ISO/IEC 27014 Information Security Governance

Mitä on tietoturvan hallinta?

• Tietoturvan hallinto on käytäntöjen, valvontatoimien ja menettelytapojen elinkaari organisaation tietoturvan varmistamiseksi.
• Tietoturvan hallinta tuo integroidun lähestymistavan yleiseen tietoturvaan.
• Se takaa, että organisaation tietoturvallisuus on yhdenmukainen organisaation yleistavoitteiden kanssa. Näin hallintoelin voi tehdä päätöksiä organisaation strategisista tavoitteista esittämällä tietoa mahdollisista tietoturvauhista.
• Tehokkaan tietoturvan hallintaohjelman toteuttaminen auttaa vähentämään riskejä, herättämään luottamusta kaikkeen toimintaan ja eliminoimaan sopimattomia toimia.

Mikä on hallintoelin?

Hallintoelin on joukko yksilöitä, joilla on valta ja vastuu muotoilla politiikkaa ja johtaa organisaatiota yleinen lentorata. Kollektiivinen toimielin vastaa päätöksenteosta ja toimeenpanosta henkilöstönsä, sidosryhmiensä ja organisaationsa puolesta.

Hallintoelimen ensisijaisena tehtävänä on turvata organisaation etuoikeudet ja edut sekä kaikkien organisaation puitteissa työskentelevien etuoikeudet ja edut. Tämä toimielin toteuttaa tämän varmistamalla, että organisaatio toimii tehokkaasti ja pystyy saavuttamaan sille asetetut tavoitteet ja prioriteetit. Lisäksi hallintoelin vastaa organisaation taloudesta, henkilöstöstä ja varoista. Yksi tärkeimmistä hallintoelimen tehtävistä missä tahansa organisaatiossa on tehdä päätöksiä, jotka edistävät tietoturvaa organisaatiossa.

Tietoturvan hallintoprosessien käyttöönotto (ISO/IEC 27014)

Tietoturvan hallintoprosesseja on kehitetty auttamaan organisaatioita valvomaan ja hallitsemaan tietoturvatoimiaan. Ne eivät kuitenkaan ole olemassa tyhjiössä – niiden täytyy olla integroitu osaksi yleistä liiketoiminnan johtamista prosesseja, jos ne ovat tehokkaita (ja tämä pätee moniin asiaan liittyviin tietoturvatoimintoihin, kuten riskienhallintaan). Hallintoelin ja ylin johto vastaavat neljän ISO/IEC 27014:2020 -standardin mukaisen hallintojärjestelmän toteuttamisesta.

Arvioida

Yksi tietoturvan hallintoprosesseista on arviointi. Arviointi on tärkeä prosessi, jossa prosessin tai komponentin nykytilaa organisaatiossa tarkastellaan tarkasti. Tämä auttaa määrittämään, mikä on sekä oikein että väärin kyseisessä prosessissa tai komponentissa.

Suora

Suunta on yksi tietoturvan hallintoprosesseista. Se sisältää politiikan standardien ja menettelyjen suunnittelun, määrittämisen ja tarkistamisen sekä arvioinnin, että henkilöstö noudattaa asetettuja rajoituksia.

monitori

Valvonta on yksi tietoturvaprosesseista. Juuri johtamistoiminnot varmistavat järjestelmien ja verkkojen käytettävyyden, eheyden, autentikoinnin ja luottamuksellisuuden sekä varmistavat, että työntekijät käyttävät kyseisiä järjestelmiä ja verkkoja oikein siten, että noudattaa turvallisuuskäytäntöjä.

tiedottaa

Viestintä on avainasemassa tietoturvan hallintoprosesseissa. Sinun tehtäväsi on pitää yrityksesi ja sen omaisuus turvassa, mutta se ei voi olla yksittäinen prosessi.

Mitkä ovat tietoturvahallinnon tavoitteet?

Tietoturvahallinnon tulisi varmistaa, että tietoturvatoimenpiteet ovat vankkoja ja integroituja. Standardi asettaa kuusi korkean tason "toimintakeskeistä" periaatetta tietoturvan hallintaan. Tämä sisältää seuraavat:

Ota käyttöön koko organisaation kattava tietoturva

Tietotekniikkaa tai kyberturvallisuutta koskevat huolet voivat tunkeutua organisaation puitteisiin ja toimintoihin. Kaikilla johtamisen tasoilla, tietoturva olisi yhdistettävä tietotekniikkaan (IT) ja muihin toimintoihin. Ylimmän johdon tulee varmistaa, että tietoturva vastaa yhtiön yleisiä strategisia etuja ja luoda vastuullisuutta ja vastuullisuutta koko organisaatiossa.

Tee päätöksiä käyttämällä riskiperusteista lähestymistapaa

Turvallisuusjohtamista, mukaan lukien resurssien jakamista ja budjetointia, tulee ohjata organisaation riskinottohalulla, johon puolestaan ​​tulisi vaikuttaa riskiin perustuvalla lähestymistavalla, jossa otetaan huomioon kilpailuedun menetys, sääntely- ja vastuuhuolet, toiminnan viivästykset, mainevauriot, ja taloudellinen menetys.

Aseta sijoituspäätösten suunta

Varmista, että tietoturvariskit analysoidaan kunnolla ennen uusien toimintojen aloittamista, kuten investointeja, yritysostoja, fuusioita, uusien teknologioiden käyttöönottoa, ulkoistussopimuksia ja sopimuksia ulkopuolisten toimittajien kanssa. Lisäksi, sisällyttää tietoturvaan viraston sisäisiin prosesseihin, kuten projektinhallintaan, hankintoihin, taloushallintaan, lakien ja säädösten noudattamiseen sekä organisaatioriskien hallintaan. Ylimmän johdon tulee kehittää tietoturvalähestymistapa, joka on linjassa organisaation tavoitteiden kanssa, mikä tarkoittaa, että viraston ja organisaation tietoturvatarpeet ovat yhdenmukaiset.

Varmista sisäisten ja ulkoisten vaatimusten noudattaminen

Ulkoiset vaatimukset sisältävät vaaditut lait ja määräykset, sertifiointistandardit ja sopimusvelvoitteet. Sisäiset kriteerit ovat osajoukkoja suuremman organisaation yleisistä tavoitteista ja prioriteeteista. Riippumattomat turvallisuusarvioinnit ovat yleisesti hyväksytty menetelmä vaatimustenmukaisuuden toteamiseksi ja seuraamiseksi. Ylimmän johdon tulee varmistaa, että tietoturvakäytännöt täyttävät sisäiset ja ulkoiset standardit tyydyttävällä tavalla riippumattomat turvatarkastukset.

Edistää turvallisuuspositiivista kulttuuria

ISMS:n eri sidosryhmien välillä tulisi olla koordinointia ja yhdenmukaisuutta. Tietoturvan johdonmukaisen kurssin saavuttamiseksi ylimmän johdon tulee rohkaista ja helpottaa kaikkien ISMS:n vaikutuspiirissä olevien tehtävien ja toimintojen yhteistyötä. Lisäksi todiste turvaohjeista, valmisteluista, ja tiedotusohjelmat olisi annettava. Tietoturvavastuut olisi sisällytettävä henkilöstön ja muiden sidosryhmien tehtäviin, ja kaikkien tulisi ottaa vastuunsa edistääkseen ISMS:n tehokkuutta.

Varmista, että tietoturvan suorituskyky vastaa entiteetin nykyisiä ja tulevia vaatimuksia

Tietoturvan menestystä mitataan tehokkuuden ja luotettavuuden lisäksi myös sen vaikutuksilla yrityksen yleisiin tavoitteisiin. Hallinnoinnista vastaavan ylimmän johdon tulisi sisältää säännölliset tarkastukset suorituskyvyn mittausjärjestelmästä seurantaa, auditointia ja parantamista varten, mikä muuttaa tietoturvan optimaaliseksi liiketoiminnan suorituskyvyksi.

ISO 27014 -standardin soveltamisala ja tarkoitus

ISO 27014 -dokumentti sisältää ohjeet tietoturvallisuuden hallintoperiaatteista, tavoitteista ja menettelyistä, joita organisaatioiden tulee käyttää arvioidakseen, ohjatakseen, valvoakseen ja viestiäkseen tietoturvaan liittyviä prosesseja organisaatiossa.

Kuten muutkin ISO27k-standardit, se "sopii kaikentyyppisille ja -kokoisille organisaatioille", erityisesti sellaisille, joissa ISMS kattaa koko organisaation tai vain sen osajoukon tai joissa yksi ISMS ulottuu useisiin yrityksiin (kuten yrityksen sisällä). yritysrakenne).

Asianmukainen tietoturvan hallinto takaa, että se on johdonmukainen ja tukee yrityksen strategioissa ja politiikoissa määriteltyjä tavoitteita.

ISO 27014 painottaa huomattavasti ISO/IEC 27001:n hallintokomponentteja ja asettaa hallintatavoitteet tämän puitteissa. Se kattaa tietoturvahallinnon toimintojen yhdistämisen muihin hallintotoimintoihin ja -tavoitteisiin. ISO 27014 määrittelee edelleen ISO27k ISMS:n hallintoelimen vaatimukset ja odotukset.

Kenen tulisi ottaa käyttöön ISO 27014?

ISO/IEC 27014:2020 on suunnattu seuraaville yleisöille:

• Organisaation hallintoelin ja ylin johto.
• Henkilöt, jotka ovat vastuussa ISO/IEC 27001 -yhteensopivan tietoturvan hallintajärjestelmän (ISMS) arvioinnista, ohjaamisesta ja seurannasta.
• Ne, jotka ovat vastuussa tietoturvan hallinnasta, joka tapahtuu käyttäjän ulottumattomissa ISO/IEC 27001 -pohjainen tietoturvan hallintajärjestelmä (ISMS), mutta hallinnon puitteissa.

Tämä asiakirja koskee kaikentyyppisiä ja -kokoisia organisaatioita.

Kuinka ISMS.online voi tehdä ISO 27014:n käyttöönoton helpoksi

Osoitteessa ISMS.online, teemme helpoksi dokumentoida tietoturvahallintasi niin, että se on ISO 27014 -standardin mukainen. Tarjoamme sinulle loogisen, käyttökelpoisen, pilvipohjaisen tiedonhallintarajapinnan, joka auttaa organisaatiotasi tarkistamaan infosec-hallintaprosessinsa ja edistymään ISO 27014 -standardin mukaisesti.

Pilvipohjaisen alustamme avulla voit käyttää kaikkia ISMS-resurssejasi yhdessä paikassa. Meillä on sisäinen tietoturva-asiantuntijoiden tiimi, joka voi antaa ohjeita ja vastata kysymyksiin auttaakseen sinua matkallasi kohti ISO 27014 -standardin käyttöönottoa, jotta voit osoittaa omistautumisesi tietoturvallisuuden hallinnan parhaille käytännöille. Soita ISMS.online-palveluun + 44 (0) 1273 041140 saadaksesi lisätietoja siitä, kuinka voimme auttaa sinua saamaan ISO 27001 -sertifikaatin.