ISO 27001 -vaatimus 5.3 – Organisaatioroolit ja -vastuut

Mitä lauseke 5.3 sisältää?

Yksinkertaisesti ISO 27001 hakee selkeyttä ja keskittyy ISMS:n keskeisiin osiin – kuka on kokonaisvastuussa, kuka on vastuussa tietyistä osista, kaikki hyvät ja loogiset liiketoimintatavat. Sinun on osoitettava, että tietyt roolit (ei välttämättä ihmiset) ovat olemassa, että ne on ylimmän johdon nimeämä ja että ne välitetään asianomaisille osapuolille ja dokumentoidaan selkeästi, jotta ei ole epäselvyyttä. Vaatimus tässä on melko korkea ja se on helppo dokumentoida ja sopii myös tietoturvan hallintajärjestelmän muihin osiin, esim. tietoturvariskien omistajat 6.1:ssä, info sec tavoiteomistajat 6.2:ssa jne.

Yksi henkilö voi siis tehdä useamman kuin yhden roolin ja voit yhtenäistää työn esim. antamalla johtokunnan valvoa kaikkea, mikä auttaa esittelemään johdon arvioita kohdan 9.3 mukaisesti ja liittymään täysin tietoturvan hallintajärjestelmään. Tee vain selväksi, kuka on vastuussa mistäkin. Ajattele rooleja kiinnostuneiden osapuolten mielessä sekä käytännön toteutusta. Esimerkiksi CISO:n (Chief Information Security Officer) rooli voi vihjata asiakkaillesi, että otat tietoturvan vakavasti ja sen voisi tehdä ylin johtaja päivätyönsä ohella tai jos se voi olla kokonainen organisaatio. - aikarooli itsessään.

Voit myös valita TISO:n (Technical Information Security Officer) tai vastaavan, joka on teknisempi ja pystyy keskittymään näihin ISMS:n osa-alueisiin, jos muita tehtäviä hoitavat kaupallisemmat/strategisemmat henkilöt. Katso liite A 6.1.1 (tietoturvan järjestämisestä) ja varmista, että tämä vaatimus on yhdenmukainen liitteen A valvonnan kanssa.

ISO 27001 etsii erityisesti selkeyttä rooleista ja vastuista:

• Varmistetaan, että tietoturvan hallintajärjestelmä on Kansainvälisen standardointijärjestön vaatimusten mukainen
• ISMS:n suorituskyvyn raportointi (mikä on paljon helpompaa, kun kaikki on yhdessä paikassa)

Saattaa hyvinkin olla, että ylimmällä johtajalla on vastuu ISMS:stä osana johdon sitoutumista tietoturvaan (5.1), mutta hän voi tietysti delegoida sen hoitamisen muille organisaation jäsenille tai ulkoistaa sen asiantuntijaryhmille, kuten virtuaaliselle. CISO, jonka ympärille monet ISMS.online-kumppanit tarjoavat palveluita. Muista vain dokumentoida se!

Tee siitä yksinkertaisempi ISMS.onlinen avulla

ISMS.online-alustalla ylimmän johdon on helppo luoda tietoturvapolitiikka, joka on yhdenmukainen organisaation tarkoituksen ja kontekstin kanssa.

ISMS-järjestelmäsi sisältää valmiiksi rakennetun tietoturvapolitiikan, joka on helposti mukautettavissa organisaatioosi. Tämä politiikka toimii puitteena tavoitteiden tarkistamiselle ja sisältää sitoumuksia sovellettavien vaatimusten täyttämiseksi ja johtamisjärjestelmän jatkuvaan parantamiseen. Tämä käytäntö voidaan helposti jakaa kiinnostuneiden osapuolten kanssa ja lähettää tarjouksiin tai muuhun ulkoiseen viestintään.