ISO 27001 A priedas: kaip 93 kontrolės priemones paversti veikiančiomis

A priedas suteikia saugumo komandoms naudingą atskaitos rinkinį. Jo praktinė vertė atsiranda tada, kai parodoma, kodėl kontrolės priemonė taikoma, kaip ji įgyvendinta ir kokie įrodymai ją pagrindžia jūsų aplinkoje. Registro su 93 žaliais būsenos indikatoriais nepakanka, jei niekas negali paaiškinti, kurias sistemas tie indikatoriai apima.

Technologijų vadovui praktinis iššūkis yra paversti kontrolės priemonių tikslą inžineriniu ir veiklos darbu, nepaverčiant informacijos saugumo valdymo sistemos lygiagrečia biurokratija. Prieigos peržiūros turėtų remtis tikrais teisių duomenimis. Atkūrimo planai turėtų atspindėti paslaugų priklausomybes. Tiekėjų vertinimai turėtų apimti paslaugas, kurias verslas iš tikrųjų naudoja.

Šiame vadove paaiškinama, kaip parinkti kontrolės priemones, paskirstyti atsakomybę, apibrėžti įgyvendinimą ir patikrinti gautus teiginius. Toliau pateikti peržiūrų dažnumai ir įgyvendinimo pavyzdžiai yra praktinės rekomendacijos, o ne standarto nustatyti visuotiniai intervalai.

Supraskite, ką A priedas daro ir ko nedaro

ISO/IEC 27001:2022 A priede yra 93 kontrolės priemonės, suskirstytos į keturias temas. 4–10 skyriuose pateikti valdymo sistemos reikalavimai: organizacijos kontekstas, vadovavimas, planavimas, parama, veikla, veiklos rezultatų vertinimas ir gerinimas. A priedas padeda parinkti kontrolės priemones; jis nepakeičia šių reikalavimų ar jūsų rizikos vertinimo.

Šis skirtumas svarbus įgyvendinimo metu. Atsarginių kopijų konfigūracija gali pagrįsti pasirinktą kontrolės priemonę, tačiau ji neįrodo, kad apibrėžėte ISMS taikymo sritį, įvertinote rizikas, atlikote vidaus auditą ar užbaigėte vadovybės peržiūrą. Tai yra atskiros veiklos su atskirais įrodymais.

Kontrolės priemonės parenkamos remiantis rizika. Nustatykite kontrolės priemones, būtinas jūsų rizikoms valdyti, o tada palyginkite jas su A priedu, kad patikrintumėte, ar nepraleidote būtinų priemonių. Gali prireikti papildomų kontrolės priemonių, kurių nėra A priede. Kita vertus, galima pagrįstai kurią nors priemonę netaikyti; nėra taisyklės, kad kiekviena organizacija privalo ką nors netaikyti ar įgyvendinti lygiai tokį patį rinkinį.

ISO/IEC 27002:2022 pateikia kontrolės priemonių įgyvendinimo gaires. Jo atributai padeda jas sugrupuoti pagal kontrolės priemonės tipą, informacijos saugumo savybę, kibernetinio saugumo koncepciją, veiklos pajėgumą ir saugumo sritį. Tai naudingos filtravimo priemonės, o ne papildomi sertifikavimo kontroliniai sąrašai. Autoritetingos formuluotės ieškokite licencijuotuose standartuose.

Pasinaudokite keturiomis temomis tinkamiems atsakingiems asmenims rasti

Temos suteikia navigacijos struktūrą, o ne keturias nepriklausomas darbo kryptis. Pavyzdžiui, išeinančio darbuotojo procesas susieja darbo santykių atsakomybę, tapatybių administravimą, įrangos grąžinimą ir prieigą prie programų.

Organizacinės kontrolės priemonės: susiekite valdymą su veiklos sprendimais

Šios kontrolės priemonės apima politiką, atsakomybes, pareigų atskyrimą, turtą, informacijos klasifikavimą ir tvarkymą, prieigos valdymą, tiekėjus, incidentus, veiklos tęstinumą, teisines prievoles ir peržiūros veiklas.

Pradėkite nustatydami, kur priimami sprendimai. Kas tvirtina naują debesijos paslaugą? Kas priskiria informacijos klasifikaciją? Kas sprendžia, ar praneštas įvykis yra incidentas? Politika turėtų padaryti šiuos sprendimus pakartojamus ir paskirti įgaliojimus, o ne vien išreikšti paramą saugumui.

Tiekėjų saugumui reikia konkrečiai paslaugai skirtos įrodymų grandinės: paslaugos verslo paskirties, jos tvarkomos informacijos, įvertintų rizikų, sutartinių atsakomybių ir nuolatinės peržiūros. Tiekėjo užtikrinimo ataskaita gali pagrįsti šį vertinimą, tačiau jos apimtis, laikotarpis ir klientų atsakomybės turi atitikti jūsų naudojimą.

Incidentų valdymui taip pat reikia daugiau nei avarinių kontaktų sąrašo. Apibrėžkite pranešimo kelius, vertinimo kriterijus, reagavimo įgaliojimus, įrodymų tvarkymą ir mokymosi veiklas. Fiksuokite pratybas ar faktinius reagavimo atvejus, įskaitant tolesnius veiksmus ir atsakingus asmenis.

Su žmonėmis susijusios kontrolės priemonės: darbo santykių įvykius paverskite patikimais paleidikliais

Aštuonios su žmonėmis susijusios kontrolės priemonės apima patikrą, darbo sąlygas, sąmoningumą ir mokymus, drausminius procesus, atsakomybes pasikeitus darbo santykiams, konfidencialumą, nuotolinį darbą ir pranešimą apie įvykius.

Įtraukite jas į esamas darbo santykių darbo eigas. Naujam darbuotojui reikia tinkamų įsipareigojimų, prieigos ir instruktažo. Pareigas keičiančio darbuotojo teises reikia įvertinti iš naujo, o ne tiesiog papildyti. Išeinančiam darbuotojui reikia panaikinti prieigą, grąžinti turtą ir aiškiai nurodyti tebegaliojančias konfidencialumo pareigas.

Atsakomybė dažnai apima kelias komandas. Personalo skyrius gali inicijuoti išėjimą, tapatybių administratoriai išjungia centrinę paskyrą, programų savininkai panaikina vietoje valdomą prieigą, o vadovas patvirtina užbaigimą. Viso proceso pavedimas saugumo komandai paslepia šias priklausomybes.

Naudingi įrodymai apima patvirtintus darbo eigos įrašus, mokymų užbaigimą ir vėluojančių atvejų sekimą, patvirtintas sąlygas ir atrankos būdu patikrintus darbo santykių pokyčius. Apribokite prieigą prie jautrių personalo įrodymų; kontrolės priemonių peržiūrėtojui savaime nereikia visų asmens bylų.

Fizinės kontrolės priemonės: dokumentuokite savo ir tiekėjo ribas

Fizinės kontrolės priemonės apima patalpas, įėjimą, stebėseną, aplinkos grėsmes, saugias zonas, darbo stalus ir ekranus, įrangą, laikmenas, komunalines paslaugas, kabelius, priežiūrą ir utilizavimą.

Debesijai pirmenybę teikiančiai organizacijai vis tiek reikia įvertinti fizinį saugumą. Dalį įgyvendinimo gali užtikrinti debesijos tiekėjas, o įėjimas į biurą ir darbuotojų įrenginiai lieka pačios organizacijos atsakomybė. Užfiksuokite šį pasiskirstymą, užuot automatiškai netaikę visos temos.

Savo patalpoms nustatykite, kas gali įeiti, kaip keičiama prieiga, kur yra jautri įranga ir kaip aptarnaujami lankytojai. Nuotoliniams įrenginiams apibrėžkite jų rizikas atitinkančią laikymo, transportavimo, remonto ir utilizavimo tvarką.

Įrodymai gali apimti prieigos leidimų įrašus, lankytojų procedūras, įrangos inventorių ir utilizavimo įrašus. Tiekėjo įrodymai turėtų paaiškinti, kurie objektai ir paslaugos apimami; jie neturėtų būti laikomi jūsų biuro ar nešiojamųjų kompiuterių kontrolės priemonių įrodymu.

Technologinės kontrolės priemonės: prieš rinkdamiesi įrankius apibrėžkite aprėptį

Technologinė tema apima galinius įrenginius, privilegijuotą prieigą, autentifikavimą, prieigą prie išeitinio kodo, pajėgumus, kenkėjišką programinę įrangą, pažeidžiamumus, konfigūracijas, duomenų tvarkymą, atsargines kopijas, atsparumą, registravimą žurnaluose, stebėseną, tinklus, kriptografiją, kūrimą ir pakeitimų valdymą.

Pradėkite nuo sistemų aprėpties. Tapatybių politika yra neišsami, jei gamybinė prieiga, paslaugų paskyros ar atskirai valdoma programa nepatenka į jos įgyvendinimą. Žurnalų platforma yra neišsami, jei kritiniai įvykiai jos niekada nepasiekia arba niekas nereaguoja į įspėjimus.

Programinės įrangos kūrime reikalavimus ir projektavimo sprendimus susiekite su kodo peržiūra, saugumo testavimu, aplinkų atskyrimu, testinių duomenų tvarkymu ir išleidimo patvirtinimu. Grėsmių modeliavimas gali padėti nustatyti saugumo reikalavimus prieš įgyvendinimą. Testavimo gylis turėtų atitikti riziką ir prievoles; ISO 27001 nenustato visuotinio skverbties testavimo tvarkaraščio.

Kriptografijos srityje atskirkite saugomus ir perduodamus duomenis, dokumentuokite raktų savininkus, prieigą, atkūrimą, keitimą ir atšaukimą. Teiginys „šifravimas įjungtas“ palieka neatsakytus svarbius įgyvendinimo klausimus.

Kas pasikeitė 2022 m. ir kur ieškoti spragų

2013 m. leidime buvo 114 kontrolės priemonių, suskirstytų į 14 sričių. 2022 m. leidime jos pertvarkytos į 93 kontrolės priemones, suskirstytas į keturias temas, įskaitant 11 naujų. Mažesnis skaičius nereiškia mažiau saugumo darbo: sujungus kelias veiklos atsakomybes galima priskirti vienai nuorodai.

Atnaujindami senesnį registrą, išsaugokite esamus įgyvendinimus ir įrodymus, o ne tik pakeiskite identifikatorius. Patikrinkite, ar naujas grupavimas keičia aprėptį, atsakomybę ar bandymus, reikalingus jūsų būsenai pagrįsti.

Akredituoto ISO/IEC 27001:2013 sertifikavimo pereinamojo laikotarpio terminas buvo 2025 m. spalio 31 d. Šie sertifikatai nebegalioja; vien kontrolės priemonių registro atnaujinimas neįrodo sertifikavimo pagal 2022 m. leidimą.

Toliau pateikti praktiniai atspirties taškai 11 naujų kontrolės priemonių, o ne jų autoritetingo teksto atkartojimas.

Nelaikykite jų vienuolika automatinių produktų pirkimų. Pavyzdžiui, žvalgybinei informacijai apie grėsmes reikia analizės ir veiksmų, o ne tik prenumeruojamo informacijos srauto. Duomenų ištrynimui reikia suprasti kopijas, atsargines kopijas ir saugojimo prievoles, o ne vien turėti ištrynimo mygtuką. Stebėsenai reikia veiklos reagavimo kelio.

Taikymą ir įgyvendinimą fiksuokite atskirai

Jūsų taikymo pareiškimas (SoA) turėtų nurodyti būtinas kontrolės priemones, paaiškinti jų įtraukimą, užfiksuoti, ar jos įgyvendintos, ir pagrįsti A priedo kontrolės priemonių netaikymą. Šie reikalavimai yra ISO/IEC 27001 rizikos tvarkymo nuostatose.

Visų 93 nuorodų naudojimas kaip peržiūros rodyklės yra praktiškas būdas padaryti palyginimą patikrinamą. Įtraukite ir visas papildomas būtinas kontrolės priemones. SoA nėra rizikos registras, rizikos tvarkymo planas ar įrodymų saugykla, nors, kai tikslinga, turėtų būti su kiekvienu iš jų susietas.

Kiekvienai taikomai kontrolės priemonei užfiksuokite:

• Įtraukimą pagrindžiančias rizikas ar prievoles.
• Susijusias sistemas, vietas, informaciją ir procesus.
• Faktinį įgyvendinimą ir atsakingą asmenį.
• Pagrindžiančius įrodymus ir jų peržiūros laikotarpį.
• Priklausomybes, išimtis ir nebaigtus darbus.
• Kitos peržiūros datą arba ją inicijuojantį įvykį.

Taikymą laikykite nepriklausomą nuo įgyvendinimo būsenos. „Taikoma, įgyvendinta iš dalies“ yra sąžiningas ir naudingas įrašas. „Netaikoma, nes nenupirkome įrankio“ nėra taikymo pagrindimas.

Netaikymas turėtų aprašyti taikymo srities faktus, dėl kurių kontrolės priemonė nereikalinga, ir išlikti suderinamas su rizikos vertinimu. Teiginį „mes nekuriame programinės įrangos“ reikia kritiškai įvertinti, jei jūsų klientų portalą kuria rangovas. Užsakomosios paslaugos keičia įgyvendinimo ir įrodymų kelią; jos savaime nepašalina rizikos.

Paskirstyto įgyvendinimo atveju užfiksuokite pasiskirstymą. Fizinės apsaugos kontrolės priemonė gali priklausyti nuo tiekėjo eksploatuojamų talpinimo patalpų, įmonės valdomo įėjimo į biurą ir darbuotojų elgesio su įrenginiais. Vienas asmuo gali likti atsakingas už bendrą teiginį, o veiklas atlieka skirtingos komandos.

Naudingas įgyvendinimo aprašymas yra pakankamai konkretus, kad jį būtų galima patikrinti: „Gamybinės aplinkos administratoriai gauna vardinę, patvirtintą prieigą per tapatybių paslaugą; avarinė prieiga atskirai registruojama ir peržiūrima.“ Teiginys „prieiga valdoma saugiai“ negali padėti nei inžinieriui, nei peržiūrėtojui.

Patikrinkite teiginį, slypintį už būsenos

Politika aprašo numatytą elgseną. Ji gali įrodyti projektą ir patvirtinimą, tačiau viena negali įrodyti veikimo. Sukurkite įrodymų grandinę nuo reikalavimo iki įgyvendinto mechanizmo ir toliau iki stebimo rezultato.

Prieigos valdymo atveju palyginkite patvirtintas taisykles su faktinėmis naudotojų teisėmis ir išėjimo iš darbo įrašais. Kai aktualu, įtraukite privilegijuotas tapatybes, ne žmonių paskyras ir programas, kurios nevaldomos centralizuotai. Užfiksuokite visumą, imtį ir išimtis, o ne pateikite vieną patogią ekrano nuotrauką.

Atsarginių kopijų atveju patikrinkite konfigūraciją ir atkūrimo rezultatą. Sėkminga atsarginės kopijos užduotis įrodo mažiau nei sėkmingas naudoti tinkamos informacijos atkūrimas. Patikrinkite teises, priklausomybes ir atkūrimo tikslus; atkurta duomenų bazė be jos šifravimo raktų gali neatkurti paslaugos.

Tiekėjų saugumo atveju vertinimą susiekite su konkrečia paslauga ir sutartinėmis atsakomybėmis. Peržiūrėkite, ar įrodymai apima jūsų naudojamą paslaugą ir ar įgyvendintos nustatytos kliento pusės atsakomybės.

Praktiniame bandymo įraše turėtų būti nurodytas laukiamas rezultatas, metodas, apimtis, įrodymų data, peržiūrėtojas, rezultatas ir tolesnis sprendimas. Atskirkite:

• Projektas: siūlomas mechanizmas sprendžia nustatytą riziką.
• Įgyvendinimas: mechanizmas egzistuoja visoje nurodytoje apimtyje.
• Veikimas: įrašai rodo, kad jis veikė atitinkamu laikotarpiu.
• Veiksmingumas: bandymai rodo, kad jis pasiekia numatytą rezultatą.

Įrodymai gali apimti konfigūracijas, eksportus, užklausas, sutartis, pokalbius ir fizinius stebėjimus. Pasirinkite įrodymus, kurie pagrindžia faktinį teiginį. Konfigūracijos eksportas gali parodyti dabartinius nustatymus; istorinės užklausos gali parodyti, ar išimtys buvo tvarkomos laikui bėgant.

Išsaugokite kilmę: šaltinio sistemą, surinkimo datą, apimamą laikotarpį ir bet kokį filtravimą. Įrodymus, kuriuose yra slaptų duomenų ar asmeninės informacijos, apsaugokite prieigos apribojimais ir tinkamu užtamsinimu. Įrodymų rinkimas neturėtų sukurti naujos nekontroliuojamos jautrių duomenų saugyklos.

Pavyzdys: padarykite išeinančio darbuotojo procesą patikrinamą

Panagrinėkime iliustracinę SaaS įmonę, turinčią 45 darbuotojus, vieną biurą, debesijos talpinimą, centralizuotai valdomas tapatybes ir dvi programas su vietinėmis paskyromis. Tai yra pavyzdžio prielaidos, o ne Secani klientų rezultatai.

Rizika yra tebesanti prieiga prie klientų ar įmonės informacijos po darbuotojo išėjimo. Susijusios kontrolės priemonės apima atsakomybes pasikeitus darbo santykiams, tapatybių valdymą, prieigos teises ir turto grąžinimą. Įgyvendinimą taip pat palaiko techninis autentifikavimas ir prieigos apribojimai.

Įmonė užfiksuoja kontrolės priemonę kaip taikomą. Personalo skyrius atsako už išėjimo paleidiklį; IT atsako už tapatybių ir įrenginių veiksmus; kiekvienas programos savininkas atsako už vietinių paskyrų panaikinimą. Darbuotojo vadovas patvirtina reikiamą išėjimo laiką. Saugumo atsakingas asmuo peržiūri procesą ir neišspręstas išimtis.

Įgyvendinimas apima patvirtintą išėjimo užklausą, suplanuotą centrinės paskyros išjungimą, sesijų atšaukimą, kai tai palaikoma, vietinių paskyrų panaikinimą, turto grąžinimą ir asmens valdytų prisijungimo duomenų patikrą. Prireikus bendri slapti duomenys pakeičiami; asmeninės paskyros nėra lengvabūdiškai perskiriamos įpėdiniui.

Įrodymų paketas susieja patvirtintą procedūrą, išėjimo užklausą, paskyrų veiksmų įrašus, vietinių programų patvirtinimus ir įrangos įrašą. Kiekvienas elementas pagrindžia apibrėžtą teiginio dalį.

Iliustracinės peržiūros metu komanda išnagrinėja keturis išėjimo atvejus. Centrinės paskyros buvo išjungtos pagal planą, tačiau vienoje vietinėje programoje prieiga išliko dvi dienas. Kontrolės priemonė nepaskelbiama visiškai veiksminga remiantis vien centrinių tapatybių įrodymais.

Programos savininkas panaikina paskyrą, įvertina, ar prieiga buvo panaudota, ir užfiksuoja rezultatą. Komanda įtraukia programą į išėjimo kontrolinį sąrašą ir paskiria suderinimo veiksmą. Rizikos tvarkymo veiksmui priskiriamas atsakingas asmuo ir terminas; vėlesnis bandymas patikrina, ar patikslinta darbo eiga veikia.

Šis pavyzdys parodo, kodėl įrodymai turi sekti priklausomybes. Keturios sistemos, rodančios „užbaigta“, neįrodo užbaigimo, jei penktoji sistema niekada nebuvo įtraukta.

Išlaikykite kontrolės priemones veikiančias tarp peržiūrų

Kontrolės priemonės keičiasi, kai keičiasi sistemos, tiekėjai, žmonės ir verslo reikalavimai. Be suplanuotų peržiūrų, nustatykite peržiūros paleidiklius reikšmingiems išleidimams, naujoms paslaugoms, biuro pokyčiams, incidentams ir pakeistoms prievolėms.

Naudokite kintamumą ir riziką atitinkantį dažnumą. Privilegijuotos prieigos išimtis gali tekti peržiūrėti nedelsiant, o stabiliai politikai gali būti taikomas ilgesnis ciklas, papildytas pakeitimų paleidikliais. Tai yra vadovybės pasirinkimai, o ne visuotiniai A priedo dažnumai.

Sekite nedaug naudingų rodiklių: vėluojantį šalinimą, neaprėptas sistemas, neišspręstas įrodymų išimtis ir nepavykusius kontrolės priemonių bandymus. Atskirkite juos nuo dokumentų skaičiaus. Didelė įrodymų biblioteka vis tiek gali palikti kritinę gamybinę aplinką nepatikrintą.

Vidaus auditas suteikia atskirą ISMS įvertinimą; įprastos kontrolės priemonių savininkų peržiūros jo nepakeičia. Vadovybės peržiūrai taip pat reikia vadovybės sprendimų dėl veiklos rezultatų, pokyčių, išteklių ir gerinimo, o ne vien užpildytos kontrolės priemonių skaičiuoklės. Sertifikavimą atlieka nepriklausoma sertifikavimo įstaiga, o ne ISO ar programinės įrangos tiekėjas.

Dažnos klaidos – viską pavesti saugumo komandai, kopijuoti kitos organizacijos netaikomas priemones, pasikliauti tiekėjų sertifikatais nepatikrinus jų apimties ir uždaryti neatitiktis pakeitus politiką, o ne tada, kai patikslintas procesas išbandytas.

Pradėkite nuo vienos paslaugos ir išsamios įrodymų grandinės

Pasirinkite reprezentatyvią paslaugą ir atsekite jos sistemas, paslaugų teikėjus, informaciją ir už veiklą atsakingus asmenis. Pasirinkite nedidelį susijusių kontrolės priemonių rinkinį, pavyzdžiui, prieigos, pakeitimų valdymo, registravimo žurnaluose ir atkūrimo, ir padarykite kiekvieną įgyvendinimą patikrinamą prieš plėsdami registrą.

Secani palaiko šią darbo eigą modeliuodama sistemas ir priklausomybes, susiedama įrodymus su reikalavimais, kontrolės priemonėmis ir sprendimais bei sekdama spragas kaip užduotis. Paskirkite atsakingą asmenį ir peržiūrėtoją, pridėkite esamus įrašus ir išsaugokite peržiūros komentarus bei patvirtinimus. DI padedamus susiejimus ar santraukas laikykite juodraščiais: patvirtinkite šaltinius ir išlaikykite aiškų žmogaus patvirtinimą. Struktūruotas pasirengimas auditui paaiškina pagrindžiantį įrodymų modelį.

Pirmasis rezultatas turėtų būti nuosekli grandinė nuo rizikos iki kontrolės priemonės, įgyvendinimo, įrodymų, bandymo rezultato ir tolesnio sprendimo. Tada šią grandinę galima pakartoti likusioje taikymo srityje, nekuriant naujo proceso kiekvienai A priedo nuorodai.

Praktiniai klausimai

Ar vienas įrašas gali pagrįsti kelias kontrolės priemones?

Taip. Išėjimo užklausa gali pagrįsti kelias susijusias kontrolės priemones. Paaiškinkite, kurį teiginį ji pagrindžia kiekvienai iš jų; bendri įrodymai nepadaro kontrolės priemonių tapačiomis.

Ar kiekviena kontrolės priemonė turi turėti savo politiką?

Ne. Politiką ir procedūras organizuokite pagal suprantamus veiklos procesus. Vienas dokumentas gali apimti kelias kontrolės priemones, jei atsakomybės ir įgyvendinimas išlieka aiškūs.

Iš kur turėtų būti imamas autoritetingas kontrolės priemonių sąrašas?

A priedo formuluotėms naudokite licencijuotą ISO/IEC 27001 standartą, o įgyvendinimo gairėms – ISO/IEC 27002. Veiklos santraukos yra naudingos navigacijos priemonės, o ne standartų pakaitalai.