Là một phần của ISO 27001:2022, Phụ lục A 5.1 quy định rằng các tổ chức phải có tài liệu chính sách bảo mật thông tin . Điều này nhằm bảo vệ họ khỏi các mối đe dọa bảo mật thông tin .
Nhu cầu kinh doanh cũng như các quy định và luật hiện hành phải được xem xét khi xây dựng chính sách.
Tài liệu chính sách bảo mật thông tin về cơ bản là bản tóm tắt các biện pháp kiểm soát của Phụ lục A nhằm củng cố các tuyên bố chính của tổ chức về bảo mật và cung cấp cho các bên liên quan.
Trong phiên bản tiêu chuẩn năm 2022, các chính sách cũng nên được đưa vào chương trình giáo dục, đào tạo và nâng cao nhận thức, như được mô tả trong Kiểm soát con người A.6.3.
Chính sách tổ chức nêu rõ các nguyên tắc mà các thành viên và các bên chủ chốt như nhà cung cấp phải tuân thủ. Các chính sách này cần được xem xét thường xuyên và cập nhật khi cần thiết.
Chính sách bảo mật thông tin là gì?
Chính sách bảo mật thông tin nhằm mục đích cung cấp cho nhân viên, ban quản lý và các bên bên ngoài (ví dụ: khách hàng và nhà cung cấp) một khuôn khổ để quản lý thông tin điện tử, bao gồm cả mạng máy tính.
Chính sách bảo mật phải được xác định, phê duyệt bởi ban quản lý, công bố và truyền đạt cho nhân viên và các bên liên quan bên ngoài.
Ngoài việc giảm thiểu rủi ro mất dữ liệu do các mối đe dọa bên trong và bên ngoài, các chính sách bảo mật thông tin đảm bảo rằng tất cả nhân viên đều hiểu vai trò của họ trong việc bảo vệ dữ liệu của tổ chức.
Ngoài việc đáp ứng các tiêu chuẩn như ISO 27001 , chính sách bảo mật thông tin cũng có thể chứng minh sự tuân thủ luật pháp và quy định.
Giải thích về các mối đe dọa an ninh thông tin và an ninh mạng
Các mối đe dọa an ninh mạng bao gồm gián điệp doanh nghiệp và tin tặc, nhóm khủng bố, quốc gia thù địch và tổ chức tội phạm. Các mối đe dọa này tìm cách truy cập dữ liệu bất hợp pháp, phá vỡ hoạt động kỹ thuật số hoặc làm hỏng thông tin.
Các mối đe dọa đối với an ninh mạng và an ninh thông tin bao gồm:
- Virus, phần mềm gián điệp và các chương trình độc hại khác được coi là phần mềm độc hại.
- Một email có vẻ như đến từ một nguồn đáng tin cậy nhưng lại chứa các liên kết và tệp đính kèm cài đặt phần mềm độc hại vào máy tính của bạn.
- Virus ngăn người dùng truy cập dữ liệu cho đến khi họ trả tiền chuộc.
- Quá trình thao túng người khác tiết lộ thông tin nhạy cảm được gọi là kỹ thuật xã hội.
- Các email lừa đảo có vẻ như đến từ những cá nhân có địa vị cao trong một tổ chức được gọi là các cuộc tấn công cá voi.
Phụ lục A 5.1 của ISO 27001:2022 hoạt động như thế nào?
Chính sách bảo mật thông tin được thiết kế để bảo vệ thông tin nhạy cảm của công ty bạn khỏi bị đánh cắp và truy cập trái phép.
Theo ISO 27001 , Phụ lục kiểm soát A 5.1 hướng dẫn mục đích và việc thực hiện việc thiết lập chính sách bảo mật thông tin trong một tổ chức.
Phụ lục A Kiểm soát 5.1 yêu cầu các tổ chức phải có chính sách bảo mật thông tin tổng thể để quản lý bảo mật thông tin của mình. Ban quản lý cấp cao phải phê duyệt các hướng dẫn, phải được xem xét thường xuyên nếu có thay đổi trong môi trường bảo mật thông tin.
Cách tiếp cận phù hợp là họp thường xuyên, ít nhất một lần một tháng, với các cuộc họp bổ sung khi cần thiết. Ngoài việc chia sẻ chính sách với các bên liên quan nội bộ và bên ngoài, ban quản lý phải phê duyệt mọi thay đổi trước khi chúng được triển khai.
Bắt đầu và đáp ứng các yêu cầu của Phụ lục A 5.1
Một quy trình vận hành chi tiết mô tả cách thức triển khai chính sách bảo mật thông tin phải dựa trên và được hỗ trợ bởi chính sách bảo mật thông tin.
Chính sách này phải được ban quản lý cấp cao phê duyệt và truyền đạt tới nhân viên và các bên quan tâm .
Ngoài việc định hướng cách tiếp cận của tổ chức trong việc quản lý bảo mật thông tin, chính sách này có thể được sử dụng để phát triển các quy trình vận hành chi tiết hơn.
Theo yêu cầu của tiêu chuẩn ISO/IEC 27000 , chính sách là điều cần thiết để thiết lập và duy trì hệ thống quản lý bảo mật thông tin (ISMS). Một chính sách được xác định rõ ràng vẫn rất quan trọng ngay cả khi tổ chức không có ý định triển khai ISO 27001 hoặc bất kỳ chứng nhận chính thức nào khác.
Chính sách bảo mật thông tin cần được xem xét thường xuyên để đảm bảo tính phù hợp, đầy đủ và hiệu quả của chúng.
Khi có thay đổi trong doanh nghiệp, rủi ro, công nghệ, luật pháp hoặc quy định, hoặc nếu điểm yếu, sự kiện hoặc sự cố bảo mật cho thấy cần phải thay đổi chính sách.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Là một phần của bản sửa đổi ISO 27001 năm 2013, biện pháp kiểm soát này hợp nhất các biện pháp kiểm soát Phụ lục A 5.1.1 Chính sách bảo mật thông tin và 5.1.2 Xem xét chính sách bảo mật thông tin.
Kiểm soát Phụ lục A 5.1 trong ISO 27001:2022 đã được cập nhật với mô tả về mục đích và hướng dẫn triển khai mở rộng, cũng như bảng thuộc tính cho phép người dùng đối chiếu các kiểm soát Phụ lục A với thuật ngữ trong ngành.
Theo Phụ lục A 5.1, các chính sách bảo mật thông tin và chính sách theo chủ đề cụ thể phải được ban quản lý xác định, phê duyệt, công bố, truyền đạt và xác nhận bởi các nhân viên có thẩm quyền.
Chính sách bảo mật thông tin của một tổ chức cần xem xét đến quy mô, loại và mức độ nhạy cảm của tài sản thông tin, tiêu chuẩn của ngành và các yêu cầu hiện hành của chính phủ.
Theo điều khoản 5.1.2 của ISO 27001:2013, mục đích của Phụ lục A là đảm bảo các chính sách bảo mật thông tin được đánh giá thường xuyên nếu có thay đổi trong môi trường bảo mật thông tin.
Theo ISO 27001: 2013 và ISO 27001: 2022, ban quản lý cấp cao phải xây dựng chính sách bảo mật được ban quản lý cấp cao phê duyệt và mô tả cách tổ chức sẽ bảo vệ dữ liệu của mình. Tuy nhiên, cả hai phiên bản chính sách đều bao gồm các yêu cầu khác nhau.
Phân tích so sánh Phụ lục A 5.1 Hướng dẫn thực hiện
Theo ISO 27001:2013, chính sách bảo mật thông tin phải đáp ứng các yêu cầu sau:
- Chiến lược kinh doanh.
- Hợp đồng, quy định và luật pháp.
- Mô tả về môi trường đe dọa hiện tại và dự kiến đối với an ninh thông tin.
Chính sách bảo mật thông tin phải bao gồm các tuyên bố sau:
- Mọi hoạt động liên quan đến an ninh thông tin phải tuân theo định nghĩa về an ninh thông tin, mục tiêu và nguyên tắc.
- Trách nhiệm quản lý an ninh thông tin được phân công cho các vai trò được xác định theo cách chung và cụ thể.
- Quy trình xử lý các sai lệch và ngoại lệ.
Ngược lại, ISO 27001:2022 có các yêu cầu toàn diện hơn.
Là một phần của chính sách bảo mật thông tin, cần lưu ý các yêu cầu sau:
- Chiến lược và yêu cầu của doanh nghiệp.
- Luật pháp, quy định và hợp đồng.
- Rủi ro và mối đe dọa về an ninh thông tin hiện tại và trong tương lai.
Các tuyên bố liên quan đến những điều sau đây phải được đưa vào chính sách bảo mật thông tin:
- Định nghĩa về bảo mật thông tin.
- Một khuôn khổ để thiết lập mục tiêu bảo mật thông tin.
- Các nguyên tắc bảo mật thông tin phải hướng dẫn mọi hoạt động.
- Cam kết tuân thủ mọi yêu cầu bảo mật thông tin hiện hành.
- Cam kết liên tục cải thiện hệ thống quản lý bảo mật thông tin .
- Phân công trách nhiệm dựa trên vai trò để quản lý bảo mật thông tin.
- Các trường hợp ngoại lệ và miễn trừ sẽ được xử lý theo các thủ tục này.
Ngoài ra, ISO 27001:2022 đã được sửa đổi để bao gồm các chính sách theo chủ đề cụ thể cho quản lý sự cố bảo mật thông tin, quản lý tài sản, bảo mật mạng, quản lý sự cố và phát triển an toàn như các chính sách theo chủ đề cụ thể. Nhằm mục đích tạo ra một khuôn khổ toàn diện hơn, một số yêu cầu của ISO 27001:2013 đã bị xóa hoặc hợp nhất.
