Begin mei is een update van de Australische ISM (Information Security Manual) verschenen. Deze risk-based handleiding is een stuk minder abstract dan bijv. ISO 27001 en 27002, en lijkt mij daarom geschikt voor het MKB, eventueel als aanvulling op bestaande informatie.

Je vind er bijvoorbeeld duidelijke instructies in hoe je media als harddisks en SSD's kunt wissen voordat je ze afvoert. Er worden zelfs kleuren van netwerkkabels gespecificeerd, afhankelijk van de hoogste informatieclassificatie waar ze voor worden gebruikt. Hoewel het document zeer volledig lijkt, mis ik een (voorbeeld-) informatieclassificatieschema en hoe je zo'n schema maakt - terwijl de afhankelijkheid van classificatie op veel plaatsen terugkomt in het document. Wel wordt hiervoor naar een andere site en pagina van de Australische overheid verwezen: https://www.protectivesecurity.gov.au/information/sensitive-classified-information/Pages/default.aspx. Ik heb het document nog niet onder m'n hoofdkussen gehad en weet niet zeker of het verder "volledig" is (voor zover dat kan in 178 pagina's), maar er komen wel zeer veel onderwerpen in aan bod (zelfs datadiodes) en de "glossary" is met 23 pagina's aanzienlijk te noemen.

Persoonlijk mis ik nummering van hoofdstukken en paragrafen, want die maken verwijzingen vanuit externe documenten eenvoudiger. Nummering is echter discutabel: bij herstructureringen en andere wijzigingen veranderen nummeringen al snel, terwijl hoofdstuk- en paragraaftitels hetzelfde kunnen blijven (wat ook niet altijd zal lukken, maar als je aan het begin één hoofdstuk tussenvoegt, wijzigen alle nummeringen - terwijl bij het wijzigen van één titel de schade beperkt is).

Kortom, wat mij betreft een aanrader voor MKB terwijl de veelal praktische informatie ook ISO's van grotere organisaties kan helpen.

Je kunt het document (zowel PDF als docx) plus twee bijlagen downloaden vanuit https://www.cyber.gov.au/ism.

Voor degenen die een eerdere versie hebben, kan het wijzigingsregister interessant zijn (dat niet in de ISM zelf is opgenomen, hoewel bij controls vermeld wordt wanneer ze het laatst zijn bijgewerkt); dat kun je inzien en/of downloaden in https://www.cyber.gov.au/ism/may-2020-ism-changes.

Voor zover ik gezien heb, verwijzen alle andere links in https://www.cyber.gov.au/ism naar informatie die ook in de ISM is opgenomen (die hoef je dus niet ook allemaal af te lopen).

Aanvulling, mijn bron was https://www.zdnet.com/article/cisos-given-cyber-leadership-role-in-australias-new-information-security-manual/.