ISO/IEC 27014 ממשל אבטחת מידע

מהו ממשל אבטחת מידע?

• ממשל אבטחת מידע הוא מחזור חיים של מדיניות, בקרות ונהלים להבטחת אבטחת מידע לארגון.
• ממשל אבטחת מידע מביא גישה משולבת לאבטחת מידע כוללת.
• היא מבטיחה שגישת אבטחת המידע של הארגון תואמת את המטרות הכוללות של הארגון. זה מאפשר לגוף המנהל לקבל החלטות על היעדים האסטרטגיים של הארגון על ידי הצגת מידע על איומים פוטנציאליים על אבטחת המידע.
• הטמעת תוכנית ממשל אפקטיבית לאבטחת מידע תסייע להפחית סיכונים, להטמיע אמון בכל הפעילויות ולבטל פעולות בלתי הולמות.

מהו גוף מנהל?

גוף שלטוני הוא קולקטיב של אנשים שיש להם את סמכות ואחריות לגבש מדיניות ולהוביל ארגון מסלול כללי. הגוף הקיבוצי אחראי על קבלת החלטות ויישום מטעם הצוות שלו, מחזיקי העניין והארגון.

תפקידו העיקרי של הגוף המנהל הוא לשמור על הזכויות והאינטרסים של הארגון, כמו גם של כל מי שפועל במסגרת הארגון. גוף זה משיג זאת על ידי הבטחת פעילות הארגון ביעילות ומסוגלת להשיג את המטרות והעדיפויות שאליהם התחייב. בנוסף, הגוף המנהל אחראי על הכספים, כוח האדם והנכסים של הארגון. תפקיד מרכזי אחד של הגוף המנהל בכל ארגון הוא לעשות החלטות שיעודדו את אבטחת המידע בתוך הארגון.

יישום תהליכי הממשל לאבטחת מידע (ISO/IEC 27014)

תהליכי ממשל אבטחת מידע פותחו כדי לסייע לארגונים לנטר ולנהל את מאמצי אבטחת המידע שלהם. אבל הם לא קיימים בחלל ריק - הם צריכים להיות משולב בניהול העסק הכולל תהליכים אם הם עומדים להיות יעילים (וזה נכון לגבי פעילויות אבטחה קשורות רבות, כגון ניהול סיכונים). הגוף המנהל וההנהלה העליונה אחראים על ביצוע ארבע מערכות ממשל, על פי ISO/IEC 27014:2020.

להעריך

אחד מתהליכי ממשל אבטחת המידע הוא הערכה. הערכה היא תהליך חשוב שבו נבדק המצב הנוכחי של תהליך או רכיב בארגון. זה עוזר לקבוע מה נכון ומה לא נכון בתהליך או ברכיב המסוים הזה.

ישיר

כיוון הוא אחד מתהליכי ממשל אבטחת המידע. זה כולל תכנון, קביעת ובחינה של תקני מדיניות ונהלים, והערכת תאימות של צוות עם מגבלות שנקבעו.

צג

ניטור הוא אחד מתהליכי אבטחת המידע. פעילויות ניהול הן שמבטיחות את הזמינות, השלמות, האימות והסודיות של המערכות והרשתות וכן בודקות שהעובדים משתמשים כראוי באותן מערכות ורשתות באופן שבו עוקב אחר מדיניות האבטחה.

לתקשר

תקשורת היא המפתח בכל הנוגע לתהליכי ממשל אבטחת מידע. אתה אמון על שמירה על אבטחת החברה שלך ונכסיה השונים, אבל זה לא יכול להיות תהליך מבודד.

מהן המטרות של ממשל אבטחת מידע?

ממשל אבטחת מידע צריך להבטיח שאמצעי אבטחת מידע יהיו חזקים ומשולבים. התקן קובע שישה עקרונות "מוכווני פעולה" ברמה גבוהה לממשל אבטחת מידע. זה כולל את הדברים הבאים:

הקמת אבטחת מידע כלל ארגונית

דאגות לגבי טכנולוגיית מידע, או אבטחת סייבר, עלולות לחדור למסגרת ולפונקציות של הארגון. בכל רמות הניהול, אבטחת מידע יש לשלב עם טכנולוגיית מידע (IT) ופונקציות אחרות. ההנהלה הבכירה צריכה להבטיח שאבטחת מידע עונה על האינטרסים האסטרטגיים הכלליים של החברה ועליה ליצור אחריות ואחריות בכל הארגון.

קבלת החלטות תוך שימוש בגישה מבוססת סיכונים

ממשל אבטחה, לרבות חלוקת משאבים ותקצוב, צריך להיות מונחה על ידי תיאבון הסיכון של הארגון, אשר בתורו צריך להיות מושפע מגישה מבוססת סיכונים הלוקחת בחשבון: אובדן יתרון תחרותי, חששות רגולציה ואחריות, עיכובים תפעוליים, נזק למוניטין, והפסד כספי.

קבע את כיוון החלטות ההשקעה

להבטיח ש סיכוני אבטחת מידע מנותחים כראוי לפני יציאה לפעולות חדשות, כגון השקעות, רכישות, מיזוגים, הכנסת טכנולוגיות חדשות, הסכמי מיקור חוץ וחוזים עם ספקים חיצוניים. בנוסף, לשלב אבטחת מידע לתוך תהליכים פנימיים של הסוכנות, כגון ניהול פרויקטים, רכש, ניהול פיננסי, ציות לחוק ולרגולציה וניהול סיכונים ארגוניים. ההנהלה הבכירה צריכה לפתח גישת אבטחת מידע המותאמת למטרות הארגון, כלומר צרכי אבטחת המידע של הסוכנות והארגונית עקביים.

להבטיח התאמה לדרישות פנימיות וחיצוניות

דרישות חיצוניות כוללות חוקים ותקנות נדרשים, תקני הסמכה והתחייבויות חוזיות. קריטריונים פנימיים הם תת-קבוצות של המטרות והעדיפויות הכוללות של ארגון גדול יותר. הערכות אבטחה עצמאיות הן השיטה המוסכמת בדרך כלל לביסוס ומעקב אחר התאמה. ההנהלה הבכירה חייבת להבטיח ששיטות אבטחת מידע עומדות בסטנדרטים פנימיים וחיצוניים בצורה משביעת רצון על ידי התבוננות ביקורת אבטחה עצמאית.

לטפח תרבות חיובית ביטחונית

צריך להיות תיאום והתאמה בין מחזיקי העניין השונים ב-ISMS. כדי להגיע לקורס קוהרנטי לאבטחת מידע, ההנהלה הבכירה חייבת לעודד ולהקל על שיתוף הפעולה בין המשימות והפעילויות של כל מי שמושפע מה-ISMS. בנוסף, הוכחה להוראת אבטחה, הכנה, ותוכניות מודעות צריך לספק. אחריות אבטחת מידע צריך להיות משולב בתפקידים של כוח אדם ובעלי עניין אחרים, וכולם צריכים לאמץ את האחריות שלהם כדי לתרום לאפקטיביות של ISMS.

ודא שביצועי האבטחה עומדים בדרישות הנוכחיות והעתידיות של הישות

הצלחת האבטחה נמדדת לא רק במונחים של יעילות ואמינות, אלא גם במונחים של השפעותיה על יעדי ויעדי החברה הכוללים. ההנהלה הבכירה האחראית על הממשל צריכה לכלול סקירות תקופתיות של תכנית מדידת ביצועים למעקב, ביקורת ושיפור המתרגמת אבטחת מידע לביצועים עסקיים מיטביים.

היקף ומטרה של תקן ISO 27014

מסמך ISO 27014 מספק הנחיות לגבי עקרונות, יעדים ונהלים של ממשל אבטחת מידע שבהם ארגונים צריכים להשתמש כדי להעריך, לכוון, לנטר ולתקשר תהליכים הקשורים לאבטחת מידע בתוך הארגון.

בדומה לתקני ISO27k האחרים, הוא "מתאים לכל סוג וגדלים של ארגונים", במיוחד אלה שבהם ה-ISMS מכסה את כל הארגון או רק תת-קבוצה שלו, או שבהם ISMS יחיד משתרע על מספר חברות (כגון בתוך מבנה תאגידי).

ממשל נכון של אבטחת מידע מבטיח כי הוא תומך ותומך במטרות החברה שזוהו באסטרטגיות ובמדיניות.

ISO 27014 שם דגש רב על מרכיבי הממשל של ISO/IEC 27001 וקובע יעדי ממשל במסגרת זו. זה מכסה את השילוב של פעילויות ממשל אבטחת מידע עם פונקציות ויעדים ניהוליים אחרים. ISO 27014 מפרט עוד את הדרישות והציפיות של הגוף המנהל מ-ISMS ISO27k.

מי צריך ליישם את ISO 27014?

ISO/IEC 27014:2020 מיועד לקהלים הבאים:

• הגוף המנהל וההנהלה העליונה של ארגון.
• אלה האחראים על הערכה, הכוונה ומעקב אחר מערכת ניהול אבטחת מידע תואמת ISO/IEC 27001 (ISMS).
• אלה האחראים על ניהול אבטחת מידע המתרחש מעבר להישג ידו של א מערכת ניהול אבטחת מידע מבוססת ISO/IEC 27001 (ISMS), אבל בתוך ההקשר של ממשל.

מסמך זה חל על כל הסוגים והגדלים של ארגונים.

כיצד ISMS.online יכול להקל על יישום ISO 27014

באתר ISMS.online, אנו מקלים עליך לתעד את ניהול אבטחת המידע שלך כך שיעמוד בקנה אחד עם תקן ISO 27014. אנו מספקים לך ממשק ניהול מידע הגיוני, שמיש ומבוסס ענן, שיעזור לארגון שלך לבדוק את תהליכי הממשל שלו ב-infosec ולהתקדם מול תקן ISO 27014.

הפלטפורמה מבוססת הענן שלנו מאפשרת לך לגשת לכל משאבי ה-ISMS שלך במקום אחד. יש לנו צוות פנימי של מומחי אבטחת מידע שיכולים לספק הדרכה ולענות על שאלות כדי לעזור לך בדרך להטמעת ISO 27014, כך שתוכל להפגין את מסירותך לשיטות עבודה מומלצות של ממשל אבטחת מידע. התקשר ל-ISMS.online + 44 (0) 1273 041140 למידע נוסף על איך אנחנו יכולים לעזור לך לקבל הסמכה ל-ISO 27001.