Các bước triển khai áp dụng ISO 27001:2013 là gì? Quy trình ISO 27001 bất đầu từ đâu? Dưới đây là Hướng dẫn cụ thể để Doanh nghiệp có thể xây dựng thành công Hệ thống quản lý an toàn thông tin.
Mục lục
Bước 1: Thiết lập Chính sách an toàn thông tin
Trong quy trình ISO 27001, Chính sách an toàn thông tin đóng vai trò là kim chỉ nam cho việc áp dụng và cải tiến hệ thống quản lý an toàn thông tin của tổ chức. Một chính sách an toàn thông tin phù hợp giúp tổ chức có thể duy trì và nâng cao kết quả hoạt động an toàn thông tin của mình.
Chính sách an toàn thông tin cần phản ánh sự cam kết của lãnh đạo cao nhất trong việc tuân theo các yêu cầu của luật pháp và các yêu cầu khác về an toàn thông tin đang được áp dụng. Đây là giai đoạn đầu của quy trình ISO 27001:2013, đồng thời cũng là nền tảng để xây dựng và thực hiện Hệ thống quản lý an toàn thông tin. Chính sách an toàn thông tin phải được xem xét thường xuyên để đảm bảo hệ thống được thực hiện đầy đủ và phù hợp với tình hình thực tế.
Bước 2: Lập kế hoạch xây dựng Hệ thống quản lý an toàn thông tin
Sau khi Chính sách an toàn thông tin đã được Lãnh đạo cao nhất phê duyệt thì lập kế hoạch xây dựng Hệ thống quản lý an toàn thông tin là bước thứ hai mà doanh nghiệp cần phải làm. Bước này tương ứng với P (Plan) trong mô hình PDCA của tiêu chuẩn ISO 27001:2013. Một kế hoạch hoàn thiện phải đạt được sự tuân thủ với các yêu cầu về pháp luật và tuân thủ với các yêu cầu của tiêu chuẩn ISO 27001 cũng như đáp ứng những mong đợi kết quả an toàn thông tin do chính tổ chức đề ra. Các công việc cần thực hiện trong giai đoạn này gồm:
- Xác định các yêu cầu pháp luật và các yêu cầu khác về an toàn thông tin mà tổ chức/doanh nghiệp phải tuân thủ
- Xác định phạm vi áp dụng ISO 27001
- Xác định các rủi ro có ảnh hưởng tới an ninh mạng, an ninh thông tin
- Thiết lập mục tiêu, chỉ tiêu và chương trình quản lý an toàn thông tin nhằm đạt được các mục tiêu và chỉ tiêu đặt ra.
Bước 3. Thực hiện ISO 27001:2013
Trong chu trình PDCA của tiêu chuẩn ISO 27001:2013, sau P sẽ là D (Do) tương ứng với giai đoạn thực hiện tiêu chuẩn. Ở giai đoạn này, tổ chức cần cung cấp các công cụ, các quy trình và các nguồn lực cần thiết để vận hành Hệ thống quản lý an toàn thông tin một cách hiệu quả và bền vững.
Yêu cầu của giai đoạn này là cần cập nhật liên tục những thay đổi bao gồm: Phân công trách nhiệm, quyền hạn cho các nhân viên, cung cấp các khóa đào tạo năng lực và nhận thức, phổ biến và áp dụng chính sách cùng các thủ tục cải tiến. Các công việc cần thực hiện trong giai đoạn này gồm:
- Lựa chọn người chỉ đạo và chịu trách nhiệm thực hiện, duy trì hệ thống quản lý an toàn thông tin
- Mở các lớp đào tạo thích hợp cho từng nhóm đối tượng trong tổ chức
- Xây dựng kênh thông tin nội bộ và bên ngoài để đảm bảo quá trình trao đổi thông tin được xuyên suốt
- Áp dụng Sổ tay an toàn thông tin cho công ty thông tin, thực hiện công việc theo đúng quy trình và văn bản hướng dẫn
Bước 4: Giám sát và Đánh giá kết quả quy trình ISO 27001
C (Check) là bước tiếp theo trong cấu trúc của hệ thống quản lý an toàn thông tin theo mô hình PDCA. Những nhiệm vụ cần làm trong giai đoạn này là:
- Thành lập bộ phận chuyên trách thực hiện việc giám sát quy trình ISO 27001
- Áp dụng quy trình giám sát Hệ thống quản lý an toàn thông tin
- Đo lường, tổng kết, phân tích kết quả thực hiện
- Đánh giá mức độ tuân thủ của Hệ thống quản lý an toàn thông tin so với yêu cầu của pháp luật, mong đợi của các bên liên quan, mục tiêu an toàn thông tin của tổ chức và yêu cầu của tiêu chuẩn ISO 27001
Bước 5: Hành động khắc phục và cải tiến trong quy trình ISO 27001
Giai đoạn cuối cùng trong chu trình PDCA là A (Act). Sau khi có kết quả đánh giá quá trình thực hiện ISO 27001, tổ chức cần:
- Lưu giữ lại tất cả các hồ sơ, tài liệu liên quan tới Hệ thống quản lý an toàn thông tin trong thời gian quy định
- Thực hiện hành động khắc phục tại những điểm không phù hợp
- Lập kế hoạch cải tiến Hệ thống quản lý an toàn thông tin
- Báo cáo kết quả và kế hoạch cho lãnh đạo cấp cao
- Lãnh đạo cấp cao xem xét và có những chỉ đạo kịp thời nếu cần thiết
—————————————————————————————————
Để được Hướng dẫn áp dụng ISO 27001:2013 một cách cụ thể, Quý Khách hàng vui lòng liên hệ với Chúng Tôi theo số hotline: 0948.690.698 hoặc Emai: thuvientieuchuan.org@gmail.com
