ISO/IEC 27014 Inligtingsekuriteitsbestuur

Wat is Inligtingsekuriteitsbestuur?

• Inligting sekuriteit bestuur is die lewensiklus van beleide, kontroles en prosedures om inligtingsekuriteit vir 'n organisasie te verseker.
• Inligtingsekuriteitsbestuur bring 'n geïntegreerde benadering tot algehele inligtingsekuriteit.
• Dit waarborg dat die organisasie se inligtingsekuriteitsbenadering in ooreenstemming is met die organisasie se oorhoofse doelwitte. Dit stel die beheerliggaam in staat om besluite oor die organisasie se strategiese doelwitte te neem deur inligting oor potensiële bedreigings vir inligtingsekuriteit aan te bied.
• Die implementering van 'n doeltreffende inligtingsekuriteitbestuursprogram sal help om risiko te verminder, vertroue in alle aktiwiteite in te boesem en onvanpaste optrede uit te skakel.

Wat is 'n Beheerliggaam?

'n Beheerliggaam is 'n kollektief van individue wat die gesag en verantwoordelikheid om beleide te formuleer en 'n organisasie s'n te lei algemene baan. Die kollektiewe liggaam is verantwoordelik vir besluitneming en implementering namens sy personeel, belanghebbendes en die organisasie.

Die beheerliggaam se primêre funksie is om die organisasie se voorregte en belange te beskerm, asook dié van enigiemand wat binne die organisasie se raamwerk werk. Hierdie liggaam bewerkstellig dit deur te verseker dat die organisasie doeltreffend funksioneer en in staat is om die doelwitte en prioriteite waartoe dit verbind is, te bereik. Daarbenewens is die beheerliggaam verantwoordelik vir die organisasie se finansies, personeel en bates. Een belangrike rol van die beheerliggaam in enige organisasie is om te maak besluite wat die sekuriteit van inligting binne die organisasie sal aanmoedig.

Implementering van die bestuursprosesse vir inligtingsekuriteit (ISO/IEC 27014)

Inligtingsekuriteitbestuursprosesse is ontwikkel om organisasies te help om hul inligtingsekuriteitspogings te monitor en te bestuur. Hulle bestaan ​​egter nie in 'n vakuum nie - hulle moet wees geïntegreer in die algehele besigheidsbestuur prosesse as hulle doeltreffend gaan wees (en dit geld vir baie verwante sekuriteitsaktiwiteite, soos risikobestuur). Die beheerliggaam en topbestuur is verantwoordelik vir die uitvoering van vier bestuurstelsels, volgens ISO/IEC 27014:2020.

Evalueer

Een van die Inligtingsekuriteitsbestuursprosesse is evaluering. Evaluering is 'n belangrike proses waarin die huidige stand van 'n proses of komponent binne 'n organisasie onder die loep geneem word. Dit help om te bepaal wat beide reg en verkeerd is met daardie spesifieke proses of komponent.

direkte

Rigting is een van die inligtingsekuriteitbestuursprosesse. Dit sluit in beplanning, daarstelling en hersiening van beleidstandaarde en prosedures, en die evaluering van voldoening deur personeel met vasgestelde beperkings.

Monitor

Monitering is een van die inligtingsekuriteitsprosesse. Dit is bestuursaktiwiteite wat die beskikbaarheid, integriteit, verifikasie en vertroulikheid van die stelsels en netwerke verseker, asook om seker te maak dat werknemers daardie stelsels en netwerke behoorlik gebruik op 'n manier wat veiligheidsbeleide volg.

kommunikeer

Kommunikasie is die sleutel wanneer dit by inligtingsekuriteitbestuursprosesse kom. Jy word toevertrou om jou maatskappy en sy verskeie bates veilig te hou, maar dit kan nie 'n geïsoleerde proses wees nie.

Wat is die doelwitte van Inligtingsekuriteitsbestuur?

Inligtingsekuriteitsbestuur moet verseker dat inligtingsekuriteitsmaatreëls robuust en geïntegreer is. Die standaard stel ses hoëvlak "aksie-georiënteerde" beginsels vir inligtingsekuriteitsbestuur vas. Dit sluit die volgende in:

Vestig organisasiewye inligtingsekuriteit

Kommer oor inligtingstegnologie, of kuberveiligheid, kan die raamwerk en funksies van die organisasie binnedring. Op alle vlakke van bestuur, inligting-sekuriteit moet gekombineer word met inligtingstegnologie (IT) en ander funksies. Topbestuur moet verseker dat inligtingsekuriteit voldoen aan die maatskappy se algemene strategiese belange en behoort aanspreeklikheid en verantwoordelikheid regoor die organisasie te skep.

Neem besluite deur 'n risiko-gebaseerde benadering te gebruik

Sekuriteitsbestuur, insluitend hulpbronverspreiding en -begroting, moet gelei word deur 'n organisasie se risiko-aptyt, wat op sy beurt beïnvloed moet word deur 'n risiko-gebaseerde benadering wat in ag neem: verlies van mededingende voordeel, regulatoriese en aanspreeklikheidskwessies, operasionele vertragings, reputasieskade, en finansiële verlies.

Bepaal die rigting van beleggingsbesluite

Maak seker dat inligtingsekuriteitsrisiko's word behoorlik ontleed voordat nuwe bedrywighede begin word, soos beleggings, verkrygings, samesmeltings, die bekendstelling van nuwe tegnologieë, uitkontrakteringsooreenkomste en kontrakte met eksterne verskaffers. Daarbenewens, inligtingsekuriteit insluit in interne agentskapprosesse, soos projekbestuur, verkryging, finansiële bestuur, wetlike en regulatoriese nakoming, en organisatoriese risikobestuur. Topbestuur moet 'n inligtingsekuriteitsbenadering ontwikkel wat in lyn is met die organisasie se doelwitte, wat beteken dat agentskap- en organisasie-inligtingsekuriteitsbehoeftes konsekwent is.

Verseker voldoening aan interne en eksterne vereistes

Eksterne vereistes sluit in vereiste wette en regulasies, sertifiseringstandaarde en kontraktuele verpligtinge. Interne kriteria is substelle van 'n groter organisasie se oorhoofse doelwitte en prioriteite. Onafhanklike sekuriteitsevaluerings is die algemeen ooreengekome metode om voldoening vas te stel en na te spoor. Topbestuur moet verseker dat inligtingsekuriteitspraktyke bevredigend aan interne en eksterne standaarde voldoen deur na te kyk onafhanklike sekuriteitsoudits.

Kweek 'n sekuriteit-positiewe kultuur

Daar moet koördinering en belyning tussen die verskillende belanghebbendes in die ISMS wees. Om 'n samehangende kursus vir inligtingsekuriteit te bereik, moet topbestuur die samewerking van die take en aktiwiteite van almal wat deur die ISMS geraak word, aanmoedig en fasiliteer. Daarbenewens, bewys van sekuriteitsinstruksie, voorbereiding, en bewusmakingsprogramme verskaf moet word. Verantwoordelikhede vir inligtingsekuriteit moet geïnkorporeer word in die posisies van personeel en ander belanghebbendes, en almal moet hul verantwoordelikhede aanvaar om by te dra tot die doeltreffendheid van die ISMS.

Verseker die sekuriteitsprestasie voldoen aan huidige en toekomstige vereistes van die entiteit

Sekuriteitsukses word nie net gemeet in terme van doeltreffendheid en betroubaarheid nie, maar ook in terme van die uitwerking daarvan op algehele maatskappydoelwitte en -doelwitte. Topbestuur in beheer van bestuur behoort periodieke hersiening van 'n prestasiemetingskema vir opsporing, ouditering en verbetering in te sluit wat inligtingsekuriteit in optimale besigheidsprestasie omskakel.

Omvang en doel van ISO 27014-standaard

Die ISO 27014-dokument verskaf riglyne oor inligtingsekuriteitbestuursbeginsels, -doelwitte en -prosedures wat organisasies moet gebruik om inligtingsekuriteitverwante prosesse binne die organisasie te evalueer, te rig, te monitor en te kommunikeer.

Soos met die ander ISO27k-standaarde, is dit "geskik vir alle tipe en groottes organisasies," veral dié waar die ISMS die hele organisasie of net 'n subset daarvan dek, of waar 'n enkele ISMS na verskeie maatskappye strek (soos binne 'n korporatiewe struktuur).

Behoorlike inligtingsekuriteitsbestuur waarborg dat dit in ooreenstemming is met en ondersteunend is vir maatskappydoelwitte wat in strategieë en beleide geïdentifiseer is.

ISO 27014 plaas aansienlike klem op die bestuurskomponente van ISO/IEC 27001 en stel bestuursdoelwitte binne hierdie raamwerk vas. Dit dek die inkorporering van inligtingsekuriteitbestuuraktiwiteite met ander bestuursfunksies en -doelwitte. ISO 27014 spesifiseer verder die vereistes en verwagtinge van die beheerliggaam van 'n ISO27k ISMS.

Wie moet ISO 27014 implementeer?

ISO/IEC 27014:2020 is gerig op die volgende gehore:

• Die beheerliggaam en topbestuur van 'n organisasie.
• Diegene wat verantwoordelik is vir die evaluering, leiding en dop van 'n ISO/IEC 27001-voldoenende inligtingsekuriteitbestuurstelsel (ISMS).
• Diegene wat verantwoordelik is vir inligtingsekuriteitbestuur wat buite die bereik van 'n ISO/IEC 27001-gebaseerde inligtingsekuriteitbestuurstelsel (ISMS), maar binne die konteks van bestuur.

Hierdie dokument is van toepassing op alle tipes en groottes organisasies.

Hoe ISMS.online die implementering van ISO 27014 maklik kan maak

By ISMS.online, maak ons ​​dit vir jou maklik om jou Inligtingsekuriteitsbestuur te dokumenteer sodat dit in lyn is met die ISO 27014-standaard. Ons voorsien jou van 'n logiese, bruikbare, wolk-gebaseerde inligtingbestuurskoppelvlak wat jou organisasie sal help om sy infosec-bestuursprosesse na te gaan en vordering teen die ISO 27014-standaard.

Ons wolkgebaseerde platform laat jou toe om toegang tot al jou ISMS-bronne op een plek te kry. Ons het 'n interne span inligtingsekuriteitskundiges wat leiding kan gee en vrae kan beantwoord om jou te help op pad na ISO 27014-implementering sodat jy jou toewyding aan inligtingsekuriteitbestuur se beste praktyke kan demonstreer. Bel ISMS.online op + 44 (0) 1273 041140 om meer uit te vind oor hoe ons jou kan help om volgens ISO 27001 gesertifiseer te word.