatuste haldust.

Alustage süsteemide katvusest. Identiteedipoliitika on puudulik, kui tootmiskeskkonna juurdepääs, teenusekontod või eraldi hallatav rakendus jäävad selle rakendusest välja. Logimisplatvorm on puudulik, kui kriitilised sündmused sinna kunagi ei jõua või kui keegi hoiatustele ei reageeri.

Tarkvaraarenduse puhul siduge nõuded ja disainiotsused koodiülevaatuse, turvatestimise, keskkondade eraldamise, testandmete käitlemise ja väljalaske heakskiiduga. Ohumodelleerimine võib aidata turvanõudeid enne rakendamist tuvastada. Testimise sügavus peaks järgima riske ja kohustusi; ISO 27001 ei kehtesta üldist läbistustestimise ajakava.

Krüptograafia puhul eristage salvestatud andmeid edastatavatest andmetest ning dokumenteerige võtmete omand, juurdepääs, taastamine, vahetamine ja tühistamine. „Krüpteerimine on sisse lülitatud“ jätab olulised rakendusküsimused vastuseta.

Mis muutus 2022. aastal ja kust puudujääke otsida

2013. aasta väljaandes oli 114 meedet 14 valdkonnas. 2022. aasta väljaanne korraldas need ümber 93 meetmeks nelja teema all, sealhulgas 11 uut meedet. Väiksem arv ei tähenda vähem turvatööd: konsolideerimine võib panna mitu tegevuslikku kohustust ühe viite alla.

Vanema registri ajakohastamisel säilitage aluseks olevad rakendused ja tõendid, mitte ärge lihtsalt asendage identifikaatoreid. Kontrollige, kas uus rühmitus muudab katvust, omandit või teie oleku toetamiseks vajalikke teste.

Akrediteeritud ISO/IEC 27001:2013 sertifikaatide üleminekutähtaeg oli 31. oktoober 2025. Need sertifikaadid ei kehti enam; ainuüksi meetmete registri ajakohastamine ei tõenda sertifitseerimist 2022. aasta väljaande järgi.

Järgnevad on praktilised lähtepunktid 11 uue meetme jaoks, mitte nende autoriteetse teksti reprodutseeringud.

Vältige nende käsitlemist üheteistkümne automaatse tooteostuna. Näiteks vajab ohuteave analüüsi ja tegutsemist, mitte ainult tellitud voogu. Andmete kustutamine nõuab koopiate, varukoopiate ja säilitamiskohustuste mõistmist, mitte ainult kustutamisnuppu. Seire vajab tegevuslikku reageerimisteed.

Salvestage kohaldatavus ja rakendamine eraldi

Teie kohaldatavusavaldus (Statement of Applicability, SoA) peaks tuvastama vajalikud meetmed, selgitama nende kaasamist, salvestama, kas need on rakendatud, ja põhjendama A-lisa meetmete väljaarvamisi. Need nõuded kuuluvad ISO/IEC 27001 riskikäsitluse sätete hulka.

Kõigi 93 viite kasutamine ülevaatuse indeksina on praktiline viis muuta võrdlus kontrollitavaks. Lisage ka kõik täiendavad vajalikud meetmed. Kohaldatavusavaldus ei ole riskiregister, käsitluskava ega tõendite hoidla, kuigi see peaks asjakohasel juhul olema seotud igaühega neist.

Iga kohaldatava meetme kohta salvestage:

• Kaasamist toetavad riskid või kohustused.
• Asjakohased süsteemid, asukohad, teave ja protsessid.
• Tegelik rakendus ja vastutav omanik.
• Toetavad tõendid ja nende ülevaatusperiood.
• Sõltuvused, erandid ja lõpetamata töö.
• Järgmine ülevaatuse kuupäev või sündmuspõhine käivitaja.

Hoidke kohaldatavus elluviimise olekust sõltumatuna. „Kohaldatav, osaliselt rakendatud“ on aus ja kasulik kirje. „Ei kohaldu, sest me pole tööriista ostnud“ ei ole kohaldatavuse põhjendus.

Väljaarvamine peaks kirjeldama ulatusega seotud fakte, mis muudavad meetme tarbetuks, ja jääma kooskõlla riskihindamisega. „Me ei arenda tarkvara“ vajab põhjalikku kontrolli, kui teie kliendiportaali arendab lepingupartner. Allhange muudab rakendamise ja tõendite teed; see ei kõrvalda automaatselt riski.

Hajutatud rakenduste puhul salvestage jaotus. Füüsilise kaitse meede võib sõltuda tarnija käitatavatest majutusrajatistest, ettevõtte hallatavast kontorisse sisenemisest ja töötajate seadmete käitlemisest. Üks omanik võib jääda koondväite eest vastutavaks, samal ajal kui tegevusi teevad eri meeskonnad.

Kasulik rakenduse kirjeldus on testimiseks piisavalt konkreetne: „Tootmiskeskkonna administraatorid saavad nimelise, heakskiidetud juurdepääsu identiteediteenuse kaudu; hädaolukorra juurdepääs logitakse ja vaadatakse üle eraldi.“ „Juurdepääsu hallatakse turvaliselt“ ei suuda suunata inseneri ega ülevaatajat.

Testige oleku taga olevat väidet

Poliitika kirjeldab kavandatud käitumist. See võib tõendada ülesehitust ja heakskiitu, kuid ei saa üksi tõendada toimimist. Looge tõendite ahel nõudest rakendatud mehhanismini ja seejärel vaadeldud tulemuseni.

Juurdepääsuhalduse puhul võrrelge heakskiidetud reegleid kasutajate tegelike õiguste ja lahkumiskirjetega. Kaasake asjakohasel juhul privilegeeritud identiteedid, mitteinimkontod ja keskse identiteedihalduse välised rakendused. Salvestage populatsioon, valim ja erandid, selle asemel et esitada üksainus mugav ekraanipilt.

Varukoopiate puhul kontrollige konfiguratsiooni ja taastamise tulemust. Edukas varundustöö tõendab vähem kui kasutatava teabe edukas taastamine. Kontrollige õigusi, sõltuvusi ja taaste-eesmärke; krüpteerimisvõtmeteta taastatud andmebaas ei pruugi teenust taastada.

Tarnijate turvalisuse puhul siduge hindamine konkreetse teenuse ja lepinguliste kohustustega. Vaadake üle, kas tõendid hõlmavad teie kasutatavat teenust ja kas tuvastatud kliendipoolsed kohustused on rakendatud.

Praktiline testikirje peaks sisaldama oodatavat tulemust, meetodit, ulatust, tõendi kuupäeva, ülevaatajat, tulemust ja järelotsust. Eristage:

• Ülesehitus: kavandatud mehhanism käsitleb tuvastatud riski.
• Rakendamine: mehhanism on olemas kogu kirjeldatud ulatuses.
• Toimimine: kirjed näitavad, et see toimis asjakohasel perioodil.
• Tõhusus: testimine näitab, et see saavutab kavandatud tulemuse.

Tõendid võivad hõlmata konfiguratsioone, eksporte, pileteid, lepinguid, intervjuusid ja füüsilisi vaatlusi. Valige tõendid, mis toetavad tegelikku väidet. Konfiguratsiooni eksport võib näidata praeguseid seadeid; ajaloolised piletid võivad näidata, kas erandeid on aja jooksul käsitletud.

Säilitage päritolu: lähtesüsteem, kogumise kuupäev, hõlmatud periood ja võimalik filtreerimine. Kaitske saladusi või isikuandmeid sisaldavaid tõendeid juurdepääsupiirangute ja asjakohase varjamise abil. Tõendite kogumine ei tohiks luua uut kontrollimatut tundlike andmete hoidlat.

Näide: muutke lahkuja protsess kontrollitavaks

Vaatleme illustreerivat SaaS-ettevõtet, kellel on 45 töötajat, üks kontor, pilvemajutus, tsentraalselt hallatav identiteet ja kaks kohalike kontodega rakendust. Need on näite eeldused, mitte Secani klientide tulemused.

Risk seisneb jätkuvas juurdepääsus kliendi- või ettevõtteteabele pärast lahkumist. Asjakohased meetmed hõlmavad töösuhte muutumisega seotud kohustusi, identiteedihaldust, juurdepääsuõigusi ja varade tagastamist. Rakendamist toetavad ka tehniline autentimine ja juurdepääsupiirangud.

Ettevõte salvestab meetme kohaldatavana. Lahkumise käivitaja omanik on personaliosakond; identiteedi- ja seadmetoimingute omanik on IT; iga rakenduse omanik vastutab kohalike kontode eemaldamise eest. Töötaja juht kinnitab nõutava lahkumise ajastuse. Turvalisuse omanik vaatab üle protsessi ja lahendamata erandid.

Rakendus hõlmab volitatud lahkumispiletit, keskse konto planeeritud keelamist, seansside tühistamist seal, kus see on toetatud, kohalike kontode eemaldamist, varade tagastamist ja inimese kontrolli all olnud mandaatide kontrolli. Jagatud saladused vahetatakse vajaduse korral; isiklikke kontosid ei anta juhuslikult üle järglasele.

Tõendite pakett seob heakskiidetud protseduuri, lahkumispileti, kontotoimingute kirjed, kohalike rakenduste kinnitused ja seadmekirje. Iga üksus toetab väite kindlat osa.

Illustreeriva ülevaatuse käigus uurib meeskond nelja lahkumist. Kesksed kontod keelati plaanipäraselt, kuid ühes kohalikus rakenduses säilis juurdepääs kaks päeva. Meedet ei kuulutata täielikult tõhusaks üksnes keskse identiteedi tõendite põhjal.

Rakenduse omanik eemaldab konto, hindab, kas juurdepääsu kasutati, ja salvestab tulemuse. Meeskond lisab rakenduse lahkumise kontroll-loendisse ja määrab võrdlussammu. Käsitlusmeede saab omaniku ja tähtaja; hilisem test kontrollib, kas muudetud töövoog toimib.

See näide näitab, miks tõendid peavad järgima sõltuvusi. Neli süsteemi, mis ütlevad „valmis“, ei tõenda lõpetamist, kui viiendat süsteemi ei kaasatud kunagi.

Hoidke meetmed ülevaatuste vahel toimivana

Meetmed muutuvad, kui muutuvad süsteemid, tarnijad, inimesed ja ärinõuded. Seadke lisaks plaanilistele ülevaatustele ülevaatuse käivitajad oluliste väljalasete, uute teenuste, kontorimuudatuste, intsidentide ja muudetud kohustuste jaoks.

Kasutage muutlikkusele ja riskile vastavat sagedust. Privilegeeritud juurdepääsu erandid võivad vajada kiiret ülevaatust, samas kui stabiilne poliitika võib kasutada pikemat tsüklit, mida täiendavad muudatuspõhised käivitajad. Need on juhtimisotsused, mitte A-lisa üldised sagedused.

Jälgige väikest hulka kasulikke näitajaid: tähtaja ületanud parandused, katmata süsteemid, lahendamata tõendite erandid ja ebaõnnestunud meetmete testid. Eraldage need dokumentide arvust. Suur tõendite raamatukogu võib siiski jätta kriitilise tootmiskeskkonna testimata.

Siseaudit annab ISMS-ile eraldi hinnangu; meetmete omanike tavapärased ülevaatused seda ei asenda. Samamoodi vajab juhtkonna ülevaatus juhtkonna otsuseid toimivuse, muudatuste, ressursside ja parendamise kohta, mitte ainult täidetud meetmete arvutustabelit. Sertifitseerimise teeb sõltumatu sertifitseerimisasutus, mitte ISO ega tarkvarapakkuja.

Levinud vead on kõige turvalisusele määramine, teise organisatsiooni väljaarvamiste kopeerimine, tarnijate sertifikaatidele tuginemine ulatust kontrollimata ja leidude sulgemine poliitika muutmisel, mitte siis, kui muudetud protsessi on testitud.

Alustage ühest teenusest ja terviklikust tõendite ahelast

Valige esinduslik teenus ning jälgige selle süsteeme, teenuseosutajaid, teavet ja tegevuslikke omanikke. Valige väike hulk seotud meetmeid, näiteks juurdepääs, muudatuste haldus, logimine ja taastamine, ning muutke iga rakendus kontrollitavaks enne registri laiendamist.

Secani toetab seda töövoogu süsteemide ja sõltuvuste modelleerimise, tõendite nõuete, meetmete ja otsustega sidumise ning puudujääkide ülesannetena jälgimise kaudu. Määrake omanik ja ülevaataja, lisage olemasolevad kirjed ning säilitage ülevaatuse kommentaarid ja heakskiidud. Käsitlege tehisintellekti abil tehtud vastendusi või kokkuvõtteid mustanditena: valideerige allikad ja hoidke inimese heakskiit selgesõnalisena. Struktureeritud auditivalmidus selgitab toetavat tõendimudelit.

Esimene tulemus peaks olema sidus ahel riskist meetme, rakenduse, tõendi, testitulemuse ja järelotsuseni. Seda ahelat saab seejärel korrata ülejäänud ulatuses, ilma et iga A-lisa viite jaoks tuleks leiutada uus protsess.

Praktilised küsimused

Kas üks kirje võib toetada mitut meedet?

Jah. Lahkumispilet võib toetada mitut seotud meedet. Selgitage, millist väidet see iga meetme puhul toetab; tõendite jagamine ei muuda meetmeid identseks.

Kas igal meetmel peab olema oma poliitika?

Ei. Korraldage poliitikad ja protseduurid arusaadavate tegevusprotsesside ümber. Üks dokument võib käsitleda mitut meedet, eeldusel et kohustused ja rakendus jäävad selgeks.

Kust peaks pärinema autoriteetne meetmete loetelu?

Kasutage A-lisa sõnastuse jaoks litsentsitud ISO/IEC 27001 standardit ja rakendusjuhiste jaoks ISO/IEC 27002 standardit. Tegevuslikud kokkuvõtted on kasulikud navigeerimisvahendid, mitte standardite asendajad.