ISO/IEC 27005 Inligtingsekuriteitsrisikobestuur
Risikobepaling (algemeen na verwys as risiko-analise) is waarskynlik die moeilikste komponent van ISO 27001 implementering; nietemin, risikobepaling is die mees kritieke fase aan die begin van jou inligtingsekuriteitinisiatief. Dit lê die grondslag vir inligtingsekuriteit in jou organisasie. Risikobestuur is dikwels te ingewikkeld. Dit is waar ISO 27005 inkom.
Wat is ISO 27005?
ISO 27005 is 'n internasionale standaard wat die prosedures uiteensit vir die uitvoer van 'n inligtingsekuriteitsrisiko-assessering in ooreenstemming met ISO 27001. Soos voorheen gesê, is risikobeoordelings 'n kritieke komponent van 'n organisasie se ISO 27001-voldoeningsinisiatief. ISO 27001 laat jou toe om bewys te lewer van risiko-assessering vir inligtingsekuriteitsrisikobestuur, maatreëls wat geneem is en die toepassing van toepaslike kontroles uit aanhangsel A.
- ISO 27005-riglyne is 'n subset van 'n wyer reeks beste praktyke vir die voorkoming van data-oortredings in jou organisasie.
- Die spesifikasie verskaf leiding oor die formele identifikasie, assessering, evaluering en behandeling van inligtingsekuriteitskwesbaarhede – prosedures wat sentraal tot 'n ISO27k Inligtingsekuriteitbestuurstelsel (ISMS).
- Die doel daarvan is om te verseker dat organisasies rasioneel beplan, uitvoer, administreer, monitor en bestuur hul inligtingsekuriteitskontroles en ander reëlings met betrekking tot hul inligtingsekuriteitsrisiko's.
- Soos met die ander standaarde in die reeks, definieer ISO 27005 nie 'n duidelike pad na voldoening nie. Dit beveel eenvoudig beste praktyke aan wat by enige standaard ISMS sal pas.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Wat is inligtingsekuriteitsrisikobestuur?
ISRM, of inligtingsekuriteitsrisiko bestuur, is die praktyk om risiko's wat verband hou met die gebruik van inligtingstegnologie te identifiseer en te versag. Dit behels die identifisering, assessering en versagting van bedreigings vir 'n organisasie se vertroulikheid, reputasie en beskikbaarheid van bates. Hierdie eindresultaat is om risiko's te bestuur in ooreenstemming met 'n organisasie se algehele risikotoleransie. Besighede verwag nie om alle risiko's uit te roei nie; hulle moet eerder daarna streef om 'n risikovlak te definieer en in stand te hou wat geskik is vir hul maatskappy.
ISO 27005 en Inligtingsekuriteitsrisikobestuur
Terwyl beste praktyke vir risikobestuur oor tyd ontwikkel het om individuele behoeftes in 'n verskeidenheid gebiede en industrieë aan te spreek deur die gebruik van 'n verskeidenheid verskillende metodes, kan die implementering van konsekwente prosesse binne 'n oorkoepelende raamwerk help om te verseker dat risiko's betroubaar, akkuraat hanteer word. en verstaanbaar binne die organisasie. ISO 27005 spesifiseer hierdie gestandaardiseerde raamwerke. ISO 27005 definieer beste praktyke vir risikobestuur wat hoofsaaklik vir inligtingsekuriteitsrisikobestuur aangepas is, met 'n spesiale klem op voldoening aan die standaarde van 'n Inligtingsekuriteitbestuurstelsel (ISMS), soos vereis deur ISO/IEC 27001.
Dit spesifiseer dat beste praktyke vir risikobestuur gevestig moet word in ooreenstemming met die organisasie se kenmerke, met inagneming van die kompleksiteit van die organisasie se inligtingsekuriteitbestuurstelsel, die risikobestuursomvang en die bedryf. Alhoewel ISO 27005 nie 'n spesifieke risikobestuursbenadering definieer nie, ondersteun dit 'n deurlopende risikobestuursbenadering gebaseer op ses kritieke komponente:
Konteks Vestiging
Die risiko-assessering konteks bepaal die riglyne vir die identifisering van risiko's, die bepaling van wie verantwoordelik is vir risiko-eienaarskap, die bepaling van hoe risiko's die vertroulikheid, integriteit en beskikbaarheid van inligting beïnvloed, en die berekening van risiko-effek en waarskynlikheid.
Inligtingsekuriteitsrisiko-aanvaarding
Organisasies moet hul eie risiko-aanvaardingsvereistes daarstel wat huidige strategieë, prioriteite, teikens en aandeelhouersbelange in ag neem. Dit beteken om alles te dokumenteer. Nie net vir die ouditeure nie, maar sodat jy in die toekoms na hulle kan verwys indien nodig.
Inligtingsekuriteitsrisikomonitering en -oorsig
Risiko's is dinamies en kan vinnig verander. As gevolg hiervan, moet hulle wees aktief gemonitor word om verskuiwings maklik op te spoor en 'n volledige prentjie van die risiko's te handhaaf. Daarbenewens moet organisasies die volgende fyn dophou: Enige nuwe bates wat in die domein van risikobestuur ingebring word; Batewaardes wat aangepas moet word om veranderende besigheidsvereistes te weerspieël; Nuwe risiko's, ekstern of intern, wat nog nie geëvalueer is nie; en voorvalle wat inligtingsekuriteit behels.
Inligtingsekuriteit Risiko Kommunikasie
Effektiewe risikokommunikasie en konsultasie is kritieke komponente van die inligtingsekuriteitsrisikobestuursproses. Dit waarborg dat mense verantwoordelik vir risikobestuur die rasionaal vir besluite en die redes vir sulke optrede begryp. Die deel en uitruil van idees oor risiko help ook beleidmakers en ander belanghebbendes om 'n konsensus te bereik oor hoe om risiko te hanteer. Deurlopende risikokommunikasie moet beoefen word, en organisasies moet risikokommunikasiestrategieë vir beide roetineprosedures en noodsituasies daarstel.
Inligtingsekuriteitsrisiko-evaluering (ISRA)
Die assessering van inligtingsekuriteitsrisiko kan 'n moeilike proses wees, maar sodra jy weet waarna om op te let, sal jy die moontlike kwessies begin ontdek wat kan voorkom. Om behoorlik toegang tot die risiko te verkry, moet jy eers al jou bates lys en dan risiko's en kwesbaarhede wat relevant is vir daardie bates, en let op die vlak van potensiële risiko. Sommige organisasies kies vir 'n vyf-fase bate-gebaseerde risiko-evaluering benadering.
- Skep 'n databasis van inligtingbates
- Die bepaling van die risiko's en kwesbaarhede wat elke bate in die gesig staar
- Toekenning van waardes aan die effek en waarskynlikheid van voorkoms in ooreenstemming met risikoparameters
- Vergelyk elke kwesbaarheid met voorafbepaalde aanvaarbaarheidsdrempels
- Bepaal watter bedreigings eerste aangepak moet word en in watter volgorde
Inligtingsekuriteitsrisikobehandeling
Almal weet dat risiko's nie gelyk geskep word nie. Dus, die beste manier om risiko's te behandel, is om te begin met die onaanvaarbare risiko's - dié wat die meeste probleme inhou. Risiko's kan op een van vier maniere hanteer word:
- 'Vermy' die moontlikheid deur dit heeltemal te verwyder.
- 'Verander' die kwesbaarheid deur die gebruik van sekuriteitsmaatreëls.
- Toewys risiko vir 'n derde party (deur versekering of uitkontraktering).
- 'Behou' die risiko (indien die risiko binne vasgestelde risiko-aanvaardingskriteria val).
Wat is die omvang en doel van ISO 27005?
Die ISO / IEC 27000 stel riglyne is van toepassing op alle tipes en groottes organisasies – 'n baie dinamiese kategorie, en daarom sal dit onvanpas wees om eenvormige benaderings, prosesse, risiko's en beheermaatreëls te vereis.
Behalwe dit bied die beginsels breë riglyne binne die konteks van 'n bestuursraamwerk. Bestuurders word versoek om formele benaderings te gebruik wat van toepassing is op en geskik is vir hul organisasie se unieke omstandighede, rasioneel en risiko's metodies aan te spreek aan inligting.
Die identifisering en plaas van inligtingsrisiko's onder bestuurstoesig stel dit in staat om doeltreffend bestuur te word, op 'n wyse wat aanpas by neigings en kapitaliseer op groeigeleenthede, wat daartoe lei dat die ISMS mettertyd ontwikkel en meer suksesvol word.
ISO 27005 fasiliteer verder voldoening aan ISO 27001, aangesien laasgenoemde spesifikasie vereis dat alle kontroles toegepas word as deel van 'n ISMS (Inligtingsekuriteitbestuurstelsel) risiko-gebaseerd wees. Hierdie voorwaarde kan nagekom word deur 'n ISO 27005-voldoenende inligtingsekuriteitrisikobestuurraamwerk te implementeer.
Hoekom is ISO 27005 belangrik vir jou organisasie?
ISO/IEC 27005 stel jou in staat om die nodige kundigheid en ervaring te ontwikkel om die ontwikkeling van 'n risikobestuursproses vir inligtingsekuriteit te inisieer.
As sodanig demonstreer dit dat jy in staat is om 'n verskeidenheid inligtingsekuriteitsbedreigings wat jou organisasie kan raak te identifiseer, te assesseer, te ontleed, te evalueer en te hanteer. Boonop laat dit jou toe om organisasies te help om risiko's te prioritiseer en proaktiewe maatreëls te tref om dit uit te skakel of te minimaliseer.
ISO/IEC 27005 is 'n standaard wat uitsluitlik aan inligtingsekuriteitsrisikobestuur gewy is. Die dokument is uiters voordelig as jy 'n beter begrip van wil kry inligtingsekuriteitsrisikobeoordeling en -behandeling – met ander woorde, as jy as konsultant of selfs as permanente inligtingsekuriteit/risikobestuurder wil dien.
Die ISO/IEC 27005-sertifikaat bevestig dat jy die volgende het:
- Verwerf die nodige kundigheid om 'n organisasie te help om 'n inligtingstegnologie-risikobestuursproses effektief te implementeer.
- Verwerf die vaardighede wat nodig is om 'n inligtingsekuriteit risiko-assesseringsproses verantwoordelik en in ooreenstemming met alle toepaslike wetlike en regulatoriese kriteria te hanteer.
- Kapasiteit om toesig te hou oor personeel verantwoordelik vir netwerksekuriteit en risikobeheer.
- Die kapasiteit om 'n organisasie te help om hul ISMS met ISRM-operasiedoelwitte in lyn te bring.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Hoe kan ISMS.online help?
At ISMS.aanlyn, ons robuuste wolk-gebaseerde oplossing vereenvoudig die ISO 27005 implementeringsproses. Ons bied oplossings wat jou help om jou ISMS-prosesse en kontrolelyste te dokumenteer sodat jy voldoening aan die relevante standaarde kan demonstreer.
Die gebruik van ons wolk-gebaseerde platform beteken dat jy al jou kontrolelyste op een plek kan bestuur, met jou span kan saamwerk en toegang het tot 'n ryk reeks nutsgoed wat dit vir jou organisasie maklik maak om 'n ISMS te ontwerp en te implementeer wat in lyn is met globale beste praktyke.
Ons het 'n interne span inligtingstegnologie-professionele mense wat jou deurgaans sal adviseer en bystaan sodat jou ISMS-ontwerp en implementering sonder probleme verloop.
Kontak ISMS.online by + 44 (0) 1273 041140 om meer te wete te kom oor hoe ons jou kan help om jou ISO 2K7-doelwitte te bereik.
