Các bước xây dựng hệ thống quản lý chất lượng ISO 27001
ISO 27001 hay bộ tiêu chuẩn về việc bảo mật thông tin là tiêu chuẩn do tổ chức tiêu chuẩn hóa quốc tế đưa ra nhằm bảo mật thông tin. Chúng được đưa ra các đặc điểm về kĩ thụt cho một hệ thống quản lý an toàn thông tin (ISMS)
Với cách tiếp cận thực tiễn hơn giúp các tổ
chức quản lý an ninh thông tin có thể giải quyết được những rủi ro khi vận hành
trao đổi thông tin trên mạng internet.
Giấy chứng nhận ISO 27001 được công nhận
trên toàn cầu như một dấu hiệu chứng minh hệ thống quản thị ISMS của doanh nghiệp
bạn hoạt động tốt và an toàn.
Các điều khoản và kiểm soát của ISO 27001
·
Tiêu chuẩn có mười điều khoản về hệ thống
quản lý.
·
Phạm vi
·
Tài liệu tham khảo quy chuẩn
·
Thuật ngữ và định nghĩa
·
Bối cảnh
·
Khả năng lãnh đạo
·
Lập kế hoạch và quản lý rủi ro
·
Ủng hộ
·
Hoạt động
·
Đánh giá hiệu suất
·
Cải tiến
Quy trình xây dựng hệ thống ISO 27001 như thế nào?
Bước 1: Tập hợp nhóm thực hiện ISO 27001
Thành lập ban ISO 27001 bằng cách đưa ra chỉ
định trương nhóm dự án ISO. Chính người này sẽ là người chịu trách nhiệm với
ban giám đốc về thành công của dự án này cũng như có quyền chỉ đạo cho những
người khác trong ban dự án công việc thực hiện.
·
Chúng ta đang hy vọng đạt được điều
gì?
·
Làm cái đó mất bao lâu?
·
Nó sẽ có giá bao nhiêu?
· Nó có hỗ trợ quản lý không
BưỚC 2; Xây dựng kế hoạch triển khai Hệ thống quản lý chất lượng ISO 27001
tiếp theo chính là xây dựng một kế hoạch
thực hiện áp dụng hệ thống quản lý chất lượng ISO 27001 một cách bài bản. Cần
phác thảo chi tiết hơn về mục tiêu, kế hoạch cũng như lập sổ đăng kí rủi ro an
toàn thông tin của bạn.
Một số công việc cần thiết lập các chính
sách cấp cao cho ISMS cho bạn:
·
Vai trò và trách nhiệm;
·
Quy tắc cải tiến liên tục của
nó; và
· Làm thế nào để nâng cao nhận thức về dự án thông qua truyền thông nội bộ và bên ngoài.
Khởi tạo kế hoạch ISMS
Áp dụng một phương pháp triển khai ISMS bài
bản.
Thực hiện áp dụng mô hình cải tiến liên tục
cho hệ thống quản lý an toàn thông tin.
·
Một phần của quá trình này liên quan đến việc
phát triển phần còn lại của cấu trúc tài liệu của bạn.
·
Chúng tôi khuyên bạn nên sử dụng chiến lược
bốn cấp:
·
Các chính sách ở trên cùng, xác định vị trí
của tổ chức về các vấn đề cụ thể, chẳng hạn như sử dụng được chấp nhận và quản
lý mật khẩu.
·
Các thủ tục để ban hành các yêu cầu của
chính sách.
·
Hướng dẫn công việc mô tả cách nhân viên
đáp ứng các chính sách đó.
·
Hồ sơ theo dõi các thủ tục và hướng dẫn
công việc
Kiểm soát bảo mật cơ sở
·
Đường cơ sở bảo mật là mức hoạt động tối thiểu cần thiết để tiến
hành kinh doanh an toàn.
·
Bạn nên xác định đường cơ sở bảo mật của mình bằng cách sử dụng
thông tin thu thập được trong quá trình đánh giá rủi ro ISO 27001 của
bạn .
Quản lý rủi ro
·
Quản lý rủi ro là một phần cốt lõi của bất kỳ ISMS nào.
·
Giai đoạn này không phải là quản lý rủi ro mà là thiết lập cách
bạn tiếp cận nhiệm vụ.
·
Các phương pháp xem xét rủi ro đối với tài sản cụ thể/rủi ro
trong tình huống cụ thể.
·
Bạn nên lấy những thứ đó và xác định xem có nên:
·
Xử lý rủi ro, áp dụng biện pháp kiểm soát bảo mật thông tin được
quy định trong ISO 27001
·
Chấm dứt rủi ro bằng cách tránh hoàn toàn
·
Chia sẻ rủi ro (với hợp đồng bảo hiểm hoặc thông qua thỏa thuận
với các bên khác)
·
Chấp nhận rủi ro (nếu nó không gây ra mối đe dọa đáng kể)
·
Rủi ro nào xử lý phải được ghi lại trong SoA (Tuyên bố về khả
năng áp dụng).
·
Điều này giải thích đã chọn và bỏ qua những kiểm soát nào của
Chuẩn cũng như lý do bạn thực hiện những lựa chọn đó.
Thực hiện kế hoạch xử lý rủi ro
·
Bây giờ là lúc để thực hiện kế hoạch xử lý rủi ro của bạn.
·
Để đảm bảo các biện pháp kiểm soát này có hiệu quả:
·
Bạn sẽ cần kiểm tra xem nhân viên có thể vận hành
·
Hoặc tương tác với các biện pháp kiểm soát
·
Và họ có nhận thức được các nghĩa vụ bảo mật thông tin của mình
hay không.
·
Bạn cần phát triển một quy trình để xác định, xem xét và duy trì
các năng lực cần thiết
·
Điều này liên quan đến việc tiến hành phân tích nhu cầu và xác định
mức năng lực mong muốn.
Đo lường, giám sát và xem xét
·
Bạn sẽ không thể biết ISMS của mình có hoạt động hay không trừ
khi bạn xem lại nó.
·
Chúng tôi khuyên nên thực hiện việc này ít nhất hàng năm
·
Để bạn có thể theo dõi cách các rủi ro phát triển và xác định
các mối đe dọa mới.
·
Mục tiêu chính của quá trình xem xét là để xem liệu ISMS của bạn
có thực sự ngăn chặn các sự cố bảo mật hay không, nhưng quá trình này mang nhiều
sắc thái hơn thế.
Chứng nhận
·
Khi ISMS được áp dụng, các tổ chức nên xem xét việc
tìm kiếm chứng nhận từ một tổ chức chứng nhận được công nhận .
·
Điều này chứng minh cho các bên liên quan thấy rằng ISMS có hiệu
quả và tổ chức hiểu được tầm quan trọng của bảo mật thông tin.
·
Quá trình chứng nhận sẽ bao gồm việc xem xét tài liệu hệ thống
quản lý của tổ chức để kiểm tra xem các biện pháp kiểm soát thích hợp đã được
thực hiện hay chưa. Tổ chức chứng nhận cũng sẽ tiến hành đánh giá hiện trường
để kiểm tra các thủ tục trên thực tế.
Lợi ích khi xây dựng hệ thống quản lý ATTT theo tiêu chuẩn
ISO 27001?
Bảo mật thông tin của bạn dưới mọi hình thức
ISMS giúp bảo vệ tất cả các dạng thông tin, bao gồm kỹ thuật số, trên giấy, tài sản trí tuệ, bí mật công ty, dữ liệu trên thiết bị và trong Đám mây, bản in ra giấy và thông tin cá nhân.
Giảm chi phí bảo mật thông tin
Nhờ
cách tiếp cận đánh giá và phân tích rủi ro của ISMS, các tổ chức có thể giảm
chi phí chi cho việc bổ sung bừa bãi các lớp công nghệ phòng thủ có thể không
hoạt động
Ứng phó với các mối đe dọa bảo mật đang phát triển
Không
ngừng thích ứng với những thay đổi cả về môi trường và bên trong tổ chức, ISMS
làm giảm nguy cơ rủi ro liên tục phát triển.
Thời hạn hiệu lực
Chứng nhận hệ thống quản lý ATTT theo ISO
27001:2013
Sau
khi đạt được chứng nhận, nó có giá trị trong ba năm. Tuy nhiên, ISMS sẽ
cần được quản lý và duy trì trong suốt thời gian đó. Các đánh giá viên từ
CB sẽ tiếp tục thực hiện các chuyến giám sát hàng năm khi chứng nhận còn hiệu
lực.
Như những chứng nhận khác đã biết thì chứng nhận ISO 27001 sẽ có thời hạn giá
trị trong vòng 3 năm kể từ khi được cấp. Trong thời gian này hàng năm cần phải định
kì duy trì và đánh giá giám sát mỗi năm 1 lần. Các đánh giá viên từ CB sẽ tiến hành
thực hiện các cuộc giám sát hàng năm khi chứng nhận còn hiệu lực.
Tại sao chọn KNA CERT là tổ chức chứng nhận cho doanh nghiệp của bạn?
KNA Cert thấu hiểu vai trò
quan trọng, xu thế thời đại của việc áp dụng tiêu chuẩn vào nhà máy, xí nghiệp
nên mong muốn cung cấp thật sát nhất, gần nhất những kiến thức về các hệ thống
tiêu chuẩn cốt lõi nhất.
·
Thông tin liên hệ: Công ty TNHH Chứng Nhận
KNA
·
Trụ sở chính: Tầng 11, Tòa nhà Ladeco
Building, 266 Đội Cấn, Ba Đình, Hà Nội.
·
Chi Nhánh: Tầng 2, tòa nhà Thủy Lợi 4,
102 Nguyễn Xí, Phường 26, Quận Bình Thạnh, TPHCM.
· Tell: 093.2211.786 – 02438.268.222
· Email: salesmanager@knacert.com Website: www.knacert.com.vn
· Hoặc https://thuvientieuchuan.org/
·
Maps: https://g.page/KNACERTIFICATION?share
Post a Comment