ISO 27001 pakeitimo dėl klimato kaitos įrodymų vadovas

09:10 ryto, vyksta jūsų ISO/IEC 27001:2022 priežiūros auditas. Auditorius jau peržiūrėjo rizikų registrą, Taikomumo pareiškimą, vadovybės peržiūros protokolus, tiekėjų registrą ir veiklos tęstinumo pratybų ataskaitą. Tada nuskamba klausimas, kuris netikėtai sustabdo visą komandą:

„Parodykite, kaip nustatėte, ar klimato kaita yra aktuali ISVS.“

Vyriausiasis informacijos saugumo pareigūnas (CISO) pažvelgia į atitikties vadovą. Atitikties vadovas atveria teisinių reikalavimų registrą. Kažkas pamini ESG. Kažkas kitas pasako, kad duomenų centro paslaugų teikėjas turi ISO sertifikatus. Auditorius laukia.

Būtent ši akimirka parodo praktinę įrodymų spragą, kurią sukūrė ISO vadybos sistemų pakeitimas dėl klimato kaitos. Pakeitimas nereikalauja, kad saugumo komandos taptų klimato mokslininkais, skaičiuotų debesijos anglies dioksido emisijas ar kurtų dekoratyvią „klimato saugumo kontrolės priemonę“. Jis kelia tiesesnį vadybos sistemos klausimą: ar organizacija įvertino, ar klimato kaita aktuali jos kontekstui, ir ar suinteresuotosios šalys turi su klimatu susijusių reikalavimų, darančių poveikį vadybos sistemai?

ISO/IEC 27001:2022 atveju tai reiškia, kad įrodymai turi susieti 4–10 skyrius: kontekstą, suinteresuotąsias šalis, taikymo sritį, rizikos planavimą, operacinę kontrolę, veiklos rezultatų vertinimą, vadovybės peržiūrą ir nuolatinį tobulinimą. Pakeitimas nėra įgyvendinamas vien susitikime pasakius „netaikoma“. Jis įgyvendinamas parodant pagrįstą, dokumentuotą, rizika grindžiamą sprendimą.

Su tuo pačiu klausimu likus kelioms savaitėms iki audito susidūrė fintech įmonės CISO Sarah. Jos pirmoji reakcija buvo pažįstama: klimato kaita atrodė esanti už ISVS ribų, o jos komanda rūpinosi kibernetinėmis grėsmėmis, duomenų saugumo pažeidimais, debesijos saugumu, pasirengimu DORA ir klientų deramu patikrinimu. Tačiau kai ji pakeitimą išvertė į praktinę ISVS kalbą, klausimas tapo konkretus: ekstremalūs orai gali paveikti debesijos regiono prieinamumą, tiekėjas vandens stygiaus regione gali uždelsti kritinės aparatinės įrangos pakeitimą, ilgalaikis elektros energijos tiekimo sutrikimas gali sutrikdyti reagavimo į incidentus komandos darbą, o klientai gali pareikalauti veiklos atsparumo įrodymų.

Tai yra tinkamas požiūris. Klimato kaitą vertinkite kaip ISVS konteksto ir atsparumo įvestį, o ne kaip papildomai prikabintą temą.

Clarysec metodas naudoja Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planą, Zenith Controls: kelių atitikties sistemų vadovą ir Clarysec politikų šablonus, kad naujas audito klausimas būtų paverstas atsekamais įrodymais. Tikslas paprastas: parodyti auditoriui aiškią grandinę nuo konteksto iki rizikos, nuo rizikos iki kontrolės priemonių, nuo kontrolės priemonių iki įrodymų, nuo įrodymų iki vadovybės peržiūros ir nuo vadovybės peržiūros iki tobulinimo.

Pakeitimas keičia audito klausimą, o ne ISVS paskirtį

Dažniausia klaida – ISO 27001 pakeitimą dėl klimato kaitos laikyti atskira kontrolės sritimi. Taip nėra. ISVS atveju tikrasis klausimas yra, ar klimato kaita gali paveikti numatytus informacijos saugumo rezultatus, ypač konfidencialumą, vientisumą ir prieinamumą.

Pakeitimas įtraukia klimato kaitą kaip konkretų aspektą pagal ISO vadybos sistemos konteksto reikalavimus. ISO/IEC 27001:2022 atveju auditoriai paprastai pirmiausia tikrina du dalykus:

• 4.1 skyrių – ar organizacija nustatė, ar klimato kaita yra aktualus išorės klausimas.
• 4.2 skyrių – ar aktualios suinteresuotosios šalys turi su klimatu susijusių reikalavimų.

Esminis žodis yra „nustatė“. Organizacija gali nustatyti, kad klimato kaita nėra aktuali, yra aktuali tik tam tikroms vietoms ar paslaugoms arba yra aktuali visai ISVS. Tačiau nustatymas turi būti dokumentuotas ir pagrįstas faktinėmis organizacijos priklausomybėmis.

Pavyzdžiui, SaaS teikėjas gali nuspręsti, kad klimato aktualumas egzistuoja, nes produkcinės aplinkos prieinamumas priklauso nuo nedidelio debesijos regionų skaičiaus, valdomų paslaugų teikėjo ir nuotoliniu būdu dirbančių reagavimo į incidentus darbuotojų. Fintech organizacija gali susieti pakeitimą su kritinėmis IRT priklausomybėmis nuo trečiųjų šalių, DORA veiklos atsparumu, reglamentuotu pranešimu apie incidentus ir valdymo organo atskaitomybe. Gamintojas gali daugiausia dėmesio skirti OT tinklo prieinamumui, gamyklos junglumui, nuotolinei stebėsenai ir fizinės vietos veiklos sutrikimui.

Brandus įrodymų rinkinys turėtų atsispindėti tose pačiose vietose, kuriose organizacija jau pagrindžia, kad jos ISVS veikia.

Stipriausi audito įrodymai nėra atskirame „klimato faile“. Jie atsispindi įprastuose ISVS įrašuose ir parodo, kad vadybos sistema gali reaguoti į išorės konteksto pokyčius.

Pradėkite nuo konteksto, suinteresuotųjų šalių ir taikymo srities

Klimato aktualumas prasideda nuo konteksto. Organizacija turi įrašyti aiškų nustatymą: aktualu, neaktualu arba iš dalies aktualu. „Aktualu“ nereiškia katastrofiška. Tai reiškia, kad klausimas gali paveikti numatytus informacijos saugumo rezultatus.

Zenith Blueprint ISVS pagrindų ir lyderystės fazė prasideda nuo konteksto analizės. 1 žingsnyje nurodoma:

Veiksmas 4.1: Sudarykite vidinių ir išorinių veiksnių, aktualių jūsų organizacijos informacijos saugumui, sąrašą.

Tose pačiose gairėse rekomenduojama plati išorės analizė, įskaitant aplinkos veiksnius taikant tokius metodus kaip PESTLE. Čia klimato pakeitimas tampa operacinis. Užuot klausiusi „Ar turime klimato kontrolės priemonę?“, komanda klausia:

• Kokios fizinės vietos, duomenų centrai, debesijos regionai, tinklai ir tiekėjai palaiko į taikymo sritį įtrauktas paslaugas?
• Ar ekstremalūs orai, karštis, miškų gaisrai, potvyniai, vandens trūkumas, energijos tiekimo nestabilumas arba transporto sutrikimai galėtų paveikti prieinamumą, vientisumą ar konfidencialumą?
• Ar klientai per saugumo deramo patikrinimo procesus prašo klimato atsparumo ar veiklos atsparumo įrodymų?
• Ar reguliavimo institucijos, draudikai, investuotojai arba viešojo sektoriaus klientai nustato veiklos tęstinumo, atkūrimo po katastrofos ar prieinamumo lūkesčius?
• Ar prisitaikymo prie klimato kaitos projektai galėtų įvesti naujų technologinių rizikų, pavyzdžiui, pastatų valdymo sistemų integracijas, IoT jutiklius, aplinkos stebėseną ar sparčią migraciją į debesiją?
• Ar yra privatumo pasekmių, jei nauja stebėsena apima darbuotojų, vietos, įrenginių ar aplinkos duomenis, susietus su asmenimis?

Sarah fintech komandos konteksto dirbtuvės išskyrė keturis realistiškus išorės klausimus: audrų poveikį duomenų centro regionui, koncentraciją viename debesijos regione, priklausomybę nuo aparatinės įrangos tiekėjo vandens stygiaus zonoje ir reguliavimo lūkesčius pagal DORA ir NIS2.

Kitas žingsnis – suinteresuotosios šalys. Pakeitimas reikalauja, kad organizacijos nustatytų, ar suinteresuotosios šalys turi su klimatu susijusių reikalavimų. Tokios šalys gali būti klientai, reguliavimo institucijos, draudikai, debesijos paslaugų teikėjai, investuotojai, valdymo organai arba kritiniai tiekėjai.

Zenith Blueprint 2 žingsnis susieja šią analizę su ISVS taikymo sritimi:

Veiksmas 4.3: Parenkite ISVS taikymo srities aprašą. Nurodykite, kas įtraukta (verslo padaliniai, vietos, sistemos) ir kokios taikomos išimtys.

Tai svarbu, nes su klimatu susiję sutrikimai dažnai patenka per sąsajas ir priklausomybes. Organizacija gali teigti, kad jos biuras nėra reikšmingas, nes produkcinė aplinka veikia debesijoje, tačiau auditorius gali paklausti, ar klientų aptarnavimas, privilegijuotoji prieiga, reagavimas į incidentus, atsarginių kopijų administravimas, tiekėjo eskalavimas ar krizių komunikacija priklauso nuo žmonių, vietų ar tiekėjų už taikymo srities ribų.

Clarysec Enterprise Informacijos saugumo politika nustato bazinį reikalavimą:

Organizacija turi įgyvendinti ir prižiūrėti informacijos saugumo valdymo sistemą (ISVS) pagal ISO/IEC 27001:2022 4–10 skyrius.

Ji taip pat reikalauja auditorių tikimos įrodymų struktūros:

ISVS turi apimti apibrėžtas taikymo srities ribas, rizikos vertinimo metodiką, išmatuojamus tikslus ir dokumentuotas kontrolės priemones, pagrįstas Taikomumo pareiškime (SoA).

Šie žodžiai yra pasirengimo pakeitimui pagrindas: taikymo srities ribos, rizikos metodika, išmatuojami tikslai ir SoA pagrindimas.

Paverskite klimato kontekstą informacijos saugumo rizikomis

Geriausias įrodymas retai būna bendro pobūdžio rizika, pavadinta „klimato kaita“. Klimato kaita yra konteksto veiksnys. Rizikos scenarijus turi aprašyti informacijos saugumo pasekmę.

Stiprūs rizikos scenarijai atrodo taip:

• Ekstremalūs orai sutrikdo patekimą į pagrindinį biurą saugumo incidento metu, todėl vėluoja privilegijuotas reagavimas ir komunikacija su klientais.
• Regioninė karščio banga padidina aušinimo ar elektros energijos tiekimo nestabilumo tikimybę duomenų centre, palaikančiame produkcinius darbo krūvius.
• Potvynis paveikia kritinio tiekėjo paslaugų tarnybos vietą, todėl vėluoja valdomų galinių įrenginių apsaugos paslaugų atkūrimas.
• Klientų klimato atsparumo reikalavimai nėra įtraukti į atitikties registrą, todėl kyla sutartinė neatitiktis ir audito išvados.
• Neatidėliotina migracija į debesiją, skirta sumažinti priklausomybę nuo fizinės vietos, apeina standartinį pakeitimų ir tiekėjų rizikos vertinimą.
• Prisitaikymo prie klimato kaitos stebėsenos įrenginiai prijungiami prie organizacijos tinklo be turto registravimo, žurnalavimo ar pažeidžiamumų valdymo.

Tai yra informacijos saugumo rizikos, nes jos veikia prieinamumą, incidentų valdymą, tiekėjų užtikrinimą, turto valdymą, teisines prievoles, saugų pakeitimų valdymą arba privatumą.

Clarysec Rizikos valdymo politika - SME nustato:

Visos nustatytos rizikos turi būti įrašytos į rizikų registrą.

Ji taip pat sustiprina peržiūros periodiškumą:

Rizikos turi būti peržiūrimos kas ketvirtį ir atnaujinamos įvykus reikšmingiems įvykiams.

Didelėms organizacijoms skirta Clarysec Rizikos valdymo politika išplečia įvesčių modelį:

Rizikų identifikavimo įvestys turi apimti, bet neapsiriboti, audito išvadas, pažeidžiamumų skenavimą, įsiskverbimo testavimo ataskaitas, incidentų tendencijas, teisines prievoles ir operacinius pokyčius.

Klimato aktualumas gali kilti iš bet kurios iš šių įvesčių. Kliento audito išvada gali nustatyti trūkstamus atsparumo įrodymus. Teisinis atnaujinimas gali pridėti veiklos atsparumo įpareigojimų. Migracija į debesiją gali perkelti darbo krūvius į kitą regioninį rizikos profilį. Veiklos tęstinumo testas gali parodyti, kad darbuotojai elektros tiekimo sutrikimo metu negali pasiekti atkūrimo procedūrų.

Kiekviena rizika turi turėti savininką, tikimybę, poveikį, tvarkymo sprendimą, likutinės rizikos poziciją ir peržiūros datą. Jei organizacija padaro išvadą, kad reikšmingos su klimatu susijusios informacijos saugumo rizikos nėra, tokiai išvadai vis tiek reikia pagrindimo.

Naudokite Taikomumo pareiškimą rizikos logikai paversti kontrolės priemonių logika

Kai su klimatu susiję scenarijai užregistruoti, kitas klausimas – ar kontrolės priemonės būtinos ir ar Taikomumo pareiškimas atspindi šį sprendimą. ISO/IEC 27001:2022 6.1.1–6.1.3 skyriai reikalauja suplanuotų veiksmų dėl rizikų ir galimybių, rizikos vertinimo, rizikos tvarkymo, būtinų kontrolės priemonių, palyginimo su A priedu ir SoA su įtraukimo bei neįtraukimo pagrindimais.

Rizikos valdymo fazėje Zenith Blueprint 13 žingsnis pateikia praktinį atsekamumo modelį:

Kryžminės nuorodos į reglamentus: jei tam tikros kontrolės priemonės įgyvendinamos konkrečiai siekiant laikytis GDPR, NIS2 arba DORA, tai galite pažymėti rizikų registre (kaip rizikos poveikio pagrindimo dalį) arba SoA pastabose.

Tą patį principą taikykite pakeitimui dėl klimato kaitos. Nekurkite naujos kontrolės priemonės. Susiekite scenarijų su esamomis ISO/IEC 27002:2022 kontrolės priemonėmis ir paaiškinkite, kodėl jos taikytinos.

Enterprise Rizikos valdymo politika aiškiai nustato SoA inicijavimo sąlygą:

SoA turi būti peržiūrimas po kiekvieno reikšmingo rizikos vertinimo arba reikšmingo aplinkos pokyčio.

Ši nuostata itin aktuali. Reikšmingas aplinkos pokytis gali būti tiesioginis, pavyzdžiui, atnaujinta objekto potvynio rizikos ekspozicija, arba operacinis, pavyzdžiui, duomenų centro paslaugų teikėjų keitimas, darbo krūvių perkėlimas, naujos palaikymo vietos atidarymas arba reguliuojamo kliento su atsparumo reikalavimais priėmimas.

Stiprus SoA pagrindimas yra konkretus:

„Kontrolės priemonė A.5.30 yra taikytina, nes RR-31 nustato galimą paslaugos sutrikimą dėl ekstremalių orų poveikio pagrindinėms palaikymo operacijoms. Tvarkymas apima nuotolinį incidentų koordinavimą, testuotas atkūrimo procedūras, metines IRT pasirengimo pratybas ir debesijos perjungimo į atsarginę aplinką validavimą.“

Tai daug stipriau nei „Taikytina, nes to reikalauja ISO.“

Naudokite politikų įrodymus, kad pakeitimas taptų pakartojamas

Pakeitimas neturi sukelti vienkartinio skubėjimo prieš auditą. Jis turi tapti įprasto vadybos sistemos peržiūros ciklo dalimi.

Clarysec Teisinės ir reglamentavimo atitikties politika - SME nustato:

Bet koks atitiktį veikiantis pokytis turi inicijuoti atitikties registro ir atitinkamų politikų peržiūrą.

Įtraukite ISO vadybos sistemos pakeitimą dėl klimato kaitos į atitikties registrą, tada pateikite kryžmines nuorodas į susijusius klientų, reguliavimo, sutartinius, draudimo ir sertifikavimo įpareigojimus. Jei organizacija veikia NIS2 arba DORA aplinkoje, susiekite šiuos įpareigojimus su veiklos tęstinumo, incidentų pranešimo, tiekėjų užtikrinimo ir valdysenos įrodymais.

Veiklos tęstinumo srityje Clarysec Veiklos tęstinumo ir atkūrimo po katastrofos politika - SME tikisi įrodymų:

kad sutrikimų scenarijai buvo apsvarstyti ir testuoti kaip rizikos vertinimų dalis

Čia klimato scenarijai tampa operaciniai. Stalo pratybos dėl regioninio elektros tiekimo praradimo, atsarginių kopijų atkūrimo pratybos, debesijos perjungimo į atsarginę aplinką validavimas arba tiekėjo palaikymo sutrikimo simuliacija gali pagrįsti pakeitimą, jei yra susieti su rizikų registru.

Audito valdysenai Clarysec Audito ir atitikties stebėsenos politika - SME nustato:

Audito išvados ir būsenos atnaujinimai turi būti įtraukti į ISVS vadovybės peržiūros procesą.

Jei vidaus auditas nustato silpnus klimato pakeitimo įrodymus, išvada neturi likti vien audito sekimo priemonėje. Ji turi patekti į vadovybės peržiūrą, korekcinius veiksmus ir nuolatinį tobulinimą.

Privatumo įrodymai svarbūs tais atvejais, kai prisitaikymas prie klimato kaitos keičia asmens duomenų tvarkymą. Clarysec Privatumo informacijos valdymo sistemos politika reikalauja konteksto drausmės:

[Abu] Privatumo vadovas / PIMS vadovas PRIVALO dokumentuoti išorinius ir vidinius privatumo konteksto klausimus REG01 kasmet ir per 30 dienų nuo bet kokio esminio pokyčio.

Ji taip pat reikalauja užfiksuoti suinteresuotųjų šalių reikalavimus:

[Abu] Privatumo vadovas / PIMS vadovas PRIVALO dokumentuoti aktualias suinteresuotąsias šalis ir jų PIMS reikalavimus REG01 kasmet ir per 30 dienų nuo bet kokio esminio pokyčio.

Privatumo rizikoms ir DPIA skirta Privatumo rizikos vertinimo ir DPIA politika papildo:

[Abu] Privatumo vadovas / PIMS vadovas PRIVALO kas ketvirtį ir prieš kiekvieną vadovybės peržiūrą teikti privatumo rizikos ir DPIA būseną iš REG04 į REG12.

PIMS stebėsenos, audito ir tobulinimo politika pateikia vadovybės peržiūros modelį, naudingą ir už privatumo ribų:

[Abu] Aukščiausioji vadovybė PRIVALO per kiekvieną vadovybės peržiūrą REG12 peržiūrėti PIMS neatitiktis, korekcinius veiksmus, stebėsenos rezultatus, audito rezultatus, privatumo riziką, tiekėjų užtikrinimą ir suinteresuotųjų šalių pokyčių įvestis.

O PIMS dokumentuotos informacijos ir įrodymų valdymo politika sustiprina įrodymų indeksavimą:

[Visi] Privatumo vadovas / PIMS vadovas PRIVALO palaikyti PIMS dokumentuotos informacijos rodyklę REG12 prieš pradinį PIMS paskelbimą ir vėliau kas ketvirtį.

ISVS pasirengimui pakeitimui dėl klimato kaitos taikykite tokią pačią drausmę: palaikykite įrodymų rodyklę, kad audito komanda galėtų greitai rasti konteksto, rizikos, SoA, tęstinumo, tiekėjų ir vadovybės peržiūros įrašus.

Kelių atitikties sistemų vertė: ISO 27001, NIS2, DORA, GDPR, NIST CSF ir COBIT

ISO 27001 pakeitimas dėl klimato kaitos yra ISO vadybos sistemos reikalavimas, tačiau įrodymai turi platesnę reguliavimo ir užtikrinimo vertę.

NIS2 reikalauja, kad esminiai ir svarbūs subjektai taikytų tinkamas ir proporcingas kibernetinio saugumo rizikos valdymo priemones, vadovaudamiesi visų pavojų požiūriu. Article 21 apima rizikos analizę, incidentų valdymą, veiklos tęstinumą, atsargines kopijas, atkūrimą po katastrofos, krizių valdymą, tiekimo grandinės saugumą, saugų kūrimą, veiksmingumo vertinimą, mokymus, kriptografiją, prieigos kontrolę ir turto valdymą. Ekstremalūs orai, energijos tiekimo nestabilumas ir tiekėjų sutrikimai natūraliai dera prie visų pavojų požiūrio. Article 20 taip pat reikalauja, kad valdymo organai patvirtintų kibernetinio saugumo rizikos valdymo priemones ir prižiūrėtų jų įgyvendinimą; tai dera su ISO/IEC 27001:2022 vadovybės peržiūros įrodymais.

DORA ypač aktualus finansų sektoriaus subjektams. Jis reikalauja IRT rizikos valdymo, valdymo organo atskaitomybės, tęstinumo ir atkūrimo planų, skaitmeninio veiklos atsparumo testavimo, IRT trečiųjų šalių rizikos valdymo ir nuolatinio tobulinimo. Jei finansų organizacija jau naudoja ISVS vadovybės peržiūrą su klimatu susijusiems IRT tęstinumo veiksmams patvirtinti, tie patys įrodymai gali pagrįsti DORA valdysenos naratyvą.

GDPR tampa aktualus, kai prisitaikymas prie klimato kaitos keičia asmens duomenų tvarkymą. Pavyzdžiai – darbuotojų saugos stebėsena, vietos sekimas ekstremalių orų metu, nauji pastatų jutikliai, su darbuotojais susieta aplinkos stebėsena arba debesijos tvarkymo vietos pokyčiai. GDPR atskaitomybė, tikslo apribojimas, duomenų kiekio mažinimas, saugumas, saugojimas ir tiekėjų valdysena išlieka taikytini sutrikimo metu.

NIST CSF 2.0 suteikia vadovybei tinkamą kalbą tiems patiems įrodymams. Jo GOVERN funkcija akcentuoja organizacijos kontekstą, suinteresuotųjų šalių lūkesčius, teisinius ir reglamentavimo reikalavimus, rizikos valdymo strategiją, vaidmenis, priežiūrą ir tiekimo grandinės riziką. COBIT 2019 ir į ISACA orientuoti užtikrinimo specialistai dažnai vertins savininkystę, veiklos rodiklius, rizikos priėmimą, valdysenos tikslus, problemų valdymą ir įrodymus, kad vadovybė žino, jog kontrolės priemonės veikia.

Zenith Controls čia naudingas, nes padeda atitikties komandoms matyti, kaip tas pats įrodymų artefaktas palaiko kelias sistemas. Tai nėra atskiras kontrolės priemonių rinkinys. Tai kelių atitikties sistemų vadovas, skirtas ISO/IEC 27001:2022 ir ISO/IEC 27002:2022 kontrolės logikai susieti su audito, užtikrinimo ir reguliavimo lūkesčiais.

Šiai temai svarbios kelios ISO/IEC 27002:2022 kontrolės priemonės. A.5.31 Teisiniai, įstatyminiai, reglamentavimo ir sutartiniai reikalavimai palaiko pareigą nustatyti ir prižiūrėti taikytinus reikalavimus. A.5.4 Vadovybės atsakomybės palaiko vadovybės atskaitomybę. A.5.36 Informacijos saugumo politikų, taisyklių ir standartų laikymasis palaiko užtikrinimą, kad taisyklių laikomasi. A.5.29 ir A.5.30 palaiko informacijos saugumą veiklos sutrikimo metu ir IRT pasirengimą veiklos tęstinumui. A.5.19, A.5.21 ir A.5.22 palaiko tiekėjų ir IRT tiekimo grandinės atsparumą.

Zenith Controls nurodo:

Kontrolė 5.36 veikia kaip 5.1 apibrėžtų taisyklių įgyvendinimo mechanizmas.

Pakeitimo dėl klimato kaitos kontekste tai reiškia, kad organizacija ne tik atnaujina politiką. Ji stebi, ar konteksto peržiūros, rizikos atnaujinimai, SoA peržiūros, tęstinumo testai, tiekėjų peržiūros ir vadovybės peržiūros veiksmai iš tikrųjų vyksta.

Vadovybės peržiūra yra valdymo organo lygmens tiesos momentas

ISO/IEC 27001:2022 9.3 skyrius reikalauja, kad aukščiausioji vadovybė planuotais intervalais peržiūrėtų ISVS, siekdama užtikrinti nuolatinį tinkamumą, pakankamumą ir veiksmingumą. Pakeitimo dėl klimato kaitos atveju vadovybės peržiūra yra vieta, kur konteksto įrodymai tampa vadovybės atskaitomybe.

Zenith Blueprint audito, peržiūros ir tobulinimo fazės 28 žingsnyje komandoms nurodoma surinkti vadovybės peržiūros įvestis, įskaitant:

✓ Išorinių ir vidinių klausimų pokyčiai: apibendrinkite visus reikšmingus konteksto (4.1 skyrius) arba suinteresuotųjų šalių reikalavimų (4.2 skyrius) pokyčius nuo ISVS projekto pradžios.

Sarah pasinaudojo šia struktūra pristatydama klausimą vadovybei. Jos vadovybės peržiūros skaidrė buvo glausta:

1. ISO įpareigojo įvertinti klimato kaitą vadybos sistemos kontekste.
2. ISVS komanda nustatė aktualumą duomenų centro prieinamumui, debesijos koncentracijai, tiekėjų priklausomybei ir reguliavimo lūkesčiams.
3. Į rizikų registrą įtrauktos dvi rizikos su vidutiniškai maža tikimybe ir dideliu poveikiu.
4. Tvarkymas naudoja esamas IRT pasirengimo, tiekėjų valdymo, atsarginių kopijų, debesijos paslaugų ir teisinių reikalavimų kontrolės priemones.
5. Prašoma vadovybės patvirtinimo išplėstiniam atkūrimo po katastrofos testui, imituojančiam regioninį energijos tiekimo nestabilumą.

Protokole buvo užfiksuotas sprendimas, veiksmų savininkai, įvykdymo terminai ir išteklių patvirtinimas. Tai aukštos kokybės audito įrodymai, nes jie rodo, kad aukščiausioji vadovybė peržiūrėjo klausimą ir priėmė rizika grindžiamą sprendimą.

Clarysec Enterprise Informacijos saugumo politika reikalauja, kad vadovybės peržiūra apimtų:

Sprendimus dėl taikymo srities, kontrolės priemonių ir išteklių paskirstymo atnaujinimų

Stiprus pakeitimo dėl klimato kaitos vadovybės peržiūros paketas turėtų apimti:

• Konteksto registro išrašą, rodantį klimato aktualumo nustatymą.
• Suinteresuotųjų šalių registro išrašą, rodantį reikalavimus arba pagrindimą, kad jų nėra.
• Taikymo srities peržiūrą, apimančią vietas, debesijos paslaugas, tiekėjus, palaikymo komandas ir sąsajas.
• Rizikų registro įrašus ir tvarkymo būseną.
• SoA pakeitimus arba patvirtinimą, kad esami pagrindimai išlieka pakankami.
• Veiklos tęstinumo ir atkūrimo po katastrofos testų rezultatus.
• Tiekėjų užtikrinimo atnaujinimus dėl debesijos, duomenų centro, MSP, MSSP, telekomunikacijų, patalpų ir išorinio palaikymo priklausomybių.
• Reagavimo į incidentus pasekmes, įskaitant eskalavimo ir komunikacijos priklausomybes.
• Teisinių ir reglamentavimo reikalavimų registro atnaujinimus.
• Išteklių prašymus, sprendimus ir likutinės rizikos priėmimą.
• Tobulinimo veiksmus su savininkais ir įvykdymo terminais.

Jei klausimas niekada nepasiekia vadovybės peržiūros, jis gali atrodyti formalus ir neįgyvendintas. Jei jis pasiekia vadovybės peržiūrą per kontekstą, riziką, kontrolės priemones ir įrodymus, tai atrodo kaip veikianti ISVS.

Dažnos audito išvados ir kaip jų išvengti

Dauguma pakeitimo dėl klimato kaitos išvadų yra atsekamumo, o ne techninio kontrolės neveikimo problema.

Jūsų auditui tinkamas įrodymų paketas

Prieš kitą priežiūros arba pakartotinio sertifikavimo auditą surinkite glaustą įrodymų paketą. Jis neturi būti didelis. Jis turi būti susietas.

Šis paketas auditoriui suteikia aiškų pėdsaką: nuo konteksto iki rizikos, nuo rizikos iki kontrolės priemonės, nuo kontrolės priemonės iki įrodymų, nuo įrodymų iki vadovybės peržiūros ir nuo vadovybės peržiūros iki tobulinimo.

Paverskite pakeitimą įrodymais, o ne nerimu

ISO 27001 pakeitimas dėl klimato kaitos nėra dokumentų spąstai, jei jūsų ISVS jau veikia kaip vadybos sistema. Tai paskata įrodyti, kad organizacija gali atpažinti besikeičiantį išorės klausimą, nuspręsti, ar jis reikšmingas, įvertinti jo poveikį informacijos saugumo rezultatams, prireikus atnaujinti riziką ir kontrolės priemones bei įtraukti aukščiausiąją vadovybę į sprendimą.

Pradėkite nuo 60 minučių įrodymų peržiūros. Atsineškite konteksto registrą, suinteresuotųjų šalių registrą, ISVS taikymo sritį, rizikų registrą, SoA, BCP testo ataskaitą, tiekėjų registrą, atitikties registrą ir paskutinės vadovybės peržiūros protokolus. Užduokite vieną klausimą: ar galime atsekti klimato pakeitimą nuo konteksto iki vadovybės sprendimo?

Jei grandinė nutrūkusi, sutvarkykite ją prieš auditoriui randant spragą.

Clarysec gali padėti greitai sukurti šį atsekamumą. Naudokite Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planą, kad darbą įtrauktumėte į tinkamas įgyvendinimo fazes, naudokite Zenith Controls: kelių atitikties sistemų vadovą, kad susietumėte įrodymus tarp ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF ir COBIT orientuoto užtikrinimo, ir naudokite Clarysec politikų šablonus, kad įrašai būtų pakartojami, peržiūrimi ir tinkami auditui.

Suplanuokite Clarysec pakeitimo dėl klimato kaitos įrodymų vertinimą ir nepatogų audito klausimą paverskite užtikrintu, valdymo organui tinkamu atsakymu.