[ISMS] Hệ thống quản lý ATTT theo tiêu chuẩn ISO 27001:2013

5/5 - (1 bình chọn)

Hệ thống quản lý an toàn thông tin (ISMS) là một trong các hệ thống quản lý được nhiều tổ chức, doanh nghiệp lựa chọn xây dựng và áp dụng hiện nay.

Table of Contents

ISMS LÀ VIẾT TẮT CỦA TỪ GÌ?

ISMS được viết tắt từ cụm từ tiếng Anh “Information Security Management System”, dịch sang tiếng Việt có nghĩa là Hệ thống quản lý an toàn thông tin. ISMS giúp xác định cách thức để một tổ chức, doanh nghiệp có thể phòng ngừa, ngăn chặn hoặc ngăn cản sự truy cập, sử dụng, chia sẻ thông tin, tiết lộ, phát tán, phá hủy hoặc ghi lại những thông tin khi chưa được sự cho phép của chủ sở hữu. Hệ thống quản lý an toàn thông tin được thiết lập dựa trên một loạt các quy tắc nội bộ, chính sách, quy trình, tài liệu, hồ sơ liên quan.

Hệ thống quản lý ATTT theo tiêu chuẩn ISO 27001:2013

MỤC TIÊU CỦA HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN LÀ GÌ?

Hệ thống ISMS hướng tới các mục đích sau:

Đảm bảo và duy trì tính bảo mật của thông tin, tất cả thông tin chỉ được phép truy cập bởi những đối tượng được cho phép.
Đảm bảo và duy trì tính toàn vẹn của thông tin, tất cả thông tin chỉ được phép xóa hoặc sửa bởi những đối tượng được cho phép và phải đảm bảo rằng thông tin được lưu trữ hay truyền đi một cách chính xác, bao gồm cả việc xác thực nguồn gốc của thông tin.
Đảm bảo và duy trì độ sẵn sàng của thông tin, thông tin có thể được truy xuất bởi những người được cho phép vào bất cứ khi nào họ muốn.

LỢI ÍCH CỦA HỆ THỐNG QUẢN LÝ ATTT THEO TIÊU CHUẨN ISO 27001:2013

Việc xây dựng Hệ thống quản lý an toàn thông tin đem lại những lợi ích sau cho doanh nghiệp:

Tránh vi phạm các yêu cầu pháp lý về an toàn thông tin
Kiểm soát được các nguy cơ an toàn thông tin
Giảm thiếu các sự cố về an ninh thông tin
Xác định và đạt được các mục tiêu an toàn thông tin
Cải thiện mối quan hệ với các bên liên quan
Nâng cao uy tín và danh tiếng của tổ chức
Giành được nhiều lợi ích và cơ hội phát triển
Loại bỏ các tác động xấu tới an toàn thông tin

CẤU TRÚC CỦA HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN THEO MÔ HÌNH PDCA

Hiện nay, tiêu chuẩn quốc tế ISO 27001:2013 là tiêu chuẩn được áp dụng phổ biến nhất để xây dựng ISMS. Cấu trúc của Hệ thống quản lý ATTT theo mô hình PDCA trong ISO 27001 được triển khai như sau:

P (Plan) – Hoạch định – Xác định mục tiêu an toàn thông tin và xây dựng các kế hoạch cần thiết để thực hiện chính sách an toàn thông tin đã đề ra. Nội dung Hoạch định tương ứng với 4 điều khoản sau của tiêu chuẩn ISO 27001:2013:

Điều khoản 4 (Bối cảnh của tổ chức)

Điều khoản 5 (Sự lãnh đạo)
Điều khoản 6 (Hoạch định)
Điều khoản 7 (Hỗ trợ)

D (Do) – Thực hiện – Tiến hành các hoạt động, quá trình theo kế hoạch đã đề ra. Nội dung này tương ứng với Điều khoản 8 (Vận hành) của tiêu chuẩn ISO 27001 phiên bản 2013.

C (Check) – Kiểm tra – Theo dõi, đo lường, phân tích, đối chiếu các kết quả thực hiện với kế hoạch, mục tiêu an toàn thông tin ban đầu. Nội dung Kiểm tra tương đương với Điều khoản 9 (Đánh giá hiệu năng) của ISO 27001 mới nhất.

A (Act) – Hành động – Thực hiện các hành động nhằm giúp Hệ thống quản lý an toàn thông tin ngày một hoàn thiện và gia tăng hiệu quả theo thời gian. Nội dung Hành động tương ứng với Điều khoản 10 (Cải tiến) của ISO 27001.

CÁC YẾU TỐ CƠ BẢN CỦA HỆ THỐNG ISO 27001:2013

Hệ thống ISO 27001:2013 về Quản lý an toàn thông tin bao gồm các yếu tố sau:

Xem xét các mục tiêu an toàn thông tin của tổ chức
Phân tích tác động an toàn thông tin tới tổ chức
Xác định các yêu cầu pháp lý về an toàn thông tin
Thiết lập mục tiêu an toàn thông tin
Xây dựng các kế hoạch để đạt mục tiêu an toàn thông tin
Giám sát và đo lường việc thực hiện kế hoạch an toàn thông tin
Đảm bảo nhận thức và năng lực an toàn thông tin của nhân viên trong tổ chức
Xem xét tiến độ xây dựng ISMS và cải tiến thường xuyên

QUY TRÌNH XÂY DỰNG HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN THEO TIÊU CHUẨN ISO 27001:2013

Để xây dựng Hệ thống quản lý an toàn thông tin theo tiêu chuẩn ISO 27001:2013, doanh nghiệp cần trải qua các bước sau:

Bước 1: Xây dựng chính sách an toàn thông tin

Chính sách an toàn thông tin là kim chỉ nam trong việc xây dựng Hệ thống quản lý an toàn thông tin của bất kỳ tổ chức, doanh nghiệp nào. Chính sách an toàn thông tin phải đảm bảo tổ chức có thể duy trì và có khả năng nâng cao kết quả hoạt động an toàn thông tin của mình. Ngoài ra, chính sách an toàn thông tin cần phản ánh cam kết của lãnh đạo cao nhất về việc tuân theo các yêu cầu của luật pháp và yêu cầu khác về an ninh mạng và cải tiến liên tục. Làm tốt giai đoạn này tức là doanh nghiệp đã xây dựng được một nền tảng vững chắc để xây dựng và thực hiện Hệ thống quản lý an toàn thông tin

Bước 2: Lên kế hoạch quản lý an toàn thông tin

Bước này tương ứng với giai đoạn P (Plan) – Hoạch định. Kế hoạch phải được thiết lập dựa trên sự tuân thủ các yêu cầu về pháp luật, tuân thủ tiêu chuẩn ISO 27001 và mong đợi của các bên liên quan. Bởi vậy doanh nghiệp cần:

Xác định các yêu cầu pháp luật và các yêu cầu khác về an toàn thông tin mà tổ chức/doanh nghiệp phải tuân thủ bao gồm: các yêu cầu pháp luật của quốc tế, quốc gia; các yêu cầu pháp luật của địa phương / ngành nghề; yêu cầu của các bên liên quan như khách hàng, đối tác
Thiết lập mục tiêu, chỉ tiêu và chương trình quản lý an toàn thông tin nhằm đạt được các mục tiêu và chỉ tiêu đặt ra. Cần mô tả cách thức thực hiện để đạt được các mục tiêu và chỉ tiêu đó, bao gồm cả thời gian, các nguồn lực cần thiết và người chịu trách nhiệm thực hiện các công việc này

Bước 3: Triển khai thực hiện kế hoạch an toàn thông tin

Bước này tương ứng với giai đoạn D (Do) – Thực hiện. Để vận hành Hệ thống quản lý an toàn thông tin một cách hiệu quả thì trong giai đoạn này, doanh nghiệp cần cung cấp các công cụ, các quy trình và các nguồn lực cần thiết một cách kịp thời và khoa học. Trọng tâm của việc thực hiện là phân công công việc một cách rõ ràng, phổ biến về các thay đổi và các chính sách, quy trình cho mọi nhân sự, đảm bảo nhân sự có đủ năng lực để hoàn thành nhiệm vụ được giao. Các công việc cần thực hiện trong giai đoạn này gồm:

Về cơ cấu: Chỉ định một hoặc một nhóm người có trách nhiệm và quyền hạn để thực hiện và duy trì hệ thống quản lý an toàn thông tin và cung cấp các nguồn lực cần thiết.
Về năng lực: Triển khai các hoạt động đào tạo thích hợp cho các đối tượng quản lý, các nhóm công nhân, nhóm quản lý dự án và các cán bộ điều hành chủ chốt tại cơ sở
Về thông tin liên lạc: Xây dựng hệ thống thông tin nội bộ và bên ngoài nhằm tiếp nhận và phản hồi các thông tin về an toàn thông tin và phổ biến các thông tin cho các cá nhân, bộ phận, tổ chức liên quan. Thông tin ở đây có thể bao gồm: các quy định pháp luật, thông tin của các nhà cung cấp, khách hàng và cộng đồng xung quanh, các chương trình, chính sách, quy trình kế hoạch an toàn thông tin cần phổ biến cho nhân viên.
Về tài liệu: Văn bản hóa sổ tay, các quy trình và mô tả công việc khi triển khai hệ thống quản lý an toàn thông tin.

Bước 4: Đánh giá kết quả và hành động khắc phục

Bước này tương ứng với giai đoạn C (Check) – Kiểm tra. Trong giai đoạn này, doanh nghiệp sẽ phải thực hiện các hoạt động sau:

Giám sát và đo lường: Tiến hành quy trình giám sát và đánh giá kết quả của những hoạt động đã được triển khai nhằm đạt được các mục tiêu đã đề ra. Hiệu quả hoạt động ở đây được so sánh với với các tiêu chí ban đầu. Hoạt động này phải được tiến hành định kỳ
Xác định sự không phù hợp và hành động khắc phục / phòng ngừa: Xác định tình hình thực tế và đưa ra các hành động khắc phục hoặc phòng ngừa phù hợp khi phát hiện ra điểm chưa tuân thủ hoặc không phù hợp của Hệ thống quản lý an toàn thông tin
Lưu trữ hồ sơ: Lưu giữ các hồ sơ, tài liệu về hệ thống quản lý an toàn thông tin trong thời gian quy định

Bước 5: Xem xét của lãnh đạo

Bước này tương ứng với giai đoạn A (Act) – Hành động. Trong giai đoạn này doanh nghiệp cần thu thập các thông tin liên quan tới Hệ thống quản lý an toàn thông tin và thông báo các thông tin này tới lãnh đạo cấp cao theo kế hoạch định kỳ để:

Đảm bảo tính phù hợp liên tục của hệ thống Hệ thống quản lý an toàn thông tin
Xác định tính đầy đủ của Hệ thống quản lý an toàn thông tin
Thẩm tra tính hiệu quả của Hệ thống quản lý an toàn thông tin
Tạo điều kiện cải tiến liên tục Hệ thống quản lý an toàn thông tin

>>> Xem thêm: Hướng dẫn triển khai ISO 27001:2013

———————————————————————————————————————————

Mọi thắc mắc liên quan tới Hệ thống quản lý an toàn thông tin (ISMS) hoặc dịch vụ chứng nhận ISO 27001, Quý Doanh nghiệp vui lòng liên hệ với Chúng Tôi theo thông tin dưới đây:

Số hotline: 0989.644.622
Địa chỉ: Tầng 12A Ladeco Building, 266 Đội Cấn, Ba Đình, Hà Nội
Gmail: sales@sps.org.vn
Website: https://sps.org.vn/