ISO 27001:2013

Tư vấn hệ thống quản lý an ninh thông tin ISO 27001:2013

1. ISO 27001:2013
           ISO 27001 là tiêu chuẩn về hệ thống quản lý an ninh thông tin (ISMS–Information Security Management System) do Tổ chức  tiêu chuẩn hoá quốc tế (ISO) phát triển và ban hành vào tháng 10 năm 2005.

            Ngày 01/10/2013, ISO – Tổ chức tiêu chuẩn hóa quốc tế; đã công bố về việc ban hành tiêu chuẩn ISO 27001:2013 thay thế cho phiên bản ISO 27001:2005; đã được ban hành vào tháng 10 năm 2005.

            ISO 27001 qui định những yêu cầu đối với hệ thống an ninh thông tin là cơ sở để xem xét đánh giá cấp chứng chỉ của các tổ chức chứng nhận.

Bộ tiêu chuẩn ISO/IEC 27000 gồm các tiêu chuẩn sau:

+ ISO/IEC 27000 quy định các vấn đề về từ vựng và định nghĩa (thuật ngữ)

+ ISO/IEC 27001:2013 các yêu cầu đối với hệ thống quản lý an toàn thông tin

+ ISO/IEC 27002:2007 qui phạm thực hành mô tả mục tiêu kiểm soát an toàn thông tin một các toàn diện và bảng lựa chọn kiểm soát thực hành an toàn tốt nhất

+ ISO/IEC 27003:2007 các hướng dẫn áp dụng

+ ISO/IEC 27004:2007 đo lường và định lượng hệ thống quản lý an toàn thông tin để giúp cho việc đo lường hiệu lực của việc áp dụng ISMS

+ ISO/IEC 27005 quản lý rủi ro an toàn thông tin

+ ISO/IEC 27006 hướng dẫn cho dịch vụ khôi phục thông tin sau thảm hoạ của công nghệ thông tin và viễn thông.

 2. Các yêu cầu cơ bản của ISO 27001

- Bối cảnh của tổ chức
- Lãnh đạo
- Hoạch định
- Hỗ trợ
- Điều hành
- Đánh việc thực hiện

- Cải tiến

3. Đối tượng khi áp dụng ISO 27001

Tiêu chuẩn ISO/IEC 27001:2013 có thể được áp dụng rộng rãi cho nhiều loại hình tổ chức (các tổ chức thương mại, cơ quan nhà nước, các tổ chức phi lợi nhuận… ). Đặc biệt là các tổ chức mà các hoạt động phụ thuộc nhiều vào công nghệ thông tin, máy tính, mạng máy tính, sử dụng cơ sở dữ liệu như: ngân hàng, tài chính, viễn thông,…Một hệ thống ISMS hiệu lực, phù hợp, đầy đủ sẽ giúp bảo vệ các tài sản thông tin cũng như đem lại sự tin tưởng của các bên liên quan như đối tác, khách hàng… của tổ chức.

ISO/IEC 27001 là một phần của hệ thống quản lý chung của các tổ chức, doanh nghiệp do vậy có thể xây dựng độc lập hoặc kết hợp với các hệ thống quản lý khác như ISO 9001, ISO 14001...

4. Lợi ích khi áp dụng ISO 27001

Việc tuân theo hoặc đạt được chứng chỉ chuẩn ISO 27001:2013 không thể chứng minh tổ chức được đảm bảo an toàn 100%. Không có điều gì là an ninh hoàn toàn ngoại trừ không làm gì cả. Tuy nhiên, sự thừa nhận chuẩn quốc tế này đưa ra những lợi ích chắc chắn mà người quản lý cần phải xem

a, Cấp độ tổ chức

Sự cam kết: Chứng chỉ như là một cam kết hiệu quả của nổ lực đưa an ninh của tổ chức đạt tại các cấp độ và chứng minh sự cần cù thích đáng của chính những người quản trị.

b, Cấp độ pháp luật

Tuân thủ: chứng minh cho nhà chức trách rằng tổ chức đã tuân theo tất cả các luật và các qui định áp dụng. Điều quan trọng là chuẩn đã bổ sung những chuẩn và luật tồn tại khác.

c, Cấp độ điều hành

Quản lý rủi ro: Mang lại những hiểu biết tốt hơn về các hệ thống thông tin, điểm yếu của chúng và làm thế nào để bảo vệ chúng. Tương tự, nó đảm bảo nhiều khả năng sẵn sàng phụ thuộc ở cả phần cứng và phần mềm.

d, Cấp độ thương mại

Sự tín nhiệm và tin cậy: Các thành viên, cổ đông, và khách hàng vững tin khi thấy khả năng và sự chuyên nghiệp của tổ chức trong việc bảo vệ thông tin. Chứng chỉ có thể giúp nhìn nhận riêng từ các đối thủ cạnh tranh trong thị trường.

e, Cấp độ tài chính

Tiết kiệm chi phí khắc phục các lỗ hỏng an ninh và có khả năng giảm chi phí bảo hiểm.

g, Cấp độ con người

Cải tiến nhận thức của nhân viên về các vấn đề an ninh và trách nhiệm của họ trong tổ chức.
5. Các bước chính trong quá trình tư vấn xây dựng và áp dụng ISO 27001:

- Cam kết của Lãnh đạo về xây dựng hệ thống quản lý an toàn thông tin cho tổ chức.

- Phổ biến, đào tạo nhận thức về tiêu chuẩn ISO/IEC 27001 cho cán bộ.

- Thiết lập hệ thống tài liệu theo yêu cầu tiêu chuẩn ISO/IEC 27001.

- Xây dựng chính sách, mục tiêu và phạm vi của hệ thống ISMS

- Phân tích, đánh giá các rủi ro về an toàn thông tin trong phạm vi của hệ thống.

- Thiết lập các biện pháp kiểm soát rủi ro.

- Lựa chọn mục tiêu và các biện pháp kiểm soát.

- Vận hành hệ thống ISMS đã thiết lập.

- Thực hiện các hoạt động xem xét và cải tiến hiệu lực hệ thống.

- Đánh giá chứng nhận.