ISO/IEC 27007 revision af ledelsessystem

ISO 27007 forklaret: En strategisk tilgang til informationssikkerhedsrevision

I dag er de fleste organisationer afhængige af informationsteknologier til at understøtte alle vigtige forretningsfunktioner. Denne tillid har resulteret i stigende fare for elektroniske sikkerhedsrisici såsom hacking, tab af data, brud på fortrolighed og endda terrorisme. Enkeltpersoner, erhvervsorganisationer kan lancere disse mere sofistikerede overgreb.

Når disse overgreb resulterer i tab af information, tyveri af personoplysninger, eller afbrydelse af vigtige systemer og dokumenter, kan virksomheder stå over for alvorlige konsekvenser, herunder økonomiske tab og skade på omdømme.

Det er her behovet for en pålidelige ISMS kommer ind. Dog en ISMS er kun effektivt, hvis det religiøst følger et accepteret sæt retningslinjer. For at sikre, at din ISMS opfylder standardkravene i de accepterede standarder, er det vigtigt, at du udfører periodiske revisioner af dit ISMS. ISO 27007 fastlægger de accepterede internationale retningslinjer for revision af informationssikkerhedsstyringssystemer ISMS.

Hvad er ISO / IEC 27007?

ISO/IEC 27007 er informationssikkerheds-, cybersikkerheds- og privatlivsbeskyttelsesstandard, der inkluderer anbefalinger om administration af et informationssikkerhedsstyringssystem (ISMS) revisionsprogram, udførelse af revisioner og vurdering af ISMS-revisorers kompetence.

Denne standard gælder for dem, der har brug for at forstå eller udføre interne eller eksterne revisioner af et ISMS, såvel som dem, der administrerer et ISMS-revisionsprogram. Den blev oprindeligt offentliggjort den 14. november 2011 og efterfølgende opdateret den 21. januar 2020.

ISO 27007 er medlem af ISO/IEC 27000-familien af ​​standarder for informationssikkerhedsstyringssystemer (ISMS), som er en systematisk metode til at beskytte følsomme oplysninger. Den etablerer principper for en stærk tilgang til informationssikkerhedsstyring og resiliensudvikling.

Hvorfor er ISO 27007 vigtigt?

Virksomheder bliver i stigende grad nødt til at administrere enorme mængder data for at kunne fortsætte at tilbyde de produkter og tjenester, forbrugerne efterspørger. Sikkerhed af følsomme data er en stor bekymring for virksomheder og forbrugere, forværret af adskillige højprofilerede brud.

Den kaos, som disse overgreb forårsagede, spænder fra berømtheder ydmyget af tankeløse fotografier til tab af personlige oplysninger til løsepengekrav i millionklassen, som har været rettet mod selv de mest magtfulde virksomheder.

Hvor sådanne data indeholder personligt identificerbare, økonomiske eller medicinske oplysninger, har virksomheder en moralsk og juridisk pligt til at beskytte dem mod cyberkriminelle.

Det er her, internationale standarder såsom ISO 27000-familien kommer i spil, og hjælper virksomheder med at administrere sikkerheden af ​​aktiver, såsom finansielle data, intellektuel ejendomsret, medarbejderoplysninger og oplysninger, der er betroet dem af tredjeparter.

Denne nuværende situation betyder, at enhver, der har til opgave at revidere en organisations ISMS, sandsynligvis vil få deres arbejde skåret for dem. På samme måde kræver forberedelse til en smidig revision planlægning og opmærksomhed på detaljer. Derfor blev ISO 27007 oprettet. Det letter fuld forberedelse for begge parter ved at give eksplicit vejledning.

Hvad er omfanget af ISO 27007?

I standarden beskriver rammen en række revisionskriterier, der kan bruges individuelt eller i kombination til revision af informationssikkerhedsstyringssystem, herunder, men ikke begrænset til:

• At definere kravene til ISO / IEC 27001
• Retningslinjer og krav stillet af relevante parter
• Lovmæssige og lovpligtige krav
• Organisationens ISMS processer og kontroller

Den identificerer og beskriver ledelsessystemplanen/-planerne relateret til output fra en ISMS (f.eks. en plan for at håndtere risici og muligheder ved etablering af et ISMS, en plan for at nå informationssikkerhedsmål, en plan for behandling af risici) .

Ud over at være relevant for alle organisationer uanset størrelse, dækker denne standard også ISO revisioner af forskellige omfang og skalaer, herunder dem, der udføres af store revisionsteams, der ofte er tilknyttet større organisationer, samt dem, der udføres af individuelle revisorer, uanset om de er i store eller små virksomheder.

Specifikt dækker ISO 27007 ISMS-revisioner udført af virksomheder på deres interne systemer (førstepart) og af deres eksterne serviceudbydere og andre eksterne interessenter (andenpart). Det kan også bruges i revisioner, der udføres til andre formål end en tredjepartscertificering af ledelsessystemer.

Hvilke andre standarder arbejder ISO 27007 med?

ISO 27007 er relevant for personer, der har brug for at forstå eller udføre interne eller eksterne revisioner af et informationssikkerhedsstyringssystem, såvel som dem, der administrerer et revisionsprogram for informationssikkerhedsstyringssystem.

ISO 19011 blev oprettet for at standardisere processen med at udføre interne og eksterne revisioner for ledelsessystemer generelt.

ISO 27007 tilføjer ISO 19011 retningslinjerne ved at komme med yderligere forslag. Mens ISO 19011 specificerer, at bevis for overholdelse skal søges, foreslår ISO 27007 specifikke beviser og vurderinger for ISO 27001 klausuler og kontroller i bilag A.

Det betyder, at ISO 27007 er mere foreslået i en specifik ISO 27001 sammenhæng. ISO 19011 er på den anden side et at foretrække, hvis du også skal auditere andre ISO-ledelsessystemer, såsom ISO 9001 og ISO 14001.

Hvad er ISO 19011?

ISO 19011 er en samling af revisionsprincipper for ledelsessystemer.

Det er en global standard, der hjælper virksomheder med at udføre disse revisioner.

ISO 19011 er beregnet til at give vejledning til organisationer om, hvordan man udvikler revisionsprogrammer for deres ledelsessystemer, såsom risikostyringssystemer, kvalitetsstyringssystemer og miljøledelsessystemer.

ISO 19011 er ikke en række standarder, der skal følges sekventielt af en organisation, da ingen organisation kan blive ISO 19011 certificeret. I stedet for det bør en organisation skræddersy ISO 19011-anbefalinger til de specifikke behov og krav i revisionsprogrammet.

ISO 19011 adskiller sig fra den internationale standard ISO 9001, som etablerer standarder for kvalitetsstyringssystemer. ISO 9001 er den eneste standard i ISO 9000 serier, som organisationer kan certificere imod.

Hvad er forskellen mellem ISO 27007 og ISO 27008?

ISO 27008 vil give anbefalinger til revision af ISM (Information Security Management) systemer til sikkerhedskontrol.

Dette er forskelligt fra ISO 27007, som er mere optaget af ledelsessystemet (ISMS) som helhed, snarere end med specifikke kontroller.

Hvorfor er revision af informationsstyringssystem vigtig?

Under informationssikkerhedspolitikker og processer på plads er utilstrækkelige til at sikre beskyttelsen af ​​en organisations informationsaktiver.

Politikker kan være utilstrækkelige, eller overholdelse af politikker kan være utilstrækkelig. En revision skal udføres for at sikre, at de har succes med at nå deres mål.

An informationssystemrevision bestemmer effektiviteten af ​​et informationssystems kontroller.

En revision er designet til at afgøre, om en organisationens informationssystemer er tilstrækkeligt sikre forretningsaktiver, bevarelse af integriteten af ​​lagrede og transmitterede data, succesfuld understøttelse af organisatoriske mål og yder effektivt.

En informationsstyringssystemrevision er en metodisk, kvantificerbar teknisk undersøgelse af, hvordan en organisations informationssikkerhedspolitik implementeres. Det er en nødvendig komponent i den løbende proces af udvikle og implementere gode sikkerhedspolitikker. Sikkerhedsrevision er en gennemsigtig og kvantificerbar metode til at bestemme, hvor sikker en hjemmeside virkelig er.

Denne revision udføres til:

• Etabler en informationssikkerhedsbaseline for din organisation.
• Identificer nuet informationssikkerhedsprocedurer' styrker og mangler.
• Prioriter de mest risikable eksponeringer.
• Giv forslag til risikoreduktion, der er i overensstemmelse med gældende regler, bedste praksis i branchen i sikkerhedssektoren, bedste praksis for klientbranchen og kundernes forretningsmål.

oplysninger indsamlet under en informationssikkerhedsaudit sætter organisationen i stand til at træffe bedre uddannede beslutninger om, hvordan man bruger økonomi og ressourcer for at håndtere risici mest effektivt.

Hvordan ISMS.online kan gøre implementering af ISO 27007 let

Hos ISMS.online gør vi det nemt for dig at dokumentere din Information Security Governance, så den er i overensstemmelse med ISO 27007 standarden. Vi giver dig en logisk, brugbar, cloud-baseret informationsstyringsgrænseflade, der vil hjælpe din organisation med at kontrollere dens infosec-styringsprocesser og fremskridt i forhold til ISO 27007-standarden.

Vores cloud-baserede platform giver dig adgang til alle dine ISMS-ressourcer på ét sted. Vi har et internt team af informationssikkerhedseksperter, der kan give vejledning og besvare spørgsmål for at hjælpe dig på vej til ISO 27007-implementering, så du kan demonstrere din dedikation til bedste praksis for informationssikkerhedsstyring. Ring til ISMS.online på + 44 (0) 1273 041140 for at finde ud af mere om, hvordan vi kan hjælpe dig med at blive certificeret til ISO 27001.