Là một phần của quy định ISO 27001:2022 đã sửa đổi, Phụ lục A Kiểm soát 5.6 yêu cầu các tổ chức thiết lập và duy trì liên lạc với các nhóm lợi ích đặc biệt.
Duy trì các mối liên hệ phù hợp với các nhóm lợi ích đặc biệt, diễn đàn an ninh và các hiệp hội chuyên nghiệp cũng rất quan trọng. Cần lưu ý rằng tư cách thành viên trong các tổ chức chuyên nghiệp, tổ chức công nghiệp, diễn đàn và nhóm thảo luận đều nằm trong phạm vi kiểm soát Phụ lục A này. Đây là lúc bạn điều chỉnh theo nhu cầu cụ thể của mình.
Điều quan trọng là phải hiểu từng nhóm này làm gì và chúng được thành lập như thế nào (ví dụ: chúng có nhằm mục đích thương mại không).
Nhóm lợi ích đặc biệt là gì?
Nhìn chung, nhóm lợi ích đặc biệt là một hiệp hội gồm các cá nhân hoặc tổ chức quan tâm đến một lĩnh vực cụ thể. Họ cùng nhau làm việc để giải quyết các vấn đề, phát triển các giải pháp và thu thập kiến thức trong lĩnh vực này. Trong tình huống của chúng tôi, an ninh thông tin sẽ là lĩnh vực chuyên môn.
Nhiều nhóm lợi ích đặc biệt bao gồm các nhà sản xuất, diễn đàn chuyên gia và hiệp hội nghề nghiệp.
Các tổ chức được khuyến khích kết nối với các nhóm lợi ích đặc biệt, diễn đàn an ninh chuyên ngành và các hiệp hội chuyên nghiệp theo Phụ lục A kiểm soát 5.6 trong ISO 27001:2022 hoặc 6.1.4 trong ISO 27001:2013.
Phụ lục A 5.6 của ISO 27001:2022 hoạt động như thế nào?
Hầu như mọi tổ chức ngày nay đều có mối quan hệ với các nhóm lợi ích đặc biệt. Mục đích của Phụ lục A kiểm soát 5.6 là đảm bảo rằng thông tin liên quan đến bảo mật thông tin được truyền tải đúng cách giữa các nhóm lợi ích đặc biệt này. Cho dù họ là khách hàng, nhà cung cấp hay các nhóm có ảnh hưởng đến tổ chức.
Là một phần của Phụ lục A Kiểm soát 5.6, yêu cầu, mục đích và hướng dẫn thực hiện để liên hệ với các nhóm lợi ích đặc biệt được cung cấp. Một khía cạnh quan trọng của việc cải thiện khả năng bảo mật thông tin là thường xuyên tương tác với các bên liên quan và bên quan tâm, bao gồm người tiêu dùng và đại diện của họ, nhà cung cấp, đối tác và chính phủ.
Quan hệ đối tác có thể cho phép cả hai bên được hưởng lợi từ kiến thức của nhau về những ý tưởng tiên tiến và phương pháp hay nhất, do đó mang lại lợi ích cho cả hai bên.
Hơn nữa, các nhóm này có thể cung cấp các đề xuất hoặc khuyến nghị có giá trị liên quan đến các hoạt động, quy trình hoặc công nghệ bảo mật. Những đề xuất hoặc khuyến nghị này có thể bảo mật hệ thống của bạn trong khi vẫn đạt được mục tiêu kinh doanh của bạn .
Bắt đầu và đáp ứng các yêu cầu của Phụ lục A 5.6
Một tổ chức phải tuân theo các hướng dẫn triển khai ISO 27001:2022 khi đáp ứng các yêu cầu của Phụ lục A Kiểm soát 5.6.
Nhóm sở thích đặc biệt hoặc tư cách thành viên diễn đàn sẽ cho phép các thành viên:
- Luôn cập nhật thông tin bảo mật mới nhất và tìm hiểu về các biện pháp thực hành tốt nhất .
- Duy trì sự hiểu biết hiện tại về môi trường bảo mật thông tin.
- Luôn cập nhật những cảnh báo, khuyến cáo và bản vá mới nhất liên quan đến các cuộc tấn công và lỗ hổng bảo mật.
- Nhận lời khuyên của chuyên gia về bảo mật thông tin.
- Thông báo cho nhau về các công nghệ, sản phẩm, dịch vụ, mối đe dọa hoặc lỗ hổng mới nhất.
- Trong trường hợp xảy ra sự cố an ninh thông tin , hãy cung cấp các điểm liên lạc thích hợp.
Là một phần của tiêu chuẩn ISO/IEC 27000 , hệ thống quản lý bảo mật thông tin (ISMS) phải được thiết lập và duy trì. Kiểm soát 5.6 trong Phụ lục A là một phần quan trọng của quy trình này. Bằng cách tương tác với các Nhóm lợi ích đặc biệt, bạn sẽ có thể nhận được phản hồi từ các đồng nghiệp của mình về hiệu quả của các quy trình bảo mật thông tin của bạn.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
ISO 27001:2022, Phụ lục A kiểm soát 5.6, “Liên hệ với các nhóm lợi ích đặc biệt”, về cơ bản là phiên bản cập nhật của kiểm soát 6.1.4 của ISO 27001:2013.
Trong trường hợp của ISO 27001:2022, mục đích của việc kiểm soát được nêu trong tiêu chuẩn, trong khi ở phiên bản năm 2013, mục đích của việc kiểm soát trong Phụ lục A không được nêu.
Ngoài ra, cả hai phiên bản đều sử dụng các cụm từ khác nhau mặc dù có cùng hướng dẫn triển khai.
Với những cải tiến này, tiêu chuẩn sẽ luôn cập nhật và phù hợp với những lo ngại ngày càng tăng về bảo mật và phát triển công nghệ. Các tổ chức cũng sẽ được hưởng lợi vì việc tuân thủ tiêu chuẩn sẽ dễ dàng hơn.
