ISO 27001-krav 5.2 – Informationssäkerhetspolicy

Vad innebär paragraf 5.2?

Ledningen måste göra en rad saker kring den policyn för att få den till liv – inte bara ha policyn redo att dela som en del av ett anbudssvar! På senare tid, när en kund bad en potentiell leverantör om en kopia av sin informationssäkerhetspolicy, kan det i dokumentet stå några trevliga och fluffiga saker kring informationssäkerhetshantering, riskhantering och informationssäkerhet för att möta en kryssrutaövning av en upphandlingsperson på inköpsavdelningen. Det är inte längre (i allmänhet) fallet. Smarta köpare kommer inte bara att vilja se en säkerhetspolicy, de kanske vill ha den backad upp av bevis på att policyn fungerar i praktiken – naturligtvis med hjälp av ett oberoende certifieringsorgan för informationssäkerhet som UKAS som stöder den, och ett vettigt ISMS bakom det.

Några av de andra saker som högsta ledningen behöver göra kring denna klausul utöver att fastställa själva policyn inkluderar:

• Se till att det är relevant för organisationens syfte (så inte bara kopiera en från Google;)
• Att förtydliga informationssäkerhetsmålen (behandlas mer i 6.2) eller åtminstone ställa villkoren för dem – tips, detta bör inkludera relevanta och mätbara aspekter av att skydda konfidentialitet, integritet och tillgänglighet kring informationstillgångarna som identifieras i 4.1 och som hålls i linje med A8.1 .XNUMX
• Ett åtagande att uppfylla de tillämpliga kraven för organisationens informationssäkerhetsbehov (dvs. de som täcks av ISO 27001-kärnkraven och bilaga A-kontrollerna)
• Säkerställa dess pågående ständiga förbättring – ett ISMS är för livet, och med övervakningsrevisioner varje år som kommer att vara uppenbara att se (eller inte)
• Dela och kommunicera det med organisationen och intressenter vid behov

Gör det enklare med ISMS.online

ISMS.online-plattformen gör det enkelt för högsta ledningen att upprätta en informationssäkerhetspolicy som är förenlig med organisationens syfte och sammanhang.

Ditt ISMS kommer att innehålla en förbyggd informationssäkerhetspolicy som enkelt kan anpassas till din organisation. Denna policy fungerar som ett ramverk för översyn av mål och inkluderar åtaganden att uppfylla alla tillämpliga krav och kontinuerligt förbättra ledningssystemet. Denna policy kan enkelt delas med berörda parter och lämnas in för anbud eller annan extern kommunikation.