ISO 27001-vereiste 5.3 – Organisatoriese rolle en verantwoordelikhede

Wat behels klousule 5.3?

ISO 27001 soek eenvoudig na duidelikheid en fokus op die sleuteldele van die ISMS – wie is oor die algemeen verantwoordelik, wie is verantwoordelik vir sekere dele, alle goeie en logiese sakepraktyke. Jy moet demonstreer dat sekere rolle (nie noodwendig mense nie) bestaan, deur topbestuur aangestel is en dit word aan die relevante belanghebbende partye gekommunikeer en duidelik gedokumenteer sodat daar geen onduidelikheid is nie. Die vereiste hier is redelik hoog en dit is maklik om te dokumenteer, en pas ook by ander dele van die inligtingsekuriteitbestuurstelsel bv sekuriteitsrisiko-eienaars in 6.1, info sek objektiewe eienaars in 6.2 ens.

So een individu kan meer as een rol doen en jy kan die werk verenig, bv. deur 'n bestuursraad te laat toesig hou oor alles om te help om bestuurresensies in ooreenstemming met 9.3 te demonstreer en heeltemal by die inligtingsekuriteitbestuurstelsel aan te sluit. Maak dit net duidelik wie waarvoor verantwoordelik is. Dink aan die rolle met belanghebbende partye in gedagte sowel as praktiese lewering. Die rol van CISO (Hoof Inligtingsekuriteitsbeampte) kan byvoorbeeld vir jou kliënte impliseer dat jy inligtingsekuriteit ernstig opneem en dat dit deur 'n senior bestuurder bykomend tot hul dagtaak gedoen kan word, of as dit in 'n groter organisasie 'n volledige -tyd rol in eie reg.

Jy kan ook kies om 'n TISO (Technical Information Security Officer), of ekwivalent, te hê wat meer tegnies sal wees en in staat sal wees om op daardie aspekte van die ISMS te fokus as die ander rolle deur meer kommersiële/strategiese individue gelewer word. Sien Bylae A 6.1.1 (oor die organisasie van inligtingsekuriteit) en maak seker dat jy hierdie vereiste met daardie Bylae A-beheer belyn.

ISO 27001 soek spesifiek duidelikheid in rolle en verantwoordelikhede vir:

• Maak seker die inligtingsekuriteitbestuurstelsel voldoen aan die vereistes van die Internasionale Organisasie vir Standaardisering
• Die rapportering van prestasie van die ISMS (wat baie makliker is as dit alles op een plek is)

Dit kan heel moontlik wees dat 'n senior bestuurder die aanspreeklikheid vir die ISMS het as deel van die leierskapverbintenis tot inligtingsekuriteit (5.1), maar kan natuurlik die bestuur daarvan aan ander in die organisasie delegeer, of uitkontrakteer aan spesialispartye soos die virtuele CISO, wat baie van die ISMS.online vennote dienste rondom bied. Onthou net om dit te dokumenteer!

Maak dit eenvoudiger met ISMS.online

Die ISMS.online platform maak dit maklik vir topbestuur om 'n inligtingsekuriteitsbeleid daar te stel wat ooreenstem met die doel en konteks van die organisasie.

Jou ISMS sal 'n voorafgeboude inligtingsekuriteitsbeleid insluit wat maklik by jou organisasie aangepas kan word. Hierdie beleid dien as 'n raamwerk vir die hersiening van doelwitte en sluit verpligtinge in om aan enige toepaslike vereistes te voldoen en die bestuurstelsel voortdurend te verbeter. Hierdie beleid kan maklik met belangstellendes gedeel en vir tenders of ander eksterne kommunikasie ingedien word.