Mục 5.6 trong tiêu chuẩn ISO 27002:2022 mới được sửa đổi hoặc mục 6.1.4 trong tiêu chuẩn ISO 27002:2013 khuyến nghị rằng các tổ chức nên thiết lập và duy trì liên lạc với các nhóm lợi ích đặc biệt hoặc các diễn đàn an ninh chuyên ngành khác và các hiệp hội chuyên nghiệp.
Kiểm soát 5.6 Liên hệ với các nhóm lợi ích đặc biệt là gì?
Giải thích về các nhóm lợi ích đặc biệt
Nhìn chung, một nhóm lợi ích đặc biệt có thể được định nghĩa là một hiệp hội gồm những cá nhân hoặc tổ chức có mối quan tâm hoặc làm việc trong một lĩnh vực chuyên môn nhất định, nơi các thành viên hợp tác/làm việc để giải quyết các vấn đề, tạo ra các giải pháp và tiếp thu kiến thức. Trong tình huống của chúng tôi, lĩnh vực chuyên môn này sẽ là an ninh thông tin.
Các nhà sản xuất, diễn đàn chuyên gia và nhóm chuyên nghiệp là ví dụ về các thực thể như vậy. Chính phủ cũng là ví dụ về nhóm lợi ích đặc biệt.
Bảng Thuộc tính
Các điều khiển được phân loại bằng các thuộc tính. Sử dụng các thuộc tính này, bạn có thể nhanh chóng khớp lựa chọn điều khiển của mình với các thuật ngữ và thông số kỹ thuật thường dùng trong ngành. Các thuộc tính cho điều khiển 5.6 là:
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa #Sửa chữa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ #Phản hồi #Phục hồi | #Quản trị | #Phòng thủ |
Mục đích của Control 5.6 là gì?
Hầu hết các tổ chức ngày nay đều có một số mối quan hệ với các nhóm lợi ích đặc biệt. Họ có thể là một nhóm khách hàng, nhóm nhà cung cấp hoặc một nhóm có ảnh hưởng nhất định trong tổ chức. Mục đích của kiểm soát 5.6 là đảm bảo luồng thông tin phù hợp diễn ra liên quan đến bảo mật thông tin giữa các nhóm lợi ích đặc biệt này.
Kiểm soát 5.6 bao gồm các yêu cầu, mục đích và hướng dẫn thực hiện về cách liên hệ với các nhóm lợi ích đặc biệt để đảm bảo rằng tổ chức của bạn tích cực tham gia liên lạc và tham vấn thường xuyên với các bên liên quan và bên quan tâm , bao gồm người tiêu dùng và đại diện của họ, nhà cung cấp, đối tác và chính phủ để cải thiện khả năng bảo mật thông tin của họ.
Có khả năng các tổ chức này sẽ có thể xác định được các mối nguy hiểm về an ninh mà bạn có thể đã bỏ qua. Với tư cách là một đối tác, cả hai bên có thể hưởng lợi từ kiến thức của nhau về các ý tưởng mới và các biện pháp thực hành tốt nhất, đây là một kịch bản đôi bên cùng có lợi.
Ngoài ra, các nhóm này có thể cung cấp các gợi ý hoặc khuyến nghị hữu ích liên quan đến các biện pháp, quy trình hoặc công nghệ bảo mật có thể giúp hệ thống của bạn an toàn hơn trong khi vẫn đạt được các mục tiêu kinh doanh .
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Khi nói đến việc đáp ứng các yêu cầu về Kiểm soát 5.6 trong ISO 27002:2022 , điều quan trọng là các tổ chức phải tuân theo các hướng dẫn triển khai theo quy định của tiêu chuẩn.
Theo mục kiểm soát 5.6, việc tham gia các nhóm hoặc diễn đàn có cùng sở thích đặc biệt sẽ là phương tiện để:
- nâng cao kiến thức về các biện pháp thực hành tốt nhất và cập nhật thông tin bảo mật có liên quan.
- đảm bảo hiểu biết về môi trường an ninh thông tin là cập nhật.
- nhận cảnh báo sớm về các cảnh báo, khuyến cáo và bản vá liên quan đến các cuộc tấn công và lỗ hổng.
- được tiếp cận với lời khuyên chuyên môn về bảo mật thông tin.
- chia sẻ và trao đổi thông tin về công nghệ , sản phẩm, dịch vụ, mối đe dọa hoặc lỗ hổng mới.
- cung cấp các điểm liên lạc phù hợp khi xử lý các sự cố an ninh thông tin .
Bộ tiêu chuẩn ISO/IEC 27000 yêu cầu phải thiết lập và duy trì hệ thống quản lý bảo mật thông tin (ISMS). Kiểm soát 5.6 là một phần quan trọng của quy trình này. Việc liên hệ với các Nhóm lợi ích đặc biệt rất quan trọng vì nó có thể cung cấp cho bạn cách để nhận được phản hồi từ các đồng nghiệp về hiệu quả của các quy trình bảo mật thông tin của bạn.
Sự khác biệt giữa ISO 27002:2013 và ISO 27002:2022
Theo những gì đã nêu, kiểm soát 5.6 trong ISO 27002:2022 , “Liên hệ với các nhóm lợi ích đặc biệt”, không phải là kiểm soát mới. Về cơ bản, đây là phiên bản sửa đổi của kiểm soát 6.1.4, có thể tìm thấy trong ISO 27002:2013.
Mặc dù các nguyên tắc cơ bản của hai biện pháp kiểm soát về cơ bản là giống nhau, nhưng có một số sửa đổi nhỏ trong phiên bản kiểm soát năm 2022. Trong trường hợp của ISO 27002:2022, mục đích của biện pháp kiểm soát được nêu trong tiêu chuẩn. Trong phiên bản năm 2013, mục đích kiểm soát này không có.
Hơn nữa, mặc dù hướng dẫn thực hiện cho cả hai phiên bản đều giống nhau, nhưng cách diễn đạt được sử dụng trong mỗi phiên bản lại khác nhau.
Tất cả những cải tiến này nhằm mục đích đảm bảo tiêu chuẩn luôn cập nhật và phù hợp với những lo ngại ngày càng tăng về bảo mật và phát triển công nghệ. Các tổ chức cũng sẽ được hưởng lợi từ điều này vì nó sẽ giúp tuân thủ tiêu chuẩn dễ dàng hơn.
Ai là người chịu trách nhiệm cho quá trình này?
Trong một tổ chức thông thường, người đứng đầu bộ phận an ninh thông tin (còn được gọi là Giám đốc an ninh thông tin – CISO) chịu trách nhiệm về mọi khía cạnh liên quan đến quyền riêng tư và bảo mật dữ liệu, bao gồm cả việc tuân thủ.
Vai trò này cũng có thể được xử lý bởi Information Security Manager (ISMS Manager) . Tuy nhiên, bất kể ai xử lý vai trò này, nó không thể tiến triển nếu không có sự chấp thuận của ban quản lý cấp cao.
Điều này có ý nghĩa gì đối với các tổ chức?
Nếu tổ chức của bạn đã triển khai ISO 27002:2013, bạn sẽ cần cập nhật các quy trình của mình để đảm bảo tuân thủ tiêu chuẩn mới được đưa ra vào tháng 2 năm 2022.
Mặc dù sẽ có một số thay đổi trong phiên bản 2022, nhưng phần lớn các tổ chức sẽ có thể thực hiện các sửa đổi cần thiết mà không gặp nhiều khó khăn. Hơn nữa, các tổ chức được chứng nhận sẽ có giai đoạn chuyển đổi kéo dài hai năm trong đó họ có thể gia hạn chứng nhận của mình để đảm bảo rằng chứng nhận tuân thủ phiên bản mới của tiêu chuẩn.
Tuy nhiên, hướng dẫn ISO 27002:2022 của chúng tôi có thể giúp bạn hiểu rõ hơn về cách tiêu chuẩn ISO 27002 mới sẽ tác động đến hoạt động bảo mật dữ liệu và chứng nhận ISO 27001 của bạn .
