ISO/IEC 27014 Informationssäkerhetsstyrning

Vad är informationssäkerhetsstyrning?

• Styrning av informationssäkerhet är livscykel av policyer, kontroller och procedurer för att säkerställa informationssäkerhet för en organisation.
• Styrning av informationssäkerhet ger en integrerad strategi för övergripande informationssäkerhet.
• Det garanterar att organisationens informationssäkerhetsstrategi överensstämmer med organisationens övergripande mål. Detta gör det möjligt för det styrande organet att fatta beslut om organisationens strategiska mål genom att presentera information om potentiella hot mot informationssäkerheten.
• Genom att implementera ett effektivt styrningsprogram för informationssäkerhet kommer det att bidra till att minska risker, skapa förtroende för alla aktiviteter och eliminera olämpliga åtgärder.

Vad är ett styrande organ?

Ett styrande organ är ett kollektiv av individer som har befogenhet och ansvar att utforma policyer och leda en organisations allmän bana. Det samlade organet ansvarar för beslutsfattande och genomförande på uppdrag av sin personal, intressenter och organisation.

Det styrande organets primära uppgift är att tillvarata organisationens privilegier och intressen samt alla som arbetar inom organisationens ramar. Detta organ åstadkommer detta genom att säkerställa att organisationen fungerar effektivt och är kapabel att uppnå de mål och prioriteringar den har förbundit sig till. Dessutom är det styrande organet ansvarigt för organisationens ekonomi, personal och tillgångar. En viktig roll för det styrande organet i alla organisationer är att göra beslut som kommer att uppmuntra informationssäkerheten inom organisationen.

Implementering av styrningsprocesser för informationssäkerhet (ISO/IEC 27014)

Processer för styrning av informationssäkerhet har utvecklats för att hjälpa organisationer att övervaka och hantera sina insatser för informationssäkerhet. De existerar dock inte i ett vakuum – de måste vara det integreras i den övergripande verksamhetsledningen processer om de ska vara effektiva (och detta gäller för många relaterade säkerhetsaktiviteter, såsom riskhantering). Det styrande organet och högsta ledningen ansvarar för genomförandet av fyra styrsystem, enligt ISO/IEC 27014:2020.

Utvärdera

En av processerna för styrning av informationssäkerhet är utvärdering. Utvärdering är en viktig process där det aktuella tillståndet för en process eller komponent inom en organisation granskas. Detta hjälper till att avgöra vad som är både rätt och fel med just den processen eller komponenten.

Direkt

Riktning är en av processerna för styrning av informationssäkerhet. Det inkluderar planering, upprättande och översyn av policystandarder och procedurer, och utvärdering av personalens efterlevnad med fastställda begränsningar.

Övervaka

Övervakning är en av informationssäkerhetsprocesserna. Det är ledningsaktiviteter som säkerställer tillgänglighet, integritet, autentisering och konfidentialitet för systemen och nätverken samt kontrollerar att anställda använder dessa system och nätverk korrekt på ett sätt som följer säkerhetspolicyer.

Kommunicera

Kommunikation är nyckeln när det kommer till processer för styrning av informationssäkerhet. Du har förtroendet att hålla ditt företag och dess olika tillgångar säkra, men det kan inte vara en isolerad process.

Vilka är målen för styrning av informationssäkerhet?

Styrningen av informationssäkerheten bör säkerställa att informationssäkerhetsåtgärderna är robusta och integrerade. Standarden fastställer sex "handlingsorienterade" principer på hög nivå för styrning av informationssäkerhet. Detta inkluderar följande:

Upprätta organisationsövergripande informationssäkerhet

Oro över informationsteknik, eller cybersäkerhet, kan tränga igenom organisationens ramverk och funktioner. På alla nivåer av ledningen, informationssäkerhet bör kombineras med informationsteknik (IT) och andra funktioner. Högsta ledningen bör säkerställa att informationssäkerheten möter företagets allmänna strategiska intressen och bör skapa ansvarighet och ansvar över hela organisationen.

Ta beslut med ett riskbaserat tillvägagångssätt

Säkerhetsstyrning, inklusive resursfördelning och budgetering, bör styras av en organisations riskaptit, som i sin tur bör påverkas av ett riskbaserat tillvägagångssätt som tar hänsyn till: förlust av konkurrensfördelar, oro för reglering och ansvar, driftförseningar, skador på rykte, och ekonomisk förlust.

Ange riktningen för investeringsbeslut

Se till att informationssäkerhetsrisker analyseras ordentligt innan man påbörjar nya verksamheter, såsom investeringar, förvärv, sammanslagningar, introduktion av ny teknologi, outsourcingavtal och kontrakt med externa leverantörer. Dessutom, införliva informationssäkerhet in i byråns interna processer, såsom projektledning, upphandling, ekonomisk förvaltning, efterlevnad av lagar och regler samt organisatorisk riskhantering. Högsta ledningen bör utveckla en informationssäkerhetsstrategi som är anpassad till organisationens mål, vilket innebär att byråernas och organisationens informationssäkerhetsbehov är konsekventa.

Säkerställa överensstämmelse med interna och externa krav

Externa krav inkluderar obligatoriska lagar och förordningar, certifieringsstandarder och avtalsförpliktelser. Interna kriterier är delmängder av en större organisations övergripande mål och prioriteringar. Oberoende säkerhetsbedömningar är den allmänt överenskomna metoden för att fastställa och spåra överensstämmelse. Högsta ledningen måste se till att informationssäkerhetspraxis uppfyller interna och externa standarder på ett tillfredsställande sätt genom att granska oberoende säkerhetsrevisioner.

Främja en trygghetspositiv kultur

Det bör finnas samordning och anpassning mellan de olika intressenterna i ISMS. För att uppnå en sammanhållen kurs för informationssäkerhet måste högsta ledningen uppmuntra och underlätta samarbetet mellan uppgifter och aktiviteter för alla som berörs av ISMS. Dessutom bevis på säkerhetsinstruktioner, förberedelser, och medvetenhetsprogram bör förses. Informationssäkerhetsansvar bör införlivas i personalens och andra intressenters positioner, och alla bör ta sitt ansvar för att bidra till ISMS:s effektivitet.

Se till att säkerhetsprestandan uppfyller företagets nuvarande och framtida krav

Säkerhetsframgång mäts inte bara i termer av effektivitet och tillförlitlighet utan också i termer av dess effekter på företagets övergripande mål och mål. Högsta ledningen med ansvar för styrning bör inkludera periodiska granskningar av ett resultatmätningssystem för spårning, revision och förbättring som omvandlar informationssäkerhet till optimala affärsresultat.

Omfattning och syfte med ISO 27014-standarden

ISO 27014-dokumentet ger riktlinjer för principer, mål och förfaranden för informationssäkerhetsstyrning som organisationer bör använda för att utvärdera, styra, övervaka och kommunicera informationssäkerhetsrelaterade processer inom organisationen.

Precis som med de andra ISO27k-standarderna är den "lämplig för alla typer och storlekar av organisationer", särskilt de där ISMS täcker hela organisationen eller bara en delmängd av den, eller där en enda ISMS sträcker sig till flera företag (som inom en företagsstruktur).

Korrekt styrning av informationssäkerhet garanterar att den överensstämmer med och stödjer företagets mål som identifierats i strategier och policyer.

ISO 27014 lägger stor vikt vid styrningskomponenterna i ISO/IEC 27001 och fastställer styrningsmål inom detta ramverk. Det täcker inkorporeringen av informationssäkerhetsstyrningsaktiviteter med andra styrningsfunktioner och mål. ISO 27014 specificerar vidare kraven och förväntningarna från det styrande organet från ett ISO27k ISMS.

Vem ska implementera ISO 27014?

ISO/IEC 27014:2020 är inriktat på följande målgrupper:

• En organisations styrande organ och högsta ledning.
• De som ansvarar för att utvärdera, styra och spåra ett ISO/IEC 27001-kompatibelt ledningssystem för informationssäkerhet (ISMS).
• De som är ansvariga för informationssäkerhetshantering som sker utom räckhåll för en ISO/IEC 27001-baserat ledningssystem för informationssäkerhet (ISMS), men inom ramen för styrning.

Detta dokument är tillämpligt på alla typer och storlekar av organisationer.

Hur ISMS.online kan göra det enkelt att implementera ISO 27014

På ISMS.online, gör vi det enkelt för dig att dokumentera din informationssäkerhetsstyrning så att den är i linje med ISO 27014-standarden. Vi förser dig med ett logiskt, användbart, molnbaserat informationshanteringsgränssnitt som hjälper din organisation att kontrollera dess infosec-styrningsprocesser och framsteg mot ISO 27014-standarden.

Vår molnbaserade plattform låter dig komma åt alla dina ISMS-resurser på ett ställe. Vi har ett internt team av informationssäkerhetsexperter som kan ge vägledning och svara på frågor för att hjälpa dig på vägen mot ISO 27014-implementering så att du kan visa ditt engagemang för bästa praxis för informationssäkerhetsstyrning. Ring ISMS.online på + 44 (0) 1273 041140 för att ta reda på mer om hur vi kan hjälpa dig att bli certifierad enligt ISO 27001.