ISO/IEC 27007 bestuurstelsel ouditering

Hoekom is ISO 27007 belangrik?

Besighede sal toenemend massiewe volumes data moet bestuur om voort te gaan die produkte en dienste aan te bied wat verbruikers vereis. Sekuriteit van sensitiewe data is 'n groot bekommernis vir besighede en verbruikers, vererger deur verskeie hoëprofiel-oortredings.

Die verwoesting wat deur hierdie aanrandings gesaai is wissel van bekendes wat verneder is deur onnadenkende foto's tot die verlies van persoonlike inligting aan lospryseise in die miljoene, wat selfs die kragtigste besighede geteiken het. 

Waar sulke data persoonlik identifiseerbare, finansiële of mediese inligting bevat, het besighede 'n morele en wetlike plig om dit teen kubermisdadigers te beskerm.

Dit is waar internasionale standaarde soos die ISO 27000-familie ter sprake kom, wat ondernemings help om die sekuriteit van bates soos finansiële data, intellektuele eiendom, werknemerinligting en inligting wat deur derde partye aan hulle toevertrou is, te bestuur.

Hierdie huidige stand van sake beteken dat enigiemand wat die taak het om die ISMS van 'n organisasie te oudit, waarskynlik hul werk vir hulle uitgesny sal hê. Net so, die voorbereiding vir 'n gladde oudit vereis beplanning en aandag aan detail. Daarom is ISO 27007 geskep. Dit fasiliteer volle voorbereiding vir beide partye deur eksplisiete rigting te gee.

Wat is die omvang van ISO 27007?

In die standaard beskryf die raamwerk 'n reeks ouditkriteria wat individueel of in kombinasie gebruik kan word vir 'n inligtingsekuriteitbestuurstelseloudit, insluitend, maar nie beperk nie tot:

• Definieer die vereistes vir ISO / IEC 27001
• Riglyne en vereistes verskaf deur relevante partye
• Regulatoriese en statutêre vereistes
• Die organisasie se ISMS-prosesse en -kontroles

Dit identifiseer en beskryf die bestuurstelselplan(te) wat verband hou met die uitsette van 'n ISBS, (byvoorbeeld 'n plan om risiko's en geleenthede te hanteer wanneer 'n ISBS daargestel word, 'n plan om inligtingsekuriteitsdoelwitte te bereik, 'n plan vir die hantering van risiko's) .

Benewens die feit dat dit relevant is vir alle organisasies, ongeag die grootte, dek hierdie standaard ook ISO oudits van verskillende omvang en skale, insluitend dié wat uitgevoer word deur groot ouditspanne wat dikwels by groter organisasies geaffilieer is, sowel as dié wat deur individuele ouditeure uitgevoer word, hetsy hulle in groot of klein maatskappye is.

Spesifiek, ISO 27007 dek ISMS-oudits wat deur maatskappye op hul interne stelsels (eersteparty) en deur hul eksterne diensverskaffers en ander eksterne belanghebbendes (tweedeparty) uitgevoer word. Dit kan ook gebruik word in oudits wat uitgevoer word vir ander doeleindes as 'n derdeparty-sertifisering van bestuurstelsels.

Met watter ander standaarde werk ISO 27006?

ISO 27007 is relevant vir mense wat interne of eksterne oudits van 'n inligtingsekuriteitbestuurstelsel moet begryp of uitvoer, sowel as diegene wat 'n inligtingsekuriteitbestuurstelselouditprogram administreer.

ISO 19011 is geskep om die proses van die uitvoer van interne en eksterne oudits vir bestuurstelsels in die algemeen te standaardiseer.

ISO 27007 voeg by die ISO 19011-riglyne deur bykomende voorstelle te maak. Terwyl ISO 19011 spesifiseer dat bewys van voldoening gesoek moet word, stel ISO 27007 spesifieke bewyse en assesserings vir ISO 27001 klousules en kontroles in Bylae A voor.

Dit beteken dat ISO 27007 meer voorgestel word in 'n spesifieke ISO 27001 konteks. ISO 19011 aan die ander kant is 'n voorkeurkeuse as jy ook ander ISO-bestuurstelsels moet oudit, soos ISO 9001 en ISO 14001.

Wat is ISO 19011?

ISO 19011 is 'n versameling ouditbeginsels vir bestuurstelsels.

Dit is 'n globale standaard wat maatskappye help om hierdie oudits uit te voer.

ISO 19011 is bedoel om leiding aan organisasies te verskaf oor hoe om ouditprogramme vir hul bestuurstelsels te ontwikkel, soos risikobestuurstelsels, kwaliteitbestuurstelsels en omgewingsbestuurstelsels.

ISO 19011 is nie 'n reeks standaarde wat opeenvolgend deur 'n organisasie gevolg moet word nie, aangesien geen organisasie ISO 19011 gesertifiseer kan word nie. Eerder as dit, moet 'n organisasie ISO 19011-aanbevelings aanpas by die spesifieke behoeftes en vereistes van die ouditprogram.

ISO 19011 verskil van die internasionale standaard ISO 9001, wat standaarde vir kwaliteitbestuurstelsels daarstel. ISO 9001 is die enigste standaard in die ISO 9000 reeks waarteen organisasies kan sertifiseer.

Wat is die verskil tussen ISO 27007 en ISO 27008?

ISO 27008 sal aanbevelings verskaf vir die ouditering van ISM (Information Security Management) stelsels vir sekuriteitskontroles.

Dit verskil van ISO 27007, wat meer gemoeid is met die Bestuurstelsel (ISMS) as geheel, eerder as met spesifieke kontroles.

Waarom is ouditering van inligtingbestuurstelsels belangrik?

Met inligtingsekuriteitsbeleide en prosesse in plek is onvoldoende om die beskerming van 'n organisasie se inligtingsbates te verseker.

Beleide kan onvoldoende wees of voldoening aan beleide kan onvoldoende wees. 'n Oudit moet uitgevoer word om te verseker dat hulle suksesvol is in die bereiking van hul doelwitte.

An inligtingstelseloudit bepaal die doeltreffendheid van 'n inligtingstelsel se kontroles.

'n Oudit is ontwerp om te bepaal of 'n organisasie se inligtingstelsels voldoende beveilig is besigheidsbates, die behoud van die integriteit van gestoor en oorgedra data, suksesvolle ondersteuning van organisatoriese doelwitte en doeltreffend presteer.

'n Inligtingbestuurstelseloudit is 'n metodiese, kwantifiseerbare tegniese ondersoek van hoe 'n organisasie se inligtingsekuriteitsbeleid geïmplementeer word. Dit is 'n noodsaaklike komponent van die voortdurende proses van die ontwikkeling en implementering van goeie sekuriteitsbeleide. Sekuriteitsoudits is 'n deursigtige en kwantifiseerbare metode om te bepaal hoe veilig 'n webwerf werklik is.

Hierdie oudit word uitgevoer om:

• Vestig 'n inligtingsekuriteitsbasislyn vir jou organisasie.
• Identifiseer die hede inligtingsekuriteitsprosedures' sterk punte en tekortkominge.
• Prioritiseer die riskantste blootstellings.
• Verskaf risikobeperkingsvoorstelle wat voldoen aan toepaslike reëls, industrie se beste praktyke in die sekuriteitsektor, kliëntebedryf beste praktyke en kliëntbesigheidsdoelwitte.

Die inligting wat tydens 'n inligtingsekuriteitsoudit ingesamel is stel die organisasie in staat om beter opgevoede besluite te neem oor hoe om finansies en hulpbronne te bestee om risiko die mees doeltreffende te bestuur.

Hoe ISMS.online die implementering van ISO 27007 maklik kan maak

By ISMS.online maak ons ​​dit vir jou maklik om jou Inligtingsekuriteitsbestuur te dokumenteer sodat dit in lyn is met die ISO 27007-standaard. Ons voorsien jou van 'n logiese, bruikbare, wolk-gebaseerde inligtingbestuur-koppelvlak wat jou organisasie sal help om sy infosec-bestuursprosesse na te gaan en vordering teen die ISO 27007-standaard.

Ons wolkgebaseerde platform laat jou toe om toegang tot al jou ISMS-bronne op een plek te kry. Ons het 'n interne span inligtingsekuriteitskundiges wat leiding kan gee en vrae kan beantwoord om jou te help op pad na ISO 27007-implementering sodat jy jou toewyding aan inligtingsekuriteitbestuur se beste praktyke kan demonstreer. Bel ISMS.online op + 44 (0) 1273 041140 om meer uit te vind oor hoe ons jou kan help om volgens ISO 27001 gesertifiseer te word.