Az információbiztonsági menedzsment rendszer létrehozása nagyon nehézkes folyamat. Mindazonáltal az információbiztonság biztosításának és az információk jobb védelmének módjainak meghatározása az adott szervezet számára döntő eredmény.
Információbiztonsági irányítási rendszer az egyes szervezetek követése majdnem azonos.
Az információbiztonsági tanulmányok hatóköre
Az első dolog az, hogy meghatározzuk a vizsgálat terjedelmét és korlátait. Rendszer állítható be egy egész szervezet vagy egy adott osztály számára. Mindenesetre a vizsgálat korlátait teljesnek és helyesen kell meghatározniuk. A hatókört a felső vezetés és a szervezet információbiztonsági célkitűzéseivel összhangban kell meghatározni.
Információbiztonsági politika
Ezt a politikát a felső vezetés határozza meg, és meghatározza a tanulmány célkitűzéseit, és meghatározza az értékelendő kockázatokat és a kockázatkezelési kritériumokat. A felső vezetésnek mindig az információbiztonsági politika mögött kell állnia.
Kockázatértékelési módszer
A kockázatértékelési módszert az információbiztonsági politikának megfelelően kell azonosítani. Ennek megfelelően meg kell határozni az elfogadható kockázati szinteket, és meg kell határozni a kritériumokat. A kockázati térkép létrehozásával védendő információkat a hatás mértékétől és a kockázat előfordulásának valószínűségétől függően kell meghatározni.
A kockázatok azonosítása
Az információ meglétét veszélyeztető kockázatokat a meghatározandó kockázatértékelési módszer alkalmazásával kell azonosítani. Ebben a tanulmányban elkészül egy információs eszközök jegyzéke. Az információbiztonsági menedzsment rendszerbe beilleszthető információs eszközöket típusuk és súlyosságuk szerint kell felsorolni. A titkos információk megjelenése nagy kárt okozhat a szervezet számára, de ugyanezen információk felhasználhatatlansága kevésbé káros lehet.
A kockázatok értékelése
Ebben a lépésben határozzák meg a meghatározandó kockázatokkal kapcsolatos intézkedéseket. A kockázatot megfelelő kontrollokkal el lehet távolítani vagy elfogadható szintre csökkenteni. Vagy kiküszöböljük a kockázati tényezőket, és elkerüljük a kockázatot.
A felső vezetés jóváhagyása
A kockázatkezelési tanulmány befejezése után szükséges, hogy a felső vezetés jóváhagyást kapjon annak alkalmazására.
Ha a kockázatot nem lehet teljesen megszüntetni, akkor a felső vezetés mérlegelése szerint elfogadható kockázatot jelenthet.
ISO 27001 információbiztonsági irányítási rendszerszervezetek a tapasztalt vezetők és a TURCERT tanúsító szervezet alkalmazottai számára kérhetnek tanácsadási szolgáltatásokat.