Що таке елементи керування Додатка A в ISO 27001:2022?

Огляд

Елементи керування Додатка A — це 93 заходи з інформаційної безпеки, перелічені в Додатку A стандарту ISO 27001:2022, з яких організації можуть обирати для усунення виявлених ризиків інформаційної безпеки. Вони представляють міжнародно визнані найкращі практики безпеки, організовані за чотирма темами: Організаційні, Персонал, Фізичні та Технологічні.

Що це означає на практиці

Уявіть Додаток A як вичерпне меню заходів безпеки. На основі оцінки ризиків ви обираєте, які заходи впровадити з цього меню. Вам не потрібно впроваджувати всі 93 — лише ті, що усувають ризики, виявлені у вашому конкретному контексті.

Чотири теми заходів керування

Організаційні заходи (A.5.1 - A.5.37) - 37 заходів

Заходи на рівні управління для корпоративного управління, політик, управління ризиками, управління активами, безпеки постачальників, управління інцидентами, безперервності бізнесу та відповідності вимогам.

Основні приклади:

• A.5.1 - Політики інформаційної безпеки
• A.5.7 - Розвідка загроз
• A.5.9 - Облік інформації та активів
• A.5.19 - Інформаційна безпека у відносинах з постачальниками
• A.5.24 - Планування управління інцидентами інформаційної безпеки

Заходи щодо персоналу (A.6.1 - A.6.8) - 8 заходів

Заходи, що управляють ризиками безпеки, пов'язаними з людьми, протягом усього життєвого циклу працевлаштування — від найму до звільнення.

Основні приклади:

• A.6.1 - Перевірка (перевірка анкетних даних)
• A.6.3 - Обізнаність, освіта та навчання з питань інформаційної безпеки
• A.6.7 - Віддалена робота
• A.6.8 - Повідомлення про події інформаційної безпеки

Фізичні заходи (A.7.1 - A.7.14) - 14 заходів

Заходи, що захищають фізичне середовище, де зберігаються або обробляються інформаційні активи.

Основні приклади:

• A.7.1 - Фізичні периметри безпеки
• A.7.2 - Фізичний контроль доступу
• A.7.4 - Фізичний моніторинг безпеки
• A.7.10 - Управління носіями даних

Технологічні заходи (A.8.1 - A.8.34) - 34 заходи

Технічні та ІТ-заходи безпеки, включаючи управління доступом, криптографію, мережеву безпеку, безпечну розробку та управління вразливостями.

Основні приклади:

• A.8.2 - Права привілейованого доступу
• A.8.5 - Безпечна аутентифікація
• A.8.8 - Управління технічними вразливостями
• A.8.13 - Резервне копіювання інформації
• A.8.16 - Моніторинг діяльності

Зміни порівняно з ISO 27001:2013

Реструктуризація та консолідація

Версія 2022 року скоротила 114 заходів у 14 доменах до 93 заходів у 4 темах, зробивши структуру більш чіткою та логічною.

11 нових заходів для сучасних загроз

• A.5.7 - Розвідка загроз
• A.5.23 - Інформаційна безпека при використанні хмарних сервісів
• A.8.9 - Управління конфігурацією
• A.8.10 - Видалення інформації
• A.8.11 - Маскування даних
• A.8.12 - Запобігання витоку даних
• A.8.16 - Моніторинг діяльності
• A.8.23 - Фільтрація веб-трафіку
• A.8.28 - Безпечне кодування
• A.7.4 - Фізичний моніторинг безпеки
• A.8.9 - Управління конфігурацією

24 заходи об'єднано

Пов'язані заходи з 2013 року були консолідовані для зменшення дублювання. Наприклад, кілька вимог до контролю доступу були об'єднані в оптимізовані заходи.

Як обирати заходи

Крок 1: Проведіть оцінку ризиків

Виявте ризики інформаційної безпеки, з якими стикається ваша організація. Заходи обираються для усунення цих ризиків, а не впроваджуються сліпо.

Крок 2: Визначте застосовність заходів

Для кожного виявленого ризику перегляньте Додаток A, щоб знайти заходи, які зменшать ризик до прийнятного рівня.

Крок 3: Розгляньте варіанти обробки ризиків

Ви можете обробляти ризики через:

• Впровадження заходів: Застосування заходів Додатка A для зменшення ризику
• Уникнення ризику: Усунення ризикованої діяльності
• Передача ризику: Використання страхування або аутсорсингу третім особам
• Прийняття ризику: Формальне прийняття ризиків нижче вашого порогу

Крок 4: Документуйте у Звіті про застосовність

Створіть ваш Звіт про застосовність (SoA), перелічивши всі 93 заходи з позначенням статусу включення/виключення та обґрунтуваннями на основі оцінки ризиків.

Крок 5: Впроваджуйте обрані заходи

Впроваджуйте включені заходи з відповідним обсягом, термінами та ресурсами на основі пріоритетності ризиків.

Рекомендації щодо впровадження заходів

Супутній стандарт ISO 27002:2022

Хоча ISO 27001 містить цілі заходів, ISO 27002 надає детальні рекомендації щодо впровадження кожного заходу, включаючи мету, рекомендації щодо впровадження та пов'язану інформацію.

Атрибути заходів у ISO 27002

Версія 2022 року представила атрибути заходів, які допомагають зрозуміти:

• Тип заходу: Превентивний, детективний або коригувальний
• Властивості інформаційної безпеки: Конфіденційність, цілісність, доступність
• Концепції кібербезпеки: Ідентифікація, захист, виявлення, реагування, відновлення
• Операційні можливості: Які функції безпеки підтримує захід
• Домени безпеки: Управління, захист, оборона, стійкість

Адаптація заходів до контексту

ISO 27001 очікує, що заходи будуть впроваджуватися пропорційно. Підхід до "безпечного кодування" (A.8.28) у стартапі з 10 співробітниками відрізнятиметься від підходу банку, але обидва можуть бути відповідними, якщо враховують їхні ризики та контекст.

Типові шаблони впровадження заходів

Заходи високого пріоритету для більшості організацій

На основі типових профілів ризиків ці заходи зазвичай включаються:

• Організаційні: A.5.1 (Політики), A.5.9 (Облік активів), A.5.15 (Контроль доступу), A.5.24 (Управління інцидентами)
• Персонал: A.6.3 (Навчання), A.6.8 (Повідомлення про інциденти)
• Технологічні: A.8.2 (Привілейований доступ), A.8.5 (Аутентифікація), A.8.8 (Управління вразливостями), A.8.13 (Резервне копіювання), A.8.16 (Моніторинг)

Заходи, які часто виключаються

Залежно від контексту, організації зазвичай виключають:

• Фізичні заходи (A.7.x): Організації, що працюють виключно в хмарі та не мають власних дата-центрів
• Заходи щодо розробки (A.8.25-A.8.34): Організації, які не розробляють програмне забезпечення
• Заходи щодо постачальників (A.5.19-A.5.22): Організації з мінімальною залежністю від третіх сторін

Детальний огляд організаційних заходів (A.5.x)

Політики інформаційної безпеки (A.5.1 - A.5.4)

• A.5.1 - Політики інформаційної безпеки
• A.5.2 - Ролі та обов'язки з питань інформаційної безпеки
• A.5.3 - Розподіл обов'язків
• A.5.4 - Відповідальність керівництва

Управління контактами (A.5.5 - A.5.6)

• A.5.5 - Контакти з органами влади
• A.5.6 - Контакти зі спеціалізованими групами зацікавлених сторін

Управління загрозами та проектами (A.5.7 - A.5.8)

• A.5.7 - Розвідка загроз
• A.5.8 - Інформаційна безпека в управлінні проектами

Управління активами (A.5.9 - A.5.14)

• A.5.9 - Облік інформації та інших пов'язаних активів
• A.5.10 - Прийнятне використання інформації та інших пов'язаних активів
• A.5.11 - Повернення активів
• A.5.12 - Класифікація інформації
• A.5.13 - Маркування інформації
• A.5.14 - Передача інформації

Контроль доступу (A.5.15 - A.5.18)

• A.5.15 - Контроль доступу
• A.5.16 - Управління ідентифікацією
• A.5.17 - Аутентифікаційна інформація
• A.5.18 - Права доступу

Відносини з постачальниками (A.5.19 - A.5.23)

• A.5.19 - Інформаційна безпека у відносинах з постачальниками
• A.5.20 - Забезпечення інформаційної безпеки в угодах з постачальниками
• A.5.21 - Управління інформаційною безпекою в ланцюжку постачання ІКТ
• A.5.22 - Моніторинг, огляд та управління змінами послуг постачальників
• A.5.23 - Інформаційна безпека при використанні хмарних сервісів (НОВИЙ у 2022 році)

Управління інцидентами (A.5.24 - A.5.28)

• A.5.24 - Планування та підготовка до управління інцидентами інформаційної безпеки
• A.5.25 - Оцінка та прийняття рішень щодо подій інформаційної безпеки
• A.5.26 - Реагування на інциденти інформаційної безпеки
• A.5.27 - Вивчення інцидентів інформаційної безпеки
• A.5.28 - Збір доказів

Безперервність бізнесу (A.5.29 - A.5.30)

• A.5.29 - Інформаційна безпека під час перебоїв
• A.5.30 - Готовність ІКТ до безперервності бізнесу

Відповідність вимогам (A.5.31 - A.5.37)

• A.5.31 - Законодавчі, нормативні, регуляторні та договірні вимоги
• A.5.32 - Права інтелектуальної власності
• A.5.33 - Захист записів
• A.5.34 - Конфіденційність та захист персональних даних (PII)
• A.5.35 - Незалежний огляд інформаційної безпеки
• A.5.36 - Відповідність політикам та стандартам інформаційної безпеки
• A.5.37 - Документовані робочі процедури

Вимоги до доказів для заходів

Що перевіряють аудитори

Для кожного включеного заходу аудитори вимагають докази того, що:

• Захід існує: Документовані політики, процедури або конфігурації
• Захід функціонує: Записи, журнали або результати, що демонструють постійне функціонування
• Захід ефективний: Результати демонструють зменшення ризику (наприклад, сканування вразливостей показують ефективність патчів)

Приклади доказів за типом заходів

• Заходи щодо політик: Затверджені документи політик, записи про підтвердження
• Процесні заходи: Документи процедур, контрольні списки, квитки робочих процесів
• Технічні заходи: Знімки екранів конфігурацій, системні журнали, звіти сканування
• Навчальні заходи: Записи про завершення навчання, результати тестів, журнали відвідуваності

Додаткові заходи поза Додатком A

Коли Додатка A недостатньо

Якщо ваша оцінка ризиків виявляє ризики, які не адекватно усуваються 93 стандартними заходами, ви можете впровадити додаткові заходи, специфічні для вашого контексту.

Документування додаткових заходів

Перелічіть додаткові заходи у вашому Звіті про застосовність або ведіть додатковий реєстр заходів. Чітко пов'язуйте їх зі специфічними ризиками, які вони усувають.

Приклади додаткових заходів

• Галузеві заходи (вимоги PCI DSS для обробників платежів)
• Регуляторні вимоги (заходи HIPAA для охорони здоров'я)
• Заходи для нових технологій (безпека ШІ/ML, не повністю охоплена стандартом)
• Специфічні для організації ризики (унікальні операційні або географічні ризики)

Пов'язані поняття

• Звіт про застосовність (SoA) - Документ, що містить перелік впроваджених заходів
• Оцінка ризиків - Процес, що визначає, які заходи впроваджувати
• Захід - Захід безпеки для зменшення ризику
• ISO 27001:2022 - Стандарт, що визначає заходи Додатка A
• Як впровадити заходи Додатка A ISO 27001 за допомогою ШІ

Отримання допомоги

Прискорте вибір та впровадження заходів за допомогою ISMS Copilot. Отримайте рекомендації щодо того, які заходи усувають ваші конкретні ризики, створюйте документацію для впровадження та розробляйте плани збору доказів для готовності до аудиту.