Mục đích của Phụ lục A 5.36 của ISO 27001:2022 là gì?
Phụ lục A 5.36 của ISO 27001:2022 yêu cầu các tổ chức có được góc nhìn toàn diện về việc tuân thủ bảo mật thông tin của mình , thể hiện trong các chính sách (cả chung và chuyên đề), quy tắc và tiêu chuẩn.
Việc duy trì sự tuân thủ mọi chính sách và quy trình đã công bố là một phần không thể thiếu trong hoạt động áp dụng bộ biện pháp bảo mật thông tin chặt chẽ.
Phụ lục A 5.36 là biện pháp kiểm soát phòng ngừa và khắc phục nhằm điều chỉnh rủi ro bằng cách duy trì việc tuân thủ các chính sách và quy trình hiện hành trong phạm vi bảo mật thông tin .
Ai là người sở hữu Phụ lục A 5.36?
ISO 27001:2022 Phụ lục A 5.36 chủ yếu tập trung vào các vấn đề hoạt động. Do đó, quyền sở hữu nên được giao cho COO hoặc CISO (nếu có).
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 5.36
Toàn bộ chính sách, quy tắc và tiêu chuẩn bảo mật thông tin của một tổ chức phải được cung cấp cho các nhà quản lý và chủ sở hữu thông tin (bao gồm cả chủ sở hữu dịch vụ và sản phẩm).
Người quản lý nên triển khai các phương pháp báo cáo cụ thể cho doanh nghiệp (kết hợp mọi công cụ kỹ thuật cần thiết) về việc tuân thủ bảo mật thông tin và tiến hành đánh giá định kỳ, nêu bật các lĩnh vực cần cải thiện, đồng thời ghi chép, lưu trữ và báo cáo đầy đủ.
Người quản lý phải có thể thực hiện các hành động sau nếu phát hiện ra các vấn đề và trường hợp không tuân thủ:
- Xác định nguyên nhân cơ bản của việc không tuân thủ.
- Quyết định xem hành động khắc phục có cần thiết hay không.
- Nếu cần thiết, hãy thực hiện hành động khắc phục nêu trên để đảm bảo tiếp tục tuân thủ.
- Sau khi ban hành, hãy đánh giá mọi hành động khắc phục đã thực hiện để xem chúng có hiệu quả hay không và xác định những lĩnh vực nào cần cải thiện.
Điều bắt buộc là các hành động khắc phục phải được thực hiện “kịp thời”, lý tưởng nhất là vào lần đánh giá tiếp theo. Ít nhất, các nhà quản lý phải có thể chứng minh được tiến độ nếu các biện pháp không được hoàn thành trước lần đánh giá tiếp theo.
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 5.35
- ISO 27001:2022 Phụ lục A 8.15
- ISO 27001:2022 Phụ lục A 8.16
- ISO 27001:2022 Phụ lục A 8.17
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 5.36 của ISO 27001:2022 thay thế hai biện pháp kiểm soát từ ISO 27001:2013 , cụ thể là:
- ISO 27001:2013 Phụ lục A 18.2.2 – Tuân thủ các chính sách và tiêu chuẩn bảo mật
- ISO 27001:2013 Phụ lục A 18.2.3 – Đánh giá tuân thủ kỹ thuật
Phụ lục A 5.36 của ISO 27001:2022 tóm tắt toàn bộ hướng dẫn kỹ thuật phức tạp được đưa ra trong Phụ lục A 18.2.3 của ISO 27001:2013, trong đó nêu rõ rằng Người quản lý phải có khả năng xem xét việc tuân thủ bất cứ khi nào cần thiết.
Phụ lục A 5.36 của ISO 27001:2022 chứa chính xác cùng một bộ điểm hướng dẫn như Phụ lục A 18.2.2 của ISO 27001:2013 liên quan đến các hành động cần thực hiện khi phát hiện trường hợp không tuân thủ trong quá trình đánh giá.
