Säkerhet ledn sys ISO 27001:2017

Vad kontrollerar revisorn vid en certifiering enligt ISO/IEC 27001:2017?

Se tabellen nedan från SS-ISO/IEC 27006:2015,
"Krav på certifieringsorgan som reviderar ledningssystem för informationssäkerhet" (tabell D1).
Mandatory Documentation enligt ISO/IEC 27001:2017 (engelska versionen är från 2013).

Skillnader i ISO/IEC 27001:2017 mot ISO/IEC 27001:2014
I praktiken har mycket lite förändrats mellan ISO 27001-standarderna 2014 och 2017 med undantag för några mindre kosmetiska punkter och ett litet namnbyte. Den senaste publicerade versionen av ISMS-standarden är ISO/IEC 27001: 2017. ISO-versionen av standarden (2014 engelsk originaltext från 2013) påverkades inte av 2017-publikationen och ändringarna inför inga nya krav. För de som söker en ISO 27001-certifiering så det finns inga ändringar som påverkar certifieringsstatusen och därför införs inga ytterligare övergångsaktiviteter genom denna revision. 2017-ändringen infördes för att indikera godkännande av CEN/CENELEC för EN-beteckningen ("European Standard").

Den uppdaterade 2017 versionen innehåller två rättelser/ändringar av ISO 27001: 2014 i avsnitt 6.1.3 och Annex A punkt 8.1.

6.1.3 (Behandling av informationssäkerhetsrisker), punkt d), om tillämpningsförklaringen (SoA). Det var en kosmetisk justering som skiljer det önskade innehållet för en SoA från huvudavsnittet till separerade punkter, vilket gör det tydligare att en SoA måste innehålla minst fyra element:

De nödvändiga åtgärderna för att genomföra behandlingen av informationssäkerhetsrisk, inte bara de som anges i bilaga A, utan även kontroller som utformats av organisationen efter behov, liksom andra identifierade källor (t. ex. kontroller från NIST SP 800-serien av dokument)
Motivering för att inkludera dessa åtgärder
Kontrollstatusen (t.ex. implementerad eller ej)
Skälet till att utesluta någon av punkterna från Annex A i SoA.

A.8.1.1 (Inventering av tillgångar) ersätter text från: "Tillgångar i samband med informations- och informationsbehandlingsresurser ska identifieras och en inventering av dessa tillgångar ska upprättas och upprätthållas" till: "Information, andra tillgångar i samband med informations- och informationsbehandlingsresurser ska identifieras och en inventering av dessa tillgångar ska upprättas och upprätthållas." Förändringen gjorde det tydligt att informationen själv också måste betraktas som en tillgång och inkluderas i inventeringen.

Kolumnerna - Organisation och Teknisk kontroll

Ett "X" i respektive kolumn anger om kontrollen är en organisatorisk eller en teknisk kontroll.

Eftersom vissa kontroller är både organisatoriskt och tekniskt, kan detta göras i båda kolumnerna för sådana kontroller.

Bevis på utförandet av organisatoriska kontroller kan samlas in genom uppgifter av prestanda, intervjuer, observationer och fysiska kontroller. Bevis på utförandet av tekniska kontroller kan ofta samlas in genom systemtest (se nedan) eller genom att använda specialiserade revisionsrapporteringsverktyg.

Kolumn - Systemtestning

"Systemtest" betyder direkt granskning av informationssystemet (t ex granskning av systeminställningar eller konfiguration). Revisorns frågor kan besvaras på systemkonsolen eller genom utvärdering av resultaten från testverktyg. Om revisionsobjektet har ett datorbaserat verktyg som används som är känt för revisorn, kan detta användas för att stödja revisionen, eller resultatet av en utvärdering som utförts av revisionsobjektet (eller deras underleverantörer ) kan granskas.

Tabellen innehåller två kategorier för genomgång av tekniska kontroller:

"Möjligt" systemtestning är möjligt för att utvärdera införandet, men kan inte vara nödvändigt i en säkerhetsrevision;

"Rekommenderas" systemtest är vanligtvis nödvändigt i en säkerhetsrevision.

Kolumn - Okulär

"Okulär kontroll" innebär vanligen en visuell kontroll på platsen för att utvärdera tillämpningen. Detta innebär att det inte är tillräckligt att granska pappersdokumentationen eller endast göra intervjuer; revisorn bör kontrollera på den plats där den används.

Kolumn - Revisionsgenomgång

Vägledningskolumnen för revisionsgranskningen ger möjliga fokusområden för utvärdering av kontrollen som ytterligare vägledning för revisorn.

ISO/IEC 27001:2017, Annex A och ISO/IEC 27002:2014:	Organisation	Teknisk	Systemtest	Okulär	Vägledning revisionsgenomgång
5. Informationssäkerhetspolicy
5.1 Ledningens inriktning för informationssäkerhet
5.1.1 Informationssäkerhetspolicy	X
5.1.2 Granskning av regelverk för informationssäkerhet	X
6. Organisation av informationssäkerhetsarbetet
6.1 Intern organisation
6.1.1 Informationssäkerhetsroller och ansvar	X
6.1.2 Uppdelning av arbetsuppgifter	X
6.1.3 Kontakt med myndigheter	X
6.1.4 Kontakt med särskilda intressegrupper	X
6.1.5 Informationssäkerhet i projektledning	X
6.2 Mobila enheter och distansarbete
6.2.1 Regler för mobila enheter	X	X	möjlig		Kontroll av policytillämpning.
6.2.2 Distansarbete	X	X	möjlig		Kontroll av policytillämpning.
7. Personalsäkerhet
7.1 Före anställning
7.1.1 Bakgrundskontroll	X
7.1.2 Anställningsvillkor	X
7.2 Under anställning
7.2.1 Ledningens ansvar	X
7.2.2 Medvetenhet, utbildning, fortbildning info säkerhet	X				Medarbetares medvetenhet om aspekter.
7.2.3 Disciplinär process	X
7.3 Avslut eller ändring av anställning
7.3.1 Avslut eller ändring av anställds ansvar	X
8. Hantering av tillgångar
8.1 Ansvar för tillgångar.
8.1.1 Inventering av tillgångar	X				Identifiera tillgångar.
8.1.2 Ägarskap av tillgångar	X
8.1.3 Tillåten användning av tillgångar	X
8.1.4 Återlämnande av 8.1.4 tillgångar	X
8.2 Informationsklassning
8.2.1 Klassning av information	X				Kontroll av policytillämpning.
8.2.2 Märkning av information	X				Tydlig märkning av medier och mappar.
8.2.3 Hantering av tillgångar	X
8.3 Hantering av lagringsmedia
8.3.1 Hantering av flyttbara lagringsmedia	X	X	möjlig
8.3.2 Avveckling av lagringsmedia	X			X	Process för avveckling.
8.3.3 Transport av fysiska lagringsmedia	X				Fysiskt skydd.
9. Styrning av åtkomst
9.1 Verksamhetskrav för styrning av åtkomst
9.1.1 Regler för styrning av åtkomst	X				Kontrollera tillämpningen av policy
9.1.2 Tillgång till nätverk och nätverkstjänster	X				Kontrollera tillämpningen av policy
9.2 Hantering av användaråtkomst
9.2.1 Registrering och avregistrering av användare	X
9.2.2 Tilldelning av användaråtkomst	X	X	möjlig		Urval av personer som utför arbete under organisationens kontroll/auktoriserad uppdragstagare som har åtkomsträttigheter till alla systemen.
9.2.3 Hantering av privilegierade åtkomsträttigheter	X	X	möjlig		Intern överföring av personal.
9.2.4 Hantering av användares konfidentiella autentiseringsinformation	X
9.2.5 Granskning av användares åtkomsträttigheter	X
9.2.6 Borttagning eller justering av åtkomsträttigheter	X
9.3 Användaransvar
9.3.1 Användning av konfidentiell autentiseringsinformation	X				Verifiera att vägledning/policy finns för användare.
9.4 Styrning av åtkomst till system och tillämpningar
9.4.1 Begränsning av åtkomst till information	X	X	rekommenderas
9.4.2 Säkra inloggningsrutiner	X	X	rekommenderas
9.4.3 System för lösenordshantering	X	X	rekommenderas
9.4.4 Användning av privilegierade verktygsprogram	X	X	rekommenderas
9.4.5 Åtkomstkontroll till källkod för program	X	X	rekommenderas
10 Kryptering
10.1 Kryptografiska säkerhetsåtgärder
10.1.1 Regler för användning av kryptografiska säkerhetsåtgärder	X				Kontrollera tillämpningen av policy
10.1.2 Nyckelhantering	X	X	rekommenderas		Kontrollera tillämpningen av policy
11 Fysisk och miljörelaterad säkerhet
11.1 Säkra områden
11.1.1 Fysiska säkerhetsavgränsningar	X
11.1.2 Fysiska tillträdesbegränsningar	X	X	möjlig	X	Arkiviering av behörighetsdata.
11.1.3 Säkerställande av kontor, rum och anläggningar	X			X
11.1.4 Skydd mot yttre och miljörelaterade hot	X			X
11.1.5 Arbeta i säkra utrymmen	X			X
11.1.6 Leverans- och lastningsområden	X			X
11.2 Utrustning
11.2.1 Placering av utrustning och skydd	X			X
11.2.2 Tekniska försörjningssystem	X	X	möjlig	X
11.2.3 Kablage säkerhet	X			X
11.2.4 Underhåll av utrustning	X
11.2.5 Utförsel av tillgångar	X				Register över tillgångar som tas från platsen.
11.2.6 Säkerhet för utrustning och tillgångar utanför organisationens lokaler	X	X	möjlig		Bärbara enheter och kryptering.
11.2.7 Säker kassering eller återanvändning av utrustning	X	X	möjlig	X	Diskrensning och diskkryptering.
11.2.8 Obevakad utrustning som hanteras av användare	X				Verifiera att vägledning/policy finns för användare
11.2.9 Regel om rent skrivbord och tom skärm	X			X	Kontrollera tillämpningen av policy
12. Driftsäkerhet
12.1 Driftsrutiner och ansvar
12.1.1 Dokumenterade driftsrutiner	X
12.1.2 Ändringshantering	X	X	rekommenderas
12.1.3 Kapacitetshantering	X	X	möjlig
12.1.4 Separation av utvecklings-, test- och driftmiljöer	X	X	möjlig
12.2 Skydd mot skadlig kod
12.2.1 Säkerhetsåtgärder mot skadlig kod	X	X	rekommenderas		Konfigurering och täckningsgrad av programvara för virusskydd.
12.3 Säkerhetskopiering
12.3.1 Säkerhetskopiering av information	X	X	rekommenderas		Granskning policy och återläsningstester.
12.4 Loggning och övervakning
12.4.1 Loggning av händelser	X	X	möjlig		Riskbaserade val i händelselogg
12.4.2 Skydd av logginformation	X	X	möjlig
12.4.3 Administratörs- och operatörsloggar	X	X	möjlig
12.4.4 Synkronisering av tid		X	möjlig
12.5 Styrning av driftsystem
12.5.1 Installation av program på driftsystem	X	X	möjlig
12.6 Hantering av tekniska sårbarheter
12.6.1 Hantering av tekniska sårbarheter	X	X	rekommenderas		Riskbaserad patchhantering och sårbarhet i operativsystem, databaser och applikationer.
12.6.2 Restriktioner för installation av program	X	X	möjlig
12.7 Överväganden gällande revision av informationssystem
12.7.1 Revisionskontroller för informationssystem	X
13 Kommunikationssäkerhet
13.1 Hantering av nätverkssäkerhet
13.1.1 Säkerhetsåtgärder för nätverk	X	X	möjlig		Nätverkshantering
13.1.2 Säkerhet hos nätverkstjänster	X	X	rekommenderas		SLAs, informationssäkerhet tillhandahållande av nätverkstjänster (VPN, nätverksrouter, anslutningskontroller och konfigurering av nätverksenheter).
13.1.3 Separation av nätverk	X	X	möjlig		Nätverksdiagram,nätverkssegmentering (DMZ, VLAN).
13.2 Informationsöverföring
13.2.1 Regler och rutiner för informationsöverföring	X				Kontrollera tillämpningen av policy
13.2.2 Överenskommelser om informationsöverföring	X
13.2.3 Elektronisk meddelandehantering	X	X	möjlig		Bekräfta att prov från meddelandehantering följer policy och rutiner.
13.2.4 Konfidentialitet och förbindelser om konfidentialitet	X				Avtalskontroll
14 Anskaffning, utveckling och underhåll av system
14.1 Säkerhetskrav på informationssystem
14.1.1 Analys och specifikation av informationssäkerhetskrav	X
14.1.2 Säkerställande av programtjänster på publika nätverk	X	X	rekommenderas		Riskbaserad design av applikationstjänster
14.1.3 Skydd av transaktioner i tillämpningstjänster	X	X	rekommenderas		Konfidentialitet, integritet, oavvislighet
14.2 Säkerhet i utvecklings- och supportprocesser
14.2.1 Regler för säker utveckling	X				Kontrollera tillämpningen av policy
14.2.2 Rutiner för hantering av systemändringar	X	X	rekommenderas
14.2.3 Teknisk granskning av tillämpningar efter ändringar i driftsmiljö	X
14.2.4 Restriktioner för ändringar av programpaket	X
14.2.5 Principer för utveckling av säkra system	X
14.2.6 Säker utvecklingsmiljö	X	X	möjlig
14.2.7 Outsourcad utveckling	X
14.2.8 Säkerhetstestning	X
14.2.9 Acceptanstestning av system	X	X	möjlig
14.3 Testdata
14.3.1 Skydd av testdata	X	X	möjlig	X
15 Leverantörsrelationer
15.1 Informationssäkerhet i leverantörsrelationer
15.1.1 Informationssäkerhetsregler för leverantörsrelationer	X				Kontrollera tillämpningen av policy
15.1.2 Hantering av säkerhet inom leverantörsavtal	X				Kontrollera några avtalsvillkor
15.1.3 Försörjningskedja för informations- och kommunikationsteknologi	X				Kontrollera några avtalsvillkor
15.2 Hantering av leverantörers tjänsteleverans
15.2.1 Övervakning och granskning av leverantörstjänster	X
15.2.2 Ändringshantering av leverantörers tjänster	X
16 Hantering av informationssäkerhetsincidenter
16.1 Hantering av informationssäkerhetsincidenter och förbättringar
16.1.1 Ansvar och rutiner	X
16.1.2 Rapportering av informationssäkerhetshändelser	X
16.1.3 Rapportering av svagheter gällande informationssäkerhet	X
16.1.4 Bedömning av och beslut om informationssäkerhetshändelser	X
16.1.5 Hantering av informationssäkerhetsincidenter	X
16.1.6 Att lära av informationssäkerhetsincidenter	X
16.1.7 Insamling av bevis	X
17 Informationssäkerhetsaspekter avseende hantering av verksamhetens kontinuitet
17.1 Kontinuitet för informationssäkerhet					Protokoll från ledningens genomgång
17.1.1 Planering av kontinuitet för informationssäkerhet	X
17.1.2 Införa kontinuitet för informationssäkerhet	X
17.1.3 Styra, granska och utvärdera kontinuitet för informationssäkerhet	X
17.2 Redundans
17.2.1 Tillgänglighet för informationsbehandlingsresurser	X	X	möjlig
18 Efterlevnad
18.1 Efterlevnad av juridiska och avtalsmässiga krav
18.1.1 Identifiering av gällande lagstiftning och avtalsmässiga krav	X		rekommenderas
18.1.2 Immateriella rättigheter	X
18.1.3 Skydd av dokumenterad information	X	X	rekommenderas
18.1.4 Skydd av personlig integritet och personuppgifter	X				Kontrollera tillämpningen av policy
18.1.5 Reglering av kryptografiska säkerhetsåtgärder	X
18.2 Granskningar av informationssäkerhet
18.2.1 Oberoende granskning av informationssäkerhet	X				Läs rapporterna
18.2.2 Efterlevnad av säkerhetspolicy, regler och standarder	X
18.2.3 Granskning av teknisk efterlevnad	X	X

Ledn sys ISO 27001:2017 - att tänka på för en certifiering

Vad kontrollerar revisorn vid en certifiering enligt ISO/IEC 27001:2017?