Chương trình khởi tạo ISMS

 

ISO / IEC 27001: 2013 (còn được gọi là ISO27001) là tiêu chuẩn quốc tế về bảo mật thông tin. Nó cung cấp một đặc điểm kỹ thuật cho một hệ thống quản lý an toàn thông tin (ISMS).

Phương pháp tiếp cận thực tiễn tốt nhất của tiêu chuẩn hệ thống quản lý an toàn thông tin giúp các tổ chức quản lý an ninh thông tin của họ bằng cách giải quyết vấn đề con người, quy trình và công nghệ.

Tiêu chuẩn Chứng nhận ISO 27001 được công nhận trên toàn thế giới như một dấu hiệu cho thấy ISMS của bạn phù hợp với các thực tiễn tốt nhất về bảo mật thông tin.

Là một phần của bộ tiêu chuẩn an toàn thông tin ISO 27000, ISO 27001 là một khuôn khổ giúp các tổ chức "thiết lập, thực hiện, vận hành, giám sát, xem xét, duy trì và liên tục cải tiến ISMS".

Phiên bản mới nhất của tiêu chuẩn an toàn thông tin ISO 27001 được xuất bản vào tháng 9 năm 2013, thay thế cho phiên bản năm 2005.

Các khóa học diễn ra phổ biến hiện nay: khóa học iso 9001, khóa học đào tạo iso 22000,…Các doanh nghiệp nên áp dụng và tham gia các khóa học để hiểu sâu hơn và áp dụng tiêu chuẩn phù hợp cho doanh nghiệp của mình.

Khởi tạo ISMS

Bây giờ đã đến lúc áp dụng một phương pháp triển khai ISMS. Tiêu chuẩn thừa nhận rằng “phương pháp tiếp cận theo quy trình” để cải tiến liên tục là mô hình hiệu quả nhất để quản lý an toàn thông tin. Tuy nhiên, nó không chỉ định một phương pháp cụ thể và thay vào đó cho phép các tổ chức sử dụng bất kỳ phương pháp nào họ chọn hoặc tiếp tục với một mô hình mà họ đã có. Một phần của quá trình này liên quan đến việc phát triển phần còn lại của cấu trúc tài liệu của bạn.

Chúng tôi khuyên bạn nên sử dụng chiến lược bốn cấp: Ở trên cùng, các chính sách xác định quan điểm của tổ chức về các vấn đề cụ thể, chẳng hạn như việc sử dụng được chấp nhận và quản lý mật khẩu. Thủ tục ban hành các yêu cầu chính sách. Hướng dẫn công việc mô tả cách nhân viên phản ứng với các chính sách đó. Hồ sơ về quy trình làm việc và hướng dẫn công việc.

Cơ cấu quản lý. Ở giai đoạn này, bạn cần hiểu biết rộng hơn về khung ISMS. Phần quan trọng là xác định phạm vi ISMS của bạn — ISMS sẽ bảo vệ những phần nào của tổ chức. Tạo một phạm vi thích hợp là một phần thiết yếu của dự án triển khai ISMS của bạn. Phạm vi quá nhỏ, khi đó bạn sẽ để lộ thông tin, gây nguy hiểm cho an ninh của tổ chức. Nhưng nếu nó quá lớn, ISMS của bạn sẽ trở nên quá phức tạp để quản lý.

Kiểm soát an ninh cơ sở. Đường cơ sở bảo mật là mức hoạt động tối thiểu cần thiết để tiến hành kinh doanh một cách an toàn. Bạn nên xác định đường cơ sở bảo mật của mình bằng cách sử dụng thông tin thu thập được trong quá trình đánh giá rủi ro ISO 27001 của bạn.

Quản lý rủi ro

Quản lý rủi ro là một phần cốt lõi của bất kỳ ISMS nào. Giai đoạn này không phải là quản lý rủi ro mà là thiết lập cách bạn tiếp cận nhiệm vụ. Phương pháp xem xét rủi ro đối với một tài sản cụ thể / rủi ro trong một tình huống cụ thể. Bạn nên lấy những thứ đó và xác định xem có nên: Xử lý rủi ro, áp dụng các biện pháp kiểm soát bảo mật thông tin được quy định trong ISO 27001. Chấm dứt rủi ro bằng cách tránh nó hoàn toàn. Chia sẻ rủi ro (với hợp đồng bảo hiểm hoặc thông qua thỏa thuận với các bên khác). Hãy chấp nhận rủi ro (nếu nó không gây ra mối đe dọa đáng kể). Những rủi ro nào cần xử lý cần được ghi lại trong SoA (Tuyên bố về khả năng áp dụng). Điều này giải thích những điều khiển Chuẩn nào được chọn và bỏ qua cũng như lý do bạn thực hiện những lựa chọn đó.

Thực hiện kế hoạch xử lý rủi ro

Bây giờ là lúc để thực hiện kế hoạch quản lý rủi ro của bạn. Để đảm bảo các biện pháp kiểm soát này có hiệu quả: Bạn sẽ cần phải kiểm tra xem nhân viên có thể hoạt động. Hoặc tương tác với các điều khiển. Và họ có nhận thức được nghĩa vụ bảo mật thông tin của mình không? Bạn cần phát triển một quy trình để xác định, xem xét và duy trì các năng lực cần thiết. Điều này liên quan đến việc tiến hành phân tích nhu cầu và xác định mức năng lực mong muốn.

Đo lường, giám sát và xem xét

Bạn sẽ không thể biết ISMS của mình có đang hoạt động hay không trừ khi bạn xem xét nó. Chúng tôi khuyên bạn nên làm điều này ít nhất hàng năm. Vì vậy, bạn có thể theo dõi cách rủi ro phát triển và xác định các mối đe dọa mới. Mục tiêu chính của quá trình xem xét là để xem liệu hệ thống ISMS của bạn có thực sự ngăn chặn các sự cố bảo mật hay không, nhưng quá trình này mang nhiều sắc thái hơn thế.

Chứng chỉ

Khi ISMS được áp dụng, các tổ chức nên xem xét việc tìm kiếm chứng nhận từ một tổ chức chứng nhận được công nhận. Điều này chứng minh cho các bên liên quan thấy rằng ISMS là hiệu quả và tổ chức hiểu được tầm quan trọng của bảo mật thông tin.

Quá trình chứng nhận sẽ bao gồm việc xem xét tài liệu hệ thống quản lý của tổ chức để kiểm tra xem các biện pháp kiểm soát thích hợp đã được thực hiện hay chưa. Tổ chức chứng nhận cũng sẽ tiến hành đánh giá tại hiện trường để kiểm tra các thủ tục tại hiện trường.