ISO 27001 kliimamuutusi käsitleva muudatuse tõendusmaterjali juhend

Kell on 09.10 teie ISO/IEC 27001:2022 järelevalveauditi hommikul. Audiitor on juba läbi vaadanud teie riskiregistri, kohaldatavusavalduse, juhtkonna läbivaatamise protokollid, tarnijaregistri ja talitluspidevuse õppuse aruande. Seejärel esitab ta küsimuse, mis tabab ruumi ootamatult:

„Näidake, kuidas te määrasite kindlaks, kas kliimamuutus on ISMS-i jaoks asjakohane.“

Infoturbejuht vaatab vastavusjuhi poole. Vastavusjuht avab õigusnõuete registri. Keegi mainib ESG-d. Keegi teine ütleb, et andmekeskuse teenuseosutajal on ISO sertifikaadid. Audiitor ootab.

See hetk näitab praktilist tõenduslünka, mille on tekitanud ISO juhtimissüsteemide kliimamuutusi käsitlev muudatus. Muudatus ei nõua, et turbemeeskonnad muutuksid kliimateadlasteks, arvutaksid pilveteenuste süsinikuheidet või looksid formaalse „kliimaturbe meetme“. See esitab märksa otsesema juhtimissüsteemi küsimuse: kas organisatsioon on hinnanud, kas kliimamuutus on tema konteksti seisukohast asjakohane, ja kas huvitatud pooltel on kliimaga seotud nõudeid, mis mõjutavad juhtimissüsteemi?

ISO/IEC 27001:2022 puhul tähendab see, et tõendusmaterjal peab siduma punktid 4 kuni 10: konteksti, huvitatud pooled, kohaldamisala, riskide planeerimise, operatiivse ohje, toimivuse hindamise, juhtkonna läbivaatamise ja pideva parendamise. Muudatust ei läbita sellega, et koosolekul öeldakse „ei kohaldu“. See läbitakse põhjendatud, dokumenteeritud ja riskipõhise otsuse esitamisega.

Fintech-ettevõtte infoturbejuht Sarah seisis sama küsimusega silmitsi mõni nädal enne auditit. Tema esimene reaktsioon oli tuttav: kliimamuutus tundus ISMS-ist väljaspool, samal ajal kui tema meeskond keskendus küberohtudele, andmekaitserikkumistele, pilveturbele, DORA valmisolekule ja klientide hoolsuskontrollile. Kui ta aga tõlkis muudatuse praktilisse ISMS-i keelde, muutus teema konkreetseks: ränk ilm võib mõjutada pilveregiooni käideldavust, veepuudusega piirkonnas asuv tarnija võib viivitada kriitilise riistvara väljavahetamisega, pikaajaline elektrikatkestus võib häirida intsidentidele reageerimise mehitamist ning kliendid võivad nõuda operatsioonilise toimepidevuse tõendamist.

See on õige raamistik. Käsitle kliimamuutust ISMS-i konteksti ja toimepidevuse sisendina, mitte juurdepoogitud teemana.

Clarysec lähenemine kasutab Zenith Blueprint: audiitori 30-sammuline teekaart, Zenith Controls: raamistikeülese vastavuse juhend ja Clarysec poliitikamalle, et muuta uus auditiküsimus jälgitavaks tõendusmaterjaliks. Eesmärk on lihtne: näidata audiitorile selget ahelat kontekstist riskini, riskist turvameetmeteni, turvameetmetest tõendusmaterjalini, tõendusmaterjalist juhtkonna läbivaatamiseni ning juhtkonna läbivaatamisest parendamiseni.

Muudatus muudab auditiküsimust, mitte ISMS-i eesmärki

Kõige sagedasem viga on käsitleda ISO 27001 kliimamuutusi käsitlevat muudatust eraldi kontrollivaldkonnana. Seda see ei ole. ISMS-i puhul on tegelik küsimus selles, kas kliimamuutus võib mõjutada kavandatud infoturbe tulemusi, eelkõige konfidentsiaalsust, terviklust ja käideldavust.

Muudatus lisab kliimamuutuse konkreetse kaalutlusena ISO juhtimissüsteemi kontekstinõuete alla. ISO/IEC 27001:2022 puhul testivad audiitorid tavaliselt esmalt kaht punkti:

• Punkt 4.1, kas organisatsioon määras kindlaks, kas kliimamuutus on asjakohane väline teema.
• Punkt 4.2, kas asjakohastel huvitatud pooltel on kliimaga seotud nõudeid.

Võtmesõna on „määras kindlaks“. Organisatsioon võib otsustada, et kliimamuutus ei ole asjakohane, on asjakohane ainult teatud asukohtade või teenuste puhul või on asjakohane kogu ISMS-i ulatuses. Kuid see määratlus peab olema dokumenteeritud ja tuginema organisatsiooni tegelikele sõltuvustele.

Näiteks võib SaaS-i teenuseosutaja otsustada, et kliimaga seotud asjakohasus on olemas, sest tootmiskeskkonna käideldavus sõltub vähestest pilveregioonidest, hallatud teenuse pakkujast ja kaugtööl tegutsevast intsidentidele reageerimise personalist. Fintech-ettevõte võib siduda muudatuse kriitiliste IKT-teenuseid osutavate kolmandatest isikutest teenuseosutajate sõltuvuste, DORA operatsioonilise toimepidevuse, reguleeritud intsidenditeavituse ja juhatuse vastutusega. Tootmisettevõte võib keskenduda OT-võrgu käideldavusele, tehase ühenduvusele, kaugseirele ja füüsilise asukoha häiretele.

Küps tõendusmaterjali kogum peab paiknema samades kohtades, kus organisatsioon juba tõendab oma ISMS-i toimimist.

Kõige tugevam audititõendus ei asu eraldi „kliimafailis“. See kajastub tavapärastes ISMS-i kirjetes ja näitab, et juhtimissüsteem suudab reageerida välise konteksti muutustele.

Alusta kontekstist, huvitatud pooltest ja kohaldamisalast

Kliimaga seotud asjakohasus algab kontekstist. Organisatsioon peab kirja panema selge määratluse: asjakohane, mitteasjakohane või osaliselt asjakohane. „Asjakohane“ ei tähenda katastroofilist. See tähendab suutlikkust mõjutada kavandatud infoturbe tulemusi.

Zenith Blueprintis algab ISMS-i aluste ja juhtimise etapp kontekstianalüüsiga. Samm 1 ütleb:

Tegevuspunkt 4.1: Koostage ajurünnaku käigus loetelu sisemistest ja välistest teguritest, mis on teie organisatsiooni infoturbe seisukohast asjakohased.

Sama juhis soovitab laia välist analüüsi, sealhulgas keskkonnategureid selliste meetodite nagu PESTLE abil. Siin muutub kliimamuudatus operatiivseks. Küsimuse „Kas meil on kliimameede?“ asemel küsib meeskond:

• Millised füüsilised asukohad, andmekeskused, pilveregioonid, võrgud ja tarnijad toetavad kohaldamisalasse kuuluvaid teenuseid?
• Kas ränk ilm, kuumus, maastikupõlengud, üleujutused, veepuudus, energiasüsteemi ebastabiilsus või transpordihäired võivad mõjutada käideldavust, terviklust või konfidentsiaalsust?
• Kas kliendid küsivad turbe hoolsuskontrolli käigus tõendusmaterjali kliimatoimepidevuse või operatsioonilise toimepidevuse kohta?
• Kas regulaatorid, kindlustusandjad, investorid või avaliku sektori kliendid kehtestavad talitluspidevuse, katastroofitaaste või käideldavuse ootusi?
• Kas kliimaga kohanemise projektid võivad tekitada uusi tehnoloogiariske, näiteks hoonehaldussüsteemide integratsioone, IoT andureid, keskkonnaseiret või kiiret pilvemigratsiooni?
• Kas uuel seirel on privaatsusmõju, kui see hõlmab töötaja, asukoha, seadme või keskkonnaandmeid, mis on inimestega seostatavad?

Sarah’ fintech-meeskonna kontekstitöötoa tulemusel tuvastati neli realistlikku välist teemat: tormidega seotud kokkupuude andmekeskuse regioonis, koondumine ühte pilveregiooni, sõltuvus riistvaratarnijast veepuudusega piirkonnas ning regulatiivsed ootused DORA ja NIS2 alusel.

Järgmine samm on huvitatud pooled. Muudatus nõuab organisatsioonidelt kindlaksmääramist, kas huvitatud pooltel on kliimaga seotud nõudeid. Sellised pooled võivad olla kliendid, regulaatorid, kindlustusandjad, pilveteenuse pakkujad, investorid, juhtorganid või kriitilised tarnijad.

Zenith Blueprinti samm 2 seob selle analüüsi ISMS-i kohaldamisalaga:

Tegevuspunkt 4.3: Koostage ISMS-i kohaldamisala avaldus. Loetlege, mis on kaasatud (äriüksused, asukohad, süsteemid), ja kõik välistused.

See on oluline, sest kliimaga seotud häired jõuavad sageli organisatsiooni liideste ja sõltuvuste kaudu. Organisatsioon võib öelda, et tema büroo ei ole oluline, sest tootmiskeskkond on pilvekeskkonnas, kuid audiitor võib küsida, kas klienditugi, privilegeeritud juurdepääs, intsidentidele reageerimine, varundusadministreerimine, tarnija eskaleerimine või kriisikommunikatsioon sõltub inimestest, asukohtadest või tarnijatest väljaspool kohaldamisala.

Clarysec ettevõtte Infoturbepoliitika seab baastaseme:

Organisatsioon peab rakendama ja hoidma toimivana infoturbe juhtimissüsteemi (ISMS) kooskõlas ISO/IEC 27001:2022 punktidega 4 kuni 10.

See nõuab ka tõendusmaterjali struktuuri, mida audiitorid ootavad:

ISMS peab sisaldama määratletud kohaldamisala piire, riskihindamise metoodikat, mõõdetavaid eesmärke ja dokumenteeritud turvameetmeid, mis on põhjendatud kohaldatavusavalduses (SoA).

Need sõnad on muudatuseks valmisoleku tuum: kohaldamisala piirid, riskimetoodika, mõõdetavad eesmärgid ja SoA põhjendus.

Muuda kliimakontekst infoturberiskideks

Parim tõendusmaterjal ei ole tavaliselt üldine risk nimega „kliimamuutus“. Kliimamuutus on kontekstitegur. Riskistsenaarium peab kirjeldama infoturbe tagajärge.

Tugevad riskistsenaariumid näevad välja nii:

• Äärmuslik ilm häirib turbeintsidendi ajal juurdepääsu põhibüroole, viivitades privilegeeritud reageerimist ja kliendikommunikatsiooni.
• Piirkondlik kuumalaine suurendab jahutuse või elektritoite ebastabiilsuse tõenäosust andmekeskuses, mis toetab tootmiskeskkonna töökoormusi.
• Üleujutus mõjutab kriitilise tarnija teeninduskeskuse asukohta, viivitades hallatud lõppseadmete kaitse teenuste taastamist.
• Klientide kliimatoimepidevuse nõuded ei ole vastavusregistris kajastatud, tekitades lepingulise mittevastavuse ja auditileiud.
• Erakorraline pilvemigratsioon füüsilise asukoha sõltuvuse vähendamiseks möödub standardmuudatuse ja tarnijariski läbivaatamisest.
• Kliimaga kohanemise seireseadmed ühendatakse ettevõtte võrku ilma varade registreerimise, logimise või haavatavuste halduseta.

Need on infoturberiskid, sest need mõjutavad käideldavust, intsidentide käsitlemist, tarnijate kindluse tagamist, varahaldust, õiguslikke kohustusi, turvalisi muudatusi või privaatsust.

Clarysec Riskijuhtimise poliitika - VKE sätestab:

Kõik tuvastatud riskid tuleb kanda riskiregistrisse.

See rõhutab ka läbivaatamise sagedust:

Riskid tuleb läbi vaadata kord kvartalis ja ajakohastada oluliste sündmuste korral.

Ettevõtete jaoks laiendab Clarysec Riskijuhtimise poliitika sisendmudelit:

Riskide tuvastamise sisendid peavad hõlmama muu hulgas auditileide, haavatavuse skannimisi, penetratsioonitestimise aruandeid, intsidentide suundumusi, õiguslikke kohustusi ja operatiivseid muudatusi.

Kliimaga seotud asjakohasus võib tekkida neist sisenditest ükskõik millisest. Kliendiauditi leid võib tuvastada puuduva toimepidevuse tõendusmaterjali. Õiguslik uuendus võib lisada operatsioonilise toimepidevuse kohustusi. Pilvemigratsioon võib viia töökoormused teistsuguse piirkondliku kokkupuutega keskkonda. Talitluspidevuse test võib näidata, et personal ei pääse elektrikatkestuse ajal taastamisprotseduuridele ligi.

Igal riskil peab olema omanik, tõenäosus, mõju, käsitlusotsus, jääkriski seisund ja läbivaatamise kuupäev. Kui organisatsioon järeldab, et olulist kliimaga seotud infoturberiski ei ole, vajab ka see järeldus põhjendust.

Kasuta kohaldatavusavaldust riskiloogika muutmiseks turvameetmete loogikaks

Kui kliimaga seotud stsenaariumid on registreeritud, on järgmine küsimus, kas turvameetmed on vajalikud ja kas kohaldatavusavaldus kajastab otsust. ISO/IEC 27001:2022 punktid 6.1.1 kuni 6.1.3 nõuavad riskide ja võimaluste jaoks kavandatud tegevusi, riskihindamist, riskikäsitlust, vajalikke meetmeid, lisa A võrdlust ning SoA-d koos kaasamise ja välistamise põhjendustega.

Riskijuhtimise etapis annab Zenith Blueprinti samm 13 praktilise jälgitavuse mudeli:

Viidake regulatsioonidele risti: kui teatud kontrollimeetmeid rakendatakse spetsiaalselt GDPR, NIS2 või DORA nõuete täitmiseks, võite märkida selle kas riskiregistris (riski mõju põhjenduse osana) või SoA märkustes.

Kasuta sama põhimõtet kliimamuutusi käsitleva muudatuse puhul. Ära leiuta uut turvameedet. Kaardista stsenaarium olemasolevatele ISO/IEC 27002:2022 meetmetele ja selgita, miks need kohalduvad.

Ettevõtte Riskijuhtimise poliitika muudab SoA käivitaja selgesõnaliseks:

SoA tuleb läbi vaadata pärast iga suuremat riskihindamist või olulist keskkonnamuutust.

See punkt on väga asjakohane. Oluline keskkonnamuutus võib olla sõnasõnaline, näiteks rajatise ajakohastatud üleujutusohuga kokkupuude, või operatiivne, näiteks andmekeskuse teenuseosutajate vahetamine, töökoormuste ümberpaigutamine, uue tugiasukoha avamine või reguleeritud kliendi vastuvõtmine, kellel on toimepidevusnõuded.

Tugev SoA põhjendus on konkreetne:

„Meede A.5.30 on kohaldatav, sest RR-31 tuvastab võimaliku teenusekatkestuse äärmusliku ilma tõttu, mis mõjutab põhilisi tugitoiminguid. Käsitlus hõlmab intsidentide kaugkoordineerimist, testitud taastamisprotseduure, iga-aastast IKT-valmisoleku õppust ja pilve ümberlülituse valideerimist.“

See on tugevam kui „Kohaldub, sest ISO nõuab seda.“

Kasuta poliitikatõendeid, et muuta muudatus korduskasutatavaks

Muudatus ei tohiks tekitada ühekordset auditieelset rabelemist. See peab saama osaks juhtimissüsteemi tavapärasest läbivaatamistsüklist.

Clarysec Õigusnormidele vastavuse poliitika - VKE sätestab:

Iga vastavust mõjutav muudatus peab käivitama vastavusregistri ja asjakohaste poliitikate läbivaatamise.

Lisa ISO juhtimissüsteemi kliimamuutusi käsitlev muudatus vastavusregistrisse ning viita risti seotud kliendi-, regulatiivsetele, lepingulistele, kindlustus- ja sertifitseerimiskohustustele. Kui organisatsioon tegutseb NIS2 või DORA keskkonnas, seo need kohustused talitluspidevuse, intsidenditeavituse, tarnijate kindluse tagamise ja juhtimise tõendusmaterjaliga.

Talitluspidevuse puhul eeldab Clarysec Talitluspidevuse ja katastroofitaaste poliitika - VKE tõendusmaterjali:

et häirestsenaariume kaaluti ja testiti riskihindamiste osana

Siin muutuvad kliimastsenaariumid operatiivseks. Piirkondliku elektrikatkestuse lauaõppus, varukoopia taastamise harjutus, pilve ümberlülituse valideerimine või tarnija toe katkestuse simulatsioon võivad kõik muudatust toetada, kui need on seotud riskiregistriga.

Auditi juhtimise puhul sätestab Clarysec Auditi ja vastavuse seire poliitika - VKE:

Auditileiud ja staatusuuendused tuleb kaasata ISMS-i juhtkonna läbivaatamise protsessi.

Kui siseaudit tuvastab nõrga kliimamuudatuse tõendusmaterjali, ei tohi leid jääda auditijälgijasse. See peab liikuma juhtkonna läbivaatamisse, parandusmeetmetesse ja pidevasse parendamisse.

Privaatsuse tõendusmaterjal on oluline seal, kus kliimaga kohanemine muudab isikuandmete töötlemist. Clarysec Privaatsusteabe haldussüsteemi poliitika nõuab kontekstidistsipliini:

[Mõlemad] Privaatsusjuht / PIMS-i juht PEAB dokumenteerima välised ja sisemised privaatsuse konteksti teemad REG01-s igal aastal ning 30 päeva jooksul pärast iga olulist muudatust.

See nõuab ka huvitatud poolte nõuete kajastamist:

[Mõlemad] Privaatsusjuht / PIMS-i juht PEAB dokumenteerima asjakohased huvitatud osapooled ja nende PIMS-i nõuded REG01-s igal aastal ning 30 päeva jooksul pärast iga olulist muudatust.

Privaatsusriskide ja DPIA-de puhul lisab Privaatsusriskide hindamise ja DPIA poliitika:

[Mõlemad] Privaatsusjuht / PIMS-i juht PEAB esitama privaatsusriski ja DPIA staatuse REG04-st REG12-sse kord kvartalis ja enne iga juhtkonna läbivaatamist.

PIMS-i seire, auditi ja parendamise poliitika annab juhtkonna läbivaatamise mustri, mis on kasulik ka väljaspool privaatsust:

[Mõlemad] Tippjuhtkond PEAB iga juhtkonna läbivaatamise ajal REG12-s läbi vaatama PIMS-i mittevastavuse, parandusmeetme, seiretulemuse, auditi tulemuse, privaatsusriski, tarnijate kindluse tagamise ja huvitatud poolte muutuste sisendid.

Ja PIMS-i dokumenteeritud teabe ja tõendusmaterjali halduse poliitika tugevdab tõendusmaterjali indekseerimist:

[Kõik] Privaatsusjuht / PIMS-i juht PEAB hoidma PIMS-i dokumenteeritud teabe indeksit REG12-s enne PIMS-i esmast avaldamist ja seejärel kord kvartalis.

ISMS-i kliimamuudatuseks valmisoleku puhul kasuta sama distsipliini: hoia tõendusmaterjali indeksit, et auditimeeskond saaks kiiresti kätte konteksti, riski, SoA, talitluspidevuse, tarnijate ja juhtkonna läbivaatamise kirjed.

Raamistikeülese vastavuse väärtus: ISO 27001, NIS2, DORA, GDPR, NIST CSF ja COBIT

ISO 27001 kliimamuutusi käsitlev muudatus on ISO juhtimissüsteemi nõue, kuid tõendusmaterjalil on laiem regulatiivne ja kindlust andev väärtus.

NIS2 nõuab, et olulised ja tähtsad üksused rakendaksid sobivaid ja proportsionaalseid küberturbe riskijuhtimise meetmeid, kasutades kõiki ohte hõlmavat käsitlust. Article 21 hõlmab riskianalüüsi, intsidentide käsitlemist, talitluspidevust, varundust, katastroofitaastet, kriisijuhtimist, tarneahela turvet, turvalist arendust, tõhususe hindamist, koolitust, krüptograafiat, juurdepääsukontrolli ja varahaldust. Ränk ilm, energiasüsteemi ebastabiilsus ja tarnijahäired sobituvad sellesse kõiki ohte hõlmavasse vaatesse loomulikult. Article 20 nõuab ka, et juhtorganid kinnitaksid küberturbe riskijuhtimise meetmed ja teeksid järelevalvet nende rakendamise üle, mis on kooskõlas ISO/IEC 27001:2022 juhtkonna läbivaatamise tõendusmaterjaliga.

DORA on eriti asjakohane finantssektori üksuste jaoks. See nõuab IKT-riski juhtimist, juhtorgani vastutust, talitluspidevuse ja taastamise plaane, digitaalse operatsioonilise toimepidevuse testimist, IKT kolmanda osapoole riskijuhtimist ja pidevat parendamist. Kui finantsorganisatsioon kasutab juba ISMS-i juhtkonna läbivaatamist kliimaga seotud IKT talitluspidevuse tegevuste kinnitamiseks, saab sama tõendusmaterjal toetada DORA juhtimisnarratiivi.

GDPR muutub asjakohaseks siis, kui kliimaga kohanemine muudab isikuandmete töötlemist. Näited hõlmavad töötajate ohutuse seiret, asukoha jälgimist ränga ilma ajal, uusi hooneandureid, töötajatega seotud keskkonnaseiret või pilvetöötluse asukoha muudatusi. GDPR-i vastutus, eesmärgi piirang, andmete minimaalsus, turvalisus, säilitamine ja tarnijate halduskorraldus jäävad häire ajal täielikult kohaldatavaks.

NIST CSF 2.0 annab samale tõendusmaterjalile juhtkonna jaoks sobiva keele. Selle GOVERN-funktsioon rõhutab organisatsiooni konteksti, sidusrühmade ootusi, õiguslikke ja regulatiivseid nõudeid, riskijuhtimise strateegiat, rolle, järelevalvet ja tarneahela riski. COBIT 2019 ja ISACA suunitlusega kindluse tagamise spetsialistid keskenduvad sageli vastutusele, tulemusnäitajatele, riski aktsepteerimisele, juhtimiseesmärkidele, probleemihaldusele ja tõendusmaterjalile, et juhtkond teab, et turvameetmed toimivad.

Zenith Controls on siin kasulik, sest see aitab vastavusmeeskondadel näha, kuidas sama tõendusmaterjali objekt toetab mitut raamistikku. See ei ole eraldi turvameetmete kogum. See on raamistikeülese vastavuse juhend ISO/IEC 27001:2022 ja ISO/IEC 27002:2022 kontrolliloogika kaardistamiseks auditi, kindluse tagamise ja regulatiivsete ootustega.

Selle teema puhul on kesksed mitu ISO/IEC 27002:2022 meedet. A.5.31 Õiguslikud, seadusest tulenevad, regulatiivsed ja lepingulised nõuded toetab kohaldatavate nõuete tuvastamise ja haldamise kohustust. A.5.4 Juhtkonna vastutusalad toetab juhtkonna vastutust. A.5.36 Infoturbepoliitikate, -reeglite ja -standardite järgimine toetab kindlust, et reegleid järgitakse. A.5.29 ja A.5.30 toetavad infoturvet häire ajal ja IKT valmisolekut talitluspidevuseks. A.5.19, A.5.21 ja A.5.22 toetavad tarnijate ja IKT tarneahela toimepidevust.

Zenith Controls sätestab:

Kontroll 5.36 toimib punktis 5.1 määratletud reeglite rakendamise mehhanismina.

Kliimamuudatuse kontekstis tähendab see, et organisatsioon ei uuenda ainult poliitikat. Ta jälgib, kas konteksti läbivaatamised, riskide uuendused, SoA läbivaatamised, talitluspidevuse testid, tarnijate läbivaatamised ja juhtkonna läbivaatamise tegevused ka tegelikult toimuvad.

Juhtkonna läbivaatamine on juhtorgani tasandi otsustav hetk

ISO/IEC 27001:2022 punkt 9.3 nõuab, et tippjuhtkond vaataks ISMS-i kavandatud ajavahemike järel läbi, tagamaks selle jätkuv sobivus, piisavus ja tõhusus. Kliimamuudatuse puhul on juhtkonna läbivaatamine koht, kus konteksti tõendusmaterjal muutub juhtkonna vastutuseks.

Zenith Blueprinti auditi, läbivaatamise ja parendamise etapi samm 28 suunab meeskondi koguma juhtkonna läbivaatamise sisendeid, sealhulgas:

✓ Muutused välistes ja sisemistes teemades: võtke kokku kõik olulised konteksti (punkt 4.1) või huvitatud poolte nõuete (punkt 4.2) muutused alates ISMS-i projekti algusest.

Sarah kasutas seda struktuuri juhtkonnale ülevaate andmiseks. Tema juhtkonna läbivaatamise slaid oli lühike:

1. ISO on kehtestanud kohustuse kaaluda kliimamuutust juhtimissüsteemi kontekstis.
2. ISMS-i meeskond määras kindlaks asjakohasuse andmekeskuse käideldavuse, pilve koondumise, tarnijasõltuvuse ja regulatiivsete ootuste puhul.
3. Riskiregistrisse lisati kaks riski keskmiselt madala tõenäosuse ja kõrge mõjuga.
4. Käsitluses kasutatakse olemasolevaid meetmeid IKT valmisoleku, tarnijahaldus, varukoopiate, pilveteenuste ja õiguslike nõuete jaoks.
5. Juhtkonnalt taotletakse kinnitust täiendatud katastroofitaaste testile, mis simuleerib piirkondlikku elektrivarustuse ebastabiilsust.

Protokollidesse kanti otsus, tegevuste omanikud, tähtajad ja ressursside kinnitamine. See on kvaliteetne audititõendus, sest see näitab, et tippjuhtkond vaatas teema läbi ja tegi riskipõhise otsuse.

Clarysec ettevõtte Infoturbepoliitika nõuab, et juhtkonna läbivaatamine hõlmaks:

Otsuseid kohaldamisala, turvameetmete ja ressursside jaotamise uuendamise kohta

Tugev kliimamuudatuse juhtkonna läbivaatamise pakett peab sisaldama:

• Kontekstiregistri väljavõtet, mis näitab kliimaga seotud asjakohasuse kindlaksmääramist.
• Huvitatud poolte registri väljavõtet, mis näitab nõudeid või nende puudumise põhjendust.
• Kohaldamisala läbivaatamist, mis hõlmab asukohti, pilveteenuseid, tarnijaid, tugimeeskondi ja liideseid.
• Riskiregistri kandeid ja käsitluse staatust.
• SoA muudatusi või kinnitust, et olemasolevad põhjendused on jätkuvalt piisavad.
• Talitluspidevuse ja katastroofitaaste testitulemusi.
• Tarnijate kindluse tagamise uuendusi pilve, andmekeskuse, MSP, MSSP, telekomi, rajatiste ja sisseostetud toe sõltuvuste kohta.
• Intsidentidele reageerimise mõju, sealhulgas eskaleerimise ja kommunikatsiooni sõltuvused.
• Õigus- ja regulatiivse registri uuendusi.
• Ressursitaotlusi, otsuseid ja jääkriski aktsepteerimist.
• Parendustegevusi koos omanike ja tähtaegadega.

Kui teema ei jõua kunagi juhtkonna läbivaatamisele, võib see tunduda formaalne. Kui see jõuab juhtkonna läbivaatamisele konteksti, riski, turvameetmete ja tõendusmaterjali kaudu, näeb see välja nagu toimiv ISMS.

Levinud auditileiud ja kuidas neid ennetada

Enamik kliimamuudatuse leide on jälgitavuse, mitte tehnilised puudused.

Sinu auditiks valmis tõendusmaterjali pakett

Enne järgmist järelevalve- või resertifitseerimisauditit koosta lühike tõendusmaterjali pakett. See ei pea olema mahukas. See peab olema seostatud.

See pakett annab audiitorile selge jälje: kontekstist riskini, riskist turvameetmeni, turvameetmest tõendusmaterjalini, tõendusmaterjalist juhtkonna läbivaatamiseni ning juhtkonna läbivaatamisest parendamiseni.

Muuda muudatus tõendusmaterjaliks, mitte ärevuseks

ISO 27001 kliimamuutusi käsitlev muudatus ei ole paberitöö lõks, kui sinu ISMS toimib juba juhtimissüsteemina. See on ajend tõendada, et organisatsioon suudab märgata muutuvat välist teemat, otsustada selle olulisuse üle, hinnata selle mõju infoturbe tulemustele, ajakohastada vajaduse korral riske ja turvameetmeid ning kaasata otsusesse tippjuhtkonna.

Alusta 60-minutilise tõendusmaterjali läbivaatamisega. Võta kaasa kontekstiregister, huvitatud poolte register, ISMS-i kohaldamisala, riskiregister, SoA, BCP testiaruanne, tarnijaregister, vastavusregister ja viimase juhtkonna läbivaatamise protokollid. Esita üks küsimus: kas saame jälgida kliimamuudatust kontekstist juhtkonna otsuseni?

Kui ahel on katki, paranda see enne, kui audiitor lünga leiab.

Clarysec aitab sul selle jälgitavuse kiiresti üles ehitada. Kasuta Zenith Blueprint: audiitori 30-sammuline teekaart, et paigutada töö õigesse rakendusetappi, kasuta Zenith Controls: raamistikeülese vastavuse juhend, et kaardistada tõendusmaterjal ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF ja COBIT 2019 kindluse tagamise vahel, ning kasuta Clarysec poliitikamalle, et muuta kirjed korratavateks, läbivaadatavateks ja auditiks valmis.

Broneeri Clarysec kliimamuudatuse tõendusmaterjali hindamine ja muuda ebamugav auditiküsimus kindlaks, juhtorganile sobivaks vastuseks.